Consulta
¿La obligación de designar un Delegado de Protección de Datos, prevista en el artículo 10, numeral 14 del Reglamento del Delegado de Protección de Datos Personales, resulta también aplicable a personas jurídicas de derecho privado que prestan servicios públicos bajo esquemas distintos a la concesión o a la alianza público-privada, específicamente mediante autorizaciones o delegaciones como un acuerdo ministerial u otros actos del poder público; o, debe entenderse limitada a los supuestos expresamente previstos en la citada disposición?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 313 ibidem establece:
“Art. 313.- El Estado se reserva el derecho de administrar, regular, controlar y gestionar los sectores estratégicos, de conformidad con los principios de sostenibilidad ambiental, precaución, prevención y eficiencia.
Los sectores estratégicos, de decisión y control exclusivo del Estado, son aquellos que por su trascendencia y magnitud tienen decisiva influencia económica, social, política o ambiental, y deberán orientarse al pleno desarrollo de los derechos y al interés social.
Se consideran sectores estratégicos la energía en todas sus formas, las telecomunicaciones, los recursos naturales no renovables, el transporte y la refinación de hidrocarburos, la biodiversidad y el patrimonio genético, el espectro radioeléctrico, el agua, y los demás que determine la ley
El artículo 316 ibidem dispone:
“Art. 316.- El Estado podrá delegar la participación en los sectores estratégicos y servicios públicos a empresas mixtas en las cuales tenga mayoría accionaria. La delegación se sujetará al interés nacional y respetará los plazos y límites fijados en la ley para cada sector estratégico.
El Estado podrá, de forma excepcional, delegar a la iniciativa privada y a la economía popular y solidaria, el ejercicio de estas actividades, en los casos que establezca la ley.”
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
(…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
(…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado).
El artículo 47 de la LOPDP establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
3) Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas;
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular;
5) Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas;
6) Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales;
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas;
8) Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto;
9) Implementar la protección de datos personales desde el diseño y por defecto;
10) Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales;
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional;
12) Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;
14) Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales; y,
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.” (énfasis agregado).
El artículo 48 ibidem establece:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
El artículo 49 ibidem dispone:
“Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación;
4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y,
5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales.
En caso de incumplimiento de sus funciones, el delegado de protección de datos personales responderá administrativa, civil y penalmente, de conformidad con la ley.”
El artículo 48 del RGLOPDP indica lo siguiente:
“Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
El artículo 221 del Reglamento de Eficiencia Económica y Generación de Empleo (“RELEEG”) ibidem establece:
“Art. 221.- Definiciones.- Para fines de la Ley APP, este libro y demás normativa APP los conceptos que constan a continuación, tendrán el significado que se indica:
(…)
Contrato, Contrato de Asociación Público-Privada, Contrato APP o Contrato de Gestión delegada: Es el acuerdo de voluntades jurídicamente vinculante, regulado por el Derecho Administrativo, celebrado entre una Entidad Delegante y un Gestor Privado, que establece obligaciones y derechos para las partes intervinientes,
(…)
19. Entidad Delegante: Son todas las entidades del sector público previstas en el artículo 225 de la Constitución de la República, que son titulares de la competencia vinculada a la provisión de infraestructura pública o prestación de los Servicios Públicos cuya facultad de gestión va a ser delegada al sector privado o a la economía popular y solidaria, y que intervienen en el Contrato APP en representación del Estado, excepto las empresas públicas, que en ningún caso podrán actuar como Entidades Delegantes, sin perjuicio de ejercer sus facultades asociativas conforme la legislación aplicable;
(…)
21. Gestión delegada: Se refiere a una forma de colaboración contractual entre el sector público y privado para lograr objetivos de interés público, que combina los recursos y habilidades de ambos sectores para llevar a cabo proyectos para la prestación de Servicios Públicos o gestión de sectores estratégicos, de conformidad con la Ley aplicable.”
El artículo 223 ibidem expone:
“Art. 223.- De las Asociaciones Público -Privadas.- En los términos de la Ley APP, la Asociación Público-Privada («APP»), es una modalidad contractual de gestión delegada de largo plazo entre una Entidad Delegante y un Gestor Privado, en la que se incorpora la experiencia, conocimientos, equipos, tecnologías y capacidades técnicas y financieras del sector privado, con el fin de diseñar, financiar, construir, mejorar, operar y mantener un activo público nuevo o existente, y/o proveer el mantenimiento, administración, suministro, gestión o prestación de un Servicio Público. El Contrato podrá incluir todas o algunas de las actividades señaladas anteriormente. En una APP se distribuyen riesgos entre las partes y se asignan riesgos significativos al Gestor Privado, conforme al Perfil de riesgos del proyecto. La contraprestación del Gestor Privado está ligada al desempeño, cumplimiento de los Niveles de Servicio y /o disponibilidad del activo bajo los estándares de calidad y eficiencia establecidos en el Contrato.”
El artículo 323 ibidem dispone:
Art. 323.- Sistema de cumplimiento de Contratos APP.- La Entidad Delegante deberá implementar un sistema de supervisión de Contratos APP, y aprobar el correspondiente manual de supervisión en su sector, con anterioridad al inicio de la vigencia de los Contratos APP. Asimismo, deberá implementar dentro de su estructura interna, un equipo técnico responsable de la administración y gerencia del Contrato APP, que ejerza las atribuciones y funciones establecidas en el Pliego de Bases y el Contrato APP, así como gestionar y coordinar el cumplimiento de las obligaciones contractuales a cargo de la Entidad Delegante conforme al Contrato APP.
El equipo administrador del contrato de la Entidad Delegante deberá estar en la capacidad de hacer el seguimiento a la correcta ejecución y cumplimiento de las obligaciones asumidas por las partes, emitir los respectivos informes periódicos de seguimiento y desempeño, así como aplicar las penalidades contractuales y sanciones administrativas en caso de incumplimiento del Gestor Privado, sin perjuicio de las funciones de las entidades que tengan competencia para regular el Servicio Público objeto del contrato.
La Entidad Delegante es la responsable de establecer las metodologías que permitan verificar con objetividad el cumplimiento de los indicadores de gestión, Niveles de Servicio y estándares de desempeño por parte del Gestor Privado, de conformidad con el Pliego de Bases y el Contrato APP. Además, la Entidad Delegante deberá implementar la metodología para el seguimiento periódico de Riesgos Ambientales y Medición de Huella de Carbono, de conformidad con las disposiciones emitidas por la Autoridad Ambiental Nacional. En ejercicio de sus atribuciones, la Entidad Delegante podrá designar supervisores e inspectores que podrán ingresar al área de desarrollo del proyecto y requerir información al Gestor Privado sobre la ejecución del Proyecto APP. Impedir o interferir en las labores a cargo de los inspectores o supervisores acarrea la imposición de sanciones al Gestor Privado.”
El artículo 6 del Reglamento Delegación de Gestión, Autorización a Empresas Públicas (“RDGAEP”) establece:
“Art. 6.- Modalidades de Delegación.- Son formas jurídicas aplicables a la delegación para las Administraciones Públicas, las siguientes modalidades: Concesión a Sujetos de Derecho Privado, Empresas Mixtas o Empresas de Propiedad Estatal de países que formen parte de la comunidad internacional; y, Asociación Público-Privada.
a) Modalidad de Concesión.- Es una modalidad de delegación, por la que el MTOP, tiene por objeto transferir temporalmente la facultad de proveer y gestionar de manera integral un servicio público o proyecto público a Sujetos de Derecho Privado, Empresas Mixtas o Empresas de Propiedad Estatal de países que forman parte de la comunidad internacional, bajo un esquema de exclusividad regulada a través de planificación, diseño, gestión técnico operacional, financiamiento, construcción, ampliación, rehabilitación, mejoramiento o conservación de infraestructura, facilidades y equipamientos preexistentes, a cambio de una retribución para el sujeto de derecho privado, empresa mixta o empresa de propiedad estatal de los países que forman parte de la comunidad internacional como forma de recuperación de la inversión realizada y el riesgo asumido, sin ser susceptible de acceder a incentivos tributarios.
b) Modalidad de Asociación Público-Privada.- Se define por asociación público-privada la modalidad de gestión delegada por la que el MTOP encomienda de forma temporal al gestor privado, la ejecución de un proyecto público específico y su financiamiento total o parcial, para la provisión de bienes, obras o servicios a cambio de una contraprestación por su inversión, riesgo y trabajo, de conformidad con los términos, condiciones, límites y más estipulaciones previstas en el contrato de gestión delegada, y es susceptible de acceder a incentivos tributarios. Dicha modalidad se encuentra establecida en la Ley Orgánica de Incentivos para Asociaciones Público Privadas y la Inversión Extranjera, su Reglamento y todas las guías generales, notas técnicas, políticas y lineamientos expedidos por el Comité Interinstitucional de Asociaciones Público Privadas.
Para la sustanciación de procesos de delegación bajo la modalidad de Asociación Público Privada «APP», se aplicará lo establecido en el Decreto Ejecutivo Nro. 1190, de 17 de noviembre de 2020, publicado en el Registro Oficial Registro Oficial Nro. 333, de 19 de noviembre de 2020, Reglamento para Asociaciones Público Privadas.
El artículo 7 ibidem establece:
“Art. 7.- Autorización de Servicios Públicos.- Se define por Autorización la que el Estado Central a través del Ministerio de Transporte y Obras Públicas y sus Entidades Adscritas, dentro del ámbito de su competencia, pueden otorgar a las empresas públicas ecuatorianas para que realicen la prestación de los servicios públicos.”
El artículo 9 de la Resolución N° SPDP-SPD-2025-0028-R manifiesta:
“Art. 9.- Cuando el responsable o el encargado del tratamiento perteneciere al sector público, en los términos del artículo 225 de la CRE, estará obligado a designar un delegado de protección de datos de conformidad con los requisitos establecidos en la normativa vigente.
La SPDP, mediante resolución administrativa debidamente motivada, podrá determinar, calificar y autorizar cuáles son los casos en los que los organismos, entidades y dependencias del sector público podrán aplicar un régimen distinto para la designación del delegado y la forma de ejercer de sus funciones; ello de conformidad con la estructura administrativa establecida en la Constitución de la República del Ecuador o por atribuciones conferidas por una norma con rango de ley, con objetivo de garantizar el cumplimiento de la LOPDP, el RGLOPDP y demás normativa vigente en la materia.
En ningún caso se podrá sacrificar la garantía a los derechos y la protección de los datos personales de los titulares por la falta de designación del delegado de protección de datos personales”
En el numeral 14 del artículo 10 de la ibidem manifiesta:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro:
(…)
10.14. Las personas jurídicas de derecho público o privado que fueren concesionarias de servicios públicos, así como las alianzas público-privadas que distribuyeren, comercializaren y/o suministraren servicios públicos.” (énfasis agregado).
La consulta requiere determinar el alcance del numeral 14 del artículo 10 de la Resolución Nº SPDP-SPD-2025-0028-R, esto es, si la obligación de designar un Delegado de Protección de Datos (“DPD”) se limita a concesionarias de servicios públicos y a Alianzas Público-Privadas, o si debe extenderse a otras personas jurídicas privadas que presten servicios públicos bajo esquemas distintos, tales como autorizaciones o delegaciones instrumentadas mediante actos administrativos.
Por su parte, el artículo 313 CRE dispone que el Estado se reserva la administración, regulación y control de los sectores estratégicos y servicios públicos; y el artículo 316 CRE permite que su gestión sea delegada a empresas mixtas y, excepcionalmente, a la iniciativa privada, en los casos previstos por la ley. De ello se desprende que la titularidad del servicio público permanece en el Estado, aun cuando su gestión pueda ser transferida temporalmente a sujetos privados mediante distintos mecanismos jurídicos.
En desarrollo de esta habilitación, el ordenamiento distingue figuras como la concesión y la asociación público-privada (“APP”), que constituyen modalidades contractuales de gestión delegada, conforme al artículo 6 del RDGAEP y a los artículos 221 y 223 del RELEEG. Estas modalidades comparten un elemento estructural: la existencia de un contrato administrativo que formaliza la transferencia temporal de la gestión del servicio al gestor privado.
Ahora bien, en materia de protección de datos personales, la obligación de designar un DPD no se activa por el mero hecho de prestar un servicio público, sino únicamente en los casos previstos en la LOPDP y en la Resolución Nº SPDP-SPD-2025-0028-R. El artículo 48 LOPDP establece los supuestos generales en los que debe designarse DPD, entre ellos, cuando el tratamiento sea realizado por quienes conforman el sector público; cuando las actividades del responsable o encargado requieran un control permanente y sistematizado por su volumen, naturaleza o alcance; o cuando se trate de tratamiento a gran escala de categorías especiales de datos de acuerdo con lo establecido en el numeral 7 del artículo 4 del RGLOPDP y la Resolución N° SPDP-SPD-2026-0005-R.
En este mismo sentido, el artículo 9 de la Resolución Nº SPDP-SPD-2025-0028-R impone la obligación de contar con un DPD cuando el responsable o encargado pertenezca al sector público en los términos del artículo 225 CRE. Y, el numeral 14 del artículo 10 de esta misma resolución, establece una obligación específica para concesionarias de servicios públicos y alianzas público-privadas que distribuyan, comercialicen o suministren servicios públicos.
De la lectura sistemática de estas disposiciones se desprende que la Resolución Nº SPDP-SPD-2025-0028-R adopta una enumeración taxativa respecto de los supuestos adicionales en los que se exige la designación de DPD. En consecuencia, no toda forma de participación privada en la prestación de servicios públicos queda comprendida automáticamente en el numeral 14 del artículo 10. Una persona jurídica privada que preste servicios públicos bajo esquemas distintos de concesión o APP no se encuentra incluida, por ese solo hecho, en los supuestos expresamente previstos en el artículo 9 ni en el numeral 14 del artículo 10 de la Resolución Nº SPDP-SPD-2025-0028-R, y con ello no podrá comprenderse la obligación de designación de delegado de manera automática. No obstante, ello no excluye que dicha persona jurídica pueda estar obligada a designar DPD si concurriere alguna de las demás causales previstas en el marco legal en materia de protección de datos personales, previamente señaladas.
En consecuencia, la determinación no debe centrarse en la sola condición de prestador de un servicio público, sino en verificar si el caso concreto encaja en alguno de los supuestos legales y reglamentarios expresamente establecidos en la normativa de protección de datos personales para la designación del DPD.