Consulta
“¿La obligación de designar un Delegado de Protección de Datos prevista en el artículo 10 numeral 14 del Reglamento del Delegado de Protección de Datos Personales aplica a empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada?”
Análisis
2. ANÁLISIS
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 314 ibidem establece:
“Art. 314.- El Estado será responsable de la provisión de los servicios públicos de agua potable y de riego, saneamiento, energía eléctrica, telecomunicaciones, vialidad, infraestructuras portuarias y aeroportuarias, y los demás que determine la ley. El Estado garantizará que los servicios públicos y su provisión respondan a los principios de obligatoriedad, generalidad, uniformidad, eficiencia, responsabilidad, universalidad, accesibilidad, regularidad, continuidad y calidad. El Estado dispondrá que los precios y tarifas de los servicios públicos sean equitativos, y establecerá su control y regulación” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos. (…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado).
El artículo 47 de la LOPDP establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
3) Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas;
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular;
5) Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas;
6) Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales;
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas;
8) Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto;
9) Implementar la protección de datos personales desde el diseño y por defecto;
10) Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales;
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional;
12) Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;
14) Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales; y,
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.” (énfasis agregado).
El artículo 48 ibidem establece:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
El artículo 49 ibidem dispone:
“Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación;
4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y,
5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales.
En caso de incumplimiento de sus funciones, el delegado de protección de datos personales responderá administrativa, civil y penalmente, de conformidad con la ley.”
El artículo 48 del RGLOPDP indica lo siguiente:
“Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
El artículo 7 del Código de Comercio (“CoC”) determina:
“Art. 7.- Se entiende por actividades mercantiles a todos los actos u operaciones que implican necesariamente el desarrollo continuado o habitual de una actividad de producción, intercambio de bienes o prestación de servicios en un determinado mercado, ejecutados con sentido económico, aludidos en este Código; así como los actos en los que intervienen empresarios o comerciantes, cuando el propósito con el que intervenga por lo menos uno de los sujetos mencionados sea el de generar un beneficio económico.”
Adicionalmente el artículo 8 ibidem manifiesta:
“ Art. 8.- Son actos de comercio para todos los efectos legales: (…)
f) El transporte de bienes y personas; (…)
m) El depósito de mercaderías; y, en general, la tenencia de bienes a título oneroso;
n) Las actividades de interrelación derivadas de los contratos existentes entre los prestadores de servicios de transporte y sus usuarios;
o) El contrato de operación logística; (…)”
También el artículo 14 ibidem indica:
“El Estado será responsable de la provisión de los servicios públicos de agua potable y de riego, saneamiento, energía eléctrica, telecomunicaciones, vialidad, infraestructuras portuarias y aeroportuarias, y los demás que determine la ley. El Estado garantizará que los servicios públicos y su provisión respondan a los principios de obligatoriedad, generalidad, uniformidad, eficiencia, responsabilidad, universalidad, accesibilidad, regularidad, continuidad y calidad. El Estado dispondrá que los precios y tarifas de los servicios públicos sean equitativos, y establecerá su control y regulación”
El artículo 2 del Código Orgánico de la Producción, Comercio e Inversiones (“COPCI”) determina:
“Art. 2.- Actividad Productiva.- Se considerará actividad productiva al proceso mediante el cual la actividad humana transforma insumos en bienes y servicios lícitos, socialmente necesarios y ambientalmente sustentables, incluyendo actividades comerciales y otras que generen valor agregado.”
El artículo 4 ibidem señala:
“Art. 4.- Fines.- La presente legislación tiene, como principales, los siguientes fines: (…)
g. Incentivar y regular todas las formas de inversión privada en actividades productivas y de servicios, socialmente deseables y ambientalmente aceptables;”
El artículo 5 ibidem explica:
“Art. 5.- Rol del Estado.- El Estado fomentará el desarrollo productivo y la transformación de la matriz productiva, mediante la determinación de políticas y la definición e implementación de instrumentos e incentivos, que permitan dejar atrás el patrón de especialización dependiente de productos primarios de bajo valor agregado.
Para la transformación de la matriz productiva, el Estado incentivará la inversión productiva, a través del fomento de: (…)
h. Un desarrollo logístico y de infraestructura que potencie la transformación productiva, para lo que el Estado generará las condiciones para promover la eficiencia del transporte marítimo, aéreo y terrestre, bajo un enfoque integral y una operación de carácter multimodal;”
El artículo 109 del Código Aeronáutico vigente dispone:
“Art. 109.- Para explotar cualquier servicio aéreo se requiere de una concesión o permiso de operación, otorgado mediante acuerdo o resolución, según el caso, del Consejo Nacional de Aviación Civil o de la Dirección General de Aviación Civil, de conformidad con el presente Código, las leyes y reglamentos pertinentes.”(énfasis agregado).
El artículo 9 de la Resolución N° SPDP-SPD-2025-0028-R determina:
“Art. 9.- Cuando el responsable o el encargado del tratamiento perteneciere al sector público, en los términos del artículo 225 de la CRE, estará obligado a designar un delegado de protección de datos de conformidad con los requisitos establecidos en la normativa vigente.
La SPDP, mediante resolución administrativa debidamente motivada, podrá determinar, calificar y autorizar cuáles son los casos en los que los organismos, entidades y dependencias del sector público podrán aplicar un régimen distinto para la designación del delegado y la forma de ejercer de sus funciones; ello de conformidad con la estructura administrativa establecida en la Constitución de la República del Ecuador o por atribuciones conferidas por una norma con rango de ley, con objetivo de garantizar el cumplimiento de la LOPDP, el RGLOPDP y demás normativa vigente en la materia.
En ningún caso se podrá sacrificar la garantía a los derechos y la protección de los datos personales de los titulares por la falta de designación del delegado de protección de datos personales”.
En el numeral 14 del artículo 10 de la ibidem manifiesta:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)
10.14. Las personas jurídicas de derecho público o privado que fueren concesionarias de servicios públicos, así como las alianzas público-privadas que distribuyeren, comercializaren y/o suministraren servicios públicos.” (énfasis agregado).
La consulta presentada requiere determinar si la obligación de designar un DPD, prevista en el numeral 14 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R resulta aplicable a empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, cuando dicha prestación no se realiza bajo esquemas de concesión o alianza público-privada.
Con relación a la consulta planteado, corresponde señalar que el CoC reconoce como actos de comercio, entre otros, al transporte de bienes y personas, el depósito de mercaderías, las relaciones derivadas de contratos entre prestadores de transporte y usuarios, así como los contratos de operación logística. En este sentido, las actividades relacionadas con transporte, almacenamiento y distribución de mercancías constituyen actividades mercantiles y logísticas que pueden desarrollarse mediante relaciones contractuales de naturaleza comercial.
De igual forma, el COPCI reconoce dentro de su ámbito a las actividades productivas y de servicios vinculadas a la distribución y logística, promoviendo además la eficiencia del transporte marítimo, aéreo y terrestre bajo un enfoque integral y multimodal. En este contexto, las actividades relacionadas con buques de carga y aeronaves de cabotaje nacional forman parte de actividades económicas reguladas y sujetas a control estatal.
Por su parte, el Código Aeronáutico establece que la utilización y circulación de aeronaves civiles se encuentra sometida a las condiciones y autorizaciones emitidas por la autoridad competente, así como a regímenes de habilitación y supervisión técnica. En consecuencia, las actividades vinculadas al cabotaje nacional y transporte aéreo de mercancías constituyen actividades reguladas por el Estado, sin que ello implique necesariamente la existencia de esquemas de concesión o asociación público-privada.
Ahora bien, para el respectivo análisis de si se configura o encasilla dentro del numeral 14 del artículo 10 el supuesto objeto de análisis de este documento se permite remitir la información y el criterio desarrollado en la consulta absuelta en el oficio N° SPDP-IRD-2026-0127-O el cual dice lo siguiente:
“La consulta requiere determinar el alcance del numeral 14 del artículo 10 de la Resolución Nº SPDP-SPD-2025-0028-R, esto es, si la obligación de designar un Delegado de Protección de Datos (“DPD”) se limita a concesionarias de servicios públicos y a Alianzas Público-Privadas, o si debe extenderse a otras personas jurídicas privadas que presten servicios públicos bajo esquemas distintos, tales como autorizaciones o delegaciones instrumentadas mediante actos administrativos.
Por su parte, el artículo 313 CRE dispone que el Estado se reserva la administración, regulación y control de los sectores estratégicos y servicios públicos; y el artículo 316 CRE permite que su gestión sea delegada a empresas mixtas y, excepcionalmente, a la iniciativa privada, en los casos previstos por la ley. De ello se desprende que la titularidad del servicio público permanece en el Estado, aun cuando su gestión pueda ser transferida temporalmente a sujetos privados mediante distintos mecanismos jurídicos.
En desarrollo de esta habilitación, el ordenamiento distingue figuras como la concesión y la asociación público-privada (“APP”), que constituyen modalidades contractuales de gestión delegada, conforme al artículo 6 del RDGAEP y a los artículos 221 y 223 del RELEEG. Estas modalidades comparten un elemento estructural: la existencia de un contrato administrativo que formaliza la transferencia temporal de la gestión del servicio al gestor privado.
Ahora bien, en materia de protección de datos personales, la obligación de designar un DPD no se activa por el mero hecho de prestar un servicio público, sino únicamente en los casos previstos en la LOPDP y en la Resolución Nº SPDP-SPD-2025-0028-R. El artículo 48 LOPDP establece los supuestos generales en los que debe designarse DPD, entre ellos, cuando el tratamiento sea realizado por quienes conforman el sector público; cuando las actividades del responsable o encargado requieran un control permanente y sistematizado por su volumen, naturaleza o alcance; o cuando se trate de tratamiento a gran escala de categorías especiales de datos de acuerdo con lo establecido en el numeral 7 del artículo 4 del RGLOPDP y la Resolución N° SPDP-SPD-2026-0005-R.
En este mismo sentido, el artículo 9 de la Resolución Nº SPDP-SPD-2025-0028-R impone la obligación de contar con un DPD cuando el responsable o encargado pertenezca al sector público en los términos del artículo 225 CRE. Y, el numeral 14 del artículo 10 de esta misma resolución, establece una obligación específica para concesionarias de servicios públicos y alianzas público-privadas que distribuyan, comercialicen o suministren servicios públicos.
De la lectura sistemática de estas disposiciones se desprende que la Resolución Nº SPDP-SPD-2025-0028-R adopta una enumeración taxativa respecto de los supuestos adicionales en los que se exige la designación de DPD. En consecuencia, no toda forma de participación privada en la prestación de servicios públicos queda comprendida automáticamente en el numeral 14 del artículo 10. Una persona jurídica privada que preste servicios públicos bajo esquemas distintos de concesión o APP no se encuentra incluida, por ese solo hecho, en los supuestos expresamente previstos en el artículo 9 ni en el numeral 14 del artículo 10 de la Resolución Nº SPDP-SPD-2025-0028-R, y con ello no podrá comprenderse la obligación de designación de delegado de manera automática. No obstante, ello no excluye que dicha persona jurídica pueda estar obligada a designar DPD si concurriere alguna de las demás causales previstas en el marco legal en materia de protección de datos personales, previamente señaladas.
En consecuencia, la determinación no debe centrarse en la sola condición de prestador de un servicio público, sino en verificar si el caso concreto encaja en alguno de los supuestos legales y reglamentarios expresamente establecidos en la normativa de protección de datos personales para la designación del DPD.”
A partir de ello, cabe resaltar que, si bien los servicios resaltados en la consulta realizada pueden ser objeto de una concesión o alianzas público/privadas, éstas no son las únicas formas por las cuales se pueden brindar los servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional. Con ello, y en comprensión de la obligación de designación de DPD que establece el numeral 14 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R, ésta establece de manera categórica que dicha obligación será para personas jurídicas de derecho público o privado que fueren concesionarias de servicios públicos, así como para alianzas público-privadas que distribuyeren, comercializaren y/o suministraren servicios públicos.
De la lectura sistemática de estas disposiciones se desprende que el numeral 14 del artículo 10 contempla supuestos específicos de aplicación directa relacionados con concesionarias y alianzas público-privadas, los cuales corresponden a modalidades jurídicas concretas de gestión delegada previstas expresamente en la normativa sectorial.
En consecuencia, las empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada, no se encuentran comprendidas automáticamente dentro del supuesto previsto en el numeral 14 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R. Con ello, es de suma importancia que se realice el análisis correspondiente de si se configura la obligación de designar DPD por otros de los supuestos establecidos en el marco jurídico ecuatoriano en materia de protección de datos personales.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N de 8 de enero de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
1. “¿La obligación de designar un Delegado de Protección de Datos prevista en el artículo 10 numeral 14 del Reglamento del Delegado de Protección de Datos Personales aplica a empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada?”
En atención a los términos de la consulta planteada, se determina que la obligación prevista en el numeral 14 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R resulta aplicable de manera expresa a las personas jurídicas de derecho público o privado que fueren concesionarias de servicios públicos, así como a las alianzas público-privadas que distribuyeren, comercializaren y/o suministraren servicios públicos. En consecuencia, las empresas privadas que presten servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada, no se encuentran comprendidas automáticamente dentro del supuesto previsto en la referida disposición únicamente por mantener relaciones contractuales con entidades públicas. Sin perjuicio de lo anterior, corresponde precisar que la obligación de designar y registrar un Delegado de Protección de Datos Personales deberá analizarse conforme a los demás supuestos y criterios previstos en la normativa vigente en materia de protección de datos personales, cuya verificación y aplicación corresponde exclusivamente a cada responsable o encargado del tratamiento.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.