Consulta
“En aplicación del artículo 34 de la LOPDP y del artículo 23 de la Resolución Nº SPDP-SPD-2026-0004-R, ¿la calificación jurídica del encargo de tratamiento como una figura que no constituye transferencia ni comunicación de datos personales opera con independencia de la ubicación territorial del encargado, de manera que un encargado situado fuera del territorio ecuatoriano permanece regido por las disposiciones aplicables al encargo y queda excluido del régimen de transferencias o comunicaciones internacionales de datos personales, tanto del previsto en el Capítulo IX de la LOPDP como del regulado en la propia Resolución Nº SPDP-SPD-2026-0004-R; o si, por el contrario, el solo elemento territorial altera la naturaleza jurídica de la figura y determina la aplicación del referido régimen de transferencias?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP, reformada mediante Resolución N° SPDP-SPD-2026-0023-R, expedida el 19 de mayo del 2026, y publicada en Registro Oficial N° 297 de 03 de junio del 2026. Y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 3 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) establece:
“Art. 3.- Ámbito de aplicación territorial.- Sin perjuicio de lacha normativa establecida en los instrumentos internacionales ratificados por el Estado ecuatoriano que versen sobre esta materia, se aplicará la presente Ley cuando:
1. El tratamiento de datos personales se realice en cualquier parte del territorio nacional;
2. El responsable o encargado del tratamiento de datos personales se encuentre domiciliado en cualquier parte del territorio nacional
3. Se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, cuando las actividades del tratamiento estén relacionadas con: 1) La oferta de bienes o servicios a dichos titulares, independientemente de si a estos se les requiere su pago, o, 2) del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador; y,
4. Al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional público.”
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (…)
Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.” (énfasis agregado).
El artículo 33 de la LOPDP manifiesta:
“Art. 33 .- Transferencia o comunicación de datos personales.- Los datos personales podrán transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en esta Ley, y se cuente, además, con el consentimiento del titular. Se entenderá que el consentimiento es informado cuando para la transferencia o comunicación de datos personales el Responsable del tratamiento haya entregado información suficiente al titular que le permita conocer la finalidad a que se destinarán sus datos y el tipo de actividad del tercero a quien se pretende transferir o comunicar dichos datos.”
El artículo 34 de la LOPDP expone:
“Art. 34 .- Acceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento.
El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales. El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley” (énfasis agregado).
El artículo 47 de la LOPDP establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
3) Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas;
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular;
5) Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas;
6) Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales;
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas;
8) Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto;
9) Implementar la protección de datos personales desde el diseño y por defecto;
10) Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales;
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional;
12) Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;
14) Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales; y,
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.” (énfasis agregado).
El artículo 23 de la Resolución N° SPDP-SPD-2026-0004-R manifiesta: “Art. 23.- De conformidad con la legislación ecuatoriana, el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales. En consecuencia, las CCM entre responsables y encargados, emitidas por la RIPD, no son aplicables en la República del Ecuador.” (énfasis agregado).
El artículo 24 de la
ibidem
establece:
“Art. 24.- Sin perjuicio de lo establecido en el artículo anterior, cuando se usaren las CCM por parte de un responsable en un encargo de tratamiento, dicho uso de lo tendrá como una buena práctica dentro del marco dado por el principio de responsabilidad proactiva, en cuanto coadyuvan a la transparencia, seguridad jurídica y fortalecimiento de las obligaciones contractuales en materia de protección de datos personales.” (énfasis agregado).
La consulta requiere determinar si la institución jurídica del encargo del tratamiento constituye o no una transferencia o comunicación de datos personales si el encargado se se encuentra ubicado fuera del territorio ecuatoriano o si, por el contrario, la sola ubicación territorial del encargado determina la aplicación del régimen de transferencias o comunicaciones internacionales de datos personales previsto en la LOPDP y en la Resolución N° SPDP-SPD-2026-0004-R. Para ello, corresponde examinar la naturaleza jurídica del responsable del tratamiento, del encargado del tratamiento y de la transferencia o comunicación de datos personales.
El artículo 4 de la LOPDP define al responsable del tratamiento de datos personales como la persona natural o jurídica, pública o privada, autoridad pública u otro organismo que, solo o juntamente con otros, decide sobre la finalidad y el tratamiento de datos personales. De esta definición se desprende que el elemento esencial del responsable es su capacidad de decisión respecto de los fines y elementos esenciales del tratamiento. Por su parte, la misma disposición define al encargado del tratamiento de datos personales como la persona natural o jurídica, pública o privada, autoridad pública u otro organismo que, solo o conjuntamente con otros, trate datos personales a nombre y por cuenta de un responsable del tratamiento. En consecuencia, el encargado no actúa para fines propios ni determina de manera autónoma las finalidades del tratamiento, sino que desarrolla operaciones de tratamiento dentro del ámbito de actuación definido por el responsable del tratamiento y conforme a sus instrucciones.
La LOPDP regula esta figura en su artículo 34, el cual establece las condiciones bajo las cuales un tercero puede acceder y tratar datos personales por cuenta del responsable. En particular, dicha disposición determina expresamente que no se considerará transferencia o comunicación de datos personales el supuesto en que el encargado acceda a datos personales para la prestación de un servicio al responsable. La norma no establece distinción alguna en función del lugar donde se encuentre ubicado el encargado, ni condiciona dicha exclusión a que éste se encuentre dentro del territorio nacional. Ahora bien, el propio artículo 4 de la LOPDP define la transferencia o comunicación de datos personales como toda revelación de datos personales realizada a una persona distinta del titular, responsable o encargado. De esta manera, la ley excluye expresamente al encargado del ámbito conceptual de la transferencia o comunicación de datos personales. En consecuencia, el flujo de datos que se produce entre un responsable y su encargado, en tanto responda a una relación de encargo de tratamiento válidamente constituida, no se encuadra en los presupuestos jurídicos establecidos dentro de la definición legal de transferencia o comunicación prevista por la LOPDP.
Por su parte, el Capítulo IX de la LOPDP regula las transferencias o comunicaciones internacionales de datos personales, estableciendo requisitos específicos para aquellos supuestos en que exista una transferencia o comunicación de datos personales hacia el extranjero. Sin embargo, para que dicho régimen resulte aplicable, debe verificarse previamente que la operación analizada constituya jurídicamente una transferencia o comunicación de datos personales. En este sentido, el artículo 23 de la Resolución N° SPDP-SPD-2026-0004-R ratifica expresamente que, de conformidad con la legislación ecuatoriana, el encargo del tratamiento no constituye una transferencia ni comunicación de datos personales. La disposición realiza esta afirmación de forma categórica, inequívoca y sin introducir distinción alguna respecto de la ubicación geográfica del encargado.
La misma resolución refuerza esta diferenciación al disponer que las Cláusulas Contractuales Modelo emitidas por la Red Iberoamericana de Protección de Datos para las relaciones entre responsables y encargados no serán aplicables en la República del Ecuador. Esta exclusión resulta consistente con la naturaleza jurídica que el ordenamiento jurídico ecuatoriano atribuye al encargo del tratamiento, en cuanto no lo considera una transferencia o comunicación de datos personales y, por tanto, no lo somete al régimen jurídico previsto para las transferencias internacionales. De la interpretación sistemática de las disposiciones citadas se desprende que el elemento determinante para diferenciar una transferencia o comunicación de datos personales de un encargo de tratamiento no es la ubicación territorial de quien recibe los datos, sino la naturaleza jurídica de la relación existente entre las partes. Mientras en la transferencia o comunicación los datos son revelados a un sujeto comprendido dentro del ámbito de aplicación de dicha figura jurídica, en el encargo el tratamiento continúa realizándose por cuenta y bajo las instrucciones del responsable del tratamiento, quien conserva la determinación de las finalidades y elementos esenciales del tratamiento.
En consecuencia, la ubicación territorial del encargado no altera la naturaleza jurídica del encargo de tratamiento ni transforma automáticamente dicha relación en una transferencia o comunicación internacional de datos personales. Por ello, cuando concurran los elementos propios del encargo de tratamiento previstos en la LOPDP y su normativa de desarrollo, el acceso a datos personales por parte de un encargado ubicado fuera del territorio ecuatoriano continúa sujeto al régimen jurídico del encargo de tratamiento y no queda comprendido dentro del régimen aplicable a las transferencias o comunicaciones internacionales de datos personales.
Pronunciamiento
En atención a los términos de la consulta realizada mediante oficio de 11 de mayo de 2026 y debidamente subsanada a través de oficio s/n de 26 de mayo de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente: 1. “En aplicación del artículo 34 de la LOPDP y del artículo 23 de la Resolución Nº SPDP-SPD-2026-0004-R, ¿la calificación jurídica del encargo de tratamiento como una figura que no constituye transferencia ni comunicación de datos personales opera con independencia de la ubicación territorial del encargado, de manera que un encargado situado fuera del territorio ecuatoriano permanece regido por las disposiciones aplicables al encargo y queda excluido del régimen de transferencias o comunicaciones internacionales de datos personales, tanto del previsto en el Capítulo IX de la LOPDP como del regulado en la propia Resolución Nº SPDP-SPD-2026-0004-R; o si, por el contrario, el solo elemento territorial altera la naturaleza jurídica de la figura y determina la aplicación del referido régimen de transferencias?”
La calificación jurídica del encargo del tratamiento no constituye una figura de transferencia ni comunicación de datos personales, por lo tanto, opera con independencia de la ubicación territorial del encargado. En consecuencia, cuando una persona trate datos personales a nombre y por cuenta del responsable, en los términos previstos en el artículo 34 de la LOPDP, la circunstancia de que dicho encargado se encuentre ubicado fuera del territorio ecuatoriano no altera la naturaleza jurídica de la relación ni determina, por sí sola, la aplicación del régimen de transferencias o comunicaciones internacionales de datos personales. Por tanto, el acceso a datos personales por parte de un encargado ubicado en el extranjero continúa rigiéndose por las disposiciones aplicables al encargo del tratamiento y no se considera una transferencia o comunicación internacional de datos personales, de conformidad con lo dispuesto en los artículos 4 y 34 de la LOPDP y en el artículo 23 de la Resolución N° SPDP-SPD-2026-0004-R.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.