Preguntas
“Sobre la base de lo señalado, Veris solicita a la SPDP que aclare la forma de interpretación y aplicación de los artículos 34 y 35 de la LOPDP, en junto con el alcance jurídico del artículo 43 del RLOPDP.”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 4 de la LOPDP establece:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El artículo 5 de la LOPDP dispone lo siguiente:
“Art. 5.- Integrantes del sistema de protección de datos personales.- Son parte del sistema de protección de datos personales, los siguientes:
1) Titular;
2) Responsable del tratamiento;
3) Encargado del tratamiento;
4) Destinatario;
5) Autoridad de Protección de Datos Personales; y,
6) Delegado de protección de datos personales.”
El artículo 7 de la LOPDP indica lo siguiente:
“Art. 7.- Tratamiento legítimo de datos personas (sic).- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones:
1) Por consentimiento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas;
2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal;
3) Que sea realizado por el responsable del tratamiento, por orden judicial, debiendo observarse los principios de la presente Ley;
4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad;
5) Para la ejecución de medidas precontractuales a petición del titular o para el cumplimiento de obligaciones contractuales perseguidas por el responsable del tratamiento de datos personales, encargado del tratamiento de datos personales o por un tercero legalmente habilitado;
6) Para proteger intereses vitales del interesado o de otra persona natural, como su vida, salud o integridad;
7) Para tratamiento de datos personales que consten en bases de datos de acceso público; u,
8) Para satisfacer un interés legítimo del responsable de tratamiento o de tercero, siempre que no prevalezca el interés o derechos fundamentales de los titulares al amparo de lo dispuesto en esta norma.”
El artículo 34 y 35 de la LOPDP mencionan:
“Art. 34.- Acceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento.
El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales.
El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.
Art. 35.- Acceso a datos personales por parte de terceros.- No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.
El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales.
El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.” (énfasis agregado).
El artículo 4 del Reglamento General de la Ley Orgánica de Protección de Datos Personales (RLOPDP) establece las siguientes definiciones:
“(…) 6. Tercero: Persona natural o jurídica, autoridad pública, servicio u organismo distinto del titular, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable. (…)”
El artículo 43 del RLOPDP establece lo siguiente:
“Art. 43.- Responsabilidad del encargado.- El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento. En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas. Si el encargado considera que una instrucción es ilegal, informará al responsable del tratamiento, sin demora injustificada, para que se corrija la instrucción, de ser pertinente.”
Con base en la normativa previamente citada, y para poder esclarecer la aplicación del artículo 34 y 35 de la LOPDP en relación con el artículo 43 del RLOPDP, es necesario determinar los conceptos del responsable del tratamiento, encargado del tratamiento, destinatario y tercero, como punto de partida.
a)Respeto al responsable del tratamiento, el artículo 4 de la LOPDP establece que podrá ser una “persona natural, jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” Cabe analizar la definición para aclararla respecto a su actuar, pudiendo separarla de la siguiente manera:
i)Que solo o conjuntamente: Este elemento introduce la posibilidad de que la decisión sobre el tratamiento de datos personales no sea exclusiva de un solo sujeto, sino que pueda ser ejercida de forma compartida con otros responsables. Esta redacción reconoce la figura de la responsabilidad conjunta, prevista en la normativa ecuatoriana, mediante la cual dos o más entidades determinan conjuntamente los fines y los medios del tratamiento.
ii)Decide sobre la finalidad: Decidir sobre la finalidad implica que el responsable del tratamiento tiene poder de decisión autónomo o compartido para determinar porqué se recogen los datos personales. Éste es el criterio fundamental que distingue al responsable del tratamiento de otras figuras, como el encargado. El responsable define el “para qué” del tratamiento y, por tanto, asume la responsabilidad principal de que dicho propósito sea lícito, explícito, determinado y compatible con el marco normativo.
iii)Decide sobre el tratamiento: hace referencia a cualquier operación o conjunto de operaciones que se realicen sobre datos personales, tales como su recolección, almacenamiento, consulta, modificación, uso, comunicación o eliminación. El decidir sobre el tratamiento, implica que el responsable tiene control sobre los medios técnicos y organizativos a través de los cuales se lleva a cabo ese tratamiento.
b)Respecto al encargado del tratamiento, el mismo artículo 4 de la LOPDP menciona que es “persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales”. Al igual que lo previamente efectuado, se desglosa la definición para mayor claridad:
i)Que solo o conjuntamente: Este primer componente indica que el tratamiento realizado por el encargado puede llevarse a cabo de forma individual o coordinada con otros encargados, sin que ello implique autonomía en la determinación de la finalidad. El hecho de que el encargado pueda operar “conjuntamente” no lo convierte en responsable conjunto, pues su actuación se encuentra subordinada a las instrucciones del responsable.
ii)Trate datos personales a nombre de: Este texto expresa que el encargado no actúa en nombre propio, sino en representación del responsable, cumpliendo funciones operativas que le han sido delegadas, y por las que ha sido contratado.
iii)Trate datos personales por cuenta de: La expresión “por cuenta de” refuerza la naturaleza instrumental del rol del encargado. El encargado realiza operaciones de tratamiento por delegación o encargo expreso, en virtud de una relación contractual o legal con el responsable. Su intervención es de carácter auxiliar y debe ceñirse al marco de control y supervisión que determine el responsable.
Respecto al destinatario el artículo 4 ibídem, se señala que será la “persona natural o jurídica que ha sido comunicada con datos personales”. A continuación, se desglosa la definición para aclarar su alcance:
i)Persona natural o jurídica: Este componente indica que el destinatario puede ser cualquier sujeto individual o colectivo, a diferencia del responsable o encargado, el destinatario no está definido por su rol funcional en el tratamiento, sino por el hecho de haber recibido datos personales como parte de una transferencia o comunicación de datos personales.
ii)Ha sido comunicada: Este factor delimita el alcance del término a quienes han recibido datos personales como parte de una acción de transferencia o comunicación por parte de un responsable o encargado del tratamiento. Es decir, el destinatario no decide sobre la finalidad ni sobre los medios del tratamiento (como el responsable), ni ejecuta operaciones a nombre del responsable (como el encargado); su rol es receptivo, y se configura únicamente por el hecho de recibir datos personales.
d)Respecto al tercero el artículo 4 del RLOPDP menciona que es “[p]ersona natural o jurídica, autoridad pública, servicio u organismo distinto del titular, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable.”. Se analiza el texto de la siguiente manera:
i)Distinto al titular, responsable del tratamiento, encargado del tratamiento y personales autorizadas para tratar los datos bajo la autoridad del responsable: El tercero es definido como cualquier persona natural o jurídica, autoridad pública, servicio u organismo que no sea el titular, el responsable del tratamiento, el encargado del tratamiento ni el personal autorizado bajo la autoridad del responsable. Esta definición, construida por exclusión, delimita claramente a los sujetos externos al círculo de tratamiento legítimo de los datos personales. Es así que, si bien todo destinatario es un tercero, no todo tercero es destinatario, ya que éste último requiere de un acto concreto de comunicación de datos.
Una vez definidos y determinados los alcances reales de los conceptos antes señalado, esta Autoridad estima necesario que los mismos sean interpretados de forma sistémica y en concordancia con el marco normativo vigente en materia de protección de datos personales. Tal interpretación resulta esencial para una aplicación coherente de las disposiciones legales y reglamentarias que rigen esta materia. En este sentido, es imprescindible considerar el ciclo de vida del dato personal como un eje estructural del tratamiento. El ciclo debe observarse de manera integral en todo tratamiento de datos personales, con independencia de su naturaleza o del sector en el que se lleve a cabo, dado que constituye la base sobre la cual se articulan las obligaciones y responsabilidades de los distintos sujetos intervinientes. La correcta comprensión de las etapas que conforman dicho ciclo permite delimitar con precisión el rol que cada actor –sea responsable, encargado, tercero u otro sujeto vinculado al tratamiento– desempeña dentro del sistema de protección de datos personales, así como sus facultades, límites y obligaciones a lo largo de todo el proceso.
Con el propósito de ofrecer mayor claridad al Consultante respecto a esta estructura funcional, se presenta a continuación una representación gráfica de las etapas que integran el ciclo de vida del dato personal, a fin de facilitar su comprensión y aplicación conforme a los principios y deberes previstos en la normativa vigente:
Como se puede observar en el gráfico anterior, el ciclo de vida del dato personal comprende las distintas fases por las que atraviesa desde el momento en que es recolectado hasta su eliminación o anonimización. Cada una de estas fases debe estar sujeta al cumplimiento de los principios rectores del tratamiento y a la implementación de medidas de seguridad, transparencia y licitud, que aseguren el respeto de los derechos de los titulares y la legitimidad del tratamiento. El proceso inicia con la captación o recolección del dato personal, momento en el cual el responsable del tratamiento debe contar con una de las bases legitimadoras que se establecen en el artículo 7 de la LOPDP. Asimismo, debe informar de manera clara al titular sobre las finalidades del tratamiento y garantizar que la información sea obtenida de forma lícita, leal y transparente.
La segunda etapa se da una vez recolectados los datos, éstos pasan al registro y almacenamiento, sea en formato físico o digital, fase en la que se debe asegurar la integridad, confidencialidad y disponibilidad de la información mediante la adopción de medidas técnicas, físicas, legales, administrativas y organizativas apropiadas. El almacenamiento debe ajustarse a los principios de minimización, proporcionalidad y limitación temporal, evitando la conservación excesiva e innecesaria de datos, solamente conservándolos para la finalidad que motivó su recolección. En la tercera etapa, los datos personales ingresan en la fase de uso o tratamiento activo, que abarca cualquier operación que se realice sobre ellos, incluyendo su análisis, modificación, procesamiento, entre otras. En esta etapa, el tratamiento debe responder exclusivamente a la finalidad declarada y contar con controles efectivos que permitan garantizar la trazabilidad. Es en esta etapa donde el responsable del tratamiento puede realizar un encargo de tratamiento de datos personales.
La cuarta etapa, que no se da ni es obligatoria para todos los tratamientos, es la de transferencia o comunicación a terceros. Dicha transferencia deberá contar con las bases legitimadoras correspondientes y, contar con garantías suficientes que aseguren un nivel adecuado de protección de la información tanto en almacenamiento del responsable del tratamiento como en tránsito. Toda comunicación de datos debe documentarse y estar debidamente respaldada por contratos u otros instrumentos que regulen el acceso y uso de la información por parte del tercero que recibe la información.
Superada la fase activa del tratamiento, se pasa a la quinta etapa que es la de conservación. Los datos deben ser conservados únicamente durante el tiempo estrictamente necesario para el cumplimiento de la finalidad que justificó su recolección. Concluido dicho plazo, corresponde al responsable proceder a su eliminación o a su anonimización irreversible, salvo que exista una obligación legal o contractual de conservación posterior. La conservación debe regirse por el principio de proporcionalidad, evitando la retención indefinida de datos que no responden a una finalidad actual, y aplicando técnicas como la seudonimización cuando corresponda. Finalmente, la sexta etapa corresponde a la eliminación del dato personal, que implica su destrucción definitiva o, alternativamente, su anonimización irreversible, de modo que no pueda ser reidentificado por ningún medio razonablemente disponible. Esta etapa puede ser activada por el cumplimiento de los plazos legales de conservación, por el ejercicio del derecho de eliminación del titular, o por el cese de la finalidad del tratamiento. En todos los casos, el procedimiento de eliminación debe garantizar que la información no pueda ser recuperada ni expuesta posteriormente.
Se enfatiza que el enfoque por ciclo de vida del dato personal permite adoptar una visión integral del tratamiento, identificar riesgos en cada etapa y aplicar medidas de seguridad diferenciadas de protección que respondan al nivel de sensibilidad de los datos y a la naturaleza de la operación que se realiza. En dicho sentido es fundamental que durante todo el ciclo de vida del dato se debe mantener una supervisión constante, debido a que el tratamiento de datos personales es dinámico por lo que la mera implementación no implica un cumplimiento total, sino que se debe mantener una auditoría y actualización constante para poder monitorear el flujo de los datos personales.
Ahora bien, habiendo analizado las diferentes figuras y como éstas se ubican en el ciclo de vida del dato, es menester analizar de manera desglosada los artículos 34 y 35 de la LOPDP, previamente citados. Iniciamos con el artículo 34, del cual se obtienen los siguientes elementos:
a)No se considera transferencia ni comunicación: “No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales”.
b)Prestación de servicio al responsable: “para la prestación de un servicio al responsable del tratamiento de datos personales”.
c)Acceso legítimo: “El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento.”.
d)Contrato de encargo: “tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato (…) en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.”.
e)Eliminación y devolución: “Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales.”.
f)Responsabilidad: “El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento (…)”.
En este sentido a continuación se procede a realizar el mismo ejercicio con el artículo 35:
a)No se considera transferencia ni comunicación: “No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero”.
b)Prestación de servicio al responsable: “sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales”.
c)Acceso legítimo: “El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.”.
d)Contrato de encargo: “El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento (…) conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.”.
e)Eliminación y devolución: “Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales.”.
f)Responsabilidad: “El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.”.
Es así como, se evidencian varias similitudes entre ambos artículos, de las cuales se destaca que si bien, el primer artículo está dirigido al encargado directamente; y, el segundo, a la figura del tercero, ambos terminan regulando en ambos casos un encargo de tratamiento que es dado por “la prestación de un servicio” al responsable del tratamiento, elemento clave el cual convierte a la relación de las partes en un encargo de tratamiento. De esta manera, se deriva la obligación de eliminación y devolución de los datos personales al responsable del tratamiento una vez finalizada la prestación del servicio, entendiéndose que la supervisión por parte de la autoridad como la posibilidad de desplegar el aparataje institucional en caso de incumplimiento. Consecuentemente se establece la responsabilidad en caso de incumplimiento de las condiciones contractuales establecidas. En este sentido la diferencia de los artículos radica en el momento inicial respecto a quien está dirigido y, del análisis previo se evidencian los siguientes elementos diferenciadores:
Con base en lo previamente señalado, el artículo 35 de la LOPDP debe ser interpretado como una cláusula de reconducción jurídica, en tanto constituye un mecanismo normativo que permite determinar cuándo un tercero que accede a datos personales, en el contexto de la prestación de un servicio al responsable del tratamiento, deja de ser tercero y se convierte en un encargado del tratamiento. Mediante este mecanismo, se busca evitar vacíos de responsabilidad o zonas grises en el tratamiento de datos por parte de sujetos que, si bien formalmente pueden ser considerados terceros, en la práctica brindan un servicio al responsable de tratamiento, convirtiendo el mero acceso a datos personales de dicho responsable del tratamiento, en un encargo de tratamiento. En efecto, el artículo 35 establece un criterio técnico que reconduce la situación jurídica del tercero hacia la figura del encargado cuando concurren determinados elementos: (i) el acceso a los datos personales se produce en virtud de una prestación de servicios a favor del responsable; y, (ii) dicho acceso es necesario para la ejecución del servicio.
Ahora bien, cabe analizar el artículo 43 del RLOPDP el cual establece:
“Responsabilidad del encargado.- El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento. En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas. Si el encargado considera que una instrucción es ilegal, informará al responsable del tratamiento, sin demora injustificada, para que se corrija la instrucción, de ser pertinente.”
En este sentido se destacan los siguientes elementos claves:
a)“Responsabilidad del encargado”: el primer requisito para que se pueda aplicar este artículo es que debe tener la calidad de encargado. Tanto en los artículos 34 y 35, se constituye un encargo de tratamiento; y, por lo tanto, el artículo 43 del RLOPDP es aplicable.
b)“El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento”: de acuerdo con este elemento, en el caso que el encargado por cualquier causa – la cual en TODO momento debe ser legítima – decida sobre los fines y medios de un nuevo tratamiento, se considerará responsable para dichas finalidades. Sin embargo, en este punto cabe recalcar que, al ostentar la calidad de responsable de tratamiento para dichas finalidades, éste deberá necesariamente contar con una de las bases legitimadoras establecidas en el artículo 7 para que se considere legítimo y legal dicho tratamiento.
c)“En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas.”: este elemento debe entenderse en armonía con las definiciones dadas por la normativa y el artículo 34, 35 de la LOPDP, en este sentido se entiende que todos los artículos están en armonía debido a que el tratar los datos personales en nombre y cuenta de implica que debe haber una relación contractual entre las partes. Por ende, el que el artículo 34 y 35 mencionen que se configura un encargo al prestar un servicio al responsable del tratamiento por parte del encargado comprende que en la acción de prestar el servicio lo hace a nombre y por cuenta del responsable del tratamiento, debido a que este último le contrata para que le dé un servicio específico sobre la base de datos propia que tiene en posición y usa para sus propias finalidades. De igual manera, se entiende que, si el responsable de tratamiento no contrata al encargado del tratamiento, este último no podría acceder a dicha base de datos por lo que depende del responsable del tratamiento para poder acceder a la misma y poder cumplir con las finalidades para las cuales se le contrata. En este punto se cita la consulta absuelta en el Oficio N° SPDP-IRD-2025-0090-O donde se menciona que “se convierta en un encargado del tratamiento debido a que pasa a realizar un tratamiento de datos personales que fue solicitado – contratado- por parte del responsable del tratamiento, y tiene acceso a datos personales a los cuales, en ciertos casos, por sí solo no hubiera podido obtener.”
Con base en el análisis previamente realizado se establece que tanto las definiciones establecidas por la normativa como los artículos 34 y 35 de la LOPDP y el 43 del RLOPDP, no se contradicen y se entienden de manera armónica, donde se señala que el artículo 34, como lo mencionó una de las personas jurídicas a quien se solicitó criterio jurídico es, “la columna vertebral de la regulación para definir a un encargado del tratamiento”. Mientras que el artículo 35 es el artículo que busca evitar vacíos de responsabilidad en casos donde terceros, que acceden a datos personales en el marco de un servicio al responsable, configurando en la práctica una relación de encargo. En este sentido, se establece que los artículos se relacionan y, como mencionaba una de las personas jurídicas a quien se le solicitó opinión jurídica, el artículo 43 del RLOPDP complementa la relación jurídica entre el responsable y el encargado del tratamiento.
Sin embargo, se aclara que una misma persona natural o jurídica, pública o privada, autoridad pública u otro organismo puede ostentar la figura de responsable del tratamiento frente a unas finalidades específicas y de encargado del tratamiento frente a otras finalidades específicas. Es así que, en ocasiones puede ostentar la calidad de encargado del tratamiento para datos personales que ha tenido acceso por prestar un servicio a un responsable del tratamiento, pero se considerará responsable del tratamiento de esos mismos datos personales para otra finalidad legítima a la cual destine los mismos. Por ejemplo, en el caso de que, por una obligación legal, deba conservar dicha información, caso en el cual inicia su propio ciclo de vida del dato. Empero, en dicha relación en ningún momento se pierde la calidad de encargado del tratamiento frente al responsable del tratamiento inicial quien lo contrató para que preste un servicio específico determinado, teniendo que cumplir con todas las disposiciones normativas de protección de datos personales. Es así que, se deberá devolver los datos personales que le hayan sido proporcionados relativos a las finalidades del encargo, pero los datos personales legitimados para sus finalidades propias que ya constan en su propio ciclo de vida del dato pueden ser conservados hasta cumplir con la finalidad de ese ciclo de vida específico.
Adicionalmente, esta Autoridad recalca y enfatiza los siguientes puntos: primero, que la “prestación de un servicio” comprende la acción de realizar dicho servicio a nombre y cuenta del responsable del tratamiento. Segundo, que el encargado del tratamiento que es contratado por el responsable del tratamiento, la mayoría de las veces –si no es en todas- se dedica a un giro de negocio distinto, por esto mismo es contratado; sin embargo, el hecho de que este preste sus servicios que evidentemente son propios, no se puede interpretar como sus propias finalidades. Por lo tanto, el encargado que sea contratado para dar un servicio no puede absorber la base de datos del responsable del tratamiento para intereses propios como, por ejemplo, alimentar su propia base de datos para generar prospección. Tercero, en caso de que, por “cualquier causa” el encargado determine los fines y medios del tratamiento, este último deberá ser legítimo, esto es que debe cumplir con una base legitimadora y demás obligaciones establecidas en la normativa de protección de datos personales para el responsable del tratamiento.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio SN el 14 de mayo de 2025, y debidamente subsanada el 04 de junio de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“Sobre la base de lo señalado, Veris solicita a la SPDP que aclare la forma de interpretación y aplicación de los artículos 34 y 35 de la LOPDP, en junto con el alcance jurídico del artículo 43 del RLOPDP.”
Con base en el análisis previamente expuesto, se propone la siguiente interpretación armónica de los artículos 34 y 35 de la LOPDP: el artículo 34 resulta aplicable a los encargados del tratamiento debidamente identificados y formalizados, esto es, aquellos que, por disposición del responsable, tratan datos personales bajo una relación contractual claramente definida.
Por su parte, el artículo 35 debe aplicarse a los casos en los que una persona natural o jurídica, pública o privada, autoridad pública u otro organismo inicie su relación como tercero, pero cuya participación consista, en esencia, en la prestación de un servicio al responsable del tratamiento que implique el tratamiento de datos personales a los que se accede y tiene conocimiento por dicha prestación. En tales circunstancias, el tercero se convierte en un encargado del tratamiento, por lo que estará sujeto a las obligaciones y responsabilidades que la normativa impone a dicha figura.
Esta interpretación debe aplicarse en conjunto con lo previsto en el artículo 43 del RLOPDP, el cual permite clarificar el alcance de la relación entre el responsable y el encargado. En particular, se establece que, cuando un encargado del tratamiento destine los datos personales a finalidades propias —distintas de aquellas que motivaron su encargo—, deberá contar con una base de legitimación válida, y será considerado responsable del tratamiento respecto de dichas finalidades específicas, sin que ello implique la pérdida de su calidad de encargado respecto de las finalidades originales para las cuales fue contratado.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad del Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales..