Preguntas
“¿En los casos en que el tratamiento de datos personales se sustente en una base legitimadora distinta al consentimiento -como lo establece el artículo 7 de la Ley Orgánica de Protección de Datos Personales-, resulta legalmente viable efectuar dicho tratamiento sin requerir la aceptación expresa de la política de protección de datos personales por parte del titular, siempre que se cumpla con el deber de informar previsto en el artículo 10 y 12 de la misma norma?”
Análisis
Superintendencia de Protección de Datos Personales
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
Adicionalmente, el numeral 19 del artículo 66 Constitución de la República del Ecuador («CRE») reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
Art. 66.-
Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)» (énfasis agregado).
Asimismo, el artículo 92 de la CRE prevé lo siguiente:
Art. 92.-
Toda persona, por sus propios derechos o como representante legitimado para el efecto, tendrá derecho a conocer de la existencia y a acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, en soporte material o electrónico. Asimismo tendrá derecho a conocer el uso que se haga de ellos, su finalidad, el origen y destino de información personal y el tiempo de vigencia del archivo o banco de datos.
Las personas responsables de los bancos o archivos de datos personales podrán difundir la información archivada con autorización de su titular o de la ley.
La persona titular de los datos podrá solicitar al responsable el acceso sin costo al archivo, así como la actualización de los datos, su rectificación, eliminación o anulación. En el caso de datos sensibles, cuyo archivo deberá estar autorizado por la ley o por la persona titular, se exigirá la adopción de las medidas de seguridad necesarias. Si no se atendiera su solicitud, ésta podrá acudir a la jueza o juez. La persona afectada podrá demandar por los perjuicios ocasionados.» (énfasis agregado).
En concordancia con los artículos previamente citados, el artículo 4 de la Ley Orgánica de Protección de Datos Personales («LOPDP») define lo siguiente:
Consentimiento: Manifestación de la voluntad libre, específica, informada e inequívoca, por el que el titular de los datos personales autoriza al responsable del tratamiento de los datos personales a tratar los mismos.
Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales. (énfasis agregado).
El artículo 7 de la LOPDP establece que:
Art. 7.- Tratamiento legítimo de datos personas.-
El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones:
1) Por consentimiento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas;
2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal;
3) Que sea realizado por el responsable del tratamiento, por orden judicial, debiendo observarse los principios de la presente Ley;
4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad;
5) Para la ejecución de medidas precontractuales a petición del titular o para el cumplimiento de obligaciones contractuales perseguidas por el responsable del tratamiento de datos personales, encargado del tratamiento de datos personales o por un tercero legalmente habilitado;
6) Para proteger intereses vitales del interesado o de otra persona natural, como su vida, salud o integridad;
7) Para tratamiento de datos personales que consten en bases de datos de acceso público; u,
8) Para satisfacer un interés legítimo del responsable de tratamiento o de tercero, siempre que no prevalezca el interés o derechos fundamentales de los titulares al amparo de lo dispuesto en esta norma.
(énfasis agregado).
En concordancia con la normativa previamente referida, se aclara que todo tratamiento de datos personales para que sea considerado legítimo debe ampararse en una de las bases de legitimación contempladas en el artículo 7 de la LOPDP, las cuales son taxativas. Es así que ninguna de las bases de legitimación tiene superioridad o prevalencia sobre otra. De conformidad con lo establecido en la LOPDP, todas las bases de legitimación tienen el mismo rango y valor jurídico y deben ser aplicadas según correspondan en cada caso concreto y para cada finalidad específica. Por ello, la aplicación de cualesquiera de las bases de legitimación previstas en el ordenamiento jurídico vigente no excluye en ningún sentido el cumplimiento de obligaciones ni principios que establece la normativa de protección de datos personales para ninguno de los integrantes del sistema de protección de datos personales.
En este sentido, todos los responsables y encargados del tratamiento tienen la obligación legal de contar con una política de protección de datos personales que refleje de manera precisa las actividades de tratamiento que llevan a cabo. Esta política constituye un instrumento esencial de cumplimiento normativo, en tanto se configura como el documento base que debe contener, al menos, la información prevista en el artículo 12 de la LOPDP. Su importancia radica en que permite informar de manera clara y transparente al titular de los datos personales, a la Superintendencia de Protección de Datos Personales y, en general, a todos los actores del sistema de protección de datos personales, acerca de las operaciones de tratamiento realizadas por el responsable o encargado, según corresponda, así como los lineamientos jurídicos y organizacionales que rigen dicho tratamiento.
No obstante lo anterior, de conformidad con lo dispuesto en el numeral 4 del artículo 47 de la LOPDP, la obligación prevista en la normativa vigente exige que la política de protección de datos personales esté implementada, disponible y acorde con los tratamientos efectuados, mas no que sea aceptada formalmente por los titulares. Sin embargo, en virtud del principio de transparencia y del derecho a la información, la política debe ser comunicada oportunamente a los titulares, de forma previa o simultánea a la recolección de los datos personales o, en caso de no haber una recolección de datos personales, en el momento previo a que se realice el tratamiento de datos personales. En este sentido, es fundamental el cumplimiento de la política de protección de datos personales acorde a los principios previamente citados. Es así que la política debe estar en un lenguaje claro, accesible y comprensible para el titular de datos personales de quien se vaya a tener acceso a su información, esto quiere decir que, si el titular de datos personales de quien se van a tratar los datos personales es un menor de edad, la política deberá estar escrita en un lenguaje y forma que sea entendible para el menor de edad. Esta exigencia tiene como propósito garantizar que los titulares estén debidamente informados sobre las condiciones bajo las cuales se procesará su información personal, sin que esto implique que su consentimiento expreso deba vincularse a la aceptación de la política en sí misma.
Sin perjuicio de lo anterior, esta Superintendencia tiene conocimiento que diversos regulados optan por solicitar la aceptación explícita de la política de protección de datos como una medida de trazabilidad y evidencia de cumplimiento de la obligación del deber de información que tienen los responsables y encargados del tratamiento frente a los titulares de datos personales. Esta práctica, aunque no es jurídicamente obligatoria, no contraviene la normativa siempre que no se condicione el acceso al servicio o producto a dicha aceptación, ni se confunda dicha aceptación con el consentimiento requerido para el tratamiento de los datos personales. Su finalidad operativa radica en acreditar ante los titulares y ante esta autoridad que la política fue debidamente informada y puesta a disposición, lo cual se alinea con la necesidad de demostrabilidad del cumplimiento contemplada en el principio de responsabilidad proactiva. Por tanto, esta práctica puede ser considerada válida en tanto se mantenga dentro del marco del respeto a los derechos de los titulares y no sustituya las manifestaciones de voluntad requeridas para su validez en los casos en que el tratamiento sí demande el consentimiento cumpliendo las condiciones previstas en la normativa vigente.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio SN el 18 de junio de 2025, y debidamente subsanada el 22 de julio de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente: “¿En los casos en que el tratamiento de datos personales se sustente en una base legitimadora distinta al consentimiento -como lo establece el artículo 7 de la Ley Orgánica de Protección de Datos Personales-, resulta legalmente viable efectuar dicho tratamiento sin requerir la aceptación expresa de la política de protección de datos personales por parte del titular, siempre que se cumpla con el deber de informar previsto en el artículo 10 y 12 de la misma norma?”
Para que cualquier tratamiento de datos personales sea considerado legítimo, debe necesariamente sustentarse en una de las bases de legitimación establecidas en el artículo 7 de la LOPDP. Independientemente de la base de legitimación que se aplique, los principios y obligaciones previstos en la LOPDP deben ser cumplidos en su integridad. Entre estos deberes se encuentra la obligación de implementar una política de protección de datos personales y asegurar que esta se mantenga disponible en todo momento.
No obstante lo anterior, dicha política no requiere del consentimiento expreso por parte del titular; sin embargo, su contenido debe ser informado de manera clara, suficiente y oportuna. Esta obligación de información debe ser además comprobable, tanto ante el propio titular de los datos personales como ante esta Superintendencia de Protección de Datos Personales.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.