Preguntas
“Se solicita a la Autoridad que determine el modo en que una empresa extranjera que trata datos personales de nacionales ecuatorianos, pero sin estar sujeta a un modelo de encargo ni de corresponsabilidad, debe cumplir con la exigencia prevista en el artículo 6, inciso primero, de la Resolución N.° SPDPSPDP-2024-0002-R relativa al registro de apoderados y presentación de un acuerdo de corresponsabilidad o encargo de tratamiento.”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales, (“SPDP”) en el siguiente sentido: Adicionalmente, el numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado). El artículo 3 de la LOPDP expone lo siguiente:
“Ámbito de aplicación territorial.- Sin perjuicio de la normativa establecida en los instrumentos internacionales ratificados por el Estado ecuatoriano que versen sobre esta materia, se aplicará la presente Ley cuando:
1. El tratamiento de datos personales se realice en cualquier parte del territorio nacional; 2. El responsable o encargado del tratamiento de datos personales se encuentre domiciliado en cualquier parte del territorio nacional; 3. Se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, cuando las actividades del tratamiento estén relacionadas con: 1) La oferta de bienes o servicios a dichos titulares, independientemente de si a estos se les requiere su pago, o, 2) del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador; y, 4. Al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional público.” (énfasis agregado).
En concordancia con lo dispuesto, el artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
Adicionalmente en el artículo 10 de la LOPDP, se señala:
“Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de: (…) c) Transparencia.- El tratamiento de datos personales deberá ser transparente, por lo que toda información o comunicación relativa a este tratamiento deberá ser fácilmente accesible y fácil de entender y se deberá utilizar un lenguaje sencillo y claro. Las relaciones derivadas del tratamiento de datos personales deben ser transparentes y se rigen en función de las disposiciones contenidas en la presente Ley, su reglamento y demás normativa atinente a la materia. (…)
k) Responsabilidad proactiva y demostrada.- El responsable del tratamiento de datos personales deberá acreditar el haber implementado mecanismos para la protección de datos personales; es decir, el cumplimiento de los principios, derechos y obligaciones establecidos en la presente Ley, para lo cual, además delo establecido en la normativa aplicable, podrá valerse de estándares, mejores prácticas, esquemas de auto y corregulación, códigos de protección, sistemas de certificación, sellos de protección de datos personales o cualquier otro mecanismo que se determine adecuado a los fines, la naturaleza del dato personal o el riesgo del tratamiento. (…)” (énfasis agregado).
Además, en el artículo 34 de la LOPDP, se estipula:
“Acceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones será considerado encargado del tratamiento. El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas. Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales. El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.” (énfasis agregado).
Adicionalmente, el artículo 35 de la LOPDP, se estipula:
“Art. 35.- Acceso a datos personales por parte de terceros.- No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.
El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales.
El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.”
A tenor de lo mencionado, de igual manera el artículo 37 de la LOPDP indica:
“Art. 37.- Seguridad de datos personales.- El responsable o encargado del tratamiento de datos personales según sea el caso, deberá sujetarse al principio de seguridad de datos personales, para lo cual deberá tomar en cuenta las categorías y volumen de datos personales, el estado de la técnica, mejores prácticas de seguridad integral y los costos de aplicación de acuerdo con la naturaleza, alcance, contexto y los fines del tratamiento, así como identificar la probabilidad de riesgos. Entre otras medidas, se podrán incluir las siguientes: (…) 4) Los responsables y encargados del tratamiento de datos personales podrán acogerse a estándares internacionales para una adecuada gestión de riesgos enfocada a la protección de derechos y libertades, así como para la implementación y manejo de sistemas de seguridad de la información o a códigos de conducta reconocidos y autorizados por la Autoridad de Protección de Datos Personales.” (énfasis agregado).
Con base en el artículo 47 de la LOPDP, se evidencia que:
“Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia; (…)
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular; (…)
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas; (…)
9) Implementar la protección de datos personales desde el diseño y por defecto; (…)
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional; (…)
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.” (énfasis agregado).
Complementando lo expuesto anteriormente, el artículo 2 del RLOPDP expone:
“Art. 2.- Ámbito.- Este Reglamento se aplica a todas las personas naturales y jurídicas, nacionales y extranjeras, del sector público y privado, que realicen tratamiento de datos personales, en el contexto de que sus actividades como responsable o encargado de tratamiento de datos personales, tenga lugar en el territorio ecuatoriano o no.
El presente Reglamento también se aplica al tratamiento de datos personales por parte de personas naturales y jurídicas, que actúen como responsables y encargados del tratamiento de datos personales de titulares no residentes en Ecuador, cuando sus actividades de tratamiento sean realizadas en territorio nacional.
El presente Reglamento aplicará para los responsables y encargados del tratamiento de datos personales no establecidos en territorio ecuatoriano a quienes les resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional público. Estos deberán designar a un apoderado especial de acuerdo con el artículo 3 de este Reglamento”.(énfasis agregado).
Además, el artículo 3 del RLOPDP indica:
Art. 3.- De la obligación de contar con poder de los responsables y/o encargados del tratamiento de datos de residentes ecuatorianos fuera del territorio nacional.- Los responsables y encargados del tratamiento de datos personales no establecidos en el Ecuador deberán designar a un apoderado especial, de conformidad con las siguientes reglas:
1. Cuando el responsable y/o encargado del tratamiento de datos personales no tenga domicilio en territorio nacional, conforme el Artículo 3, numeral 3 de la Ley- Orgánica de Protección de Datos Personales, deberán designar un apoderado especial en el Ecuador con residencia en el país, que cuente con facultades suficientes para comparecer a nombre de su representado ante instancias administrativas y judiciales en la materia.
2. De forma excepcional, no será necesaria la designación de dicho apoderado o representante, cuando el tratamiento de datos personales sea ocasional y no incluya el manejo a gran escala de datos personales de categoría especial establecidos en el artículo 25 de la Ley y que sea improbable que entrañe un riesgo para los derechos y libertades de las personas naturales, teniendo en cuenta la naturaleza, contexto, alcance y objetivos del tratamiento.
La Autoridad de Protección de Datos Personales emitirá una guía técnica respecto de la aplicabilidad de los criterios anteriores.” (énfasis agregado).
También tomando en cuenta lo extraído del numeral quinto del artículo 4 del RLOPDP se establece:
“(…) Representante: Persona natural o jurídica establecida en el territorio ecuatoriano que, habiendo sido designada por escrito por el responsable o el encargado del tratamiento con arreglo al artículo 3, represente al responsable o al encargado en lo que respecta a sus respectivas obligaciones en virtud de la Ley Orgánica de Protección de Datos Personales y al presente Reglamento.(…)” (énfasis agregado).
Conforme el artículo 37 del RLOPDP, se estipula: “Art. 37.- Responsables conjuntos.- Si dos o más responsables del tratamiento determinan conjuntamente los mismos fines y los medios del tratamiento de los datos personales, se considerarán responsables conjuntos, quienes definirán sus respectivas tareas y responsabilidades en materia de protección de datos de forma transparente a través de un contrato, en la medida en que estas no estén ya definidas en disposiciones legales, buscando precautelar los intereses y derechos de los titulares. Dicho acuerdo no impedirá que el titular o interesado ejerza sus derechos contra cualquiera de los responsables conjuntos del tratamiento y que estos sean responsables solidarios ante la autoridad de control y los titulares.
Además, cada responsable conjunto deberá cumplir las obligaciones que determina la Ley, en función de las responsabilidades asumidas en el acuerdo, cuya evidencia deberá estar a disposición de la autoridad de control, cuando así lo solicite. En este sentido, cada responsable conjunto es sujeto del régimen sancionador, en forma diferenciada sobre la base de las responsabilidades adquiridas.
Los acuerdos de protección de datos entre responsables conjuntos deben ser compartidos con los titulares interesados cuando así sea requerido por éstos, sobre la base del principio de transparencia.” (énfasis agregado).
Dentro del artículo 41 de la RLOPDP, se señala: Art. 41.- De la relación entre responsable y encargado.- La relación entre el responsable del tratamiento y un encargado debe regirse por un contrato escrito, en el cual se detallen las instrucciones encomendadas respecto del tratamiento de datos personales y, al menos, los siguientes aspectos:
1.El objeto;
2. La duración;
3. La naturaleza;
4. La finalidad del tratamiento de los datos;
5. La categoría de los datos personales;
6. Identificar a los titulares de los datos personales tratados; y,
7. Las obligaciones y responsabilidades del encargado.
El encargado del tratamiento deberá respetar las instrucciones que, para el efecto, determine el responsable en cuanto al tratamiento de los datos personales. Para ello, deberá establecer las medidas técnicas y organizativas adecuadas, previo a brindar el servicio, que deberán ser equiparables a aquellas a las que está obligado el responsable en función de los datos y los tipos de tratamiento aplicables, de tal forma que se garantice la protección de datos de los titulares.” (énfasis agregado).
De igual manera se encuentra en el artículo 42 de la RLOPDP: “Obligación del responsable.- El responsable del tratamiento de datos personales será el directo obligado de garantizar el correcto ejercicio de los derechos reconocidos en la Ley a los titulares, sin embargo, el encargado deberá asistir al responsable y realizar todas las acciones necesarias, y bajo su responsabilidad, para que el responsable pueda cumplir con esta obligación.”.
El artículo 43 de la RLOPDP, manifiesta:
“Responsabilidad del encargado.- El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento. En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas. Si el encargado considera que una instrucción es ilegal, informará al responsable del tratamiento, sin demora injustificada, para que se corrija la instrucción, de ser pertinente.”.
En concordancia con lo expuesto, el artículo 45 de la RLOPDP, se señala:
“Contratación.- El encargado del tratamiento podrá contratar a un tercero para complementar la prestación de un servicio al responsable del tratamiento de datos personales, siempre que esto se haga constar expresamente en el contrato celebrado entre el responsable y el encargado del tratamiento. Caso contrario, requerirá la autorización escrita del responsable del tratamiento para la subcontratación. En este caso, el tercero contratado asumirá las obligaciones del encargado de tratamiento establecidas en la ley y en el presente Reglamento, debiendo cumplir con las instrucciones de tratamiento de datos establecidas entre el responsable y encargado del tratamiento, en aquello que fuere pertinente en función de los servicios que han sido contratados.”.
Tomando en consideración el artículo 1 de la Resolución SPDP-SPD-2024-0002-R se precisa: “Ámbito de aplicación.- Las disposiciones establecidas en esta guía técnica deberán ser cumplidas de manera obligatoria por todos los responsables extranjeros, sean conjuntos o no, y por los encargados extranjeros (“los sujetos regulados”) que, sin estar domiciliados en el territorio de la República del Ecuador (“el territorio” o “el Ecuador”):
1.1. Oferten bienes y/o servicios a titulares de datos personales que residan en el territorio;
1.2. Formen parte del sistema de protección de datos personales del Ecuador, independientemente de que, si respecto de los bienes o servicios que ofertan, se requiera o no un pago; o,
1.3. Realicen control de comportamiento, en la medida en que dicho control tuviere lugar en el territorio, ya fuere de forma física, virtual o remota.” (énfasis agregado).
De igual manera, el artículo 2 de la Resolución No. SPDP-SPD-2025-0002-R comprende lo siguiente: “Designación de apoderado especial.- Los sujetos regulados deberán tener en el territorio, de manera permanente, un apoderado especial con amplias y suficientes facultades para comparecer, a nombre de sus representados, ante instancias administrativas y judiciales en materia de protección de datos personales; y, de manera señalada aunque no exclusiva, para atender y tramitar o, en su caso, para colaborar en el cumplimiento de la obligación de atender y tramitar las peticiones o quejas que presenten los titulares en ejercicio de los derechos que la LOPDP les confiere. Las facultades del apoderado especial no podrán estar sujetas a limitaciones o condiciones de ninguna clase que pudieren servir para menoscabar, entorpecer, dilatar, conculcar o que, de cualquier otra manera, se presten para tornar ineficaces los derechos de los titulares (…)”. (énfasis agregado).
En el artículo 3 de la Resolución No. SPDP-SPD-2025-0002-R enuncia:
“Requisitos para ser apoderado especial.- La designación del apoderado especial podrá recaer en una persona natural o en una persona jurídica que tenga la calidad de sociedad mercantil activa, establecida o domiciliada en el Ecuador.
Si fuere una persona natural, será ecuatoriana domiciliada en el Ecuador; más si fuere extranjera, deberá tener en el territorio la calidad de residente. En uno y otro caso, la persona designada deberá hallarse en goce de sus derechos políticos.
Si fuere una persona jurídica, su objeto social deberá permitirle obrar como mandataria. La SPDP podrá requerirle información a la Superintendencia de Compañías, Valores y Seguros para verificar el cumplimiento de este requisito, así como el hecho de que la sociedad se encuentre al día en el cumplimiento de sus obligaciones y que el nombramiento de su respectivo representante legal se halle vigente.” (énfasis agregado)
Adicional el artículo 6 de la Resolución No. SPDP-SPD-2024-0002-R determina: “Obligaciones de los sujetos regulados.- Todos los responsables, conjuntos o no, que decidan sobre la finalidad de determinados tratamientos en el extranjero y todo encargado que realice actividades de tratamiento bajo las directrices y las instrucciones de un responsable, deberán presentarle a la Superintendencia:
6.1. El acuerdo de corresponsabilidad para el tratamiento adecuado de datos personales o el acuerdo de encargo, según corresponda;
6.2. El registro de actividades de tratamiento (“RAT”) por cada una de las actividades de tratamiento que realicen, de conformidad con artículo 39 RGLOPDP;
6.3. El análisis de riesgos por cada actividad de tratamiento de tratamiento de datos personales que realicen;
6.4. El flujo de datos personales que realicen por cada tratamiento;
6.5. El detalle de las medidas de seguridad que han implementado para la comunicación y transferencia seguras de datos personales, esto sin perjuicio de las atribuciones que, en este ámbito, le competen a la SPDP; y,
6.6. Sus códigos de autorregulación, en caso de tenerlos, los que, en todo caso, estarán sujetos a la aprobación de la Superintendencia.” (énfasis agregado).
En concordancia con la normativa previamente referida, se aclara que el alcance extraterritorial, garantiza que los derechos de los titulares ecuatorianos se mantengan protegidos aun cuando las operaciones de tratamiento se realicen fuera del territorio nacional. El artículo 2 de la RLOPDP en concordancia con el artículo 3 de la LOPDP, disponen los lineamientos de aplicación para los responsables o encargados del tratamiento de datos no establecidos en el Ecuador cuando las actividades de tratamiento se realicen a titulares de datos personales que residan en el país, ya sea por la oferta de bienes o servicios, los cuales puedan requerir un pago o no, o por el control de su comportamiento dentro del territorio.
En este sentido, el artículo 3 del RLOPDP impone a los responsables o encargados del tratamiento no domiciliados en el Ecuador la obligación de designar un apoderado especial en el país, con facultades suficientes para comparecer ante la SPDP y poder representarlos en todos los actos relativos al cumplimiento de la normativa. Esta figura jurídica asegura la presencia de un representante que viabilice la supervisión efectiva del cumplimiento normativo ante la SPDP. En este sentido, el artículo 6 de la Resolución No. SPDP-SPDP-2024-0002-R, objeto de la presente consulta, establece las obligaciones que deben observar los sujetos regulados, dentro de las cuales, el numeral 6.1 dispone lo siguiente: “6.1. El acuerdo de corresponsabilidad para el tratamiento adecuado de datos personales o el acuerdo de encargo, según corresponda.” (énfasis agregado).
De esta disposición se desprende la exigencia presentar a la SPDP el instrumento jurídico que formalice la relación entre responsables del tratamiento o entre responsable y encargado del tratamiento. En consecuencia, resulta necesario analizar el espíritu de la Autoridad al emitir dicha resolución, la cual se entiende que fue emitida para cumplir con la facultad reguladora respecto a esclarecer y establecer un procedimiento claro que haga viable la aplicación del artículo 3 del RLOPDP y, adicionalmente poder establecer en dicho procedimiento la verificación de cumplimiento de las distintas obligaciones dispuestas en la normativa para los responsables y encargados del tratamiento que traten datos personales, las cuales están encaminadas a garantizar una debida protección de los datos personales y tutelar el derechos de los titulares de datos.
Es así como el numeral 6.1 de la Resolución No. SPDP-SPDP-2024-0002-R recoge una de las obligaciones necesarias para los responsables y encargados del tratamiento plasmada en los artículos 34 y 35 de la LOPDP. Donde se impone al responsable la obligación de regular su relación con el encargado mediante un contrato de encargo que determine las condiciones del tratamiento, las medidas de seguridad aplicables y las obligaciones de confidencialidad. Esta obligación se amplía en el artículo 41 del RLOPDP, el cual reafirma la necesidad de un contrato cuando exista una relación entre responsable y encargado. Asimismo, cuando dos o más responsables del tratamiento determinan de manera conjunta los fines y medios de un tratamiento, se configura la figura de corresponsabilidad, la cual de conformidad con el artículo 37 del RLOPDP, también debe formalizarse mediante un contrato. En ambos supuestos, la existencia de una relación contractual constituye una obligación legal que garantiza la trazabilidad de las operaciones de tratamiento, el cumplimiento normativo de los intervinientes y la efectiva protección de los datos personales de los titulares, así como el ejercicio de los derechos que la ley les reconoce a estos últimos.
En este sentido, la finalidad del 6.1 de la Resolución No. SPDP-SPDP-2024-0002-R es permitir que la SPDP, en su calidad de autoridad competente, tenga conocimiento del tratamiento de datos personales efectuado por los responsables, corresponsables o encargados del tratamiento, a fin de supervisar el cumplimiento de la normativa aplicable y verificar que se cumpla con todas las medidas de seguridad necesarias en los tratamientos de datos personales que incurren en este ámbito de aplicación extraterritorial. Ello resulta especialmente relevante dado que, los tratamientos de datos personales realizados de manera extraterritorial, por su naturaleza y finalidades, pueden implicar mayores riesgos y exposición a vulnerabilidades que comprometan la protección efectiva de los datos personales, especialmente porque por su naturaleza resulta de mayor complejidad su vigilancia y control por parte de la SPDP, dando paso a incumplimientos de la normativa y, por ende a que se incumplan con los estándares adecuados de protección de datos personales respecto a la información de los titular y su ejercicio de derechos.
De esta manera, la inclusión de la expresión “según corresponda” en el numeral 6.1 del artículo 6 de la mencionada Resolución reviste una importancia esencial para poder comprender el mencionado numeral, ya que introduce una condición a la obligación en este contenida. Es así que la obligación contenida en dicha disposición no tiene carácter absoluto, sino que su exigencia se encuentra supeditada a la existencia de una relación jurídica ya sea de responsables conjuntos o de encargo entre los sujetos intervinientes en el tratamiento. En consecuencia, la presentación a la SPDP de un acuerdo de corresponsabilidad o de encargo será obligatoria únicamente cuando se configure efectivamente la existencia de una de las dos relaciones jurídicas previamente mencionadas.
En este sentido, cuando un responsable del tratamiento actúa de manera autónoma, sin otro responsable con el cual pueda configurarse una relación de responsables conjuntos o, el responsable del tratamiento no haya encargado actividades, la obligación de presentar el acuerdo previsto en el artículo 6.1 no resulta aplicable, al no existir una relación contractual que justifique la suscripción de dichos instrumentos.
No obstante, ello no implica exoneración del cumplimiento de la Resolución No. SPDP-SPDP-2024- 0002-R, pues el responsable deberá observar íntegramente las demás obligaciones previstas en el artículo 6 y en la normativa aplicable en materia de protección de datos personales. No obstante, en aplicación del principio de responsabilidad proactiva y demostrada, el responsable del tratamiento extranjero podrá presentar documentación adicional que respalde sus actividades de tratamiento de datos personales donde se demuestre que no hay responsable conjunto ni encargado del tratamiento, además de la prevista en el artículo 6 de la Resolución. Entre estos documentos pueden incluirse políticas de privacidad, términos y condiciones u otros instrumentos que, al ser remitidos, constituyen una buena práctica orientada a reforzar la transparencia y a permitir que la SPDP verifique el cumplimiento de las obligaciones establecidas en la normativa vigente, así como la actuación autónoma del responsable que no haya efectuado encargos ni comparta fines con otro responsable del tratamiento.
Cabe precisar que la exoneración del numeral 1 del artículo 6 de la Resolución No. SPDPSPDP-2024-0002-R tiene un carácter excepcional y solo procede cuando no exista una relación jurídica que dé origen a un acuerdo de corresponsabilidad o de encargo. En caso de comprobarse la existencia de cualquiera de estas relaciones, la obligación de presentar el respectivo acuerdo será plenamente exigible, conforme a lo dispuesto en los artículos 34 y 35 de la LOPDP, 37 y 41 de su RLOPDP, y 6.1 de la Resolución No. SPDP-SPDP2024-0002-R
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio s/n el 25 de agosto de 2025, y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“Se solicita a la Autoridad que determine el modo en que una empresa extranjera que trata datos personales de nacionales ecuatorianos, pero sin estar sujeta a un modelo de encargo ni de corresponsabilidad, debe cumplir con la exigencia prevista en el artículo 6, inciso primero, de la Resolución N.° SPDPSPDP-2024-0002-R relativa al registro de apoderados y presentación de un acuerdo de corresponsabilidad o encargo de tratamiento.”
En atención a lo expuesto, cuando el responsable del tratamiento se encuentre domiciliado fuera del territorio ecuatoriano y actúe de manera autónoma, sin mantener una relación jurídica que lo vincule como responsable conjunto ni que haya encargado un determinado tratamiento de datos personales, no le será aplicable la obligación prevista en el numeral 1 del artículo 6 de la Resolución No. SPDP-SPD-2024-0002-R, dado que no existe una relación jurídica que sustente la suscripción de un acuerdo de corresponsabilidad o de encargo. No obstante, las demás obligaciones establecidas en el artículo 6 de la mencionada Resolución mantienen su carácter imperativo, por lo que el responsable deberá cumplirlas en su totalidad y, como buena práctica, podrá presentar documentación complementaria que acredite la ejecución de un tratamiento autónomo, diligente y seguro, así como la adopción de medidas de seguridad que garanticen la protección de los datos personales tratados.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.