Preguntas
“¿La obligación prevista en el artículo 10, numeral 10?12, del Reglamento del Delegado de Protección de Datos Personales recae exclusivamente sobre las personas jurídicas de derecho privado que cuenten con un título habilitante otorgado por ARCOTEL para la prestación de servicios de telecomunicaciones, conforme a la normativa sectorial de telecomunicaciones?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N°SPDP-SPD-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta, a nombre y en representación de la SPDP en el siguiente sentido: El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente: “Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)”(énfasis agregado). En concordancia con el artículo previamente citado, el artículo 4 de la LOPDP establece: “Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…) Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos. Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado). El artículo 5 de la LOPDP dispone lo siguiente: “Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…) 13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…) 15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia. El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.”
El artículo 47 de la LOPDP dispone lo siguiente: “Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…) 13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…) 15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia. El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo con la presente Ley y su reglamento.” Asimismo, el artículo 48 de la LOPDP establece lo siguiente: “Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos: 1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República; 2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales; 3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y, 4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia. La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.”(énfasis agregado). En este sentido, el artículo 68 de la LOPDP indica lo siguiente: “Art. 68.- Infracciones graves del Responsable de protección de datos.- Se consideran infracciones graves las siguientes: (…)
12) No designar al delegado de protección de datos personales cuando corresponda; (…)”(énfasis agregado). En esta misma línea, el artículo 48 del RLOPDP dispone: “Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales. Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas. El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado. Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.” El numeral 12 del artículo 10 del RDPDP, dispone lo siguiente: “Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro:: (…) “10.12. Las personas jurídicas de derecho privado que prestaren servicios de telecomunicaciones.” (énfasis agregado). A efectos de determinar el alcance del término “prestaren servicios de telecomunicaciones”, resulta necesario analizar el régimen jurídico sectorial correspondiente. El artículo 24 y 25 de la Ley Orgánica de Telecomunicaciones (LOT) disponen lo siguiente: “Art. 24.- Obligaciones de los prestadores de servicios de telecomunicaciones. Son deberes de los prestadores de servicios de telecomunicaciones, con independencia del título habilitante del cual se derive tal carácter, los siguientes: (…) Art. 25.- Derechos de los prestadores de servicios de telecomunicaciones. Son derechos de los prestadores de servicios de telecomunicaciones, con independencia del título habilitante del cual se derive tal carácter, los siguientes: (…)” (énfasis agregado). El numeral 4 del artículo 3 del Reglamento a la Ley Orgánica de Telecomunicaciones (RLOT) define: “4. Prestador del servicio del régimen general de telecomunicaciones.- Es la persona natural o jurídica que posee el título habilitante para la prestación del servicio de telecomunicaciones o de los servicios de radiodifusión de señal abierta o por suscripción.” (énfasis agregado). Por su parte, el artículo 13 del RGLOT dispone: “Art. 13.- Títulos habilitantes.- Para la prestación de servicios del régimen general de telecomunicaciones, así como, para el uso o explotación del espectro radioeléctrico, se requiere obtener, en forma previa, un título habilitante otorgado por la ARCOTEL, e inscrito en el Registro Público correspondiente. Los títulos habilitantes se clasifican en: 1. Títulos habilitantes para entidades y empresas públicas.- Para instituciones públicas que no tengan por finalidad la prestación de servicios del régimen general de telecomunicaciones, o para las empresas públicas creadas para la prestación de servicios del régimen general de telecomunicaciones, el título habilitante, inclusive para el uso y explotación del espectro radioeléctrico, será la Autorización. 2. Títulos habilitantes por delegación.- Para empresas de economía mixta en las cuales el Estado ecuatoriano tenga la mayoría accionaria; sociedades y asociaciones constituidas y conformadas por éstas, empresas públicas de propiedad estatal de los países que forman parte de la comunidad internacional; y, demás personas naturales y jurídicas pertenecientes al sector privado y los de la economía popular y solidaria. a. Concesión.- Para servicios tales como telefonía fija y servicio móvil avanzado, radiodifusión sonora, radiodifusión de televisión, así como para cualquier uso y explotación del espectro radioeléctrico y los demás que determine la ARCOTEL. b. Permiso.- Para la prestación de servicios de radiodifusión por suscripción. c. Registro de servicios.- Para la prestación de servicios portadores, operadores de cable submarino, segmento espacial, radioaficionados, valor agregado, de radiocomunicación, redes comunitarias, redes privadas, y actividades de uso privado, espectro para uso determinado en bandas libres y los demás que determine la ARCOTEL.” (énfasis agregado). En concordancia con la normativa previamente citada, se establece que la obligación de designar un Delegado de Protección de Datos Personales (DPD) se encuentra determinada por los criterios previstos en la LOPDP, su Reglamento General y, de manera específica, en la Resolución No. SPDP-SPD-2025-0028-R. Esta última establece lineamientos para garantizar que las organizaciones que desarrollan actividades de tratamiento de datos personales masivos o de alto riesgo cuenten con una figura especializada que vele por el cumplimiento normativo, la gestión de riesgos, la cooperación con la autoridad de control y con los titulares de datos personales.
Para poder dar respuesta a la consulta planteada es fundamental establecer que la aplicación de la norma de protección de datos personales se debe realizar en armonía con las normas vigentes que integran el bloque de constitucionalidad que puedan tener relación en un determinado tratamiento de datos personales. En este sentido es necesario analizar la figura del prestador de servicios de telecomunicaciones, el cual es la figura objeto de la consulta y, a la que se hace referencia expresa en el numeral 12 del artículo 10 del RDPDP. El numeral 4 del artículo 3 de la LOT define como “prestador del servicio del régimen general de telecomunicaciones” a toda persona natural o jurídica que POSEA un título habilitante. Por lo tanto, el RGLOT es claro al determinar que se considera prestador únicamente al sujeto que cumpla con la condicionante de poseer (contar) un título habilitante otorgado por el estado ecuatoriano. A partide de ahí, es necesario establecer la definición y la etimología de la palabra poseer, la cual de acuerdo con la Real Academia de la Lengua Española (RAE) la define como la acción de “[t]ener en su poder algo.” Y, según el Diccionario Etimológico de Chile se menciona que, “[e]l verbo poseer (tener algo bajo su poder) viene del latín posidere, compuesto con potis (poderoso) y sedere (sentarse). De poseer derivamos: Posesión – Acción y efecto de poseer. (…)”. En este sentido, se entiende que para que una persona pueda considerarse prestador del servicio de telecomunicaciones en el territorio ecuatoriano, ésta tiene que cumplir con la acción de tener en su poder el título habilitante correspondiente. Adicionalmente, el artículo 13 del RGLOT recalca que, para la prestación de servicios del régimen general de telecomunicaciones, es necesario obtener de forma previa el título habilitante que es otorgado por la autoridad competente que en este caso es la ARCOTEL y, como condición adicional, se establece que este título debe ser inscrito en el Registro Público correspondiente. En este sentido, para que una persona sea considerada prestador debe obligatoriamente cumplir con las condiciones establecidas por la normativa del sector correspondientes, siendo estas tres. Primero, que posea el título habilitante. Segundo, que sea otorgado por ARCOTEL y, tercero, que sea inscrito en el Registro Público correspondiente que disponga la autoridad competente. Ahora bien, una vez establecido quién es considerado “prestador” por la LOT y el RGLOT, es pertinente analizar lo que establece el RDPDP, para lo cual se realizará un análisis desde lo específico a lo general del artículo 10 del Reglamento previamente referido. En este sentido el numeral 12 del artículo 10 del RDPDP dispone lo siguiente: “[l]as personas jurídicas de derecho privado que prestaren servicios de telecomunicaciones”, es así como la obligación en un primer momento aplica solamente a un grupo de prestadores que entren en la categoría de personas jurídicas y solo de derecho privado, por lo tanto, no aplica a todo el universo de prestadores que establece el RGLOT. Una vez delimitada dicha especificación, es menester resaltar que la obligación utiliza la flexión verbal “prestaren”, la cual se relaciona directamente con la definición de “prestador” establecida en el RGLOT, ya que esta última hace referencia al sujeto y, la palabra utilizada en el RDPDP es el verbo, la acción, que realiza dicho sujeto. Por lo tanto, la obligación de designar un DPD recae solamente en los prestadores de servicio del régimen general de telecomunicaciones que sean personas jurídicas de derecho privado, que posean un título habilitante debidamente otorgado por ARCOTEL y, cumplan con los demás requisitos establecidos por la autoridad de telecomunicaciones correspondiente. Habiendo analizado la parte específica que corresponde al numeral 12 del artículo 10 del RDPDP, es oportuno mencionar que los supuestos contemplados en el artículo previamente consultado se encuentran condicionados a lo establecido en el primer inciso de éste. Es así como se cita el Oficio N° SPDP-IRD-2025-0180-O emitido por esta Autoridad en el cual se pronunció sobre la correcta aplicación del artículo 10 del RDPDP donde se menciona: “(…) se debe realizar un análisis ontológico de su contenido normativo en su totalidad, prestando especial atención a la integralidad del artículo en conjunto con todo el ordenamiento jurídico vigente. En este sentido, resulta pertinente considerar la parte inicial del artículo, que se cita a continuación: “ Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)” En este sentido, se advierte que existe una obligación de carácter general que surge en la primera parte del artículo antes señalado, es decir, en el texto previamente citado establece el presupuesto normativo general dentro del cual debe aplicarse a todos los numerales descritos en el mismo artículo. Asimismo, se concluye que dicha obligación establece dos condiciones previas necesarias para que resulten aplicables en los supuestos correspondientes a las actividades enunciadas posteriormente en el mismo artículo. Para analizar las condiciones, se procederá a examinar el supuesto objeto de la consulta, correspondiente al numeral 3. En este sentido, la primera condición que se identifica es que el responsable o encargado del tratamiento debe dedicarse a una actividad que implique el tratamiento de datos personales de categorías especiales relacionados con menores de edad. Según la Real Academia Española, en este contexto la expresión “por objeto” funciona como atributo o complemento predicativo, equivalente a “tener como finalidad”. La norma establece que debe “tener por objeto”, lo cual se presenta como opción disyuntiva frente a la segunda parte, que es que el responsable o encargado “se dedicaren” a la actividad. En el ámbito jurídicolingüístico, la expresión “dedicarse a” debe aplicarse conforme a las acepciones de la Real Academia Española, esto es, por un lado, destinar tiempo, recursos o esfuerzos a un fin determinado (acepción 1); y, por otro, ejercer de manera frecuente una actividad u ocupación profesional (acepción 2). En consecuencia, cuando un contrato, estatuto o disposición normativa establece que una persona natural o jurídica “se dedica a” determinada actividad, ello debe entenderse como la orientación estable y continua de su labor hacia un objeto o finalidad específica. Adicionalmente, como segunda condición se establece que esta se aplica únicamente si se cumple o configura la primera, esto es, si se establece que la actividad de tratamiento de datos personales de categorías especiales relacionadas con menores de edad debe realizarse, además de que el responsable o encargado del tratamiento tenga por objeto o se dedique a dicha actividad de manera “habitual”. El mencionado concepto deriva de habitus, vocablo latino que alude a lo que se realiza, tiene o sufre de manera continuada o con frecuencia. En el ámbito jurídico, la habitualidad no se identifica con un hecho aislado ni esporádico, sino con una conducta reiterada y permanente en el tiempo, que otorga a la actividad un carácter estable y reconocible. Tal calificación adquiere relevancia para distinguir entre actos ocasionales y actividades que, por su continuidad y permanencia, configuran un ejercicio profesional, económico o jurídico específico, generando así obligaciones y responsabilidades propias para quien las desarrolla de forma habitual.” Una vez analizada la normativa de telecomunicaciones y de datos personales, y al haberse establecido claramente que para cumplir con la obligación de designar un DPD se entiende como prestador a aquella persona jurídica de derecho privado que posea un título habilitante, esta autoridad entiende la incertidumbre del consultante, la cual se generó a partir de lo establecido en los artículo 24 y 25 de la LOT donde se hace referencia a las obligaciones y derechos de los prestadores con independencia de si tienen o no un título habilitante. A lo cual, esta autoridad entiende que dichos derechos y obligaciones son aplicables y referentes a los administrados frente a la autoridad de telecomunicaciones; sin embargo, en lo que respecta a la materia de protección de datos personales se entiende como prestador, de conformidad con la única definición establecida por la norma de telecomunicaciones que se encuentra en el RGLOT. Empero, se recalca que, si una persona natural o jurídica, pública o privada que no cuente con título habilitante, pero da un servicio de telecomunicaciones o radiodifusión, no incurre en el numeral 12 del artículo 10 del RDPDP, sin perjuicio de que pueda recaer en la obligación de designar un DPD por encuadrase en cualesquiera de los otros presupuestos establecidos en la LOPDP, RGLOPDP o el mismo RDPDP. Finalmente, esta interpretación debe entenderse conforme al principio de especialidad normativa, en armonía con el ordenamiento sectorial de telecomunicaciones, y bajo la competencia de la SPDP.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio s/n del 22 de septiembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente: “Las personas jurídicas de derecho privado que presten servicios de telecomunicaciones y se encuentren obligadas a designar un Delegado de Protección de Datos Personales conforme al numeral 10.12 del artículo 10 del Reglamento del Delegado de Protección de Datos Personales, ¿deben contar necesariamente con un título habilitante emitido por la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) para que dicha obligación sea aplicable?” De acuerdo con el análisis realizado, se concluye que el numeral 12 del artículo 10 del Reglamento del Delegado de Protección de Datos Personales se refiere a los prestadores de servicios de telecomunicaciones, cuyo alcance se encuentra definido en el RGLOT. En consecuencia, únicamente las personas jurídicas de derecho privado que posean título habilitante vigente otorgado por la ARCOTEL pueden ser consideradas prestadores de servicios de telecomunicaciones para efectos de la obligación de designar un Delegado de Protección de Datos Personales. Por tanto, las entidades que no cuenten con el respectivo título habilitante, no se encuentran comprendidas dentro del presupuesto normativo previsto en el numeral 12 del artículo 10 del citado reglamento. Sin perjuicio de que, de conformidad con la naturaleza, alcance o volumen de sus actividades de tratamiento de datos personales, puedan estar obligadas a designar un DPD por otras condiciones previstas en la LOPDP, RGLOPDP o RDPDP. Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales. Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales