Consulta
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y reformada mediante Resolución N° SPDP-SPD-2026-0023-R, expedida el 19 de mayo del 2026, y publicada en Registro Oficial N° 297 de 03 de junio del 2026, codificada mediante Resolución N° SPDP-SPDP-2026-0030-R, expedida el 22 de julio de 2026 y publicada en el Registro Oficial Tercer Suplemento N° 339 de 03 de agosto de 2026, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 3 de la LOPDP establece:
Art. 3.-Ámbito de aplicación territorial.-Sin perjuicio de la normativa establecida en los instrumentos internacionales ratificados por el Estado ecuatoriano que versen sobre esta materia, se aplicará la presente Ley cuando:
1. El tratamiento de datos personales se realice en cualquier parte del territorio nacional;
2. El responsable o encargado del tratamiento de datos personales se encuentre domiciliado en cualquier parte del territorio nacional;
3. Se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, cuando las actividades del tratamiento estén relacionadas con: 1) La oferta de bienes o servicios a dichos titulares, independientemente de si a estos se les requiere su pago, o, 2) del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador; y,
4. Al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional público.
El artículo 4 de la LOPDP establece las siguientes definiciones:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
(…)Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo
como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
Asimismo, el artículo 48 de la LOPDP establece lo siguiente:
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
En esta misma línea, el artículo 48 del RGLOPDP dispone:
«Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.»
Respecto a los apoderados especiales, la Resolución N° SPDP-SPD-2024-0002-R que contiene la Guía Técnica Obligatoria para el registro de los Apoderados Especiales de Responsables, Conjuntos o no, y Encargados Extranjeros que realicen actividades de tratamiento de datos personales en la República Del Ecuador, en su artículo 2 establece:
«Art. 2.- Designación de apoderado especial.- Los sujetos regulados deberán tener en el territorio, de manera permanente, un apoderado especial con amplias y suficientes facultades para comparecer, a nombre de sus representados, ante instancias administrativas y judiciales en materia de protección de datos personales; y, de manera
señalada aunque no exclusiva, para atender y tramitar o, en su caso, para colaborar en el cumplimiento de la obligación de atender y tramitar las peticiones o quejas que presenten los titulares en ejercicio de los derechos que la LOPDP les confiere.
Las facultades del apoderado especial no podrán estar sujetas a limitaciones o condiciones de ninguna clase que pudieren servir para menoscabar, entorpecer, dilatar, conculcar o que, de cualquier otra manera, se presten para tornar ineficaces los derechos de los titulares.
En el texto del poder los responsables extranjeros harán constar, además de sus denominaciones o razones sociales, las marcas o nombres comerciales que utilizan para distinguir sus productos o servicios en el mercado, y que son los que comúnmente el público o los titulares usan para identificarlos. En el caso de los encargados extranjeros, además de sus denominaciones o razones sociales, harán constar las de los responsables a nombre de quienes y por cuya cuenta tratan datos personales. En uno y otro caso, en el instrumento los sujetos regulados deberán consignar también:
2.1. Las direcciones electrónicas y físicas, así como los números telefónicos, de sus respectivas casas matrices; y,
2.2. Las direcciones electrónicas y físicas, así como los números telefónicos, de los apoderados especiales que han designado para el territorio.
En caso de no cumplirse con las obligaciones que se instituyen en virtud de los incisos precedentes, por las actividades de tratamiento responderán, administrativamente, todas las personas naturales o jurídicas que, según las circunstancias, aparentaren actuar u obrar por cuenta de los sujetos regulados; ello sin perjuicio de que la Superintendencia de Protección de Datos Personales (“la Superintendencia”, “la SPDP” o “la entidad”) pueda dictar y aplicar medidas correctivas, en los términos de los artículos 65 y 66 LOPDP.»
En la misma Guía técnica, se establece la obligatoriedad del registro de los apoderados especiales en su artículo 4:
«Art. 4.- Registro de apoderados especiales.- Los sujetos regulados registrarán en la SPDP a sus apoderados especiales, para cuyos efectos presentarán el documento en el que conste conferido el poder especial.
Si el poder fuere otorgado en el extranjero:
4.1. Se le adicionará la apostilla que está reglada por la Convención de La Haya del 5 de octubre de 1961; o,
4.2. Se lo hará certificar ante el agente diplomático o consular del Ecuador residente en el Estado en donde se lo otorgó, en caso de que tal Estado no fuere suscriptor del Convenio de La Haya.
Los sujetos regulados podrán, también, otorgar el mandato especial ante el agente diplomático o consular ecuatoriano más próximo al de sus respectivos domicilios, de ser el caso.
Los poderes otorgados en idiomas distintos al que es el oficial en el territorio deberán ser traducidos al español, de conformidad con las previsiones del artículo 29 de la Ley Orgánica para la Optimización y Eficiencia de Trámites Administrativos.
Para proceder al registro, los sujetos regulados, a través de las personas que hubiesen designado como apoderados especiales, presentarán una solicitud y la suscribirán con firma electrónica verificada a través de la aplicación FirmaEc.
El ingreso de la solicitud y la documentación se realizará a través de los medios físicos y/o electrónicos que habilite la SPDP para el efecto.»
Mediante Resolución N.° SPDP-SPD-2025-0028-R se expidió el Reglamento del Delegado de Protección de Datos Personales. El artículo 3 del referido Reglamento determina quién debe efectuar la designación del delegado y dispone:
“Art. 3.- El delegado deberá ser designado por quien tuviere la calidad de responsable o, según corresponda, por quien tuviere el rol de encargado del tratamiento, esto es:
3.1. Por la persona natural, ya sea por sí misma o ya fuere representada por un apoderado especial;
3.2. Por la persona jurídica de derecho privado, a través de su representante legal o apoderado debidamente autorizado; o,
3.3. Por la persona jurídica de derecho público, autoridad pública u otro organismo, representada por la máxima autoridad que ejerciere la representación legal.”
Asimismo, el artículo 4 del mismo Reglamento de Delegados de Protección de Datos Personales contempla lo siguiente:
“Art. 4.- Registro de apoderados especiales.- Los sujetos regulados registrarán en la SPDP a sus apoderados especiales, para cuyos efectos presentarán el documento en el que conste conferido el poder especial. Si el poder fuere otorgado en el extranjero:
4.1. Se le adicionará la apostilla que está reglada por la Convención de La Haya del 5 de octubre de 1961; o,
4.2. Se lo hará certificar ante el agente diplomático o consular del Ecuador residente en el Estado en donde se lo otorgó, en caso de que tal Estado no fuere suscriptor del Convenio de La Haya.(…)
Por su parte, el artículo 5 del mencionado Reglamento dispone que:
«Art. 5.- Si el nombramiento se hubiese formalizado a través del uso firmas electrónicas, el responsable o el encargado deberá inscribir el nombramiento en la SPDP, a través del portal web institucional, dentro del término de quince (15) días posteriores a la fecha de designación del delegado.
En los casos en los que el nombramiento se hubiese formalizado en soporte de papel mediante el uso de firmas manuscritas, el responsable o el encargado deberá ser presentarlo de manera presencial.
La Intendencia General de Innovación Tecnológica y de Seguridad de Datos Personales será la responsable del proceso de inscripción de los nombramientos de los delegados.
Se aceptarán los nombramientos de los delegados aun después de fenecido el término señalado anteriormente;sin embargo, el registro extemporáneo será considerado como incumplimiento de una medida de seguridad de carácter jurídico.
Los delegados ejercerán sus funciones a partir de la fecha del otorgamiento de sus nombramientos.»
Asimismo, el artículo 6 del mencionado Reglamento dispone que:
«Art. 6.- La SPDP, a través del ámbito de competencias de la Intendencia de General de Innovación Tecnológica y Seguridad de Datos Personales, gestionará, supervisará, actualizará y mantendrá una lista de delegados que será accesible para las consultas de la ciudadanía a través del portal web institucional.
La inscripción del delegado no constituye, por sí misma, la verificación o validación automática de la idoneidad para el ejercicio del cargo. La verificación del cumplimiento de los requisitos establecidos en este reglamento será realizada por la SPDP en el marco de sus facultades de control y supervisión, ya sea manera previa o ya fuere en cualquier
momento posterior a la inscripción, según el procedimiento que se estableciere para el efecto.»
El artículo 8 del Reglamento de Delegados regula también lo siguiente:
«Art. 8.- En el caso de los responsables, conjuntos o no, y de los encargados extranjeros que realizaren actividades de
tratamiento de datos personales y que no tuvieren su domicilio en la República del Ecuador, adicionalmente, se mostrará la siguiente información:
8.1. Nombre completo del apoderado especial; y,
8.2. Correo electrónico comercial, laboral o profesional del apoderado especial.»
Finalmente, el artículo 10 del Reglamento de Delegados regula lo siguiente:
«Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)»
Pronunciamiento
En atención a los términos de la consulta realizada, el análisis expuesto y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
Para poder dar respuesta a la pregunta formulada, es necesario distinguir entre el ámbito territorial de aplicación de la LOPDP y las obligaciones sustantivas que resultan exigibles a quienes se encuentran sometidos a dicho régimen jurídico.
El artículo 3 de la LOPDP determina los supuestos de aplicación territorial de la normativa ecuatoriana de protección de datos personales. Entre esos supuestos se incluyen aquellos en los que el responsable o encargado del tratamiento no se encuentre establecido o domiciliado en el Ecuador, pero realice actividades de tratamiento comprendidas vinculados con titulares residentes en el país en las condiciones previstas en dicha disposición, así como aquellos casos en los que la legislación ecuatoriana resulte aplicable en virtud de un contrato o de las normas de derecho internacional público.
Por tanto, la falta de domicilio o establecimiento en el territorio ecuatoriano no excluye, por sí misma, la aplicación de la LOPDP. Cuando concurre alguno de los criterios de conexión previstos en su artículo 3, un responsable o encargado del tratamiento no domiciliado en el Ecuador se encuentra sometido al régimen ecuatoriano de protección
de datos personales respecto de los tratamientos comprendidos dentro de dicho ámbito de aplicación.
Esta sujeción constituye el presupuesto a partir del cual deben examinarse las obligaciones que correspondan al responsable o encargado en función de su calidad, de las características de los tratamientos que realiza y de los demás supuestos establecidos por la LOPDP, su Reglamento General y la normativa secundaria emitida por la SPDP.
Entre dichas obligaciones se encuentra, cuando corresponda, la designación de un Delegado de Protección de Datos Personales (DPD) cuando concurra cualquiera de los presupuestos previstos en la normativa. En particular, cuando las actividades del responsable o encargado requieran un control permanente y sistematizado en razón del volumen, naturaleza, alcance y finalidades del tratamiento de datos personales realizado; cuando se efectúen tratamientos a gran escala de categorías de datos; o cuando concurran cualesquiera de los demás supuestos previstos en la normativa secundaria.
El artículo 48 no establece una excepción a esta obligación en función del domicilio extranjero del responsable o encargado, ni condiciona su aplicación a la existencia de un establecimiento permanente en territorio ecuatoriano. De este modo, cuando un sujeto regulado extranjero se encuentre comprendido dentro del ámbito territorial de aplicación
de la LOPDP y, adicionalmente, concurra respecto de sus tratamientos alguno de los presupuestos que hacen obligatoria la designación de un DPD, la obligación resulta plenamente exigible.
Establecido lo anterior, corresponde diferenciar esta de aquella relativa a la designación de un apoderado especial por parte de determinados responsables o encargados no domiciliados en el Ecuador ya que ambas figuras poseen distinta naturaleza, finalidades jurídicas y función dentro del régimen de protección de datos personales.
El apoderado especial constituye, esencialmente, un mecanismo de representación del responsable o encargado extranjero dentro del territorio ecuatoriano. A través del poder conferido, el sujeto regulado exterioriza y ejerce jurídicamente su actuación en la Repúblcica del Ecuador por el intermedio de una persona facultada para comparecer
y ejecutar en su nombre, dentro del alcance del poder conferido, las actuaciones que correspondan frente a autoridades administrativas o judiciales. Asimismo, el apoderado tiene la facultad de facilitar la atención de las actuaciones relacionadas con el ejercicio de los derechos de los titulares y con el cumplimiento de las obligaciones que correspondan al sujeto representado.
Su función deriva, por tanto, de una relación de representación: el apoderado actúa en nombre y por cuenta del responsable o encargado extranjero dentro del alcance de las facultades conferidas. La existencia del apoderado permite que el sujeto regulado que no se encuentra domiciliado en el país disponga de una representación permanente mediante la cual pueda relacionarse jurídicamente con los titulares y con las autoridades competentes en el territorio ecuatoriano.
El DPD por su parte, no se constituye primordialmente como un representante del responsable o encargado. Es una figura especializada del régimen de protección de datos personales, cuyas funciones se relacionan con el asesoramiento y supervisión del cumplimiento de las obligaciones previstas en la LOPDP, su Reglamento General y la
normativa secundaria aplicable. Asimismo, cumple con un rol de cooperación con la SPDP, como punto de contacto entre esta y el sujeto regulado.
La naturaleza de sus funciones explica la exigencia del ordenamiento de que estas sean desempeñadas profesionalmente y con independencia. El DPD se integra en la estructura de cumplimiento del responsable o encargado, pero sus funciones no consisten en exteriorizar la voluntad jurídica de este, ni en sustituirlo de sus actuaciones de representación. Su posición se orienta a observar, asesorar y supervisar el cumplimiento de las obligaciones en materia de protección de datos personales.
Existe, por tanto, una diferencia funcional sustancial entre ambas instituciones: mientras el apoderado especial representa al sujeto regulado extranjero, el DPD desarrolla funciones especializadas de asesoramiento, supervisión y cooperación en materia de protección de datos personales. Esta diferencia determina que las respectivas obligaciones sean jurídicamente autónomas. El cumplimiento de una de ellas no satisface, por sí mismo, la finalidad perseguida por la otra. En consecuencia, la existencia de un apoderado especial no sustituye ni extingue la obligación de designar un DPD cuando concurran los presupuestos previstos para ello. De igual forma, la obligación de contar con un DPD tampoco sustituye la representación que deba mantener en el Ecuador el responsable o encargado extranjero conforme al régimen aplicable.
La autonomía señalada se refiere a las obligaciones y funciones jurídicas que corresponden a cada figura. En cualquier supuesto deberá preservarse la naturaleza propia de cada función y, particularmente respecto del DPD, su independencia y la inexistencia de conflictos que puedan afectar el adecuado ejercicio de las responsabilidades que el
ordenamiento le atribuye.
Esta diferenciación se evidencia también en la regulación aplicable al registro de ambas figuras. La normativa relativa a los sujetos regulados extranjeros exige identificar al apoderado especial como representante de estos en la República del Ecuador, mientras que el Reglamento del Delegado de Protección de Datos Personales regula separadamente la designación, inscripción y ejercicio de funciones del DPD. Incluso, respecto de responsables y encargados extranjeros, la información registral del DPD contempla adicionalmente la identificación del apoderado especial, lo cual evidencia que el ordenamiento reconoce la coexistencia de ambas figuras y no las configura como categorías equivalentes o sustitutivas.
Debe diferenciarse, finalmente, la existencia de la obligación jurídica de designar un DPD del mecanismo operativo dispuesto para registrar su nombramiento ante la SPDP. Actualmente, el registro de un DPD correspondiente a un responsable o encargado extranjero requiere contar con un Registro Único de Contribuyentes (RUC) para efectuar la operación dentro del sistema informático habilitado por la SPDP. Esta condición constituye un requisito operativo del mecanismo actualmente implementado para efectuar el registro, mas no modifica los presupuestos jurídicos que determinan la obligación de designar un DPD conforme al artículo 48 de la LOPDP.
En aquellos casos en que el responsable o encargado extranjero no disponga de un RUC propio, deberá considerarse el régimen de representación aplicable a los sujetos regulados extranjeros. Por tanto, cuando el sujeto regulado extranjero no cuente con un RUC propio, el registro de su DPD se viabiliza a través de su apoderado especial debidamente registrado, para lo cual deberá utilizarse el RUC correspondiente a este último para efectos de realizar la operación en el sistema. Lo anterior responde exclusivamente a la operatividad actual del mecanismo de registro y no supone que el apoderado especial adquiera la calidad de DPD, que deba ejercer sus funciones, ni que su designación sustituya la obligación establecida en el artículo 48 de la LOPDP.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.