- ¿Debe interpretarse que la exclusión del ámbito material de aplicación prevista en el literal f) del artículo 2 de la Ley Orgánica de Protección de Datos Personales se limita al tratamiento realizado directamente por los organismos estatales competentes para la prevención, investigación, detección o enjuiciamiento de infracciones penales, o comprende también la comunicación de datos que efectúe un responsable del sector privado en atención a una solicitud u orden emitida por dichos organismos en ejercicio de sus competencias legales?
- ¿Debe considerarse a la Fiscalía General del Estado, en su calidad de órgano autónomo de la Función Judicial encargado constitucionalmente de dirigir la investigación preprocesal y procesal penal, como una “autoridad administrativa” para efectos de la excepción al consentimiento prevista en el numeral 3 del artículo 36 de la Ley Orgánica de Protección de Datos Personales?
ANÁLISIS
1.1 FUNDAMENTO JURÍDICO
De conformidad con lo dispuesto en el numeral 11.3.9 del artículo 11 de la Codificación, expedida mediante Resolución N° SPDP-SPD-2026-0030-R, que establece entre las atribuciones y responsabilidades del Superintendente de Protección de Datos Personales la de “[a]tender consultas en materia de protección de datos personales”, y en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales (“IRD”), se procede a absolver la presente consulta, a nombre y en representación de la SPDP, en los siguientes términos:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 2 de la LOPDP determina su ámbito de aplicación material en los siguientes términos:
“Art.2.- Ámbito de aplicación material. – La presente ley se aplicará al tratamiento de datos personales contenidos en cualquier tipo de soporte, automatizados o no, así como a toda modalidad de uso posterior. La ley no será aplicable a: (…)
f) Datos o bases de datos establecidos para la prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, llevado a cabo por los organismos estatales competentes en cumplimiento de sus funciones legales. En cualquiera de estos casos deberá darse cumplimiento a los estándares internacionales en la materia de derechos humanos y a los principios de esta ley, y como mínimo a los criterios de legalidad, proporcionalidad y necesidad; (…)” (énfasis agregado).
Por su parte, el artículo 4 de la LOPDP establece, entre otras, las siguientes definiciones:
“Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales. (énfasis agregado).”
En relación con las condiciones que determinan la licitud del tratamiento, el artículo 7 de la LOPDP establece, en lo pertinente:
Art. 7.-Tratamiento legítimo de datos personas. – El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones: (…)
2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal;
3) Que sea realizado por el responsable del tratamiento, por orden judicial, debiendo observarse los principios de la presente ley;
4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta ley y a los criterios de legalidad, proporcionalidad y necesidad;(…)”
Respecto del régimen jurídico aplicable a las transferencias o comunicaciones de datos personales, el artículo 33 de la LOPDP dispone:
“Art. 33.- Transferencia o comunicación de datos personales. – Los datos personales podrán transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en esta Ley, y se cuente, además, con el consentimiento del titular.
Se entenderá que el consentimiento es informado cuando para la transferencia o comunicación de datos personales el responsable del tratamiento haya entregado información suficiente al titular que le permita conocer la finalidad a que se destinarán sus datos y el tipo de actividad del tercero a quien se pretende transferir o comunicar dichos datos.”
El artículo 36 de la LOPDP establece, respecto de las excepciones al consentimiento para la transferencia o comunicación de datos personales, lo siguiente:
“Art. 36.- Excepciones de consentimiento para la transferencia o comunicación de datos personales. – No es necesario contar con el consentimiento del titular para la transferencia o comunicación de datos personales, en los siguientes supuestos: (…)
3) Cuando los datos personales deban proporcionarse a autoridades administrativas o judiciales en virtud de solicitudes y órdenes amparadas en competencias atribuidas en la norma vigente; (…)”.
El artículo 22 del RGLOPDP dispone lo siguiente:
“Art. 22.- Supuestos para la transferencia de datos a terceros. – La transferencia o comunicación de datos personales a terceros se podrá realizar siempre que concurran los siguientes supuestos:
- Para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del tercero destinatario, en cuyo caso el destinatario se obliga a cumplir con la normativa de protección de datos; y,
- Cuando se cuente con el consentimiento previo del titular, el cual puede ser revocado en cualquier momento.
No se requerirá el consentimiento del titular en los supuestos previstos en la Ley.”
Mediante Resolución Nº SPDP-SPD-2026-0004-R se expidió la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
El artículo 6 de la referida Resolución dispone:
“Art. 6.- Las transferencias nacionales de datos personales deberán sujetarse a las siguientes condiciones:
6.1. Que exista una finalidad lícita, legítima y determinada, vinculada a las funciones del responsable y del tercero;
6.2. Que se cuente con una base de legitimación de conformidad con la LOPDP; y,
6.3. Que se disponga del consentimiento informado del titular, salvo en los casos de excepción previstos en la LOPDP.”
1.2. ANÁLISIS DE LA PRIMERA INTERROGANTE
Del literal f) del artículo 2 de la LOPDP se desprende que la exclusión de su ámbito material de aplicación responde a la concurrencia de tres presupuestos jurídicos: i) la finalidad del tratamiento, vinculada con la prevención, investigación, detección o enjuiciamiento de infracciones penales, o con la ejecución de sanciones penales; ii) la condición de organismo estatal competente del sujeto que realiza el tratamiento; y, iii) el ejercicio de las funciones legalmente atribuidas a dicho organismo. La concurrencia de estos presupuestos delimita el alcance de la exclusión y permite identificar las operaciones de tratamiento comprendidas en ella.
En este sentido, se precisa que el ámbito material de aplicación de la LOPDP se determina atendiendo a las características jurídicas de cada tratamiento, considerando la finalidad perseguida, la condición del sujeto que lo realiza y el fundamento normativo que sustenta su actuación.
Esta aplicación encuentra sustento en el artículo 4 de la LOPDP, que define el tratamiento como cualquier operación o conjunto de operaciones realizadas sobre datos personales, incluidas su recopilación, conservación, utilización, comunicación y transferencia. Asimismo, la referida disposición atribuye la calidad de responsable del tratamiento al sujeto que, individual o conjuntamente, decide sobre su finalidad y realización.
En este sentido, unos mismos datos personales pueden ser objeto de distintas operaciones de tratamiento, realizadas por diferentes responsables. En consecuencia, cada operación conserva su propia naturaleza jurídica, por lo que cada operación puede estar sujeta a diferentes condiciones jurídicas, por lo que cada una debe examinarse de acuerdo con la finalidad que la sustenta, el sujeto que la realiza, y las disposiciones normativas aplicables.
Esta distinción es importante en materia de comunicación de datos personales. De conformidad con el artículo 4 de la LOPDP, la comunicación constituye una operación de tratamiento mediante la cual se revela información a un tercero. Por su parte, el tratamiento posterior efectuado por el destinatario constituye una operación diferenciada, cuya finalidad y condiciones jurídicas corresponden a la actuación de dicho sujeto.
En este contexto, la comunicación efectuada por un responsable del tratamiento y el tratamiento posterior realizado por el destinatario constituyen operaciones jurídicamente diferenciadas, cuya licitud debe determinarse de manera individualizada. La relación existente entre ambas operaciones exige identificar las condiciones jurídicas correspondientes a cada interviniente, aun cuando recaigan sobre los mismos datos personales y se encuentren vinculadas a una finalidad común.
Trasladada esta distinción al alcance del literal f) del artículo 2 de la LOPDP, se precisa que la exclusión corresponde al tratamiento realizado por los organismos estatales competentes en cumplimiento de sus funciones legales y para las finalidades expresamente contempladas en dicha disposición. Por su parte, la comunicación efectuada por el responsable constituye una operación propia, sujeta a las disposiciones de protección de datos personales que regulan su actuación.
Una vez determinada la sujeción de una operación al ámbito material de aplicación de la LOPDP, corresponde examinar las condiciones que sustentan su licitud. Al respecto, los numerales 2 y 3 del artículo 7 de la LOPDP contemplan supuestos de legitimación diferenciados, relacionados, respectivamente, con el cumplimiento de una obligación legal o la existencia de una orden judicial.
De estas disposiciones se desprende que la legitimación del tratamiento debe guardar correspondencia con el fundamento jurídico de la operación realizada por el responsable. Particularmente, el numeral 2 del artículo 7 de la LOPDP vincula la licitud del tratamiento con el cumplimiento de una obligación legal, mientras que el numeral 3 del mismo artículo contempla el tratamiento realizado por orden judicial, con observancia de los principios establecidos en la Ley.
En este sentido, se precisa que las competencias atribuidas al organismo destinatario y las condiciones que legitiman la comunicación efectuada por el responsable constituyen presupuestos jurídicos diferenciados. Las primeras sustentan la actuación del organismo que requiere la información, mientras que las segundas determinan el fundamento de licitud de la operación realizada por quien comunica los datos personales.
1.3. ANÁLISIS DE LA SEGUNDA INTERROGANTE
Del numeral 3 del artículo 36 de la LOPDP, en concordancia con el régimen de transferencias o comunicaciones establecido en el artículo 33 del mismo cuerpo normativo, se identifican cinco elementos jurídicos relevantes para la aplicación de la excepción al consentimiento del titular: i) la existencia de una transferencia o comunicación de datos personales; ii) la condición de autoridad administrativa o judicial del destinatario; iii) la existencia de una solicitud u orden que motive la comunicación; iv) la atribución normativa de la competencia en cuyo ejercicio se formula dicha solicitud u orden; y, v) el carácter jurídicamente debido de la entrega de los datos personales, conforme al fundamento normativo que sustenta el requerimiento.
El primero de estos elementos delimita la operación de tratamiento respecto de la cual se examina la excepción, mientras que los cuatro restantes permiten determinar la concurrencia de los presupuestos específicos establecidos en el numeral 3 del artículo 36 de la LOPDP.
En este sentido, se precisa que la expresión “autoridades administrativas o judiciales” debe aplicarse en atención a la naturaleza jurídica de las funciones ejercidas por el organismo destinatario y a las competencias que el ordenamiento jurídico le atribuye para su cumplimiento. De esta manera, la interpretación de la expresión previamente mencionada exige considerar conjuntamente la condición jurídica del organismo destinatario y la naturaleza de la actuación que sustenta el requerimiento.
En este contexto, corresponde precisar que la competencia de la SPDP para absolver consultas se circunscribe al inteligenciamiento de las disposiciones de la normativa de protección de datos personales. Por consiguiente, la interpretación del numeral 3 del artículo 36 de la LOPDP no comprende la determinación de la naturaleza jurídica u orgánica de una institución pública específica, ni la calificación de las atribuciones que le corresponden conforme a su régimen jurídico particular. En concordancia con lo señalado, la expresión “deban proporcionarse”, configura la excepción al consentimiento con el fundamento jurídico que justifica la entrega de los datos personales. Por tanto, se exige distinguir entre la competencia atribuida al organismo destinatario para requerir información y el deber jurídico que corresponde al responsable del tratamiento respecto de su comunicación.
Esta distinción resulta determinante, puesto que la competencia de la autoridad requirente y la obligación jurídica de proporcionar los datos personales responden a posiciones jurídicas diferentes. La primera sustenta y delimita la actuación del organismo que formula la solicitud u orden, mientras que la segunda exige identificar las disposiciones que justifican la entrega de información por parte del responsable requerido.
De las disposiciones citadas se desprende que la competencia de la autoridad destinataria, la base de legitimación del responsable y la excepción al consentimiento constituyen presupuestos jurídicos diferenciados que deben examinarse de manera articulada. La competencia faculta la actuación de la autoridad que requiere la información; la base de legitimación sustenta la licitud del tratamiento realizado por el responsable; y, la excepción al consentimiento determina los supuestos en los cuales la LOPDP ha previsto la posibilidad de efectuar la comunicación prescindiendo de la autorización del titular. Esta interpretación guarda concordancia con el artículo 33 de la LOPDP, y con el artículo 22 del Reglamento General de la Ley Orgánica de Protección de Datos Personales (“RGLOPDP”), que reconoce las excepciones al consentimiento expresamente previstas en la Ley.
De igual manera, los numerales 6.1, 6.2 y 6.3 del artículo 6 de la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales, expedida mediante resolución Nº SPDP-SPD-2026-0004-R, contemplan de forma diferenciada la exigencia de una finalidad lícita, legítima y determinada, así como la concurrencia de una base de legitimación conforme a la LOPDP y el consentimiento informado del titular, con las excepciones legalmente establecidas.
De la interpretación sistemática de estas disposiciones se desprende que la excepción al consentimiento constituye una previsión específica dentro del régimen de transferencias o comunicaciones de datos personales, cuya aplicación debe articularse con las condiciones generales de licitud del tratamiento.
Este criterio guarda relación con el desarrollado mediante oficio Nº SPDP-IRD-2026-0242-O, en el cual, respecto de las transferencias o comunicaciones de datos personales entre los gobiernos autónomos descentralizados parroquiales y sus entidades asociativas, se precisó lo siguiente:
“(…) las transferencias o comunicaciones de datos personales únicamente podrán considerarse legítimas cuando respondan a fines directamente relacionados con las competencias y funciones legalmente atribuidas tanto a la entidad emisora como a la entidad receptora, exista una base de legitimación válida y se respeten integralmente los principios de finalidad, proporcionalidad y minimización de datos”
Del pronunciamiento citado se desprende que la legitimidad de una comunicación de datos personales exige examinar las funciones correspondientes a los sujetos intervinientes, la base de legitimación aplicable y la observancia de los principios que rigen el tratamiento. Este criterio resulta pertinente para distinguir entre las competencias que sustentan las solicitudes u órdenes de la autoridad destinataria y las condiciones jurídicas que corresponden al responsable que efectúa la comunicación.
Por consiguiente, la aplicación de la excepción prevista en el numeral 3 del artículo 36 de la LOPDP exige considerar la naturaleza jurídica de la autoridad destinataria, las competencias que sustentan la solicitud u orden y el fundamento normativo que justifica la entrega de los datos personales. Estos elementos deben examinarse en concordancia con las condiciones de legitimación previstas en el artículo 7 de la LOPDP y con los requisitos aplicables a las transferencias o comunicaciones establecidos en el artículo 33 del mismo cuerpo normativo.
En virtud de lo expuesto, el alcance de la excepción al consentimiento se determina a partir de la concurrencia de los presupuestos expresamente establecidos en el numeral 3 del artículo 36 de la LOPDP, considerando la posición jurídica de los sujetos intervinientes y el fundamento normativo de la operación de comunicación.
PRONUNCIAMIENTO SOBRE LO CONSULTADO
- “¿Debe interpretarse que la exclusión del ámbito material de aplicación prevista en el literal f) del artículo 2 de la Ley Orgánica de Protección de Datos Personales se limita al tratamiento realizado directamente por los organismos estatales competentes para la prevención, investigación, detección o enjuiciamiento de infracciones penales, o comprende también la comunicación de datos que efectúe un responsable del sector privado en atención a una solicitud u orden emitida por dichos organismos en ejercicio de sus competencias legales?
La exclusión prevista en el literal f) del artículo 2 de la LOPDP comprende los tratamientos realizados por los organismos estatales competentes, para las finalidades expresamente señaladas en dicha disposición y en ejercicio de sus funciones legales. Por tanto, la comunicación de datos personales efectuada por un responsable del sector privado constituye una operación de tratamiento diferenciada, sujeta a las condiciones de legitimación previstas en el artículo 7 de la LOPDP y a los requisitos aplicables a las transferencias o comunicaciones establecidos en el artículo 33, considerando las excepciones al consentimiento contempladas en el artículo 36 del mismo cuerpo normativo.
- ¿Debe considerarse a la Fiscalía General del Estado, en su calidad de órgano autónomo de la Función Judicial encargado constitucionalmente de dirigir la investigación preprocesal y procesal penal, como una “autoridad administrativa” para efectos de la excepción al consentimiento prevista en el numeral 3 del artículo 36 de la Ley Orgánica de Protección de Datos Personales?
La expresión “autoridades administrativas o judiciales”, prevista en el numeral 3 del artículo 36 de la LOPDP, debe interpretarse atendiendo a la naturaleza jurídica de las funciones ejercidas por el organismo destinatario y a las competencias legalmente atribuidas. En consecuencia, la aplicación de dicha excepción exige verificar que la comunicación responda a una solicitud u orden amparada en competencias normativamente atribuidas y que exista un fundamento jurídico que determine el deber de proporcionar los datos personales. Al respecto, corresponde precisar que la presente absolución se circunscribe al inteligenciamiento del alcance jurídico del numeral 3 del artículo 36 de la LOPDP, por lo que la determinación de la naturaleza jurídica de los organismos destinatarios y de las competencias que les han sido atribuidas debe efectuarse de conformidad con las disposiciones que regulan su organización y funcionamiento.
La concurrencia de estos presupuestos permite establecer la procedencia de la excepción al consentimiento, en concordancia con las condiciones de legitimación previstas en el artículo 7 y los requisitos establecidos en el artículo 33 de la LOPDP, sin que el presente pronunciamiento implique una valoración sobre la procedencia de requerimientos específicos de información.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.