Oficio N° SPDP-IRD-2026-0001-O
Consulta ¿Es jurídicamente procedente que el tratamiento de datos personales consistente en la captación de imágenes mediante sistemas de videovigilancia, implementados por una entidad pública como el Benemérito Cuerpo de Bomberos de Machala para fines de seguridad institucional y protección de personas, se legitime en la base prevista en el artículo 7, numeral 4 de la Ley Orgánica de Protección de Datos Personales, relativa al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable? (…) Consulta (reformulada): Conforme al artículo 12 de la LOPDP, ¿puede considerarse que la colocación de señalética informativa visible en zonas videovigiladas constituye un mecanismo válido para garantizar el derecho a la información de los titulares de datos personales, sin que ello implique que la Superintendencia defina contenidos específicos no regulados, sino en cuanto a la interpretación general del alcance del principio de información? (…) Consulta: ¿Cuál es la correcta interpretación y aplicación de los principios de proporcionalidad y de pertinencia y minimización de datos, previstos en el artículo 10, literales e y f de la LOPDP, en relación con la definición de las ubicaciones de cámaras de videovigilancia dentro de instalaciones públicas? (…) Consulta (reformulada): Con base en el principio de conservación de datos personales previsto en el artículo 10, literal i de la LOPDP, ¿cómo debe interpretarse el criterio de que los datos personales no sean conservados por un plazo mayor al necesario para cumplir la finalidad del tratamiento, en el contexto de sistemas de videovigilancia implementados por entidades públicas?” Análisis De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido: El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente: “Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado). Asimismo, los artículos 225 y 226 de la CRE establece: “Art. 425.- El orden jerárquico de aplicación de las normas será el siguiente: La Constitución; los tratados y convenios internacionales; las leyes orgánicas; las leyes ordinarias; las normas regionales y las ordenanzas distritales; los decretos y reglamentos; las ordenanzas; los acuerdos y las resoluciones; y los demás actos y decisiones de los poderes públicos. En caso de conflicto entre normas de distinta jerarquía, la Corte Constitucional, las juezas y jueces, autoridades administrativas y servidoras y servidores públicos, lo resolverán mediante la aplicación de la norma jerárquica superior. La jerarquía normativa considerará, en lo que corresponda, el principio de competencia, en especial la titularidad de las competencias exclusivas de los gobiernos autónomos descentralizados. Art. 226.- Las instituciones del Estado, sus organismos, dependencias, las servidoras o servidores públicos y las personas que actúen en virtud de una potestad estatal ejercerán solamente las competencias y facultades que les sean atribuidas en la Constitución y la ley.” (énfasis agregado). El artículo 4 de la LOPDP define lo siguiente: “Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: Dato biométrico: Dato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros. (…) Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente. (…) Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…) Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado). El artículo 7 de la LOPDP se establece lo siguiente: “Art. 7.- Tratamiento legítimo de datos personas (sic).- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones: 1) Por consentimiento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas; 2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal; 3) Que sea realizado por el responsable del tratamiento, por orden judicial, debiendo observarse los principios de la presente Ley; 4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad; 5) Para la ejecución de medidas precontractuales a petición del titular o para el cumplimiento de obligaciones contractuales perseguidas por el responsable del tratamiento de datos personales, encargado del tratamiento de datos personales o por un tercero legalmente habilitado; 6) Para proteger intereses vitales del interesado o de otra persona natural, como su vida, salud o integridad; 7) Para tratamiento de datos personales que consten en bases de datos de acceso público; u, 8) Para satisfacer un interés legítimo del responsable de tratamiento o de
Oficio N° SPDP-IRD-2025-0009-O
Preguntas En base a lo manifestado ¿En calidad de Notario Septuagésimo Octavo encargado del cantón Quito, otorgar copias, testimonios de escrituras matriz o compulsas de los documentos que se encuentran en el archivo bajo mi responsabilidad, debo entregar a cualquier persona, pero si se trata de terceras personas, las que no hayan intervenido en los actos o contratos, deberán presentar el un contrato suscrito con el titular conforme al Art. 34 de la Ley Orgánica de Protección de Datos Personales? Análisis Con base en la normativa previamente mencionada, todo tratamiento de datos personales debe respetar y aplicar los principios contemplados en la LOPDP para que de esta manera se garanticen los derechos e información de los titulares de datos. En este sentido, los principios que se destacan en el tratamiento son: en primer lugar, el de juridicidad que hace referencia a que todos los datos personales a los que se tenga acceso para el tratamiento deben ser tratados en estricto apego y cumplimiento a los principios, derechos y obligaciones reconocidos en la CRE e instrumentos internacionales aplicables. Este principio es fundamental para el tratamiento de datos personales debido a que exhorta a las partes a manejar los datos con un enfoque holístico, dándoles una mayor protección a los titulares de datos es así que, el Consultante, en calidad de notario, deberá en todo momento aplicar los más altos estándares de seguridad para el manejo de datos personales. En segundo lugar, el principio de lealtad, el cual establece que todas las personas que traten datos personales deben informar a los titulares respecto al tratamiento que se va a dar a la información proporcionada. Esto es fundamental, debido a que se relaciona con el derecho de información y el consentimiento que se solicita a los titulares de datos para que el mismo sea considerado válido. Es así que, en el presente caso específico, el mencionado principio se debe tomar en cuenta al momento de brindar los servicios y solicitar consentimientos a los titulares de datos personales. En tercer lugar, el principio de finalidad, el cual hace referencia a que todos los tratamientos deberán ser determinados, explícitos, legítimos y comunicados al titular. Esto significa que no se puede solicitar información a los titulares de datos personales para tratamientos que no se hayan determinado ni informado a este último. Este principio es de fundamental relevancia debido a que también se relaciona con el derecho de información, y debe ser informado al momento de solicitar el consentimiento para el tratamiento de datos a los titulares, además que se debe incluir en las políticas de privacidad de los responsables y encargados de tratamiento. En cuarto lugar, el principio de pertinencia y minimización, el cual hace referencia a que solamente se podrán solicitar los datos limitados a los estrictamente necesario, este principio tiene correlación con el previamente mencionado de finalidad, debido a que solo se deben solicitar los datos mínimos necesarios para la finalidad específica para la cual se solicita la información. Como quinto y último principio más relevante a tomar en consideración en el presente caso, es el de proporcionalidad del tratamiento, el cual hace referencia a que todo tratamiento de datos personales que se realice debe ser adecuado, necesario oportuno, relevante y no excesivo en relación a las finalidades para las cuales se solicita la información. Con base en este último principio es necesario y de suma importancia realizar el examen de proporcionalidad que se contempla en la SENTENCIA INTERPRETATIVA No. 002-10-SIC-CC CASO No. 0020-09-IC 1 y, al que se hace referencia en el RLOPDP. Es así que, el examen de proporcionalidad que se realiza a continuación analiza la colisión entre el derecho a la transparencia y acceso de las escrituras públicas de un notario, específicamente la posibilidad de que cualquier persona pueda solicitar copias o testimonio de la escritura matriz o compulsa de los documentos protocolizados, y el derecho de protección de datos personales de los titulares involucrados en dichos actos notariales. Además, se toma en cuenta el de acceso a la información pública. Para ello, aplicaremos los tres pasos del examen de proporcionalidad: adecuación, necesidad y proporcionalidad en sentido estricto. Respecto a la adecuación, se busca examinar si la medida adoptada es adecuada para alcanzar el objetivo legítimo perseguido, en el presente caso lo que se busca es que haya transparencia pero que no se vulnere el derecho a la protección de datos personales. Para lo cual es relevante señalar la importancia del derecho de transparencia y el acceso a la información pública los cuales son de suma transcendencia y aún más en Ecuador, ya que promueven la rendición de cuentas, la transparencia en la gestión pública y el acceso de los ciudadanos a la información. Por otro lado, existe el derecho a la protección de datos personales el cual busca proteger la información de la esfera íntima y privada de una persona natural, lo cual es un objetivo legítimo y forma parte de las libertades de los seres humanos. En este caso, se busca garantizar que las escrituras públicas notariales sean accesibles a cualquier persona, permitiendo la verificación de la autenticidad de documentos y la transparencia de las acciones del notario, pero limitando dicho derecho para así proteger la información de los titulares de datos personales. La medida de permitir que cualquier persona solicite copias de los archivos notariales puede ser adecuada para alcanzar el objetivo de transparencia y acceso a la información pública. Sin embargo, debe asegurarse de que no se infrinja el derecho de protección de datos personales. Si bien el derecho de acceso a la información pública es fundamental, no se puede permitir que dicho acceso vulnere la privacidad de las personas involucradas en los actos notariales.Como segundo punto, es imprescindible analizar dentro del examen de proporcionalidad, el de la necesidad. En el presente caso se analiza si es necesario el acceso a las escrituras públicas que se encuentran en el archivo de la notaría del consultante. Como se menciona anteriormente es importante el acceso debido a que
Oficio N° SPDP-IGRPD-2024-002-O-C
Preguntas Análisis El numeral 23 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) establece el derecho de petición, ya sea de manera individual o colectiva, ante las autoridades y recibir una respuesta fundamentada. En concordancia con lo mencionado, el artículo 32 del Código Orgánico Administrativo (“COA”) señala que “[l]as personas tienen derecho a formular peticiones, individual o colectivamente, ante las administraciones públicas y a recibir respuestas motivadas, de forma oportuna.”. Así mismo, la CRE en su artículo 226 consagra el principio de legalidad, el cual habilita y limita el alcance del ejercicio de las competencias de los servidores públicos que ejercen una potestad estatal; indicando que los mismos deberán ejercer solas aquellas competencias y facultades que estén contempladas en la Constitución y la ley. Además, se insta cumplir con el deber de “coordinar acciones para el cumplimiento de sus fines y hacer efectivo el goce y ejercicio de los derechos reconocidos en la Constitución.”. En concordancia con lo mencionado, el artículo 14 del COA establece el principio de juridicidad, con otro nombre, pero bajo la misma esencia, donde se menciona que las actuaciones administrativas se someten no solo a las normas jerárquicas superiores, CRE y tratados internacionales, sino también a los principios y jurisprudencia; de igual forma las administraciones públicas gozan de potestad discrecional con apego a derecho.En este mismo sentido de ideas, la CRE en su artículo 82 hace referencia al principio a la seguridad jurídica que implica la “…existencia de normas jurídicas previas, claras, públicas y aplicadas por las autoridades competentes.”; y su fundamento es el respeto a la CRE.En concordancia con esto, el COA en su artículo 22 consagra el principio de seguridad jurídica indicando que las “administraciones públicas actuarán bajo los criterios de certeza y previsibilidad.”; es decir, que el administrado sabrá previamente la forma de actuar coherente de la administración pública a través de las normas que contemplen dichas reglas. Adicionalmente, la Jueza ponente constitucional, abogada Karla Andrade Quevedo, en su Sentencia N° 2137-21-EP /21 del caso N° 2137-21-EP del 29 de septiembre del 2021, menciona respecto del artículo 82 CRE que “[d]el texto constitucional se desprende que la Constitución garantiza a las personas el derecho de contar con un ordenamiento jurídico previsible, claro, determinado, estable y coherente que le permita tener una noción razonable de las reglas de juego que le serán aplicables…”.2 En concordancia con lo mencionado en el párrafo anterior, el Juez ponente constitucional, abogado Enrique Herrería Bonnet, en su Sentencia N° 54-17-IN/22 del caso N° 54-17-IN del 26 de mayo del 2022, menciona que “[l]a Constitución concibe a la seguridad jurídica como un derecho-prerrogativa que ostentan las personas para exigir el respeto de la norma constitucional a través de la formulación de normas jurídicas previas, claras y públicas, obligando al órgano con potestad normativa a respetar estos requisitos.”3 En este sentido, antes de que los servidores públicos realicen cualquier actuación administrativa, deben contar con la normativa que regule el procedimiento que permita el ejercicio de dicha actuación. Esta normativa debe ser clara y conocida por el administrado, en el marco de los principios constitucionales y administrativos de legalidad (juridicidad) y seguridad jurídica. En caso de que la norma carezca de claridad, es decir, si su articulado no ofrece el grado de certeza suficiente para que los ciudadanos puedan inferir el procedimiento, la prohibición, la permisión o la sanción correspondiente, el ciudadano tiene el derecho de solicitar a la institución pública una respuesta a su consulta sobre el texto de la misma o su aplicación. Así entonces, usted solicita información y plantea varias preguntas sobre el proceso que implementará esta institución pública para verificar el cumplimiento de la obligación relativa a la contratación del Delegado de Protección de Datos Personales, conforme a lo establecido en el numeral 13 del artículo 47 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”).Al respecto, me permito indicar que, si bien la obligación del responsable del tratamiento de designar a un Delegado de Protección de Datos Personales está establecida por la LOPDP, el proceso al que hace referencia, tal como usted refiere, no existe en la actualidad, y por ello no podemos ofrecer información sobre el mismo. Además, cabe mencionar que la Superintendencia de Protección de Datos Personales se encuentra en una etapa de arranque de sus funciones y está coordinando acciones para expedir oportunamente normativa que regule los procedimientos y procesos que garanticen el cumplimiento de sus objetivos y fines, y aseguren el goce y ejercicio efectivo de los derechos de los administrados. Pronunciamiento En ejercicio de la Resolución N° SPDP-SPDP-2024-0007-R de fecha 30 de septiembre, en donde en su literal c) del artículo 4, en mi calidad de delegado del Superintendente de Protección de Datos Personales, en atención a su petitorio en la consulta que guarda relación sobre el proceso que implementará esta institución para verificar el cumplimiento de la obligación relativa a la “contratación” del Delegado de Protección de Datos Personales, de conformidad a lo establecido en el numeral 13 del artículo 47 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”), esta autoridad no se pronuncia al respecto, toda vez que la misma es ambigua, vaga e indeterminada, ya que versa sobre normativa inexistente en la actualidad, que no ha sido emitida por esta entidad, por lo que a la fecha no existe disposición alguna que establezca el procedimiento para verificar el cumplimiento del numeral 13 del artículo 47 de la “LOPD”, en cumplimiento del artículo 226 de la Constitución. Sin perjuicio de lo anterior, hasta que se emita normativa aplicable a la consulta, todos los sujetos regulados SIN EXCEPCIÓN deberán cumplir en forma imperativa todo lo establecido en la LOPDP y su Reglamento en lo que se relaciona al Delegado de Protección de Datos. En este sentido se da contestación a su solicitud, exhortándolo a que realice las consultas que sean necesarias cuando la normativa aplicable sea expedida en legal y debida forma.
Oficio N° SPDP-IGRPD-2024-001-O-C
Preguntas Análisis El numeral 23 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) establece el derecho de petición, ya sea de manera individual o colectiva, ante las autoridades y recibir una respuesta fundamentada. En concordancia con lo mencionado, el artículo 32 del Código Orgánico Administrativo (“COA”) señala que “[l]as personas tienen derecho a formular peticiones, individual o colectivamente, ante las administraciones públicas y a recibir respuestas motivadas, de forma oportuna.”. Así mismo, la CRE en su artículo 226 consagra el principio de legalidad, el cual habilita y limita el alcance del ejercicio de las competencias de los servidores públicos que ejercen una potestad estatal; indicando que los mismos deberán ejercer solo aquellas competencias y facultades que estén contempladas en la Constitución y la ley. Además, se insta cumplir con el deber de “coordinar acciones para el cumplimiento de sus fines y hacer efectivo el goce y ejercicio de los derechos reconocidos en la Constitución.”. En concordancia con lo mencionado, el artículo 14 del COA establece el principio de juridicidad, con otro nombre, pero bajo la misma esencia, donde se menciona que las actuaciones administrativas se someten no solo a las normas jerárquicas superiores, CRE y tratados internacionales, sino también a los principios y jurisprudencia; de igual forma las administraciones públicas gozan de potestad discrecional con apego a derecho.En este mismo sentido de ideas, la CRE en su artículo 82 hace referencia al principio a la seguridad jurídica que implica la “…existencia de normas jurídicas previas, claras, públicas y aplicadas por las autoridades competentes.”; y su fundamento es el respeto a la CRE. En concordancia con esto, el COA en su artículo 22 consagra el principio de seguridad jurídica indicando que las “administraciones públicas actuarán bajo los criterios de certeza y previsibilidad.”; es decir, que el administrado sabrá previamente la forma de actuar coherente de la administración pública a través de las normas que contemplen dichas reglas. Adicionalmente, la Jueza ponente constitucional, abogada Karla Andrade Quevedo, en su Sentencia N° 2137-21-EP /21 del caso N° 2137-21-EP del 29 de septiembre del 2021, menciona respecto del artículo 82 CRE que “[d]el texto constitucional se desprende que la Constitución garantiza a las personas el derecho de contar con un ordenamiento jurídico previsible, claro, determinado, estable y coherente que le permita tener una noción razonable de las reglas de juego que le serán aplicables…”.En concordancia con lo mencionado en el párrafo anterior, el Juez ponente constitucional, abogado Enrique Herrería Bonnet, en su Sentencia N° 54-17-IN/22 del caso N° 54-17-IN del 26 de mayo del 2022, menciona que “[l]a Constitución concibe a la seguridad jurídica como un derecho-prerrogativa que ostentan las personas para exigir el respeto de la norma constitucional a través de la formulación de normas jurídicas previas, claras y públicas, obligando al órgano con potestad normativa a respetar estos requisitos.”.En este sentido, antes de que los servidores públicos realicen o ejecuten cualquier actuación administrativa, deben contar con la normativa que regule el procedimiento que permita el ejercicio de dicha actuación. Esta normativa debe ser clara y conocida por el administrado, en el marco de los principios constitucionales y administrativos de legalidad (juridicidad) y seguridad jurídica. En caso de que la norma carezca de claridad, es decir, si su articulado no ofrece el grado de certeza suficiente para que los ciudadanos puedan inferir el procedimiento, la prohibición, la permisión o la sanción correspondiente, el ciudadano tiene el derecho de solicitar a la institución pública una respuesta a una consulta sobre el texto de la misma o su aplicación. Así entonces, usted solicita información detallada y plantea varias interrogantes sobre el proceso aplicable para acceder al reconocimiento por buenas prácticas, conforme a lo establecido en la disposición transitoria tercera de la Ley Orgánica de Protección de Datos Personales (“LOPDP”). Al respecto, me permito indicar que, si bien el reconocimiento por buenas prácticas está garantizado por la LOPDP, el proceso al que hace referencia no existe en la actualidad, y por ello no podemos ofrecer información detallada sobre el mismo. Además, cabe mencionar que la Superintendencia de Protección de Datos Personales se encuentra en una etapa de arranque de sus funciones y está coordinando acciones para expedir oportunamente normativa que regule los procedimientos y procesos que garanticen el cumplimiento de sus objetivos y fines, y aseguren el goce y ejercicio efectivo de los derechos de los administrados. Pronunciamiento En ejercicio de la Resolución N° SPDP-SPDP-2024-0007-R de fecha 30 de septiembre, en donde en su literal c) del artículo 4, en mi calidad de delegado del Superintendente de Protección de Datos Personales, en atención a su petitorio en la consulta que versa sobre el aspecto de un proceso aplicable para acceder al reconocimiento por buenas prácticas, conforme a lo establecido en la disposición transitoria tercera de la Ley Orgánica de Protección de Datos Personales (“LOPDP”), esta autoridad no se pronuncia al respecto, toda vez que la misma es ambigua, vaga e indeterminada, ya que versa sobre normativa inexistente en la actualidad, que no ha sido emitida por esta institución pública, por lo que a la fecha no existe disposición alguna que establezca el procedimiento y requisitos para obtener tal reconocimiento, en cumplimiento del artículo 226 de la Constitución. En este sentido se da contestación a su solicitud, exhortando al consultante a que realice las consultas que sean necesarias cuando la normativa aplicable sea expedida en legal y debida forma.