Preguntas
¿Las Cooperativas de Ahorro y Crédito deben designar un Delegado de Protección de Datos Personales?
En caso de requerirlo, ¿La designación del Delegado de Protección de Datos Personales que deben realizar las cooperativas de ahorro y crédito debe efectuarse una vez cuando sea requerido por la Superintendencia de Protección de Datos Personales o ya se debe contar con un Delegado dentro de la institución?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho de protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley. (…)” (énfasis agregado).
Asimismo, el artículo 92 de la CRE prevé lo siguiente:
“Art. 92.- Toda persona, por sus propios derechos o como representante legitimado para el efecto, tendrá derecho a conocer de la existencia y a acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, en soporte material o electrónico. Asimismo, tendrá derecho a conocer el uso que se haga de ellos, su finalidad, el origen y destino de información personal y el tiempo de vigencia del archivo o banco de datos.
Las personas responsables de los bancos o archivos de datos personales podrán difundir la información archivada con autorización de su titular o de la ley.
La persona titular de los datos podrá solicitar al responsable el acceso sin costo al archivo, así como la actualización de los datos, su rectificación, eliminación o anulación. En el caso de datos sensibles, cuyo archivo deberá estar autorizado por la ley o por la persona titular, se exigirá la adopción de las medidas de seguridad necesarias. Si no se atendiera su solicitud, ésta podrá acudir a la jueza o juez. La persona afectada podrá demandar por los perjuicios ocasionados.” (énfasis agregado).
El artículo 311 de la CRE dispone:
“Art. 311.- El sector financiero popular y solidario se compondrá de cooperativas de ahorro y crédito, entidades asociativas o solidarias, cajas y bancos comunales, cajas de ahorro. Las iniciativas de servicios del sector financiero popular y solidario, y de las micro, pequeñas y medianas unidades productivas, recibirán un tratamiento diferenciado y preferencial del Estado, en la medida en que impulsen el desarrollo de la economía popular y solidaria.” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Datos personales crediticios: Datos que integran el comportamiento económico de personas naturales, para analizar su capacidad financiera.
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado).
El artículo 5 del mismo cuerpo normativo dicta lo siguiente:
“Art. 5.- Integrantes del sistema de protección de datos personales.- Son parte del sistema de protección de datos personales, los siguientes:
1) Titular;
2) Responsable del tratamiento;
3) Encargado del tratamiento;
4) Destinatario;
5) Autoridad de Protección de Datos Personales; y,
6) Delegado de protección de datos personales.” (énfasis agregado).
El artículo 10 de la LOPDP determina varios principios rectores de la materia bajo los cuales todos los tratamientos de datos personales deben regirse, entre los cuales se encuentra el siguiente:
“a) Juridicidad.- Los datos personales deben tratarse con estricto apego y cumplimiento a los principios, derechos y obligaciones establecidas en la Constitución, los instrumentos internacionales, la presente Ley, su Reglamento y la demás normativa y jurisprudencia aplicable.” (énfasis agregado).
El artículo 25 de la LOPDP indica lo siguiente:
“CAPÍTULO IV CATEGORÍAS ESPECIALES DE DATOS
Art. 25.- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes:
a) Datos sensibles;
b) Datos de niñas, niños y adolescentes;
c) Datos de salud; y,
d) Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad.” (énfasis agregado).
El artículo 28 de la LOPDP establece que:
“Art. 28.- Datos crediticios.- Salvo prueba en contrario será legítimo y lícito el tratamiento de datos destinados a informar sobre la solvencia patrimonial o crediticia, incluyendo aquellos relativos al cumplimiento o incumplimiento de obligaciones de carácter comercial o crediticia que permitan evaluar la concertación de negocios en general, la conducta comercial o la capacidad de pago del titular de los datos, en aquellos casos en que los mismos sean obtenidos de fuentes de acceso público o procedentes de informaciones facilitadas por el acreedor. Tales datos pueden ser utilizados solamente para esa finalidad de análisis y no serán comunicados o difundidos, ni podrán tener cualquier finalidad secundaria.
La protección de datos personales crediticios se sujetará a lo previsto en la presente Ley, en la legislación especializada sobre la materia y demás normativa dictada por la Autoridad de Protección de Datos Personales.
Sin perjuicio de lo anterior, en ningún caso podrán comunicarse los datos crediticios relativos a obligaciones de carácter económico, financiero, bancario o comercial una vez transcurridos cinco años desde que la obligación a la que se refieran se haya hecho exigible.” (énfasis agregado).
El artículo 48 de la LOPDP contempla quienes están obligados a contar con un DPD señalando lo siguiente:
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia. La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
En concordancia con lo previamente mencionado el numeral 7 del artículo 4 del RLOPDP establece:
“7. Tratamiento a gran escala: es aquel que afecta a una gran cantidad de datos, referentes a un elevado número de titulares, procedentes de una amplia diversidad geográfica, y que pueden entrañar un riesgo a sus derechos y libertades.
Para determinar cuándo se está en presencia de un tratamiento «a gran escala» la Autoridad de Protección de Datos Personales y los responsables del tratamiento deberán tener en cuenta los siguientes aspectos:
a. El número de interesados o titulares, bien como cifra concreta o como proporción de la población correspondiente;
b. El volumen de datos o la variedad de elementos de datos que son objeto de tratamiento;
c. La duración o permanencia de la actividad de tratamiento de datos; y,
d. El alcance geográfico de la actividad de tratamiento.
Se considera tratamiento a gran escala:
a. El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital, o de las instituciones que conforman el Sistema Nacional de Salud;
b. El tratamiento de datos de desplazamiento de las personas que utilizan el sistema de transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte):
c. El tratamiento de datos de geolocalización en tiempo real de clientes por parte de un responsable del tratamiento de datos personales especializado en la prestación de estos servicios;
d. El tratamiento de datos de clientes en el desarrollo normal de la actividad de una compañía de seguros, corredores, agentes, prestadores o de instituciones financieras;
e. El tratamiento de datos personales para publicidad comportamental por un motor de búsqueda; y.
f. El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de telefonía o internet.” (énfasis agregado).
En este sentido el artículo 48 del RLOPDP menciona lo siguiente:
“Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.” (énfasis agregado).
Fundamentado en el marco legal previamente mencionado, se afirma que la protección de datos personales es un derecho reconocido tanto en la CRE como en su legislación. El objetivo primordial es salvaguardar la información de los individuos en sus diversas dimensiones, desde la esfera más íntima hasta la personal. La CRE impone la obligación de proteger este derecho, responsabilidad que recae en quienes tratan los datos, ya sean responsables o encargados. En esta línea, la LOPDP y su Reglamento desarrollan y aseguran este derecho, introduciendo la figura del delegado de protección de datos personales. La función principal del DPD es actuar como enlace entre los responsables o encargados del tratamiento y la autoridad competente y, entre el responsable o encargado con el titular de datos personales. El DPD es un garante de la legalidad y un protector de la protección de los derechos personales de los titulares.
En este sentido, se evidencia que la LOPDP establece las causales específicas respecto a cuándo se debe designar un DPD, incluyendo también la posibilidad de que la SPDP establezca otras adicionales; sin embargo, entre éstas se contempla la obligación de designar un DPD cuando “se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; (…)”. Por lo que para poder entender de manera clara la obligación es necesario comprender cada una de sus partes, para lo cual es fundamental primero establecer qué dispone la LOPDP respecto de los datos especiales. Es así como el capítulo IV de la normativa referida se titula “categorías especiales”, en su primer artículo, hace referencia a las categorías de estos y, aunque no enumera los datos crediticios expresamente, se debe considerar que aquellos forman parte de la categoría de especiales al encontrarse determinados y regulados dentro del mismo capítulo.
En segundo lugar, es necesario tener claro a lo que la norma hace referencia por gran escala de datos, para ello el RLOPDP ha establecido en su artículo 4.7 la definición del mencionado concepto disponiendo lo siguiente “es aquel que afecta a una gran cantidad de datos, referentes a un elevado número de titulares, procedentes de una amplia diversidad geográfica, y que pueden entrañar un riesgo a sus derechos y libertades (…)”. Sin embargo, dentro del mismo artículo y numeral establece casos concretos donde obligatoriamente se considera gran escala a los tratamientos que se encuentren dentro de dichos supuestos, entre estos se menciona a los tratamientos de datos de clientes en el desarrollo normal de la actividad de instituciones financieras.
En este sentido y, tomando en consideración que el artículo 311 de la CRE reconoce a las cooperativas de ahorro y crédito como parte del sector financiero popular y solidario. Es así que, al ser su núcleo de actividades el tratamiento de datos crediticios, estás se entienden que están realizan tratamientos a gran escala por lo que se encuentran bajo la obligación de la LOPDP de contar un DPD.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio N° FECOAC-GG2025-023 del 12 de febrero de 2025, al análisis realizado y dando respuesta a la consulta planteada por el consultante determinamos lo siguiente;
¿Las Cooperativas de Ahorro y Crédito deben designar un Delegado de Protección de Datos Personales?
Sí, ya que son parte del sector financiero popular y solidario.
En caso de requerirlo, ¿La designación del Delegado de Protección de Datos Personales que deben realizar las cooperativas de ahorro y crédito debe efectuarse una vez cuando sea requerido por la Superintendencia de Protección de Datos Personales o ya se debe contar con un Delegado dentro de la institución?
La LOPDP se encuentra vigente desde el año 2021 y el régimen sancionatorio desde el año 2023, por lo que la obligación de designarlo nace desde la vigencia de la LOPDP y el RLOPDP por lo que desde su vigencia las cooperativas de ahorro y crédito deben contar con un DPD.
El presente pronunciamiento deberá ser entendido en su integridad, siendo de exclusiva responsabilidad de la entidad consultante su aplicación.