Consulta
¿Debe interpretarse que la comunicación de datos personales entre sociedades del mismo grupo que actúan como responsables independientes está sujeta a los requisitos aplicables a las transferencias o comunicaciones previstas en el artículo 33 de la LOPDP y el artículo 6 de la Resolución No. SPDP-SPD-2026-0004-R, sin que la sola vinculación societaria constituya una base de legitimación; mientras que el acceso efectuado por una sociedad que actúa como encargada, bajo los presupuestos del artículo 34 de la LOPDP y del artículo 23 de la referida Resolución, no constituye transferencia o comunicación?
Análisis
De conformidad con lo dispuesto en el numeral 11.3.9 del artículo 11 de la Codificación, expedida mediante Resolución N° SPDP-SPD-2026-0030-R, que establece entre las atribuciones y responsabilidades del Superintendente de Protección de Datos Personales la de “[a]tender consultas en materia de protección de datos personales”, y en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales (“IRD”), prevista en el literal c) del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a absolver la presente consulta, a nombre y en representación de la SPDP, en los siguientes términos:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP establece las siguientes definiciones:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
(…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
(…)
Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.” (énfasis agregado).
El artículo 33 de la LOPDP dispone:
“Art. 33.- Transferencia o comunicación de datos personales.- Los datos personales podrán transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en esta Ley, y se cuente, además, con el consentimiento del titular. Se entenderá que el consentimiento es informado cuando para la transferencia o comunicación de datos personales el Responsable del tratamiento haya entregado información suficiente al titular que le permita conocer la finalidad a que se destinarán sus datos y el tipo de actividad del tercero a quien se pretende transferir o comunicar dichos datos.” (énfasis agregado).
El artículo 34 de la LOPDP determina:
“Art. 34.- Acceso a datos personales por parte del encargado. – No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones será considerado encargado del tratamiento. El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas. (…)” (énfasis agregado).
El artículo 37 de la RGLOPDP determina:
Responsables conjuntos. – Si dos o más responsables del tratamiento determinan conjuntamente los mismos fines y los medios del tratamiento de los datos personales, se considerarán responsables conjuntos, quienes definirán sus respectivas tareas y responsabilidades en materia de protección de datos de forma transparente a través de un contrato, en la medida en que estas no estén ya definidas en disposiciones legales, buscando precautelar los intereses y derechos de los titulares.
Por su parte, el artículo 6 de la Resolución N° SPDP-SPD-2026-0004-R, que contiene la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales, establece:
“Art. 6.- Las transferencias nacionales de datos personales deberán sujetarse a las siguientes condiciones:
6.1. Que exista una finalidad lícita, legítima y determinada, vinculada a las funciones del responsable y del tercero;
6.2. Que se cuente con una base de legitimación de conformidad con la LOPDP; y,
6.3. Que se disponga del consentimiento informado del titular, salvo en los casos de excepción previstos en la LOPDP.”
Y el artículo 23 ídem dispone:
“Art. 23.- De conformidad con la legislación ecuatoriana, el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales. En consecuencia, las CCM entre responsables y encargados, emitidas por la RIPD, no son aplicables en la República del Ecuador.”
De las disposiciones citadas se desprende que la pertenencia de dos o más sociedades a un mismo grupo empresarial no altera, por sí sola, la calidad jurídica que corresponde a cada una de ellas frente a un tratamiento determinado. Dicha calidad debe establecerse, en cada caso, atendiendo a la intervención efectiva de la sociedad respecto del tratamiento concreto. Si decide sobre las finalidades y medios de manera autónoma se entiende que es un responsable de tratamiento; si dicha determinación se realiza juntamente con otra sociedad, deberá analizarse la eventual configuración de una responsabilidad conjunta; y, si trata los datos personales a nombre, por cuenta y bajo instrucciones documentadas de otra sociedad, actuará como encargado del tratamiento.
Esta distinción resulta particularmente relevante a la luz del criterio establecido por la esta Autoridad mediante el oficio N° SPDP-IRD-2025-0090-O, en el cual se precisó lo siguiente:
“(…)esta Autoridad se permite señalar de manera enfática, que en la legislación ecuatoriana no existe ni es lógicamente aplicable el concepto de “responsables independientes”, esto debido a que el mero hecho de ser un responsable implica que una persona natural o jurídica, de naturaleza pública o privada, autoridad pública u otro organismo, trata en su actividad datos personales para uno o varios tratamientos de datos personales decidiendo la finalidad de los mismos en forma independiente y autónoma, ya que si trataría datos con otro responsable serían responsables conjuntos. Por lo que se aclara que esta figura no existe en la legislación ecuatoriana, por lo que se recomienda se abstenga de usar dichos conceptos, ya que puede generar una confusión a los administrados.” (énfasis agregado)
En dicho pronunciamiento se explicó que la calidad de responsable deriva de la determinación de la finalidad del tratamiento y que, cuando esta determinación se realiza conjuntamente con otro responsable, se entiende que son responsables conjuntos de acuerdo con el artículo 37 del RGLOPDP. En consecuencia, la expresión “responsable independiente” no constituye una categoría jurídica diferenciada dentro del régimen ecuatoriano de protección de datos personales ni puede emplearse para alterar, atenuar o excluir las obligaciones que correspondan a cada sujeto en función de su intervención efectiva en el tratamiento.
Cuando dos sociedades pertenecientes a un mismo grupo empresarial tienen giros de negocio distintos y son personas jurídicas distintas, se debe entender que cada una de estas es responsable del tratamiento de las finalidades propias a las que se destinen los datos personales utilizados para cumplir con las finalidades específicas de sus respectivos giros de negocio. En este sentido, si una de ellas transfiere o comunica datos personales a la otra para que esta última los trate en función de sus propias finalidades, dicha operación constituye una transferencia o comunicación de datos personales de acuerdo con el artículo 4 de la LOPDP. Esto obedece a que la sociedad receptora no accede a los datos para tratarlos a nombre y por cuenta de la sociedad que los comunica, como ocurriría en una relación de encargo, sino que los recibe para destinarlos a una nueva finalidad y por ende a un nuevo tratamiento propio de la persona jurídica que lo recibió. La existencia de vínculos societarios entre ambas entidades no modifica la naturaleza jurídica de esta operación ni permite considerar que la circulación de los datos dentro del grupo empresarial se encuentra, por ese solo hecho, exenta del régimen aplicable a las transferencias o comunicaciones.
En consecuencia, dicha comunicación queda sujeta al artículo 33 de la LOPDP y, en el ámbito nacional, a las condiciones concurrentes previstas en el artículo 6 de la resolución N° SPDP-SPD-2026-0004-R, esto es: la existencia de una finalidad lícita, legítima y determinada vinculada a las funciones de ambas sociedades; la concurrencia de una base de legitimación prevista en la LOPDP; y el consentimiento informado del titular, salvo que resulte aplicable una excepción prevista en el ordenamiento jurídico.
De igual manera, mediante oficio N° SPDP-IRD-2026-0242-O, esta Autoridad precisó, con relación a un supuesto de vinculación institucional análogo:
“(…) cuando exista relación institucional, asociativa o de coordinación administrativa entre los GAD parroquiales y sus entidades nacionales o provinciales, el intercambio de datos personales entre dichas entidades puede constituir jurídicamente una transferencia o comunicación de datos personales, debiendo observar las exigencias y principios establecidos en la LOPDP. Así también, las transferencias o comunicaciones de datos personales únicamente podrán considerarse legítimas cuando respondan a fines directamente relacionados con las competencias y funciones legalmente atribuidas tanto a la entidad emisora como a la entidad receptora, exista una base de legitimación válida y se respeten integralmente los principios de finalidad, proporcionalidad y minimización de datos”
En este sentido, la existencia de vínculos entre entidades no excluye el cumplimiento de los principios y obligaciones previstos en la normativa de protección de datos personales y que la base de legitimación aplicable a un responsable no legitima, por sí misma, una transferencia o comunicación de datos personales hacia otro sujeto, en tanto se trata de operaciones de tratamiento diferenciadas que requieren su correspondiente sustento jurídico.
Trasladado este criterio al supuesto consultado, la sola vinculación societaria o la pertenencia común a un grupo empresarial no constituye una base de legitimación ni habilita de manera general la comunicación de datos personales entre las sociedades que lo integran. En este sentido, esta Autoridad recuerda a la Consultante que las bases de legitimación para un tratamiento de datos personales están establecidas en el artículo 7 y 26 de la LOPDP, según corresponda, y estas son taxativas, por ende, no pueden crearse más ni por regulación secundaria ni omitirse. Por consiguiente, cada comunicación de datos personales entre personas jurídicas del mismo grupo empresarial que tienen la calidad de responsables del tratamiento respecto de sus respectivas finalidades y deben cumplir, de manera concurrente, las condiciones previstas en el artículo 6 de la resolución N° SPDP-SPD-2026-0004-R y contar con una base de legitimación propia conforme a la LOPDP.
Distinto es el supuesto en que una sociedad del grupo empresarial contrate a una persona jurídica distinta, ya sea del mismo grupo empresarial o no, para que realice un determinado tratamiento de datos personales a cuenta y a nombre de la sociedad que lo contrata. En dicho caso se configura un encargo de tratamiento. El artículo 34 de la LOPDP excluye expresamente este supuesto del concepto de transferencia o comunicación, en este sentido el oficio N° SPDP-IRD-2025-0096-O aclara la relación entre responsable y encargado del tratamiento y menciona lo siguiente:
» (…) es imprescindible considerar el ciclo de vida del dato personal como un eje estructural del tratamiento. El ciclo debe observarse de manera integral en todo tratamiento de datos personales, con independencia de su naturaleza o del sector en el que se lleve a cabo, dado que constituye la base sobre la cual se articulan las obligaciones y responsabilidades de los distintos sujetos intervinientes. La correcta comprensión de las etapas que conforman dicho ciclo permite delimitar con precisión el rol que cada actor –sea responsable, encargado, tercero u otro sujeto vinculado al tratamiento– desempeña dentro del sistema de protección de datos personales, así como sus facultades, límites y obligaciones a lo largo de todo el proceso.
Con el propósito de ofrecer mayor claridad al Consultante respecto a esta estructura funcional, se presenta a continuación una representación gráfica de las etapas que integran el ciclo de vida del dato personal, a fin de facilitar su comprensión y aplicación conforme a los principios y deberes previstos en la normativa vigente:
Como se puede observar en el gráfico anterior, el ciclo de vida del dato personal comprende las distintas fases por las que atraviesa desde el momento en que es recolectado hasta su eliminación o anonimización. Cada una de estas fases debe estar sujeta al cumplimiento de los principios rectores del tratamiento y a la implementación de medidas de seguridad, transparencia y licitud, que aseguren el respeto de los derechos de los titulares y la legitimidad del tratamiento. El proceso inicia con la captación o recolección del dato personal, momento en el cual el responsable del tratamiento debe contar con una de las bases legitimadoras que se establecen en el artículo 7 de la LOPDP. Asimismo, debe informar de manera clara al titular sobre las finalidades del tratamiento y garantizar que la información sea obtenida de forma lícita, leal y transparente.
La segunda etapa se da una vez recolectados los datos, éstos pasan al registro y almacenamiento, sea en formato físico o digital, fase en la que se debe asegurar la integridad, confidencialidad y disponibilidad de la información mediante la adopción de medidas técnicas, físicas, legales, administrativas y organizativas apropiadas. El almacenamiento debe ajustarse a los principios de minimización, proporcionalidad y limitación temporal, evitando la conservación excesiva e innecesaria de datos, solamente conservándolos para la finalidad que motivó su recolección. En la tercera etapa, los datos personales ingresan en la fase de uso o tratamiento activo, que abarca cualquier operación que se realice sobre ellos, incluyendo su análisis, modificación, procesamiento, entre otras. En esta etapa, el tratamiento debe responder exclusivamente a la finalidad declarada y contar con controles efectivos que permitan garantizar la trazabilidad. Es en esta etapa donde el responsable del tratamiento puede realizar un encargo de tratamiento de datos personales.
La cuarta etapa, que no se da ni es obligatoria para todos los tratamientos, es la de transferencia o comunicación a terceros. Dicha transferencia deberá contar con las bases legitimadoras correspondientes y, contar con garantías suficientes que aseguren un nivel adecuado de protección de la información tanto en almacenamiento del responsable del tratamiento como en tránsito. Toda comunicación de datos debe documentarse y estar debidamente respaldada por contratos u otros instrumentos que regulen el acceso y uso de la información por parte del tercero que recibe la información.
Superada la fase activa del tratamiento, se pasa a la quinta etapa que es la de conservación. Los datos deben ser conservados únicamente durante el tiempo estrictamente necesario para el cumplimiento de la finalidad que justificó su recolección. Concluido dicho plazo, corresponde al responsable proceder a su eliminación o a su anonimización irreversible, salvo que exista una obligación legal o contractual de conservación posterior. La conservación debe regirse por el principio de proporcionalidad, evitando la retención indefinida de datos que no responden a una finalidad actual, y aplicando técnicas como la seudonimización cuando corresponda. Finalmente, la sexta etapa corresponde a la eliminación del dato personal, que implica su destrucción definitiva o, alternativamente, su anonimización irreversible, de modo que no pueda ser reidentificado por ningún medio razonablemente disponible. Esta etapa puede ser activada por el cumplimiento de los plazos legales de conservación, por el ejercicio del derecho de eliminación del titular, o por el cese de la finalidad del tratamiento. En todos los casos, el procedimiento de eliminación debe garantizar que la información no pueda ser recuperada ni expuesta posteriormente.
Se enfatiza que el enfoque por ciclo de vida del dato personal permite adoptar una visión integral del tratamiento, identificar riesgos en cada etapa y aplicar medidas de seguridad diferenciadas de protección que respondan al nivel de sensibilidad de los datos y a la naturaleza de la operación que se realiza. En dicho sentido es fundamental que durante todo el ciclo de vida del dato se debe mantener una supervisión constante, debido a que el tratamiento de datos personales es dinámico por lo que la mera implementación no implica un cumplimiento total, sino que se debe mantener una auditoría y actualización constante para poder monitorear el flujo de los datos personales.
Ahora bien, habiendo analizado las diferentes figuras y como éstas se ubican en el ciclo de vida del dato, es menester analizar de manera desglosada los artículos 34 y 35 de la LOPDP, previamente citados. Iniciamos con el artículo 34, del cual se obtienen los siguientes elementos:
No se considera transferencia ni comunicación: “No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales”.
Prestación de servicio al responsable: “para la prestación de un servicio al responsable del tratamiento de datos personales”.
Acceso legítimo: “El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento.”.
Contrato de encargo: “tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato (…) en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.”.
Eliminación y devolución: “Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales.”.
Responsabilidad: “El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento (…)”.
En este sentido a continuación se procede a realizar el mismo ejercicio con el artículo 35:
No se considera transferencia ni comunicación: “No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero”.
Prestación de servicio al responsable: “sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales”.
Acceso legítimo: “El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.”.
Contrato de encargo: “El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento (…) conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.”.
Eliminación y devolución: “Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales.”.
Responsabilidad: “El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.”.
Es así como, se evidencian varias similitudes entre ambos artículos, de las cuales se destaca que si bien, el primer artículo está dirigido al encargado directamente; y, el segundo, a la figura del tercero, ambos terminan regulando en ambos casos un encargo de tratamiento que es dado por “la prestación de un servicio” al responsable del tratamiento, elemento clave el cual convierte a la relación de las partes en un encargo de tratamiento. De esta manera, se deriva la obligación de eliminación y devolución de los datos personales al responsable del tratamiento una vez finalizada la prestación del servicio, entendiéndose que la supervisión por parte de la autoridad como la posibilidad de desplegar el aparataje institucional en caso de incumplimiento. Consecuentemente se establece la responsabilidad en caso de incumplimiento de las condiciones contractuales establecidas. En este sentido la diferencia de los artículos radica en el momento inicial respecto a quien está dirigido y, del análisis previo se evidencian los siguientes elementos diferenciadores:
Con base en lo previamente señalado, el artículo 35 de la LOPDP debe ser interpretado como una cláusula de reconducción jurídica, en tanto constituye un mecanismo normativo que permite determinar cuándo un tercero que accede a datos personales, en el contexto de la prestación de un servicio al responsable del tratamiento, deja de ser tercero y se convierte en un encargado del tratamiento. Mediante este mecanismo, se busca evitar vacíos de responsabilidad o zonas grises en el tratamiento de datos por parte de sujetos que, si bien formalmente pueden ser considerados terceros, en la práctica brindan un servicio al responsable de tratamiento, convirtiendo el mero acceso a datos personales de dicho responsable del tratamiento, en un encargo de tratamiento. En efecto, el artículo 35 establece un criterio técnico que reconduce la situación jurídica del tercero hacia la figura del encargado cuando concurren determinados elementos: (i) el acceso a los datos personales se produce en virtud de una prestación de servicios a favor del responsable; y, (ii) dicho acceso es necesario para la ejecución del servicio.
Ahora bien, cabe analizar el artículo 43 del RLOPDP el cual establece:
“Responsabilidad del encargado.- El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento. En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas. Si el encargado considera que una instrucción es ilegal, informará al responsable del tratamiento, sin demora injustificada, para que se corrija la instrucción, de ser pertinente.”
En este sentido se destacan los siguientes elementos claves:
“Responsabilidad del encargado”: el primer requisito para que se pueda aplicar este artículo es que debe tener la calidad de encargado. Tanto en los artículos 34 y 35, se constituye un encargo de tratamiento; y, por lo tanto, el artículo 43 del RLOPDP es aplicable.
“El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento”: de acuerdo con este elemento, en el caso que el encargado por cualquier causa – la cual en TODO momento debe ser legítima – decida sobre los fines y medios de un nuevo tratamiento, se considerará responsable para dichas finalidades. Sin embargo, en este punto cabe recalcar que, al ostentar la calidad de responsable de tratamiento para dichas finalidades, éste deberá necesariamente contar con una de las bases legitimadoras establecidas en el artículo 7 para que se considere legítimo y legal dicho tratamiento.
“En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas.”: este elemento debe entenderse en armonía con las definiciones dadas por la normativa y el artículo 34, 35 de la LOPDP, en este sentido se entiende que todos los artículos están en armonía debido a que el tratar los datos personales en nombre y cuenta de implica que debe haber una relación contractual entre las partes. Por ende, el que el artículo 34 y 35 mencionen que se configura un encargo al prestar un servicio al responsable del tratamiento por parte del encargado comprende que en la acción de prestar el servicio lo hace a nombre y por cuenta del responsable del tratamiento, debido a que este último le contrata para que le dé un servicio específico sobre la base de datos propia que tiene en posición y usa para sus propias finalidades. De igual manera, se entiende que, si el responsable de tratamiento no contrata al encargado del tratamiento, este último no podría acceder a dicha base de datos por lo que depende del responsable del tratamiento para poder acceder a la misma y poder cumplir con las finalidades para las cuales se le contrata. En este punto se cita la consulta absuelta en el Oficio N° SPDP-IRD-2025-0090-O donde se menciona que “se convierta en un encargado del tratamiento debido a que pasa a realizar un tratamiento de datos personales que fue solicitado – contratado- por parte del responsable del tratamiento, y tiene acceso a datos personales a los cuales, en ciertos casos, por sí solo no hubiera podido obtener.”
Con base en el análisis previamente realizado se establece que tanto las definiciones establecidas por la normativa como los artículos 34 y 35 de la LOPDP y el 43 del RLOPDP, no se contradicen y se entienden de manera armónica, donde se señala que el artículo 34, como lo mencionó una de las personas jurídicas a quien se solicitó criterio jurídico es, “la columna vertebral de la regulación para definir a un encargado del tratamiento”. Mientras que el artículo 35 es el artículo que busca evitar vacíos de responsabilidad en casos donde terceros, que acceden a datos personales en el marco de un servicio al responsable, configurando en la práctica una relación de encargo. En este sentido, se establece que los artículos se relacionan y, como mencionaba una de las personas jurídicas a quien se le solicitó opinión jurídica, el artículo 43 del RLOPDP complementa la relación jurídica entre el responsable y el encargado del tratamiento.
Sin embargo, se aclara que una misma persona natural o jurídica, pública o privada, autoridad pública u otro organismo puede ostentar la figura de responsable del tratamiento frente a unas finalidades específicas y de encargado del tratamiento frente a otras finalidades específicas. Es así que, en ocasiones puede ostentar la calidad de encargado del tratamiento para datos personales que ha tenido acceso por prestar un servicio a un responsable del tratamiento, pero se considerará responsable del tratamiento de esos mismos datos personales para otra finalidad legítima a la cual destine los mismos. Por ejemplo, en el caso de que, por una obligación legal, deba conservar dicha información, caso en el cual inicia su propio ciclo de vida del dato. Empero, en dicha relación en ningún momento se pierde la calidad de encargado del tratamiento frente al responsable del tratamiento inicial quien lo contrató para que preste un servicio específico determinado, teniendo que cumplir con todas las disposiciones normativas de protección de datos personales. Es así que, se deberá devolver los datos personales que le hayan sido proporcionados relativos a las finalidades del encargo, pero los datos personales legitimados para sus finalidades propias que ya constan en su propio ciclo de vida del dato pueden ser conservados hasta cumplir con la finalidad de ese ciclo de vida específico.
Adicionalmente, esta Autoridad recalca y enfatiza los siguientes puntos: primero, que la “prestación de un servicio” comprende la acción de realizar dicho servicio a nombre y cuenta del responsable del tratamiento. Segundo, que el encargado del tratamiento que es contratado por el responsable del tratamiento, la mayoría de las veces –si no es en todas- se dedica a un giro de negocio distinto, por esto mismo es contratado; sin embargo, el hecho de que este preste sus servicios que evidentemente son propios, no se puede interpretar como sus propias finalidades. Por lo tanto, el encargado que sea contratado para dar un servicio no puede absorber la base de datos del responsable del tratamiento para intereses propios como, por ejemplo, alimentar su propia base de datos para generar prospección. Tercero, en caso de que, por “cualquier causa” el encargado determine los fines y medios del tratamiento, este último deberá ser legítimo, esto es que debe cumplir con una base legitimadora y demás obligaciones establecidas en la normativa de protección de datos personales para el responsable del tratamiento.» (énfasis agregado).
Con base en la consulta previamente citada, se evidencia que el encargo NO es una transferencia ni comunicación de datos personales y en este mismo sentido el artículo 23 de la Resolución N° SPDP-SPD-2026-0004-R ratifica, de forma categórica, que el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales, por lo tanto, se debe entender que estas son dos figuras totalmente diferentes en la normativa de protección de datos personales.
Como se ha señalado en el Oficio N° SPDP-IRD-2026-0300-O, el elemento determinante para diferenciar una transferencia o comunicación de un encargo de tratamiento no es un elemento externo o circunstancial, sino la naturaleza jurídica de la relación entre las partes, en este sentido se menciona lo siguiente:
“Se desprende que el elemento determinante para diferenciar una transferencia o comunicación de datos personales de un encargo de tratamiento no es la ubicación territorial de quien recibe los datos, sino la naturaleza jurídica de la relación existente entre las partes. Mientras en la transferencia o comunicación los datos son revelados a un sujeto comprendido dentro del ámbito de aplicación de dicha figura jurídica, en el encargo el tratamiento continúa realizándose por cuenta y bajo las instrucciones del responsable del tratamiento, quien conserva la determinación de las finalidades y elementos esenciales del tratamiento.”
En este sentido, mientras en la transferencia los datos son revelados a un sujeto distinto del responsable o del encargado, en el encargo el tratamiento continúa realizándose por cuenta y bajo las instrucciones del responsable, quien conserva la determinación de las finalidades, medios y los elementos esenciales del tratamiento.
En consecuencia, el acceso efectuado por una sociedad que actúa como encargada, en los términos del artículo 34 de la LOPDP y del artículo 23 de la Resolución N° SPDP-SPD-2026-0004-R, no constituye transferencia ni comunicación de datos personales, sin perjuicio de que dicha relación deba documentarse mediante el contrato de encargo exigido por el artículo 34 de la LOPDP.
Pronunciamiento
En atención a los términos de la consulta presentada el 6 de julio de 2026 y debidamente subsanada mediante escrito de 15 de julio de 2026, del análisis realizado y dando respuesta a la interrogante planteada, se determina lo siguiente:
“¿Debe interpretarse que la comunicación de datos personales entre sociedades del mismo grupo que actúan como responsables independientes está sujeta a los requisitos aplicables a las transferencias o comunicaciones previstas en el artículo 33 de la LOPDP y el artículo 6 de la Resolución No. SPDP-SPD-2026-0004-R, sin que la sola vinculación societaria constituya una base de legitimación; mientras que el acceso efectuado por una sociedad que actúa como encargada, bajo los presupuestos del artículo 34 de la LOPDP y del artículo 23 de la referida Resolución, no constituye transferencia o comunicación?”
La pertenencia de varias sociedades a un mismo grupo empresarial no crea un régimen especial para la circulación de datos personales entre ellas ni permite presumir la licitud de su comunicación. Por tanto, cuando una sociedad entrega datos a otra para que esta los utilice en el marco de finalidades que determina por sí misma, existe una transferencia o comunicación de datos personales y deberán cumplirse los requisitos previstos en el artículo 33 de la LOPDP y en el artículo 6 de la resolución N° SPDP-SPD-2026-0004-R, incluida la existencia de una base de legitimación aplicable a dicha operación. Por el contrario, si la sociedad receptora trata los datos exclusivamente para prestar un servicio a la sociedad que determina la finalidad del tratamiento, bajo sus instrucciones y dentro de una verdadera relación de encargo, el acceso a esos datos no constituye transferencia o comunicación, conforme al artículo 34 de la LOPDP y al artículo 23 de la referida resolución.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales. Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.