Oficio N° SPDP-IRD-2026-0028-O

Consulta

¿En el caso de obtener datos personales directamente del titular (Art. 12, párr. 2 LOPDP) y requerir su consentimiento (Art. 8 LOPDP), la obligación de informar al titular abarca de forma taxativa la inclusión de la totalidad de los diecisiete (17) aspectos enumerados en los numerales 1 al 17 del Artículo 12 de la Ley Orgánica de Protección de Datos Personales, o es legítimo que el responsable del tratamiento omita o reduzca la información a un subconjunto de esos puntos en el documento de autorización de tratamiento (consentimiento)?

Análisis

De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:

El artículo 66 de la Constitución de la República del Ecuador (“CRE”) ha establecido lo siguiente:

“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).

El artículo 8 de la LOPDP expresa lo siguiente:

“Art. 8.- Consentimiento.- Se podrán tratar y comunicar datos personales cuando se cuente con la manifestación de la voluntad del titular para hacerlo. El consentimiento será válido, cuando la manifestación de la voluntad sea:

1. Libre, es decir, cuando se encuentre exenta de vicios del consentimiento;
   
2. Específica, en cuanto a la determinación concreta de los medios y fines del tratamiento;
   
3. Informada, de modo que cumpla con el principio de transparencia y efectivice el derecho a la transparencia,
   
4. Inequívoca, de manera que no presente dudas sobre el alcance de la autorización otorgada por el titular.

El consentimiento podrá revocarse en cualquier momento sin que sea necesaria una justificación, para lo cual el responsable del tratamiento de datos personales establecerá mecanismos que garanticen celeridad, eficiencia, eficacia y gratuidad, así como un procedimiento sencillo, similar al proceder con el cual recabó el consentimiento.

El tratamiento realizado antes de revocar el consentimiento es lícito, en virtud de que este no tiene efectos retroactivos.

Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste que dicho consentimiento se otorga para todas ellas.” (énfasis agregado).

El artículo 10 ibidem determina:

“Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de:

(…) b) Lealtad.- El tratamiento de datos personales deberá ser leal, por lo que para los titulares debe quedar claro que se están recogiendo, utilizando, consultando o tratando de otra manera, datos personales que les conciernen, así como las formas en que dichos datos son o serán tratados.

En ningún caso los datos personales podrán ser tratados a través de medios o para fines, ilícitos o desleales.

c) Transparencia.- El tratamiento de datos personales deberá ser transparente, por lo que toda información o comunicación relativa a este tratamiento deberá ser fácilmente accesible y fácil de entender y se deberá utilizar un lenguaje sencillo y claro.

Las relaciones derivadas del tratamiento de datos personales deben ser transparentes y se rigen en función de las disposiciones contenidas en la presente Ley, su reglamento y demás normativa atinente a la materia.(…)

l) Aplicación favorable al titular.- En caso de duda sobre el alcance de las disposiciones del ordenamiento jurídico o contractuales, aplicables a la protección de datos personales, los funcionarios judiciales y administrativos las interpretarán y aplicarán en el sentido más favorable al titular de dichos datos.” (énfasis agregado).

En su artículo 12 ibidem se establece:

“Art. 12.- Derecho a la información.- El titular de datos personales Ztiene derecho a ser informado conforme los principios de lealtad y transparente por cualquier medio sobre:

• Los fines del tratamiento;
• La base legal para el tratamiento;
• Tipos de tratamiento;
• Tiempo de conservación;
• La existencia de una base de datos en la que constan sus datos personales;
• El origen de los datos personales cuando no se hayan obtenido directamente del titular;
• Otras finalidades y tratamientos ulteriores;
• Identidad y datos de contacto del responsable del tratamiento de datos personales, que incluirá: dirección del domicilio legal, número de teléfono y correo electrónico;
• Cuando sea del caso, identidad y datos de contacto del delegado de protección de datos personales, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico;
• Las transferencias o comunicaciones, nacionales o internacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas y las garantías de protección establecidas;
• Las consecuencias para el titular de los datos personales de su entrega o negativa a ello;
• El efecto de suministrar datos personales erróneos o inexactos;
• La posibilidad de revocar el consentimiento;
• La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas.
• Los mecanismos para hacer efectivo su derecho a la portabilidad, cuando el titular lo solicite;
• Dónde y cómo realizar sus reclamos ante el responsable del tratamiento de datos personales y la Autoridad de Protección de Datos Personales, y;
• La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles.

En el caso que los datos se obtengan directamente del titular, la información deberá ser comunicada de forma previa a este, es decir, en el momento mismo de la recogida del dato personal.

Cuando los datos personales no se obtuvieren de forma directa del titular o fueren obtenidos de una fuente accesible al público, el titular deberá ser informado dentro de los siguientes treinta (30) días o al momento de la primera comunicación con el titular, cualquiera de las dos circunstancias que ocurra primero. Se le deberá proporcionar información expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnicas.

La información proporcionada al titular podrá transmitirse de cualquier modo comprobable en un lenguaje claro, sencillo y de fácil comprensión, de preferencia propendiendo a que pueda ser accesible en la lengua de su elección.

En el caso de productos o servicios dirigidos, utilizados o que pudieran ser utilizados por niñas, niños y adolescentes, la información a la que hace referencia el presente artículo será proporcionada a su representante legal conforme a lo dispuesto en la presente Ley” (énfasis agregado).

En este sentido el artículo 67 de la LOPDP menciona lo siguiente:

“Art. 67.- Infracciones leves del Responsable de protección de datos.- Se consideran infracciones leves las siguientes:(…)

2. No implementar protección de datos desde el diseño y por defecto; (…)”

Asimismo, el numeral 1 del artículo 68 de la LOPDP establece:

“Art. 68.- Infracciones graves del Responsable de protección de datos.- Se consideran infracciones graves las siguientes:

1) No implementar medidas administrativas, técnicas y físicas, organizativas y jurídicas, a fin de garantizar el tratamiento de datos personales que realice conforme la presente Ley, su reglamento, directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativas sobre la materia; (…)”

De igual manera, el artículo 5 del RGLOPDP menciona lo siguiente:

“Art. 5.- De la recogida del consentimiento.- El responsable de datos personales deberá obtener el consentimiento del titular de conformidad con lo establecido en la Ley Orgánica de Protección de Datos Personales.

En todos los casos en los que de conformidad con la Ley se requiera el consentimiento explícito del titular para el tratamiento de sus datos, el responsable deberá informar previa y detalladamente los tipos de tratamiento, finalidades, el tiempo de conservación, las medidas de protección a adoptarse, las consecuencias de su entrega, entre otros aspectos determinados en la Ley, lo cual deberá ser consentido inequívocamente por el titular.

El consentimiento del titular deberá reflejar de manera indubitada la aceptación de éste en relación con el tratamiento de sus datos personales a través de una declaración, pronunciamiento para darse de baja o clara acción afirmativa. El consentimiento otorgado por el titular deberá ser demostrado por el responsable que lo obtiene, cuando así sea requerido por la autoridad competente.

Cuando los datos personales recogidos pertenecen a un incapaz, bastará con el consentimiento del representante legal debidamente acreditado ante el responsable, en los términos señalados en el presente artículo. El consentimiento de niñas, niños y adolescentes y, en general, de personas incapaces, se obtendrá a través de sus representantes legales y curadores, según lo dispuesto en la Ley Orgánica de Protección de Datos Personales y el Código Civil.

El silencio o la inacción, por sí solos, no presumen el consentimiento del titular.” (énfasis agregado).

Del análisis recabado, se considera que el alcance de la obligación de informar al titular de datos personales, cuando se obtiene la información directamente del titular y el tratamiento se fundamenta en el consentimiento, parte de la comprensión del consentimiento como una manifestación de voluntad que solo puede producir efectos jurídicos válidos cuando el titular ha contado previamente con información suficiente para comprender el tratamiento de datos personales que se propone realizar sobre su información personal. En el régimen de protección de datos personales, el consentimiento no constituye un acto meramente formal ni una aceptación genérica, sino una decisión consciente del titular respecto de un tratamiento concreto.

La LOPDP en su artículo 8 establece criterios específicos para identificar cuándo el consentimiento constituye una expresión auténtica de la voluntad del titular, mediante la cual el titular de datos ejerce control sobre sus datos personales. En este sentido, la Ley determina que el consentimiento constituye la manifestación de la voluntad del titular, siempre que dicha manifestación sea libre, específica, informada e inequívoca.

Ante ello, es necesario analizar cada uno de los criterios establecidos por la LOPDP para tener una noción clara de cuándo un consentimiento se considera válido. Es así que el carácter libre exige que la decisión del titular no se encuentre condicionada por presiones, desequilibrios o cualquier forma de coacción que pueda afectar la formación de su voluntad. El carácter específico implica que el consentimiento se otorgue respecto de cada una de las finalidades determinadas y concretas, y en ninguna circunstancia de manera genérica o indeterminada, de modo que el titular conozca con precisión para qué fines se realizará el tratamiento de sus datos personales. El carácter inequívoco requiere una manifestación clara y fehaciente de la voluntad, que no admita duda ni interpretación, evitando así la presunción de consentimiento a partir de conductas o afirmaciones ambiguas. Finalmente, el carácter informado presupone que el titular haya recibido información suficiente y necesaria para comprender el alcance real del tratamiento de sus datos personales. Es así que la ausencia de cualquiera de estos elementos impide considerar que el consentimiento ha sido válidamente otorgado.

Es así como, de manera concordante con lo previamente analizado, el derecho a la información se consolida en el artículo 12 de la LOPDP y regula el alcance de la noción del derecho de información que ostentan los titulares de datos personales y, por ende, que tiene la obligación tanto responsables como encargados del tratamiento, según corresponda. A través de este derecho, el titular accede a los elementos básicos necesarios para comprender el tratamiento de datos personales y así poder evaluar las consecuencias de autorizarlo o no. Por esta razón, la LOPDP determina el contenido mínimo de dicho derecho mediante la enumeración taxativa de diecisiete (17) criterios mínimos, que permiten al titular conocer las características esenciales del tratamiento de sus datos personales y adoptar una decisión con conocimiento suficiente.

Cuando los datos personales se obtienen directamente del titular, la Ley exige que la información del tratamiento sea proporcionada de forma previa, esto es, en el momento mismo de la recogida de los datos personales, conforme a los términos expresamente establecidos en el artículo 12, de manera que el consentimiento se otorgue sobre la base de información actual y efectiva. Estos aspectos informativos configuran los contenidos mínimos del derecho a la información, en tanto representan el estándar que garantiza que el titular pueda comprender el tratamiento en su conjunto y decidir válidamente sobre sus datos personales. No se trata de un catálogo meramente ejemplificativo, ni descriptivo ni susceptible de selección discrecional, sino de un marco de contenidos mínimos que buscan asegurar la efectividad del derecho a la protección de datos.

Ahora bien, la propia estructura del artículo 12 evidencia que determinados numerales se encuentran condicionados por la norma a circunstancias o situaciones específicas. Así tenemos, el numeral 6 que resulta exigible únicamente cuando los datos personales no se hayan obtenido directamente del titular; mientras que el numeral 9 se aplica cuando, de ser el caso, exista la obligación de designar un delegado de protección de datos personales. En estos supuestos, la exclusión de tales aspectos no responde a una reducción arbitraria de la información, sino a la inaplicabilidad expresamente prevista por la propia Ley, lo que confirma que el deber de informar se proyecta sobre todos los contenidos mínimos que resulten aplicables al caso concreto.

El deber de información constituye una obligación del responsable del tratamiento o encargado del tratamiento, según corresponda. Estos deben garantizar que el titular reciba efectivamente los contenidos mínimos y necesarios de información aplicables en el momento previsto por la LOPDP, como presupuesto necesario para que el consentimiento pueda calificarse como informado. Este entendimiento se vincula estrechamente con lo mencionado en el artículo 10 de la ley, en el cual expresamente se mencionan dos principios fundamentales, el principio de lealtad y transparencia, los cuales se configura su cumplimiento al momento de informar al titular de datos personales sobre el o los tratamientos que se realizarán sobre su información personal. Es así que la lealtad exige que el responsable o encargado del tratamiento, según corresponda, actúe de manera honesta y conforme a las expectativas razonables del titular, lo que implica presentar el tratamiento de forma fiel y completa, sin omisiones que alteren la comprensión real de los elementos que lo integran. El informar únicamente una parte de los aspectos del tratamiento de datos personales, desnaturaliza la decisión del titular y afecta la validez del consentimiento, en tanto construye una visión incompleta que afecta su capacidad de decidir de manera consciente.

Por otro lado, la transparencia exige que el titular pueda entender qué ocurrirá y cómo se manejarán sus datos personales y así, anticipar las consecuencias del tratamiento que se propone realizar. Este principio se materializa cuando la información proporcionada permite al titular comprender el tratamiento en su conjunto y ejercer de forma efectiva su derecho de decisión. La transparencia no se satisface con información mínima o genérica, sino con la comunicación de los contenidos mínimos aplicables que permiten al titular formarse un criterio adecuado sobre el tratamiento de sus datos personales.

Desde esta perspectiva, el artículo 5 del RGLOPDP refuerza la exigencia de que cuando el tratamiento se base en el consentimiento del titular, éste sea informado de manera previa, clara y detallada sobre los aspectos del tratamiento previstos en la Ley, los cuales deben ser aceptados de forma inequívoca. Esta disposición confirma que la obligación de informar se limita a los contenidos mínimos legalmente establecidos y aplicables, y que su observancia constituye un presupuesto indispensable para la validez del consentimiento.

En consecuencia, cuando los datos personales se obtienen directamente del titular y el tratamiento se fundamenta en el consentimiento, la obligación de informar comprende todos los contenidos mínimos del artículo 12 de la LOPDP que resulten aplicables conforme a las condiciones expresamente previstas en la propia norma, sin que se pueda omitir o reducir dicha información por razones distintas a las establecidas en la misma Ley. Solo mediante el cumplimiento efectivo de estos contenidos mínimos, en observancia de los principios de lealtad y transparencia, puede garantizarse que el consentimiento del titular cumpla verdaderamente con la característica de ser informado y que el derecho a la protección de datos personales se ejerza de manera efectiva.

Adicionalmente, es necesario recalcar que el derecho de información de los titulares, si bien se encuentra estrechamente vinculado a la base de legitimación del consentimiento, no se limita a ésta. En consecuencia, aun cuando un tratamiento de datos personales se fundamente en una base de legitimación distinta, ello no exime al responsable del tratamiento del cumplimiento íntegro y obligatorio del derecho de información respecto de los titulares de los datos personales.

En este sentido, esta autoridad reitera el análisis expuesto en el oficio N.º SPDP-IRD-2025-0126-O, mediante el cual se dio respuesta a una consulta formulada por un administrado en relación con la política de privacidad, en el que se señaló lo siguiente:

“(…) En este sentido, todos los responsables y encargados del tratamiento tienen la obligación legal de contar con una política de protección de datos personales que refleje de manera precisa las actividades de tratamiento que llevan a cabo. Esta política constituye un instrumento esencial de cumplimiento normativo, en tanto se configura como el documento base que debe contener, al menos, la información prevista en el artículo 12 de la LOPDP. Su importancia radica en que permite informar de manera clara y transparente al titular de los datos personales, a la Superintendencia de Protección de Datos Personales y, en general, a todos los actores del sistema de protección de datos personales, acerca de las operaciones de tratamiento realizadas por el responsable o encargado, según corresponda, así como los lineamientos jurídicos y organizacionales que rigen dicho tratamiento.

No obstante lo anterior, de conformidad con lo dispuesto en el numeral 4 del artículo 47 de la LOPDP, la obligación prevista en la normativa vigente exige que la política de protección de datos personales esté implementada, disponible y acorde con los tratamientos efectuados, mas no que sea aceptada formalmente por los titulares. Sin embargo, en virtud del principio de transparencia y del derecho a la información, la política debe ser comunicada oportunamente a los titulares, de forma previa o simultánea a la recolección de los datos personales o, en caso de no haber una recolección de datos personales, en el momento previo a que se realice el tratamiento de datos personales. En este sentido, es fundamental el cumplimiento de la política de protección de datos personales acorde a los principios previamente citados. Es así que la política debe estar en un lenguaje claro, accesible y comprensible para el titular de datos personales de quien se vaya a tener acceso a su información, esto quiere decir que, si el titular de datos personales de quien se van a tratar los datos personales es un menor de edad, la política deberá estar escrita en un lenguaje y forma que sea entendible para el menor de edad. Esta exigencia tiene como propósito garantizar que los titulares estén debidamente informados sobre las condiciones bajo las cuales se procesará su información personal, sin que esto implique que su consentimiento expreso deba vincularse a la aceptación de la política en sí misma.

Sin perjuicio de lo anterior, esta Superintendencia tiene conocimiento que diversos regulados optan por solicitar la aceptación explícita de la política de protección de datos como una medida de trazabilidad y evidencia de cumplimiento de la obligación del deber de información que tienen los responsables y encargados del tratamiento frente a los titulares de datos personales. Esta práctica, aunque no es jurídicamente obligatoria, no contraviene la normativa siempre que no se condicione el acceso al servicio o producto a dicha aceptación, ni se confunda dicha aceptación con el consentimiento requerido para el tratamiento de los datos personales. Su finalidad operativa radica en acreditar ante los titulares y ante esta autoridad que la política fue debidamente informada y puesta a disposición, lo cual se alinea con la necesidad de demostrabilidad del cumplimiento contemplada en el principio de responsabilidad proactiva. Por tanto, esta práctica puede ser considerada válida en tanto se mantenga dentro del marco del respeto a los derechos de los titulares y no sustituya las manifestaciones de voluntad requeridas para su validez en los casos en que el tratamiento sí demande el consentimiento cumpliendo las condiciones previstas en la normativa vigente. (…)”

Pronunciamiento

En atención a los términos de la consulta realizada a esta Superintendencia, a través de oficio CJE-GG-2025.0609 y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:

“¿En el caso de obtener datos personales directamente del titular (Art. 12, párr. 2 LOPDP) y requerir su consentimiento (Art. 8 LOPDP), la obligación de informar al titular abarca de forma taxativa la inclusión de la totalidad de los diecisiete (17) aspectos enumerados en los numerales 1 al 17 del Artículo 12 de la Ley Orgánica de Protección de Datos Personales, o es legítimo que el responsable del tratamiento omita o reduzca la información a un subconjunto de esos puntos en el documento de autorización de tratamiento (consentimiento)?”

Cuando los datos personales se obtienen directamente del titular y el tratamiento se fundamenta en el consentimiento, la obligación de informar no puede cumplirse mediante una selección discrecional o reducción arbitraria de la información. Se debe proporcionar la totalidad de los contenidos mínimos establecidos en el artículo 12 de la LOPDP siempre que estos resulten aplicables, de forma previa a la obtención del consentimiento. Únicamente es legítima la no inclusión de aquellos numerales en que la propia Ley condiciona expresamente su exigibilidad a supuestos específicos como el numeral 6 y 9 del mencionado artículo. Fuera de estos casos, la omisión o reducción de la información que debe proporcionar el responsable o encargado del tratamiento, según corresponda, vulnera los principios de lealtad y transparencia, así como afecta la validez del consentimiento, al impedir que éste sea informado en legal y debida forma.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la persona jurídica Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales. Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.