Consulta
“Desde la Superintendencia de Protección de Datos Personales (SPDP), nos inteligencie sobre la aplicación y alcance de los artículos 7.7) y 33 de la Ley Orgánica de Protección de Datos Personales (LOPDP), respecto al tratamiento legítimo y lícito de datos personales, bajo la condición séptima que reza “Para el tratamiento de datos personales que consten en bases de datos de acceso públicos”, y “transferencia o comunicación de datos personales en favor de terceros”, en el orden, dentro de la administración de los GAD´s parroquiales y sus entidades asociativas (nacional y provincial)”
Análisis
2.- ANÁLISIS
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 2 de la LOPDP establece:
“Art.2.- Ámbito de aplicación material.- La presente Ley se aplicará al tratamiento de datos personales contenidos en cualquier tipo de soporte, automatizados o no, así como a toda modalidad de uso posterior. La ley no será aplicable a: (…) Son accesibles al público y susceptibles de tratamiento los datos personales referentes al contacto de profesionales y los datos de comerciantes, representantes y socios y accionistas de personas jurídicas y servidores públicos, siempre y cuando se refieran al ejercicio de su profesión, oficio, giro de negocio, competencias, facultades, atribuciones o cargo y se trate de nombres y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, y, número de teléfono profesional. En el caso de los servidores públicos, además serán de acceso público y susceptibles de tratamiento de datos, el histórico y vigente de la declaración patrimonial y de su remuneración.”
(énfasis agregado). El artículo 4 de la LOPDP dispone lo siguiente:
“Art. 4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Fuente accesible al público: Bases de datos que pueden ser consultadas por cualquier persona, cuyo acceso es público, incondicional y generalizado.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).”(énfasis agregado).
Asimismo, el artículo 7 de la LOPDP establece lo siguiente:
“Art. 7.- Tratamiento legítimo de datos personas (sic).- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones: (…)
7) Para tratamiento de datos personales que consten en bases de datos de acceso público;” (énfasis agregado).
El artículo 10 de la LOPDP manifiesta lo siguiente:
“Art. 10 .- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de: (…)
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos. (…)
h) Calidad y exactitud.- Los datos personales que sean objeto de tratamiento deben ser exactos, íntegros, precisos, completos, comprobables, claros; y, de ser el caso, debidamente actualizados; de tal forma que no se altere su veracidad. Se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan.
En caso de tratamiento por parte de un encargado, la calidad y exactitud será obligación del responsable del tratamiento de datos personales.
Siempre que el responsable del tratamiento haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, no le será imputable la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos: (…)
c) Fuesen obtenidos de un registro público por el responsable.” (énfasis agregado).
El artículo 12 de la LOPDP dispone lo siguiente:
“Derecho a la información.- El titular de datos personales tiene derecho a ser informado conforme los principios de lealtad y transparente por cualquier medio sobre:
1) Los fines del tratamiento;
2) La base legal para el tratamiento;
3) Tipos de tratamiento;
4) Tiempo de conservación;
5) La existencia de una base de datos en la que constan sus datos personales;
6) El origen de los datos personales cuando no se hayan obtenido directamente del titular;
7) Otras finalidades y tratamientos ulteriores;
8) Identidad y datos de contacto del responsable del tratamiento de datos personales, que incluirá: dirección del domicilio legal, número de teléfono y correo electrónico;
9) Cuando sea del caso, identidad y datos de contacto del delegado de protección de datos personales, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico;
10) Las transferencias o comunicaciones, nacionales o internacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas y las garantías de protección establecidas;
11) Las consecuencias para el titular de los datos personales de su entrega o negativa a ello; |
12) El efecto de suministrar datos personales erróneos o inexactos;
13) La posibilidad de revocar el consentimiento;
14) La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas.
15) Los mecanismos para hacer efectivo su derecho a la portabilidad, cuando el titular lo solicite;
16) Dónde y cómo realizar sus reclamos ante el responsable del tratamiento de datos personales y la Autoridad de Protección de Datos Personales, y;
17) La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles.
En el caso que los datos se obtengan directamente del titular, la información deberá ser comunicada de forma previa a este, es decir, en el momento mismo de la recogida del dato personal.
Cuando los datos personales no se obtuvieren de forma directa del titular o fueren obtenidos de una fuente accesible al público, el titular deberá ser informado dentro de los siguientes treinta (30) días o al momento de la primera comunicación con el titular, cualquiera de las dos circunstancias que ocurra primero. Se le deberá proporcionar información expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnicas.
La información proporcionada al titular podrá transmitirse de cualquier modo comprobable en un lenguaje claro, sencillo y de fácil comprensión, de preferencia propendiendo a que pueda ser accesible en la lengua de su elección.
En el caso de productos o servicios dirigidos, utilizados o que pudieran ser utilizados por niñas, niños y adolescentes, la información a la que hace referencia el presente artículo será proporcionada a su representante legal conforme a lo dispuesto en la presente Ley.” (énfasis agregado).
El artículo 33 de la LOPDP indica lo siguiente:
“Art. 33 .- Transferencia o comunicación de datos personales.- Los datos personales podrán transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en esta Ley, y se cuente, además, con el consentimiento del titular. Se entenderá que el consentimiento es informado cuando para la transferencia o comunicación de datos personales el Responsable del tratamiento haya entregado información suficiente al titular que le permita conocer la finalidad a que se destinarán sus datos y el tipo de actividad del tercero a quien se pretende transferir o comunicar dichos datos.”
El artículo 36 de la LOPDP dispone:
“Art. 36 .- Excepciones de consentimiento para la transferencia o comunicación de datos personales.- No es necesario contar con el consentimiento del titular para la transferencia o comunicación de datos personales, en los siguientes supuestos: (…) Cuando los datos han sido recogidos de fuentes accesibles al público; (…) 4) Cuando la comunicación se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando dichos datos se encuentren debidamente disociados o a lo menos anonimizados” (énfasis agregado).
En esta misma línea, el artículo 38 de la LOPDP menciona lo siguiente:
“Art. 38 .- Medidas de seguridad en el ámbito del sector público.- El mecanismo gubernamental de seguridad de la información deberá incluir las medidas que deban implementarse en el caso de tratamiento de datos personales para hacer frente a cualquier riesgo, amenaza, vulnerabilidad, accesos no autorizados, pérdidas, alteraciones, destrucción o comunicación accidental o ilícita en el tratamiento de los datos conforme al principio de seguridad de datos personales.
El mecanismo gubernamental de seguridad de la información abarcará y aplicará a todas las instituciones del sector público, contenidas en el artículo 225 de la Constitución de la República de Ecuador, así como a terceros que presten servicios públicos mediante concesión u otras figuras legalmente reconocidas. Estas, podrán incorporar medidas adicionales al mecanismo gubernamental de seguridad de la información.”
El artículo 4 del Reglamento General a la LOPDP (“RGLOPDP”) define:
“Art. 4.-Definiciones.- Sin perjuicio de lo dispuesto en la Ley, para efectos de la aplicación del presente Reglamento, se establecen las siguientes definiciones: (…)
6. Tercero: Persona natural o jurídico, autoridad pública, servicio u organismo distinto del titular, del responsable del tratamiento, del encargado del tratamiento y de las personales autorizadas para tratar los datos personales bajo la autoridad directa del responsable.” (énfasis agregado).
El artículo 7 del RGLOPDP dispone lo siguiente:
“Art. 7.- Tratamiento legítimo.- Para efectos del correcto tratamiento de datos personales, se considerará lo siguiente:
Cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos: Se entenderá que el tratamiento de datos personales está basado en el cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos, debidamente motivado y de acuerdo con los principios establecidos en la Ley, cuando la competencia correspondiente esté atribuida en una norma con rango de ley.
El tratamiento de datos personales realizado sobre esta base legitimadora deberá observar lo siguiente:
a. Los tipos de datos objeto del tratamiento;
b. Los titulares o interesados afectados;
c. Las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación;
d. La limitación de la finalidad:
e. Plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo.
El tratamiento de datos personales bajo esta base legitimadora deberá cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. (…)
Fuentes accesible al público: Para el tratamiento de datos personales que consten en bases de datos de acceso público, se considerará que los datos deben ser obtenidos de fuentes accesibles al público, según la definición de la Ley y el presente Reglamento, respetando el principio de limitación de la finalidad, atendiendo a las razones concretas que han determinado la publicación de la información, especialmente cuando dicha publicación se realiza en cumplimiento de una obligación legal o por razones de interés público.
Consecuentemente, el tratamiento de los datos personales obtenidos de fuentes accesibles al público requiere que la finalidad pretendida con el nuevo tratamiento sea compatible con la finalidad que justificó la publicación de los datos, por lo que el hecho de que los datos figuren en fuentes públicas no determina la posibilidad de realizar un tratamiento indiscriminado por parte de los responsables.” (énfasis agregado).
El artículo 21 y 22 del RGLOPDP exponen:
“Art. 21.- Transferencia de datos personales a un tercero.- La transferencia o comunicación de datos personales a un tercero o encargado requerirá el consentimiento del titular, a menos que, previo a realizar la misma, se han disociado los datos, se han utilizado mecanismos de cifrado robustos de los datos u otros mecanismos orientados a la privacidad e intimidad de los titulares de los datos personales; de manera que no se pueda identificar a qué persona se refieren.
Art. 22.- Supuestos para la transferencia de datos a terceros.- La transferencia o comunicación de datos personales a terceros se podrá realizar siempre que concurran los siguientes supuestos:
1. Para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del tercero destinatario, en cuyo caso el destinatario se obliga a cumplir con la normativa de protección de datos; y,
2. Cuando se cuente con el consentimiento previo del titular, el cual puede ser revocado en cualquier momento.
No se requerirá el consentimiento del titular en los supuestos previstos en la Ley.”
Ahora bien, con base en los artículos previamente citados, se procede analizar la pregunta planteada por el Consultante. Para poder dar una respuesta adecuada y clara es necesario dividir el análisis en dos partes. Como punto principal es fundamental entender qué es una transferencia o comunicación de datos personales y dónde ésta se ubica en un ciclo de vida de datos personales. Y, como segundo punto relacionado al primero, el comprender qué es una base de legitimación. En este sentido esta autoridad se permite citar parte del análisis realizado para la consulta absuelta en el Oficio N° SPDP-IRD-2025-0096-O, donde se menciona lo siguiente:
“(…)Una vez definidos y determinados los alcances reales de los conceptos antes señalado, esta Autoridad estima necesario que los mismos sean interpretados de forma sistémica y en concordancia con el marco normativo vigente en materia de protección de datos personales. Tal interpretación resulta esencial para una aplicación coherente de las disposiciones legales y reglamentarias que rigen esta materia. En este sentido, es imprescindible considerar el ciclo de vida del dato personal como un eje estructural del tratamiento. El ciclo debe observarse de manera integral en todo tratamiento de datos personales, con independencia de su naturaleza o del sector en el que se lleve a cabo, dado que constituye la base sobre la cual se articulan las obligaciones y responsabilidades de los distintos sujetos intervinientes. La correcta comprensión de las etapas que conforman dicho ciclo permite delimitar con precisión el rol que cada actor –sea responsable, encargado, tercero u otro sujeto vinculado al tratamiento– desempeña dentro del sistema de protección de datos personales, así como sus facultades, límites y obligaciones a lo largo de todo el proceso.
Con el propósito de ofrecer mayor claridad al Consultante respecto a esta estructura funcional, se presenta a continuación una representación gráfica de las etapas que integran el ciclo de vida del dato personal, a fin de facilitar su comprensión y aplicación conforme a los principios y deberes previstos en la normativa vigente:
Como se puede observar en el gráfico anterior, el ciclo de vida del dato personal comprende las distintas fases por las que atraviesa desde el momento en que es recolectado hasta su eliminación o anonimización. Cada una de estas fases debe estar sujeta al cumplimiento de los principios rectores del tratamiento y a la implementación de medidas de seguridad, transparencia y licitud, que aseguren el respeto de los derechos de los titulares y la legitimidad del tratamiento. El proceso inicia con la captación o recolección del dato personal, momento en el cual el responsable del tratamiento debe contar con una de las bases legitimadoras que se establecen en el artículo 7 de la LOPDP. Asimismo, debe informar de manera clara al titular sobre las finalidades del tratamiento y garantizar que la información sea obtenida de forma lícita, leal y transparente.
La segunda etapa se da una vez recolectados los datos, éstos pasan al registro y almacenamiento, sea en formato físico o digital, fase en la que se debe asegurar la integridad, confidencialidad y disponibilidad de la información mediante la adopción de medidas técnicas, físicas, legales, administrativas y organizativas apropiadas. El almacenamiento debe ajustarse a los principios de minimización, proporcionalidad y limitación temporal, evitando la conservación excesiva e innecesaria de datos, solamente conservándolos para la finalidad que motivó su recolección. En la tercera etapa, los datos personales ingresan en la fase de uso o tratamiento activo, que abarca cualquier operación que se realice sobre ellos, incluyendo su análisis, modificación, procesamiento, entre otras. En esta etapa, el tratamiento debe responder exclusivamente a la finalidad declarada y contar con controles efectivos que permitan garantizar la trazabilidad. Es en esta etapa donde el responsable del tratamiento puede realizar un encargo de tratamiento de datos personales.
La cuarta etapa, que no se da ni es obligatoria para todos los tratamientos, es la de transferencia o comunicación a terceros. Dicha transferencia deberá contar con las bases legitimadoras correspondientes y, contar con garantías suficientes que aseguren un nivel adecuado de protección de la información tanto en almacenamiento del responsable del tratamiento como en tránsito. Toda comunicación de datos debe documentarse y estar debidamente respaldada por contratos u otros instrumentos que regulen el acceso y uso de la información por parte del tercero que recibe la información.
Superada la fase activa del tratamiento, se pasa a la quinta etapa que es la de conservación. Los datos deben ser conservados únicamente durante el tiempo estrictamente necesario para el cumplimiento de la finalidad que justificó su recolección. Concluido dicho plazo, corresponde al responsable proceder a su eliminación o a su anonimización irreversible, salvo que exista una obligación legal o contractual de conservación posterior. La conservación debe regirse por el principio de proporcionalidad, evitando la retención indefinida de datos que no responden a una finalidad actual, y aplicando técnicas como la seudonimización cuando corresponda. Finalmente, la sexta etapa corresponde a la eliminación del dato personal, que implica su destrucción definitiva o, alternativamente, su anonimización irreversible, de modo que no pueda ser reidentificado por ningún medio razonablemente disponible. Esta etapa puede ser activada por el cumplimiento de los plazos legales de conservación, por el ejercicio del derecho de eliminación del titular, o por el cese de la finalidad del tratamiento. En todos los casos, el procedimiento de eliminación debe garantizar que la información no pueda ser recuperada ni expuesta posteriormente.
Se enfatiza que el enfoque por ciclo de vida del dato personal permite adoptar una visión integral del tratamiento, identificar riesgos en cada etapa y aplicar medidas de seguridad diferenciadas de protección que respondan al nivel de sensibilidad de los datos y a la naturaleza de la operación que se realiza. En dicho sentido es fundamental que durante todo el ciclo de vida del dato se debe mantener una supervisión constante, debido a que el tratamiento de datos personales es dinámico por lo que la mera implementación no implica un cumplimiento total, sino que se debe mantener una auditoría y actualización constante para poder monitorear el flujo de los datos personales. (…)”
Ahora bien, una vez determinado el ciclo de vida del dato, se puede evidenciar, como en efecto se visualiza en el gráfico, que una de las etapas de ciclo de vida puede implicar una comunicación o transferencia de datos personales. En este sentido, el artículo 33 de la LOPDP regula la transferencia o comunicación de datos personales a destinatarios. En términos generales, existe comunicación o transferencia cuando una entidad revela, entrega, remite o pone datos personales a disposición de una persona natural o jurídica distinta del titular, responsable o encargado del tratamiento. En concordancia con ello, es necesario hacer referencia y citar, lo ya aclarado por esta autoridad en la consulta previamente citada donde se también se mencionó lo siguiente:
“(…) El tercero es definido como cualquier persona natural o jurídica, autoridad pública, servicio u organismo que no sea el titular, el responsable del tratamiento, el encargado del tratamiento ni el personal autorizado bajo la autoridad del responsable. Esta definición, construida por exclusión, delimita claramente a los sujetos externos al círculo de tratamiento legítimo de los datos personales. Es así que, si bien todo destinatario es un tercero, no todo tercero es destinatario, ya que éste último requiere de un acto concreto de comunicación de datos. (…)” (énfasis agregado).
Teniendo claro estos conceptos es necesario aclarar que resulta importante distinguir los supuestos en los cuales una entidad asociativa actúa como tercero destinatario de la información, de aquellos casos en los que actúa como encargado del tratamiento por cuenta de un GAD parroquial. En este sentido, el acceso a los datos personales no constituye propiamente una transferencia de datos, sino un encargo de tratamiento realizado por cuenta del responsable, debiendo regularse mediante los instrumentos jurídicos correspondientes y observando las instrucciones impartidas por el responsable del tratamiento.
En este orden de ideas, es fundamentar que tanto el responsable de tratamiento de datos personales como el encargado de tratamiento de datos personales puedan mapear cada uno de los ciclos de vida de los datos personales con la finalidad de identificar en la calidad en la que actúan y, por ende, las obligaciones que les corresponden de acuerdo con la normativa de protección de datos personales. Bajo esta consideración, cuando exista relación institucional, asociativa o de coordinación administrativa entre los GAD parroquiales y sus entidades nacionales o provinciales, el intercambio de datos personales entre dichas entidades puede constituir jurídicamente una transferencia o comunicación de datos personales, debiendo observar las exigencias y principios establecidos en la LOPDP.
Así también, las transferencias o comunicaciones de datos personales únicamente podrán considerarse legítimas cuando respondan a fines directamente relacionados con las competencias y funciones legalmente atribuidas tanto a la entidad emisora como a la entidad receptora, exista una base de legitimación válida y se respeten integralmente los principios de finalidad, proporcionalidad y minimización de datos.
Una vez analizado el ciclo de vida de los datos e identificado donde se ubican las transferencias o comunicaciones de los mismos, es pertinente analizar las bases de legitimación que constituyen uno de los requisitos para que se pueda transferir o comunicar datos personales como una forma de tratamiento de los mismos. En este sentido el artículo 7 de la LOPDP establece las bases de legitimación que habilitan para que un tratamiento de datos personales sea considerado lícito. Dentro de dichas bases, el numeral 7 contempla el tratamiento de datos personales que consten en bases de datos o fuentes accesibles al público. Para ello, es necesario explicar qué debe entenderse como fuente accesible al público, éstas corresponden a bases de datos o sistemas de información cuyo acceso puede ser realizado legítimamente por cualquier persona, sin restricciones particulares. Entre estas pueden encontrarse registros públicos, catastros, directorios institucionales, gacetas oficiales, páginas web institucionales o sistemas abiertos de consulta, siempre que la publicidad de dicha información responda a una finalidad legal o institucional específica. No obstante, para determinar adecuadamente el alcance de esta disposición, resulta necesario interpretar dicha causal de legitimación de manera sistemática con los principios y obligaciones previstos en la LOPDP y su RGLOPDP.
En este sentido, el hecho de que determinada información sea accesible públicamente no implica por sí misma que los datos personales contenidos en dichas fuentes pierdan protección jurídica ni que puedan ser utilizados de manera libre, indiscriminadamente, o para cualquier finalidad sin responsabilidad alguna. El RGLOPDP establece expresamente que el tratamiento ulterior de datos obtenidos de fuentes accesibles al público debe respetar el principio de limitación de la finalidad y, su nueva finalidad para la cual los datos son recabados debe mantener compatibilidad con las razones que justificaron originalmente la publicidad o accesibilidad de la información.
Por tanto, la accesibilidad pública de determinada información no extingue los derechos que asisten a los titulares de los datos personales. Así, la información contenida en catastros, registros públicos, directorios institucionales, páginas web oficiales, gacetas o sistemas abiertos de consulta únicamente podrán ser utilizadas cuando el nuevo tratamiento mantenga relación con la finalidad que justificó originalmente su publicación y responda a una finalidad legítima y compatible.
Ahora bien, dentro de la administración pública y particularmente respecto de los GAD parroquiales y sus entidades asociativas, resulta relevante considerar que determinados datos vinculados al ejercicio de funciones públicas poseen naturaleza pública por disposición normativa, como ocurre con información relativa a servidores públicos, directorios institucionales, remuneraciones, declaraciones patrimoniales o información relacionada con el ejercicio de funciones públicas, esto de acuerdo con el artículo 2 de la LOPDP. Sin embargo, aun en estos casos, el tratamiento posterior de dicha información debe observar criterios de necesidad, proporcionalidad y minimización de datos.
Asimismo, el RGLOPDP reconoce que, aun cuando los datos sean obtenidos de fuentes accesibles al público, subsiste el deber de información al titular respecto del nuevo tratamiento efectuado, el cual deberá cumplirse dentro de los plazos y condiciones previstos en el artículo 12 de la LOPDP. En consecuencia, la utilización de datos provenientes de fuentes públicas no exime automáticamente del cumplimiento de las demás obligaciones previstas en la normativa de protección de datos personales.
Una vez analizados los dos aspectos principales, es pertinente mencionar que el artículo 36 de la LOPDP contempla determinados supuestos en los cuales la transferencia o comunicación de datos personales puede efectuarse sin requerir consentimiento del titular –como una base de legitimación y como un requisito para las transferencias o comunicaciones establecido en el artículo 33 de la LOPDP-, particularmente cuando los datos provengan de fuentes accesibles al público o cuando la comunicación se produzca entre administraciones públicas para fines históricos, estadísticos o científicos, siempre que se adopten medidas adecuadas de disociación o anonimización de los datos personales. De igual forma, la normativa prevé la posibilidad de comunicar información cuando ello resulte necesario para el ejercicio de competencias legalmente atribuidas a autoridades administrativas o judiciales.
En consecuencia, dentro de la estructura administrativa de los GAD parroquiales y sus entidades asociativas podrían existir escenarios legítimos de comunicación de datos personales para fines de coordinación institucional, planificación territorial, articulación administrativa, elaboración de estadísticas, prestación de servicios públicos o cumplimiento de competencias legalmente atribuidas. Sin embargo, la sola existencia de relaciones institucionales o asociativas entre entidades públicas no constituye una habilitación irrestricta o ilimitada para compartir datos personales de manera generalizada o indiscriminada.
Finalmente, considerando que los GAD parroquiales y sus entidades asociativas forman parte del sector público de conformidad con el artículo 225 de la CRE, dichas entidades se encuentran obligadas a observar íntegramente las disposiciones previstas en la LOPDP, incluyendo la implementación de medidas técnicas y organizativas adecuadas, mecanismos de seguridad de la información y la designación obligatoria de un delegado de protección de datos personales.
En consecuencia, el alcance del numeral 7 del artículo 7 y el artículo 33 de la LOPDP deben interpretarse bajo un enfoque sistemático y garantista de protección de derechos. El hecho de que determinada información conste en fuentes accesibles al público no convierte automáticamente cualquier tratamiento posterior en legítimo ni elimina la obligación de justificar jurídicamente su utilización, transferencia o comunicación. Del mismo modo, la existencia de vínculos institucionales entre entidades públicas no excluye el cumplimiento de los principios y obligaciones establecidos en la normativa de protección de datos personales, particularmente aquellos relacionados con finalidad, proporcionalidad, minimización, seguridad y responsabilidad proactiva.
Cabe señalar que todo tratamiento de datos personales debe sustentarse en una base de legitimación adecuada y específica para el tratamiento correspondiente. De igual manera, las medidas de seguridad implementadas deben guardar correspondencia con las particularidades de cada tratamiento realizado.
En este sentido, la base de legitimación prevista en el numeral 7 del artículo 7 de la LOPDP no legitima, por sí misma, una transferencia o comunicación de datos personales, en tanto estas constituyen tratamientos diferenciados. Por consiguiente, la referida base de legitimación resulta aplicable únicamente al responsable del tratamiento que obtiene información proveniente de una fuente de acceso público, sin que medie una solicitud de transferencia o comunicación dirigida a quien publica dicha información.
Así, cuando una institución pública solicita información a otra institución pública, aun cuando los datos requeridos tengan carácter público, dicha solicitud no puede fundamentarse en la base de legitimación prevista en el numeral 7 del artículo 7 de la LOPDP. En estos casos, la transferencia o comunicación de datos personales deberá sustentarse en una obligación legal, una orden judicial o cualquier otra base de legitimación aplicable conforme al ordenamiento jurídico vigente. En consecuencia, y siempre que se configure alguno de los supuestos excepcionales previstos en la normativa aplicable, dicha transferencia podrá realizarse sin requerir el consentimiento del titular de los datos personales bajo las condiciones antes indicadas.
Pronunciamiento
En atención a los términos de la consulta realizada mediante oficio n°: CONAGOPARE-PR-PACC-2026-0101-OF y debidamente subsanada a través del oficio n°: CONAGOPARE-PR-PACC-2026-0145-OF de 21 de abril de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
1. “ Desde la Superintendencia de Protección de Datos Personales (SPDP), nos inteligencie sobre la aplicación y alcance de los artículos 7.7) y 33 de la Ley Orgánica de Protección de Datos Personales (LOPDP), respecto al tratamiento legítimo y lícito de datos personales, bajo la condición séptima que reza “Para el tratamiento de datos personales que consten en bases de datos de acceso públicos”, y “transferencia o comunicación de datos personales en favor de terceros”, en el orden, dentro de la administración de los GAD´s parroquiales y sus entidades asociativas (nacional y provincial)”
En atención al análisis, esta autoridad concluye que el tratamiento de datos personales provenientes de fuentes accesibles al público únicamente podrá considerarse legítimo cuando dicho tratamiento mantenga compatibilidad con la finalidad inicial que justificó originalmente la publicidad de la información y se encuentre directamente vinculado al ejercicio de competencias legalmente atribuidas, observando los principios de finalidad, proporcionalidad y minimización previstos en la normativa de protección de datos personales. En este mismo sentido, la transferencia o comunicación de datos personales entre GAD parroquiales y sus entidades asociativas constituye una operación de tratamiento sujeta a las disposiciones de la LOPDP, por lo que únicamente podrá efectuarse cuando exista una base de legitimación válida y adecuada, la comunicación responda a fines institucionales legítimos y se garantice el cumplimiento de las obligaciones y medidas de seguridad previstas en la normativa aplicable. Por consiguiente, la sola existencia de una relación institucional o asociativa entre entidades públicas no constituye una habilitación irrestricta ni ilimitada para el intercambio generalizado o indiscriminado de datos personales, debiendo analizarse en cada caso la finalidad, necesidad y proporcionalidad del tratamiento efectuado.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.