La consulta:
Se preguntó a la Superintendencia de Protección de Datos Personales (SPDP) si la comunicación de datos personales entre sociedades de un mismo grupo que determinan autónomamente sus propias finalidades de tratamiento, está sujeta a los requisitos de transferencia o comunicación previstos en el artículo 33 de la Ley Orgánica de Protección de Datos Personales ( LOPDP) y el artículo 6 de la Resolución N.° SPDP-SPD-2026-0004-R sin que la sola vinculación societaria sirva de base de legitimación; mientras que el acceso de una sociedad que actúa como encargada, bajo el artículo 34 de la LOPDP y el artículo 23 de dicha Resolución, no constituye transferencia o comunicación.
Lo que dice la Superintendencia:
- La figura de “responsable independiente” no existe como categoría jurídica diferenciada en la legislación ecuatoriana. Si dos entidades determinan conjuntamente las finalidades y los medios de un tratamiento, son responsables conjuntos; si cada una determina autónomamente sus propias finalidades, cada una actúa como responsable respecto de sus respectivos tratamientos.
- Pertenecer al mismo grupo empresarial no crea un régimen especial. La sola vinculación societaria no constituye base de legitimación ni presume la licitud de la comunicación de datos entre las sociedades del grupo.
- Cuando una sociedad del grupo entrega datos a otra para que esta los trate para sus propias finalidades, se configura una transferencia o comunicación sujeta, de manera concurrente, a: (i) una finalidad lícita, legítima y determinada, vinculada a las funciones de ambas sociedades; (ii) una base de legitimación válida conforme a la LOPDP; y, (iii) el consentimiento informado del titular, salvo que resulte aplicable una excepción prevista en la LOPDP.
- Distinto es el encargo de tratamiento: si la sociedad receptora trata los datos exclusivamente para prestar un servicio a la otra, bajo sus instrucciones y dentro de una relación de encargo real (documentada mediante contrato conforme al artículo 34), el acceso no constituye transferencia ni comunicación.
- El criterio diferenciador no es la ubicación ni la vinculación societaria, sino la naturaleza jurídica de la relación: en la transferencia, el receptor decide sobre una nueva finalidad propia; en el encargo, el tratamiento sigue por cuenta y bajo instrucciones del responsable original, quien conserva el control de fines y medios.
- Carácter del pronunciamiento: opinión técnica no vinculante, de aplicación bajo exclusiva responsabilidad de la Consultante, que no limita las facultades de supervisión, control y sanción de la SPDP.
Antes de comunicar datos personales entre sociedades de un mismo grupo, debe determinarse para qué los tratará la sociedad receptora, pues la sola vinculación societaria no legitima su comunicación. Si la receptora los tratará para sus propias finalidades, la operación constituye una transferencia o comunicación y deberá cumplir los requisitos aplicables. Si los tratará exclusivamente para prestar un servicio por cuenta y bajo las instrucciones de la otra sociedad, la relación deberá formalizarse mediante el correspondiente contrato de encargo.
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL.