La Superintendencia de Protección de Datos Personales (SPDP) emitió un pronunciamiento técnico no vinculante sobre la aplicación del artículo 6, numeral 6.1, de la Resolución N.° SPDP-SPDP-2024-0002-R, relativo a la obligación de presentar un acuerdo de corresponsabilidad o de encargo de tratamiento junto con el registro de apoderados.
La consulta planteó si una empresa extranjera que trata datos personales de nacionales ecuatorianos, pero que actúa de manera autónoma y no bajo un esquema de corresponsabilidad ni de encargo, debe igualmente presentar dicho acuerdo.
Criterio de la SPDP
- Alcance de la obligación: la exigencia de presentar un acuerdo de corresponsabilidad o encargo solo aplica cuando exista efectivamente una relación jurídica que configure corresponsables del tratamiento o un encargo documentado.
- Tratamiento autónomo: si el responsable extranjero actúa de manera independiente y no mantiene vínculos de corresponsabilidad ni encarga actividades a un tercero, no le corresponde presentar el acuerdo previsto en el artículo 6.1 de la Resolución N.° SPDP-SPDP-2024-0002-R.
- Cumplimiento integral: la exoneración de este requisito no libera del cumplimiento de las demás obligaciones del artículo 6 de la Resolución (registro de actividades de tratamiento, análisis de riesgos, flujos de datos, medidas de seguridad, códigos de autorregulación, entre otros).
- Responsabilidad proactiva: se recomienda que, como buena práctica, el responsable extranjero presente documentación adicional (p. ej. políticas de privacidad, términos y condiciones, certificaciones) que evidencie su actuación autónoma y las medidas implementadas para garantizar la protección de datos.
- Carácter excepcional: la dispensa del acuerdo aplica únicamente cuando no exista relación jurídica de corresponsabilidad o encargo; de comprobarse la existencia de estas, la presentación del instrumento es plenamente exigible.
Fundamento normativo clave
- Constitución de la República del Ecuador, artículo 66, numeral 19: derecho a la protección de datos personales.
- Ley Orgánica de Protección de Datos Personales (LOPDP): artículos 3 (ámbito de aplicación), 4 (definiciones), 10 (principios de transparencia y responsabilidad proactiva), 34 y 35 (acceso a datos por encargados o terceros), 37 (seguridad de datos personales) y 47 (obligaciones del responsable y encargado).
- Reglamento a la Ley Orgánica de Protección de Datos Personales (RLOPDP): artículos 2 y 3 (aplicación extraterritorial y obligación de apoderado especial), artículo 37 (responsables conjuntos), artículos 41 a 45 (relaciones entre responsable y encargado, obligaciones y responsabilidad del encargado).
- Resolución N.° SPDP-SPDP-2024-0002-R, Guía técnica para responsables y encargados extranjeros: artículo 1 (ámbito de aplicación) y artículo 6, numeral 6.1 (obligación de presentar acuerdos de corresponsabilidad o encargo, según corresponda).
- Resolución N.° SPDP-SPD-2025-0002-R, sobre designación de apoderados especiales: artículos 2 y 3 (requisitos y facultades de los apoderados).
Pronunciamiento
La SPDP concluyó que, cuando una empresa extranjera trate datos personales de nacionales ecuatorianos de manera autónoma, sin corresponsabilidad ni encargo de tratamiento, no se encuentra obligada a presentar el acuerdo previsto en el artículo 6.1 de la Resolución N.° SPDP-SPDP-2024-0002-R.
Sin embargo, deberá cumplir con las demás obligaciones establecidas en la normativa aplicable y podrá acompañar documentación adicional que demuestre su independencia y el cumplimiento de medidas de seguridad, en aplicación del principio de responsabilidad proactiva.
Este pronunciamiento es una opinión técnica no vinculante, aplicable únicamente al caso consultado, y no limita las facultades de supervisión, control y sanción de la SPDP.
* Oficio N° SPDP-IRD-2025-0198-O
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL Abogados.
