Mediante el Oficio No. SPDP-IRD-2025-0096-O, la Superintendencia de Protección de Datos Personales (SPDP), a través de una consulta, explicó la forma de interpretación y aplicación de los artículos 34 y 35 de la Ley Orgánica de Protección de Datos Personales (LOPDP), en conjunto con el artículo 43 de su Reglamento (RLOPDP).
Para ello primero, destacó la importancia del entendimiento del ciclo de vida del dato, como eje estructural de todo tratamiento, explicando las diversas fases que lo componen:
- Recolección;
- Almacenamiento;
- Uso y Tratamiento (haciendo énfasis que, en esta fase, donde el responsable puede encargar el tratamiento a un tercero, bajo las condiciones previstas en la ley);
- Transferencia o comunicación;
- Conservación;
- Eliminación;
Análisis de los artículos 34 y 35 de la LOPDP
Considerando que la fase de uso y tratamiento constituye el momento en que el responsable puede delegar el tratamiento de datos personales a un tercero, la SPDP procede a analizar de forma específica los artículos 34 y 35 de la LOPDP que regulan precisamente esta figura de encargo.
El artículo 34 de la LOPDP, establece que el encargado trata los datos por cuenta del responsable, bajo instrucciones documentadas y en virtud de una relación contractual. El artículo 35 de la LOPDP, por su parte, actúa como una cláusula de reconducción jurídica que permite calificar como encargado a un tercero que accede a datos personales en el contexto de un servicio prestado al responsable, cuando ese acceso sea necesario para ejecutar dicho servicio.
A manera de resumen:
| Criterio | Art. 34 LOPDP | Art. 35 LOPDP |
| Sujeto regulado | Encargado del tratamiento | Tercero que se convierte en encargado del tratamiento |
| Situación jurídica | Relación de encargo ya establecida | Relación potencial o eventual |
| Naturaleza del acceso | Encargo formal y directo | Acceso necesario para prestar un servicio |
| Finalidad | Regular el encargo del tratamiento | Evitar accesos sin control que vulneren bases de datos |
En ambos casos, el elemento central es la prestación de un servicio al responsable, lo que activa la figura del encargo de tratamiento, asimismo, ambos artículos exigen respaldo contractual, imponen la eliminación o devolución de los datos al concluir la prestación, y establecen responsabilidad por el incumplimiento de las condiciones pactadas.
Relación con el artículo 43 del RLOPDP
El artículo 43 del Reglamento, debe interpretarse en conjunto con los artículos 34 y 35 de la LOPDP, puesto que comparten un mismo criterio: el tratamiento de datos personales por parte de un tercero solo es legítimo cuando existe una relación de encargo, es decir, cuando el tercero actúa en nombre y por cuenta del responsable, conforme a un contrato.
En conclusión
- El art. 34 de la LOPDP define al encargado y es considerado por la SPDP como “la columna vertebral” de esta regulación.
- El art. 35 de la LOPDP opera como una cláusula de cierre que evita vacíos de responsabilidad, al regular situaciones en las que un tercero accede a datos personales en el marco de una prestación de servicios al responsable. En esos casos, el tercero debe ser tratado como encargado del tratamiento y asumir las obligaciones correspondientes.
- El art. 43 del RLOPDP refuerza la relación jurídica entre responsable y encargado, exigiendo que toda actuación del encargado sea conforme a instrucciones documentadas y advirtiendo que, si alguna instrucción es ilegal, debe ser reportada al responsable.
La SPDP aclara que una misma persona natural o jurídica puede ser encargado frente a unas finalidades y responsable frente a otras.
Ante esta consulta, se debe revisar cuidadosamente los contratos suscritos con terceros que accedan a datos personales, a fin de determinar si existe una relación de encargo conforme a la LOPDP o si el tercero actúa como responsable del tratamiento para ciertas finalidades. La correcta identificación del rol del tercero permite aplicar adecuadamente los artículos 34, 35 de la LOPDP y 43 del RLOPDP.
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL Abogados.
