El 10 de septiembre del 2024,  la Superintedencia de Protección de Datos Personales (SPDP) publicó en el Registro Oficial la guía técnica obligatoria para el registro de los apoderados especiales de responsables, conjuntos o no, y encargados extranjeros, que realicen actividades de tratamiento de datos personales en el Ecuador, con los siguientes parámetros.

1. ¿A QUIÉN APLICA ESTA RESOLUCIÓN?

La resolución emitida por la SPDP está dirigida a los responsables y encargados del tratamiento de datos personales extranjeros, que sin estar domiciliados en el Ecuador:

• a. Oferten bienes y/o servicios a titulares de datos personales que residan en el territorio;
• b. Formen parte del sistema de protección de datos personales del Ecuador, independientemente de que, si respecto de los bienes o servicios que ofertan, se requiera o no un pago; o
• c. Realicen control de comportamiento, en la medida en que dicho control tuviere lugar en el territorio, ya fuere de forma física, virtual o remota.

1. OBJETO DE LA RESOLUCIÓN

La presente resolución tiene como objeto regular la forma en la que los responsables y encargados de tratamiento de datos personales extranjeros deben nombrar a un apoderado dentro del territorio ecuatoriano, para el cumplimiento de obligaciones de tramitar quejas o solicitudes en materia de protección de datos personales.

2. ¿QUÉ REQUISITOS DEBE CUMPLIR EL APODERADO ESPECIAL?

La presente resolución tiene como objeto regular la forma en la que los responsables y encargados de tratamiento de datos personales extranjeros deben nombrar a un apoderado dentro del territorio ecuatoriano, para el cumplimiento de obligaciones de tramitar quejas o solicitudes en materia de protección de datos personales.

3. ¿QUÉ REQUISITOS DEBE CUMPLIR EL APODERADO ESPECIAL?

a. Persona natural o jurídica activa (sociedad mercantil activa) establecida o domiciliada en el Ecuador.

i. En el caso de las personas naturales, deberán ser ecuatorianas con domicilio en el Ecuador, o extranjeras con calidad de residentes en el país y en ambos casos estas personas deberán estar en goce de sus derechos políticos.

ii. En el caso de las personas jurídicas, su objeto social deberá permitirles actuar en calidad de mandatario (esto podrá ser validado por la SPDP en la Superintendencia de Compañías, Valores y Seguros (SCVS).

4. DESIGNACIÓN DEL APODERADO ESPECIAL  

El apoderado especial que designen los responsables o encargados del tratamiento deberá contar con facultades suficientes para comparecer ante instancias judiciales y administrativas en materia de protección de datos y de manera señalada, aunque no exclusiva, para atender y tramitar o, en su caso, para colaborar en el cumplimiento de la obligación de atender y tramitar las peticiones o quejas que presenten los titulares de los derechos de protección de datos personales.

El poder otorgado por el responsable del tratamiento extranjero deberá incluir necesariamente además de sus denominaciones o razones sociales, las marcas o nombres comerciales que utilizan para distinguir sus productos o servicios en el mercado, el poder otorgado por un encargado del tratamiento de datos extranjero, y deberá incluir, además, de sus denominaciones o razones sociales, las de los responsables a nombre de quienes y por cuya cuenta tratan datos personales. En ambos casos se debe incluir en el poder:

a. Las direcciones electrónicas y físicas, así como los números telefónicos, de sus respectivas casas matrices; y,

b. Las direcciones electrónicas y físicas, así como los números telefónicos, de los apoderados especiales que han designado para el territorio.

5. REGISTRO DEL APODERADO ESPECIAL

El registro del apoderado especial se realizará en la SPDP, mediante solicitud suscrita por el apoderado con firma electrónica verificada, a través de la aplicación FirmaEc, por medio de los medios físicos y digitales de la SPDP para tal efecto.

6. OBLIGACIONES DEL SUJETO REGULADO

Los sujetos regulados están obligados a entregar a la SPDP la siguiente documentación:

a. El acuerdo de corresponsabilidad para el tratamiento adecuado de datos personales o el acuerdo de encargo, según corresponda;

b. El registro de actividades de tratamiento (“RAT”) por cada una de las actividades de tratamiento que realicen;

c. El análisis de riesgos por cada actividad de tratamiento de tratamiento de datos personales que realicen;

d. El flujo de datos personales que realicen por cada tratamiento;

e. El detalle de las medidas de seguridad que han implementado para la comunicación y transferencia seguras de datos personales, esto sin perjuicio de las atribuciones que, en este ámbito, le competen a la SPDP; y,

f. Sus códigos de autorregulación, en caso de tenerlos, los que, en todo caso, estarán sujetos a la aprobación de la Superintendencia.

7. ACTUALIZACIÓN DE APODERADOS ESPECIALES

Se debe actualizar el apoderado en los siguientes casos:

• a. Muerte del apoderado especial; ii.
• b. Renuncia del apoderado especial; iii.
• c. Vencimiento del plazo del poder especial conferido, si lo tuviere; y,
• d. Cambio de denominación, absorción, escisión, transformación, disolución o liquidación de la persona jurídica designada como apoderada especial.

8. PLAZO DE CUMPLIMIENTO

Los sujetos regulados objeto de la presente resolución a la fecha de suscripción de esta, deberán cumplir de manera obligatoria con el procedimiento de registro de los apoderados especiales ante la SPDP, dentro del plazo de seis meses, que empezará a discurrir desde su publicación en el Registro Oficial, el 10 de septiembre del 2024.

Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL Abogados.