La Superintendencia de Protección de Datos Personales publicó los Oficios No. SPDP-IGRD-2026-485-O y SPDP-IGRD-2026-475-O, mediante los cuales absolvió consultas sobre la obligación de designar un Delegado de Protección de Datos Personales (DPD) por responsables o encargados extranjeros y el tratamiento de las comunicaciones de datos personales entre sociedades pertenecientes a un mismo grupo empresarial.
En aplicación del artículo 3, numerales 3 y 4, y del artículo 48, de la Ley Orgánica de Protección de Datos Personales, ¿un responsable o encargado del tratamiento no domiciliado en Ecuador, que realiza tratamiento de datos personales sujeto a la normativa ecuatoriana y respecto del cual concurran además los criterios de naturaleza, volumen, alcance o finalidad del tratamiento establecidos en el artículo 48 de la misma ley, se encuentra obligado a designar un Delegado de Protección de Datos Personales, de forma adicional e independiente a la obligación de designar un apoderado especial según lo establece el artículo 3 del Reglamento General a la LOPDP?
La designación del DPD y la del apoderado especial constituyen obligaciones jurídicas autónomas y responden a funciones distintas. El apoderado especial representa al responsable o encargado extranjero en Ecuador y facilita su actuación frente a autoridades y titulares. En cambio, el DPD cumple funciones especializadas de asesoramiento, supervisión del cumplimiento normativo y cooperación con la SPDP. Por ello, contar con un apoderado especial no sustituye la obligación de designar un Delegado de Protección de Datos cuando se configuren los presupuestos legales para ello.
La exigencia de utilizar un RUC para registrar al DPD constituye únicamente un requisito operativo. Cuando el sujeto no domiciliado en Ecuador no tenga RUC propio, el registro podrá efectuarse mediante el RUC de su apoderado especial, sin que ello implique que este adquiera la calidad de DPD.
¿Debe interpretarse que la comunicación de datos personales entre sociedades del mismo grupo que actúan como responsables independientes está sujeta a los requisitos aplicables a las transferencias o comunicaciones previstas en el artículo 33 de la LOPDP y el artículo 6 de la Resolución No. SPDP-SPD-2026-0004-R, sin que la sola vinculación societaria constituya una base de legitimación; mientras que el acceso efectuado por una sociedad que actúa como encargada, bajo los presupuestos del artículo 34 de la LOPDP y del artículo 23 de la referida Resolución, no constituye transferencia o comunicación?
Si, según la naturaleza de la relación entre las sociedades. La pertenencia a un grupo empresarial no constituye una base de legitimación ni crea un régimen especial para la circulación de datos personales. Cuando una sociedad entrega datos a otra para que esta los utilice conforme a finalidades propias, se configura una transferencia o comunicación de datos personales y deberán cumplirse los requisitos previstos en el artículo 33 de la LOPDP y el artículo 6 de la Resolución No. SPDP-SPD-2026-0004-R, incluida una base de legitimación aplicable.
Por el contrario, cuando la sociedad receptora trata los datos exclusivamente por cuenta y bajo las instrucciones de otra sociedad, dentro de una verdadera relación de encargo, el acceso no constituye transferencia ni comunicación de datos personales. Esta relación deberá documentarse mediante el correspondiente contrato de encargo.
Nota
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante, no tiene carácter vinculante ni genera efectos jurídicos relevantes.