Mediante resolución No. SPDP-SPD-2026-0037-R, la Superintendencia de Protección de Datos Personales reforma la norma expedida No. SPDP-SPD-2026-0009-R, precisando el alcance de las obligaciones exigibles a los encargados del tratamiento.

Puntos Claves

Anteriormente, la norma establecía obligaciones generales a responsables y encargados del tratamiento en general. La reforma delimita su exigibilidad respecto de los encargados, condicionándola a que tengan acceso, visibilidad o control efectivo sobre los datos personales tratados mediante sistemas de IA.

Nuevas definiciones

Se incorporan los conceptos de acceso, visibilidad y control efectivo de datos personales, con el fin de determinar cuándo un encargado se encuentra sujeto a las obligaciones previstas en la norma.

Obligaciones del encargado

Cuando el encargado provea, desarrolle o mantenga sistemas de IA, deberá proporcionar al responsable información suficiente sobre su funcionamiento, limitaciones, riesgos previsibles y medidas de control, sin afectar secretos comerciales, industriales o derechos de propiedad intelectual.

Gestión de riesgos y seguridad

Se extienden a los encargados las obligaciones de gestión de riesgos, evaluación de impacto y medidas de seguridad.

Carga de acreditación

Los encargados que aleguen no tener acceso, visibilidad o control efectivo deberán conservar evidencia suficiente para demostrar dicha circunstancia ante la SPDP cuando sea requerida.

Responsabilidad proporcional

La ausencia de acceso, visibilidad o control efectivo no constituye una exoneración general.  Las obligaciones del encargado se delimitan según las operaciones o fases del tratamiento sobre las que tenga intervención efectiva, sin perjuicio del cumplimiento de las demás normas aplicables.

Vigencia

Esta resolución entrará en vigencia a partir de su publicación en el registro oficial.