Mediante Resolución No. SPDP-SPDP-2024-0013-R, de 25 de octubre del 2024, la Superintendencia de Protección de Datos Personales (SPDP) expidió el “Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes”. Este reglamento tiene como propósito regular el proceso que deberán seguir los administrados al presentar denuncias o solicitudes ante la entidad, en relación con posibles vulneraciones de derechos o incumplimientos en el tratamiento de datos personales.
Aplicación del reglamento
Este reglamento es aplicable para los administrados que, de acuerdo con lo señalado en la norma, encuentren motivos para considerar o presumir que:
- Se ha vulnerado el ejercicio de sus derechos.
- No se han aplicado los principios generales o específicos de protección de datos personales.
- El responsable o encargado del tratamiento de datos personales ha incurrido en prácticas ilegales o inapropiadas en relación con los datos personales de los titulares.
Permite la presentación de dos peticiones:
- Denuncia: Se define como el medio mediante el cual una persona, natural o jurídica, notifica a la SPDP sobre hechos que constituyen una presunta infracción a la Ley Orgánica de Protección de Datos Personales (LOPDP), su reglamento general (RGLOPDP) u otras normativas aplicables. Las denuncias pueden incluir temas como el uso indebido de datos personales, violaciones de seguridad, o cualquier práctica ilegal realizada por el responsable o encargado del tratamiento de dichos datos.
- Solicitud: Es el mecanismo utilizado por los titulares de datos personales para pedir la atención o resolución de un problema específico relacionado con el tratamiento de sus datos. A través de una solicitud, los titulares pueden expresar insatisfacción con la forma en que sus datos han sido tratados o la falta de respuesta frente al ejercicio de sus derechos. Las solicitudes buscan obtener una acción correctiva o, incluso, el inicio de un procedimiento administrativo sancionador contra el responsable o encargado del tratamiento de datos personales.
Procedimiento para la presentación de denuncias y solicitudes
Los administrados podrán presentar denuncias o solicitudes por los siguientes medios:
- Por escrito: Las denuncias o solicitudes deberán ser presentadas en formato físico, junto con los anexos correspondientes, en las ventanillas que la SPDP habilite para este propósito.
- Por medios electrónicos: La SPDP pondrá a disposición de los administrados, a través de su portal institucional, dos formularios específicos:
- El “Formulario para la Presentación de Denuncias” (Anexo 1).
- El “Formulario para la Presentación de Solicitudes de Titulares” (Anexo 2).
Además, la SPDP ha establecido un plazo de seis (6) meses para habilitar en su página web un apartado que permitirá la recepción de solicitudes y denuncias en línea. Mientras tanto, estos trámites podrán realizarse de manera presencial.
Tramitación de denuncias
- Actuaciones previas y medidas provisionales: Una vez presentada una denuncia, la SPDP podrá llevar a cabo “actuaciones previas” o imponer medidas provisionales de protección.
- Actuaciones previas: La SPDP podrá iniciar actuaciones previas con el fin de:
- Identificar al responsable de la posible infracción.
- Establecer las circunstancias del caso.
- Determinar la pertinencia de iniciar un procedimiento administrativo.
Estas actuaciones previas serán ordenadas mediante un acto administrativo emitido por el Superintendente de Protección de Datos Personales o su delegado. Dichas actuaciones podrán incluir investigaciones, auditorías o inspecciones, tanto individuales como conjuntas, en caso de que haya más de un sujeto investigado.
- Medidas provisionales de protección: La SPDP también podrá imponer, de oficio o a petición de parte, medidas provisionales de protección que resulten necesarias y proporcionadas para salvaguardar el derecho fundamental a la protección de los datos personales. Entre las posibles medidas, el reglamento menciona:
- Retiro de productos, documentos u otros bienes.
- Limitaciones o restricciones de acceso a los datos personales.
- Suspensión de actividades de tratamiento de datos.
- Clausura de establecimientos.
Estas medidas podrán ser aplicadas de forma individual o conjunta, y deberán ser confirmadas, modificadas o levantadas al inicio del procedimiento administrativo, siempre que se cumplan con los requisitos de urgencia, necesidad y proporcionalidad, y que la motivación no se fundamente en meras afirmaciones.
- Procedimiento administrativo y decisiones de la SPDP: Una vez finalizadas las actuaciones previas, la SPDP valorará los hallazgos y determinará si es pertinente o no iniciar el procedimiento administrativo sancionador. La decisión se comunicará formalmente al denunciante, y el sujeto investigado tendrá la oportunidad de presentar sus descargos dentro de un plazo de diez (10) días desde la notificación del informe preliminar. En caso de que el sujeto investigado no emita respuesta dentro del plazo establecido, el informe preliminar se convertirá en un informe final, con plenos efectos jurídicos, concluyendo así la fase de actuaciones previas.
- Registro: La SPDP será responsable de llevar un registro formal de todas las denuncias presentadas.
Tramitación de solicitudes
- Presentación y requisitos de la solicitud del titular: El reglamento establece los requisitos que deben cumplir las solicitudes presentadas por los titulares de datos personales. Estos incluyen, entre otros, la identificación del solicitante, del responsable de tratamiento, los fundamentos de hecho y de derecho y la petición. Además establece requisitos específicos para solicitudes que se refieran a la falta de respuesta de una solicitud para el ejercicio de los derechos establecidos en la LOPDP, o para la aplicación de los principios y el cumplimiento de las obligaciones aplicables al tratamiento de datos personales.
- Procedimiento:
- La SPDP analizará los hechos presentados en la solicitud para determinar su competencia. Si los hechos ya fueron tratados en una solicitud anterior que cumplía con la identidad subjetiva, objetiva y de causa, se archivará la nueva solicitud. Asimismo, se podrá archivar si el solicitante no puede demostrar un interés legítimo o un derecho subjetivo vulnerado.
- En caso de que la solicitud no cumpla con los requisitos establecidos, o si es incompleta, vaga o ambigua, el Superintendente de Protección de Datos Personales o su delegado ordenará que se complete o aclare dentro de un plazo de cinco días desde la notificación. Si no se realiza la corrección o si la aclaración resulta insuficiente, la solicitud será archivada.
- La SPDP, de oficio o a petición de parte, abrirá un término de prueba de hasta treinta días. Dentro de un plazo no mayor a veinte días, a partir del vencimiento del término probatorio, la SPDP emitirá un informe que incluirá recomendaciones sobre el inicio o no del procedimiento administrativo sancionador y medidas correctivas a implementar, si corresponde.
- Si se recomienda la implementación de medidas correctivas, estas serán establecidas según los fundamentos de hecho y derecho presentados. Su implementación se regirá por lo dispuesto en el Título III, Libro II del COA, en todo lo que no contradiga lo establecido en la LOPDP, el RGLOPDP, las regulaciones emitidas por la SPDP y la normativa aplicable.
El Reglamento, que consta en el siguiente enlace, se encuentra vigente desde su suscripción: