Autor: Susana Recalde
Mediante Oficio No. SPDP-IRD-2025-0198-O, la Superintendencia de Protección de Datos Personales (SPDP) absolvió una consulta sobre la aplicación del artículo 6 de la Resolución No. SPDP-SPDP-2024-0002-R, relativa al registro de apoderados y a la presentación de acuerdos de corresponsabilidad o de encargo de tratamiento. La consulta planteaba cómo debía cumplir con esta obligación una empresa extranjera que trata datos personales de nacionales ecuatorianos sin mantener un modelo de corresponsabilidad ni de encargo de tratamiento.
Contexto
De acuerdo con la normativa vigente, existen dos tipos de relaciones que pueden dar lugar a la obligación de suscribir acuerdos específicos:
- Corresponsabilidad. Se configura cuando dos o más responsables determinan conjuntamente los fines y medios del tratamiento.
- Encargo de tratamiento. Se presenta cuando un encargado realiza el tratamiento de datos personales por cuenta de un responsable.
Pronunciamiento de la SPDP
La SPDP determinó que cuando el responsable del tratamiento se encuentre domiciliado fuera del territorio ecuatoriano y actúe de manera autónoma, sin corresponsables ni encargados, no le resulta aplicable la obligación de presentar un acuerdo de corresponsabilidad o encargo de tratamiento, puesto que no existe una relación jurídica que justifique su suscripción.
No obstante, la entidad precisó que todas las demás obligaciones previstas en el artículo 6 de la Resolución No. SPDP-SPD-2024-0002-R mantienen su carácter imperativo, por lo que el responsable deberá cumplirlas íntegramente. Entre ellas se encuentran:
- Designar un apoderado especial en Ecuador.
- Registrar las actividades de tratamiento.
- Realizar un análisis de riesgos.
- Implementar medidas de seguridad.
- Adoptar códigos de autorregulación, si los tuviera.
La SPDP añadió que, como buena práctica, el responsable podrá presentar documentación que evidencie la ejecución de un tratamiento autónomo, diligente y seguro.
