La Superintendencia de Protección de Datos Personales (SPDP), mediante Oficio No. SPDP-IRD-2026-0242-O, absolvió una consulta presentada por la Confederación Nacional de Gobiernos Parroquiales Rurales del Ecuador (CONAGOPARE) sobre los límites del tratamiento de datos provenientes de fuentes de acceso público y las condiciones bajo las cuales los gobiernos autónomos descentralizados (GAD) parroquiales y sus entidades asociativas pueden transferir o comunicar datos personales entre sí.

La SPDP aclaró que el hecho de que cierta información conste en fuentes accesibles al público no habilita su uso libre ni convierte cualquier tratamiento posterior en legítimo. Para que el tratamiento sea lícito bajo el numeral 7 del artículo 7 de la Ley Orgánica de Protección de Datos Personales (LOPDP), la nueva finalidad debe ser compatible con la que justificó originalmente la publicidad de la información, y debe respetar los principios de finalidad, proporcionalidad y minimización.

Respecto a las transferencias o comunicaciones de datos entre GADs parroquiales y sus entidades asociativas, la SPDP precisó que estas constituyen operaciones de tratamiento sujetas a la LOPDP y requieren una base de legitimación válida y adecuada. La base prevista en el numeral 7 del artículo 7 —datos provenientes de fuentes públicas— no habilita por sí sola una transferencia: esta debe sustentarse en una obligación legal, una orden judicial u otra base de legitimación aplicable. La sola existencia de una relación institucional o asociativa entre entidades públicas no constituye habilitación irrestricta para compartir datos personales.

Finalmente, la SPDP recordó que los GADs parroquiales y sus entidades asociativas, al formar parte del sector público conforme al artículo 225 de la Constitución, están obligados a implementar medidas técnicas y organizativas adecuadas y a designar un delegado de protección de datos personales.