A través del Oficio No. SPDP-IGRD-2026-475-O, la Superintendencia de Protección de Datos Personales aclaró el régimen jurídico aplicable al intercambio de datos personales entre sociedades pertenecientes a un mismo grupo empresarial.
La consulta buscaba determinar si la sola vinculación societaria entre compañías permite compartir datos personales libremente o si estas operaciones continúan sujetas a las reglas generales sobre transferencias y comunicaciones previstas en la LOPDP.
La SPDP recordó que el ordenamiento ecuatoriano no reconoce una categoría jurídica especial denominada “responsables independientes” y que la pertenencia a un mismo grupo empresarial no crea una base de legitimación propia para la circulación de datos personales.
En consecuencia, cuando una sociedad transmite datos a otra empresa del mismo grupo para que esta los utilice en función de finalidades propias, la operación constituye una transferencia o comunicación de datos personales y debe cumplir los requisitos previstos en el artículo 33 de la LOPDP, incluyendo la existencia de una base de legitimación válida y, cuando corresponda, el consentimiento informado del titular.
La situación es distinta cuando una de las sociedades actúa como encargada del tratamiento y únicamente accede a la información para prestar un servicio a nombre y por cuenta de la sociedad responsable. En estos casos, la relación configura un encargo de tratamiento y no una transferencia de datos, siempre que exista el respectivo contrato de encargo y que el tratamiento se realice bajo instrucciones del responsable.
La SPDP enfatizó que lo determinante no es la existencia de vínculos societarios, sino la naturaleza jurídica de la relación y la finalidad para la cual se utilizan los datos.
En consecuencia, la SPDP concluyó lo siguiente:
- Si una sociedad transfiere datos a otra del grupo para fines propios de esta última, hay transferencia y aplica el artículo 33 de la LOPDP.
- Si una sociedad accede a los datos solo para prestar un servicio por cuenta de otra, hay encargo de tratamiento, no transferencia.
