La Superintendencia de Protección de Datos Personales emitió un nuevo pronunciamiento respecto del tratamiento de datos que realizan las empresas extranjeras a residentes ecuatorianos, sin estar sujetas a las figuras de encargo ni de corresponsabilidad. Es importante aclarar que este pronunciamiento no es de carácter vinculante ni genera efectos jurídicos generales, sino que constituye una opinión técnica especializada.
El pronunciamiento responde a la siguiente consulta presentada:
“Se solicita a la Autoridad que determine el modo en que una empresa extranjera que trata datos personales de nacionales ecuatorianos, pero sin estar sujeta a un modelo de encargo ni de corresponsabilidad, debe cumplir con la exigencia prevista en el artículo 6, inciso primero, de la Resolución N.° SPDPSPDP-2024-0002-R relativa al registro de apoderados y presentación de un acuerdo de corresponsabilidad o encargo de tratamiento.”
Esta consulta específicamente hace referencia a las empresas extranjeras que, no están domiciliados en el país y tratan datos de residentes ecuatorianos y sobre su obligación normativa en registrar a un apoderado, con el objetivo de garantizar la protección de los derechos de los titulares ecuatorianos, incluso si el tratamiento se realiza fuera del territorio nacional.
La Autoridad de Protección de Datos personales, determinó que:
- Cuando el responsable del tratamiento extranjero actúa de manera autónoma, sin mantener una relación jurídica que lo vincule como responsable conjunto ni que haya encargado un determinado tratamiento de datos personales, no le será aplicable la obligación prevista en el numeral 6.1 del artículo 6 de la Resolución N. SPDP-SPD-2024-0002-R, puesto que no existe la relación jurídica que sustente la suscripción de un acuerdo de corresponsabilidad o de encargo. Esta exoneración es de carácter excepcional, al no existir una relación contractual que justifique la suscripción de dichos instrumentos.
- En aplicación del principio de responsabilidad proactiva, el responsable podrá presentar documentación complementaria a la SPDP (como políticas de privacidad o términos y condiciones). Esto no es una obligación, sino una buena práctica para acreditar la ejecución de un tratamiento autónomo, diligente y seguro, y para reforzar la transparencia ante la Autoridad de Control.
Este pronunciamiento aclara que la exigencia de los acuerdos de corresponsabilidad o encargo se aplica únicamente cuando las relaciones jurídicas de fondo existen. La no existencia de dichas relaciones no exime al responsable extranjero del cumplimiento de las demás obligaciones normativas.
Le recordamos que el contenido de este boletín tiene fines exclusivamente informativos y no debe considerarse como opinión o consejo legal. PBP se pone a su disposición para atender cualquier consulta adicional que pudiera tener. No dude en contactarnos a comunicacionpbp@pbplaw.com.
Consejo Editorial
