En fecha 19 de octubre de 2025, la Superintendencia de Protección de Datos Personales (SPDP), mediante Oficio No. SPDP-IRD-2025-0198-O, absolvió una consulta relativa a la obligación de presentar acuerdos de corresponsabilidad o de encargo de tratamiento por parte de empresas extranjeras que tratan datos personales de nacionales ecuatorianos de manera autónoma, es decir, sin encontrarse sujetas a un modelo de corresponsabilidad ni de encargo de tratamiento.
Paara comprender el alcance de la consulta, es necesario identificar el origen de la obligación en cuestión. Los numerales 3 y 4 del artículo 3 de la Ley Orgánica de Protección de Datos Personales (LOPDP) disponen que la normativa ecuatoriana se aplica cuando un responsable o encargado del tratamiento, no establecido en el Ecuador, realiza actividades dirigidas a titulares que residen en el país, ya sea mediante la oferta de bienes o servicios -independientemente de que exista contraprestación económica- o mediante el control de su comportamiento dentro del territorio nacional.
Asimismo, la ley se aplica cuando, en virtud de un contrato o de las reglas del derecho internacional público, resulte aplicable la legislación ecuatoriana al responsable o encargado del tratamiento. De esta forma, la LOPDP establece un alcance extraterritorial que garantiza la protección de los derechos de los titulares ecuatorianos.
En complemento, el artículo 3 del Reglamento a la LOPDP impone a los responsables o encargados no domiciliados en el país la obligación de designar un apoderado especial en el Ecuador, con facultades suficientes para comparecer ante la SPDP y representarlos en todos los actos relacionados con el cumplimiento de la normativa. Esto, con el fin de asegurar la presencia de un representante local que viabilice la supervisión efectiva del cumplimiento normativo y el ejercicio de las facultades de control por parte de la Autoridad.
En este contexto, la SPDP emite la Resolución No. SPDP-SPDP-2024-0002-R, la cual expide una guía técnica obligatoria para el registro de los apoderados especiales de responsables -conjuntos o no- y encargados extranjeros que realicen actividades de tratamiento de datos personales vinculadas con el territorio ecuatoriano. El artículo 6 de dicha resolución establece las obligaciones de los sujetos regulados, disponiendo en su numeral 6.1 la exigencia de presentar “el acuerdo de corresponsabilidad para el tratamiento adecuado de datos personales o el acuerdo de encargo, según corresponda”.
Ahora bien, el pronunciamiento de la SPDP en el Oficio No. SPDP-IRD-2025-0198-O, publicado este 19 de octubre, precisamente aclara el alcance de la expresión “según corresponda” del numeral 6.1, la cual había generado incertidumbre interpretativa.
La SPDP concluyó que cuando el responsable del tratamiento se encuentra domiciliado fuera del territorio ecuatoriano y actúa de manera autónoma, sin corresponsables ni encargados, no le resulta aplicable la obligación de presentar un acuerdo de corresponsabilidad o de encargo de tratamiento, puesto que no existe una relación jurídica que sustente su suscripción.
Por ejemplo, consideremos el caso de una empresa extranjera que presta servicios digitales desde el exterior y recopila datos de usuarios ecuatorianos -como información de contacto o hábitos de consumo- para finalidades definidas por ella misma. En este supuesto, la empresa actúa como responsable del tratamiento conforme a la LOPDP, pero al no existir en el país corresponsables ni encargados que participen en dicho tratamiento, no se configura una relación jurídica que origine un acuerdo de corresponsabilidad o de encargo, conforme al artículo 6 de la Resolución No. SPDP-SPDP-2024-0002-R.
Sin embargo, la SPDP precisó que esta exoneración no implica la dispensa de las demás obligaciones contenidas en la misma disposición, las cuales conservan su carácter imperativo. Por tanto, el responsable deberá cumplir, entre otras, con las siguientes: designar un apoderado especial en el Ecuador, registrar sus actividades de tratamiento, realizar un análisis de riesgos, implementar medidas de seguridad adecuadas y adoptar códigos de autorregulación, de ser el caso.
Asimismo, la Autoridad recomendó que, como buena práctica y en aplicación del principio de responsabilidad proactiva y demostrada, el responsable extranjero presente documentación complementaria -como políticas de privacidad, términos y condiciones, certificaciones o reportes de cumplimiento- que evidencie la ejecución de un tratamiento autónomo, diligente y seguro.
En definitiva, el pronunciamiento de la SPDP constituye un precedente interpretativo relevante, al delimitar con claridad el alcance de la obligación de presentar acuerdos de corresponsabilidad o encargo y reconocer la autonomía operativa de los responsables extranjeros.
María José Zurita
Abogada | Asociada
Canessa Barriga Abogados