ENCARGO, SOBERANÍA Y FRONTERAS.Cuando el tratamiento de datos deja de ser solo contractual

Soberanía de datos, residencia y localización como factores críticos en la estrategia jurídica y regulatoria del tratamiento

Resumen

El artículo analiza la relación entre encargo de tratamiento, soberanía de datos, residencia y localización en escenarios transfronterizos. Sostiene que la condición de encargado explica la relación funcional entre responsable y proveedor, pero no neutraliza por sí sola los riesgos territoriales, jurisdiccionales y estratégicos que surgen cuando los datos quedan alojados, accesibles, replicados o administrados desde otra jurisdicción. A partir de una distinción entre encargo funcional, transferencia internacional y exposición internacional del tratamiento, se propone integrar el análisis jurídico de la LOPDP con una estrategia de datos que considere proveedores, nube, subencargados, claves, ubicación, acceso estatal y tutela efectiva.[1]

Palabras clave

Soberanía de datos; residencia de datos; localización de datos; encargo de tratamiento; transferencias internacionales; nube; estrategia de datos; jurisdicción; acceso estatal; protección de datos.

1. Introducción: el dato que cruza la frontera

En el debate sobre encargados del tratamiento y flujos internacionales de datos existe una tentación reductora: pensar que, si el proveedor actúa a nombre y por cuenta del responsable, el problema jurídico queda resuelto. Sin embargo, esa lectura ignora una dimensión decisiva del tratamiento contemporáneo: los datos no solo circulan entre sujetos; también atraviesan territorios, jurisdicciones y espacios de soberanía.

Cuando eso ocurre, la condición de encargado ya no basta para neutralizar los riesgos. En ese punto entran en juego nociones como soberanía de datos, residencia de datos y localización de datos, que hoy constituyen variables centrales de la estrategia regulatoria de los Estados y de la estrategia de datos de las organizaciones.

La tesis de este artículo puede formularse así:

La relación responsable-encargado explica quién trata por cuenta de quién. Pero no resuelve, por sí sola, dónde quedan los datos, bajo qué jurisdicción se encuentran, qué autoridad puede requerir acceso, qué tutela conserva el titular ni qué capacidad real de control mantiene el responsable.

Esta reflexión continúa la tesis del artículo anterior: el encargo de tratamiento no debe operar como una cláusula de neutralización del riesgo internacional. Ahora el foco se amplía. Cuando los datos desbordan el perímetro estatal, la discusión deja de ser solo contractual y se convierte en una cuestión de soberanía, residencia, localización, infraestructura, jurisdicción y estrategia.

2. Por qué el problema no se agota en la figura del encargado

El encargo de tratamiento resuelve una pregunta funcional: quién trata los datos por cuenta de quién. Si el proveedor actúa bajo instrucciones, sin finalidades propias y dentro del perímetro jurídico del responsable, se mantiene la lógica responsable-encargado.

Pero esa respuesta funcional no agota otras preguntas decisivas:

• ¿dónde se almacenan los datos?
• ¿dónde se replican?
• ¿desde dónde se accede?
• ¿quién administra la infraestructura?
• ¿quién controla las claves?
• ¿qué subencargados intervienen?
• ¿qué autoridades públicas pueden requerir acceso?
• ¿qué ley se aplica al proveedor?
• ¿qué tutela real tiene el titular?
• ¿qué capacidad de supervisión conserva el Estado?

Por eso, el desbordamiento del perímetro estatal transforma el tratamiento de datos en una cuestión no solo contractual, sino también territorial, jurisdiccional y estratégica.

La LOPDP ecuatoriana ofrece un punto de partida importante: fue publicada en el Registro Oficial N.º 459, Quinto Suplemento, de 26 de mayo de 2021, y se estructura como una ley orientada a garantizar el ejercicio del derecho a la protección de datos personales. Ese objeto protector exige mirar el tratamiento en su contexto real, no solo en su etiqueta contractual.[2]

3. Tres conceptos que conviene no confundir

3.1. Soberanía de datos

La soberanía de datos se refiere al poder jurídico, institucional y estratégico que puede ejercerse sobre los datos. No se agota en el lugar físico del servidor. Incluye la pregunta por la ley aplicable, la autoridad competente, el acceso estatal, la tutela judicial, el control regulatorio y la dependencia de infraestructuras externas.

En términos simples:

La soberanía de datos responde a la pregunta: ¿bajo qué poder jurídico y político quedan los datos?

Un dato puede estar almacenado en un país y, sin embargo, quedar expuesto a otro si el proveedor está sometido a leyes extranjeras, si las claves son gestionadas fuera, si el soporte se presta desde otro territorio o si existen subencargados internacionales.

Por eso, la soberanía de datos no equivale únicamente a localización física. Es una categoría más amplia, de carácter jurídico-político y estratégico, que permite analizar quién conserva poder de control, intervención, supervisión, acceso o tutela sobre el dato.

3.2. Residencia de datos

La residencia de datos se refiere al lugar donde los datos se alojan o permanecen habitualmente según una decisión organizativa, contractual o técnica. Es la respuesta a preguntas como:

• ¿dónde estará la base de datos principal?
• ¿en qué región cloud residirán los datos?
• ¿dónde estarán las copias de seguridad?
• ¿en qué territorio se mantendrán los logs?

En términos simples:

La residencia de datos responde a la pregunta: ¿dónde viven normalmente los datos?

Pero la residencia no agota el problema. Puede existir residencia local y, aun así, exposición internacional si el soporte remoto, los subencargados, la administración de claves o los accesos privilegiados se realizan desde otro país.

La residencia es, por tanto, una categoría útil para arquitectura, contratación, auditoría y cumplimiento, pero no resuelve por sí sola la cuestión soberana ni la cuestión jurídica de transferencias internacionales.

3.3. Localización de datos

La localización de datos es una técnica normativa, regulatoria o de política pública que exige que determinados datos permanezcan, se almacenen, se procesen o mantengan copia dentro del territorio de un Estado.

En términos simples:

La localización de datos responde a la pregunta: ¿la ley, el regulador o una política pública exige que determinados datos permanezcan dentro de un territorio?

Conviene distinguirla con precisión de la residencia y de la soberanía de datos. La residencia puede ser una decisión técnica o contractual sobre dónde se alojan normalmente los datos. La soberanía de datos es una categoría más amplia, de carácter jurídico-político y estratégico, que pregunta bajo qué poder normativo, institucional o jurisdiccional quedan sometidos los datos. La localización, en cambio, es una técnica concreta: impone una obligación territorial, total o parcial, sobre el almacenamiento, procesamiento, conservación o disponibilidad de ciertos datos.

Por eso, más que afirmar que la localización es la expresión más intensa del interés estatal sobre los datos, resulta más preciso decir que es una de las expresiones más intensas de ese interés. El Estado no se limita a exigir garantías contractuales o transparencia: impone una condición territorial sobre el dato o sobre alguna fase relevante de su tratamiento.

La OCDE ha advertido que no existe una definición única y universalmente aceptada de localización de datos, aunque una aproximación estricta la entiende como un requisito explícito de almacenamiento o procesamiento dentro del territorio nacional. También ha observado que estas medidas han crecido y se han vuelto más restrictivas, y que a comienzos de 2023 existían alrededor de 100 medidas de localización en 40 países.[3]

La localización de datos suele aparecer en sectores o materias especialmente sensibles:

• defensa y seguridad nacional;
• salud;
• servicios financieros y pagos;
• telecomunicaciones;
• nube gubernamental;
• identificación digital;
• datos públicos;
• información clasificada;
• datos estratégicos o de interés nacional.

No todos los Estados formulan estas exigencias del mismo modo. Algunos imponen localización estricta; otros exigen copia local, evaluación previa de seguridad, autorización regulatoria, certificación, control de jurisdicción, control de claves, trazabilidad, auditoría, continuidad o restricciones sectoriales.

Ejemplos comparados de localización, residencia obligatoria o control territorial de datos

Fuentes normativas y documentales principales de la tabla comparada.[4]

La tabla permite distinguir tres intensidades regulatorias. En un extremo se sitúan los modelos de localización estricta o sectorial, en los que ciertos datos deben almacenarse o tratarse dentro del territorio nacional. En un punto intermedio aparecen modelos de residencia obligatoria, presencia local o evaluación previa, que no siempre prohíben la salida del dato, pero sí condicionan su tratamiento internacional. Finalmente, existen modelos de control reforzado de transferencias o jurisdicción, en los que el Estado no impone necesariamente permanencia territorial, pero sí exige garantías, trazabilidad, evaluación de riesgos, control de proveedores o salvaguardas frente a accesos externos.

Esta distinción es relevante porque evita tratar como equivalentes fenómenos jurídicos distintos. No es lo mismo exigir que los datos permanezcan físicamente en el territorio que exigir copia local, evaluación previa, control de claves, certificación cloud o garantías reforzadas para transferencias internacionales. Todos estos mecanismos expresan preocupación estatal por el control del dato, pero lo hacen con diferente intensidad.

La localización no debe verse solo como una prohibición de transferir. Es una técnica regulatoria que expresa una preocupación más profunda: que ciertos datos son tan relevantes para los derechos, la supervisión, la seguridad, la continuidad o la soberanía del Estado que no pueden quedar enteramente sometidos a infraestructuras, autoridades o jurisdicciones extranjeras.

Desde esta perspectiva, el encargo de tratamiento no elimina la pregunta por la localización. Un proveedor puede actuar como encargado y, sin embargo, estar sometido a una exigencia de residencia, localización, certificación, autorización, evaluación de seguridad o control jurisdiccional. La calificación funcional del proveedor no borra la pregunta territorial:

¿dónde deben estar los datos, quién puede acceder a ellos y bajo qué poder jurídico pueden quedar?

4. Qué piensan los Estados cuando hablan de datos

Los Estados ya no observan los datos solo como información privada o como activo empresarial. Cada vez más los tratan como infraestructura estratégica, insumo económico, objeto de seguridad nacional, recurso para la innovación, base de supervisión regulatoria y elemento de soberanía digital.

La Unión Europea ofrece un ejemplo de enfoque abierto pero condicionado. Su estrategia de datos persigue crear un mercado único de datos y reforzar la posición de Europa en la economía de los datos, manteniendo a personas y empresas con mayor control sobre los datos que generan.[5]

Ese enfoque no implica cerrar las fronteras digitales. La lógica europea busca permitir la circulación de datos, pero bajo condiciones de confianza, control y garantías. El Data Act, por ejemplo, introduce salvaguardas para evitar el acceso de organismos públicos de terceros países a datos no personales cuando ello sea contrario al Derecho de la Unión o al Derecho nacional.[6]

La lección es clara:

Los Estados pueden aceptar los flujos internacionales, pero no los consideran jurídicamente neutros.

Esta idea es relevante para la estrategia de datos. La pregunta ya no es únicamente si el proveedor actúa como responsable, encargado o subencargado. También importa dónde se aloja el dato, qué ley incide sobre el proveedor, qué autoridad puede requerir acceso, qué garantías existen y qué capacidad de supervisión mantiene el responsable.

5. Tres modelos estatales de aproximación

5.1. Modelo de flujo abierto con garantías

Este modelo no prohíbe los flujos internacionales, pero exige garantías jurídicas, transparencia, mecanismos contractuales, análisis de riesgos, evaluación de país y medidas suplementarias cuando sea necesario.

El RGPD y la doctrina del Comité Europeo de Protección de Datos son representativos de esta aproximación. La lógica no es encerrar territorialmente el dato, sino asegurar que, cuando el dato sale o queda expuesto a otra jurisdicción, el nivel de protección no se vea sustancialmente debilitado.[7]

5.2. Modelo de localización o residencia reforzada

Este modelo exige que ciertos datos permanezcan dentro del territorio, especialmente si afectan a sectores sensibles, servicios esenciales, seguridad nacional, finanzas, salud, telecomunicaciones, datos públicos o información estratégica.

No siempre implica prohibición absoluta de transferir datos. Puede exigir copia local, autorización, evaluación de seguridad, certificación, medidas técnicas, aprobación regulatoria o restricciones sectoriales.

5.3. Modelo de soberanía digital estratégica

Este modelo observa los datos como parte de una política más amplia de autonomía tecnológica. La preocupación no se limita al flujo de datos, sino que incluye dependencia de proveedores extranjeros, control de nube, continuidad operacional, inteligencia artificial, ciberseguridad, capacidad industrial y resiliencia.

En este modelo, elegir una nube o proveedor no es solo una decisión técnica. Es también una decisión de soberanía.

6. El encargo no neutraliza el riesgo soberano

La figura del encargado puede explicar correctamente la relación funcional: el proveedor trata por cuenta del responsable. Pero no elimina los riesgos que nacen cuando los datos quedan vinculados a otra jurisdicción.

Hay al menos cinco riesgos que el contrato de encargo no resuelve por sí solo.

6.1. Riesgo jurisdiccional

El proveedor puede estar sometido a normas extranjeras que le obliguen a conservar, revelar, bloquear o entregar datos. Aunque el contrato diga que actúa bajo instrucciones, puede existir una ley extranjera que tensione esas instrucciones.

6.2. Riesgo de acceso estatal extranjero

Autoridades de otro Estado pueden requerir información al proveedor, al subencargado o al operador de infraestructura. El problema no es si el proveedor es responsable o encargado, sino si está jurídicamente obligado a responder a otra autoridad.

6.3. Riesgo de pérdida de control del responsable

El responsable puede desconocer dónde están las réplicas, quién presta soporte, desde qué países se accede, quién controla las claves o qué subencargados intervienen.

6.4. Riesgo para el titular

El titular puede ver debilitada su capacidad de información, acceso, rectificación, eliminación, oposición, reclamación o reparación si los datos quedan sometidos a un entorno institucional distinto.

6.5. Riesgo estratégico para el Estado

El Estado puede perder capacidad de supervisión, auditoría, intervención, continuidad o protección de sectores sensibles cuando datos relevantes quedan en infraestructuras externas, opacas o sometidas a poderes extranjeros.

La conclusión es directa:

La condición de encargado no inmuniza el tratamiento frente a los riesgos que nacen cuando el dato sale del espacio de control del Estado.

7. El puente necesario con el régimen de transferencias internacionales

La reflexión sobre soberanía, residencia y localización no sustituye el análisis jurídico de las transferencias internacionales. Lo complementa. Precisamente por eso, la estrategia de datos no puede desligar la figura del encargo de tratamiento del régimen de transferencias o comunicaciones internacionales previsto en el Capítulo IX LOPDP y desarrollado reglamentariamente por el Reglamento General de la LOPDP.

7.1. Encargo funcional y exposición internacional del tratamiento

A efectos de precisión terminológica, este artículo utiliza transferencia o comunicación internacional para referirse a la categoría normativa del Capítulo IX LOPDP; exposición internacional del tratamiento para describir la situación en la que los datos quedan material o jurídicamente sometidos a otra jurisdicción, aunque no siempre exista transferencia internacional en sentido formal; y acceso estatal extranjero para aludir a la posibilidad de que autoridades públicas de otro Estado requieran, impongan o accedan a datos a través del proveedor, subencargado o infraestructura utilizada.

El punto de partida debe ser claro: el encargo explica una relación funcional. Permite determinar que el proveedor trata datos a nombre y por cuenta del responsable, bajo instrucciones y sin finalidades propias. Pero cuando ese encargo implica alojamiento, réplica, soporte, administración, acceso remoto o subencargo desde otra jurisdicción, la estrategia de datos debe preguntarse si existe una transferencia o comunicación internacional en sentido normativo, una exposición internacional del tratamiento, o ambas.

Esta cuestión no puede resolverse únicamente con la etiqueta contractual de “encargado”. El Capítulo IX LOPDP regula la transferencia o comunicación internacional de datos personales y la vincula con el efectivo ejercicio del derecho a la protección de datos personales. El Reglamento General de la LOPDP no crea esa regla, sino que la desarrolla al regular, entre otros aspectos, el nivel adecuado de protección, los criterios para determinar adecuación, las garantías adecuadas, las normas corporativas vinculantes y otros instrumentos de soporte para transferencias o comunicaciones internacionales.[8]

La conexión es especialmente relevante porque el Reglamento toma en cuenta, como elementos de contexto y garantía dentro del análisis de adecuación o protección equivalente, factores que dialogan directamente con la soberanía de datos: normativa sectorial, transferencias ulteriores, derechos de los titulares, existencia de autoridad independiente, cooperación internacional y compromisos internacionales asumidos por el país, organización o persona jurídica correspondiente.

Este dato es decisivo para la tesis de este artículo. Lo que aquí se denomina soberanía de datos no es una categoría retórica ni meramente geopolítica. Tiene reflejo práctico en el análisis jurídico de las transferencias internacionales: país, autoridad, ley aplicable, acceso estatal, transferencias ulteriores, derechos del titular, autoridad de control, cooperación internacional y tutela efectiva son elementos que pueden incidir en la evaluación del entorno de protección.

La transición doctrinal puede formularse así:

El encargo responde a la pregunta funcional: quién trata por cuenta de quién.
La transferencia internacional responde a la pregunta normativa: si existe comunicación o transferencia internacional sujeta al Capítulo IX LOPDP.
La exposición internacional del tratamiento responde a la pregunta estratégica: si los datos quedan sometidos, en la práctica, a otra jurisdicción, infraestructura o poder de acceso.

Esta triple distinción evita dos errores. El primero sería convertir todo encargo internacional en transferencia internacional automática. El segundo, más peligroso desde la perspectiva de derechos, sería asumir que, porque existe un contrato de encargo, el tratamiento queda fuera de toda reflexión sobre transferencias, garantías, residencia, jurisdicción y soberanía.

7.2. Estrategia de datos como integración de planos

La estrategia de datos debe integrar tres planos de análisis:

Estos tres planos no deben confundirse, pero tampoco pueden analizarse de forma aislada. Una organización puede concluir que su proveedor actúa funcionalmente como encargado; sin embargo, esa conclusión no agota el análisis si el servicio implica acceso internacional, nube extranjera, subencargados en terceros países, soporte remoto, réplicas transfronterizas o control de claves fuera de Ecuador.

Por eso, la estrategia correcta es de integración:

El encargo debe analizarse primero como relación funcional, pero después debe proyectarse sobre el mapa real de datos: países, proveedores, subencargados, regiones cloud, accesos remotos, claves, backups, registros, soporte, transferencias ulteriores, garantías y tutela efectiva.

Esta integración conecta con la responsabilidad proactiva. Cuando la estrategia de datos incluye un encargado internacional, el responsable debería documentar al menos seis extremos:

1. si el servicio implica transferencia o comunicación internacional en sentido normativo;
2. si, aun no calificándose así, existe exposición internacional relevante del tratamiento;
3. qué países intervienen en residencia, acceso, soporte, backup, subencargo o administración;
4. qué legislación extranjera puede habilitar acceso por autoridades públicas;
5. qué garantías jurídicas, técnicas y organizativas se han adoptado;
6. qué información se facilitará al titular y qué tutela efectiva conserva.

La conclusión es que el encargo no puede quedar desligado del análisis internacional. En una estrategia de datos madura, la contratación de un encargado extranjero o de una nube internacional debe activar una pregunta jurídica y estratégica previa:

¿Estamos ante un mero acceso funcional del encargado, o ante una arquitectura de tratamiento que introduce transferencia internacional, exposición internacional, riesgo soberano o exigencias de localización?

Solo desde esa pregunta puede construirse una política de datos coherente con la LOPDP, su Reglamento y la lógica contemporánea de soberanía digital.

8. Caso ilustrativo: hospital ecuatoriano y nube extranjera

Un hospital ecuatoriano contrata un proveedor cloud extranjero para alojar historias clínicas, imágenes diagnósticas, datos biométricos, logs de acceso y datos de investigación clínica.

El proveedor firma un contrato de encargo. Actúa bajo instrucciones del hospital, no decide finalidades propias y no puede utilizar los datos para otros fines.

Desde el punto de vista funcional, el proveedor es encargado.

Pero la pregunta estratégica es distinta:

La enseñanza es clara:

El contrato de encargo ordena la relación funcional, pero no agota el análisis de soberanía, residencia, localización, jurisdicción y control.

9. Caso complementario: entidad financiera y procesamiento regional

Imaginemos ahora una entidad financiera que opera en Ecuador y contrata una plataforma tecnológica regional para procesamiento antifraude, scoring, trazabilidad transaccional y monitoreo de operaciones.

El proveedor actúa como encargado. Los datos principales pueden residir en una región concreta, pero los modelos de analítica, logs, backups y soporte técnico pueden estar distribuidos en varios países.

Aquí el problema no es solo privacidad. También aparecen:

• resiliencia operacional;
• supervisión financiera;
• continuidad de servicios esenciales;
• trazabilidad de decisiones automatizadas;
• dependencia tecnológica;
• secreto bancario o confidencialidad financiera;
• auditoría del proveedor;
• capacidad de respuesta ante incidentes;
• acceso estatal extranjero;
• concentración de proveedores críticos.

Este tipo de caso muestra por qué la estrategia de datos debe ser transversal. No pertenece solo al área legal, ni solo a tecnología, ni solo a compras. Afecta a cumplimiento, riesgos, seguridad, continuidad, auditoría, protección de datos, estrategia digital y gobierno corporativo.

10. La estrategia de datos es una estrategia de jurisdicciones

Durante años, muchas organizaciones decidieron su arquitectura de datos con criterios principalmente técnicos o económicos:

• precio;
• disponibilidad;
• escalabilidad;
• rendimiento;
• facilidad de integración;
• reputación del proveedor.

Hoy esos criterios siguen siendo importantes, pero son insuficientes. La estrategia de datos debe incorporar una lectura jurisdiccional.

Elegir proveedor, nube, región, subencargado, modelo de cifrado o arquitectura de backups implica decidir:

• bajo qué leyes quedarán expuestos los datos;
• qué autoridades podrían requerir acceso;
• qué mecanismos de tutela tendrá el titular;
• qué capacidad de control conservará el responsable;
• qué nivel de dependencia tecnológica asumirá la organización;
• qué impacto tendrá la salida del proveedor;
• qué riesgos regulatorios se trasladan al negocio.

Por eso puede afirmarse:

La estrategia de datos es hoy, en gran medida, una estrategia de jurisdicciones.

Y también:

Elegir proveedor, nube o arquitectura de datos es elegir marco jurídico, exposición soberana y perfil de riesgo estatal.

11. Matriz estratégica para evaluar soberanía, residencia y localización

12. Qué debe cambiar en las organizaciones

La estrategia de datos debe incorporar, como mínimo, cinco decisiones.

12.1. Mapa de jurisdicciones

La organización debe saber en qué países se alojan, procesan, replican, administran o soportan sus datos. No basta con conocer el domicilio contractual del proveedor.

12.2. Política de países y proveedores

Debe definirse qué jurisdicciones son aceptables, cuáles requieren medidas reforzadas y cuáles deben evitarse para ciertos tratamientos.

12.3. Arquitectura de claves

El cifrado sin control de claves puede ser insuficiente. En tratamientos sensibles, la organización debe decidir quién genera, custodia, rota y revoca las claves.

12.4. Control de subencargados

La cadena de subencargo es una de las principales fuentes de pérdida de control. Debe existir autorización, registro, trazabilidad y evaluación de riesgos.

12.5. Plan de salida

La soberanía práctica también depende de poder abandonar un proveedor. Sin reversibilidad, portabilidad, borrado verificable y continuidad, la organización queda atrapada en una dependencia tecnológica.

13. Una regla práctica: no basta preguntar “quién es el proveedor”

En escenarios de encargo internacional, la pregunta “¿quién es el proveedor?” es insuficiente. La organización debe preguntar:

Esta es la diferencia entre una visión formal de cumplimiento y una visión estratégica de gobierno de datos.

14. El dato como objeto de control territorial, jurisdiccional y estratégico

Los datos no son intangibles en el sentido jurídico fuerte. Aunque no ocupen espacio como un objeto físico, sí quedan vinculados a infraestructuras, personas, operadores, sistemas, contratos, leyes y autoridades.

Por eso, la pregunta “¿dónde está el dato?” no es ingenua. Puede significar al menos cinco cosas distintas:

1. dónde está almacenado físicamente;
2. dónde se replica;
3. desde dónde se accede;
4. bajo qué ley opera el proveedor;
5. qué autoridad puede imponer acceso o restricciones.

Esta multiplicidad explica por qué la soberanía de datos no puede reducirse a residencia de datos. También explica por qué una obligación de localización puede no bastar si existen accesos remotos o control de claves fuera del territorio.

15. Conclusión

La relación responsable-encargado explica la mecánica funcional del tratamiento, pero no agota su dimensión territorial ni estratégica. Cuando los datos desbordan el perímetro estatal, aparecen riesgos que afectan al titular, al responsable y al propio Estado: jurisdicción extranjera, acceso estatal, pérdida de control, debilitamiento de la tutela, dependencia de infraestructuras externas y reducción de capacidad regulatoria.

Por eso, soberanía de datos, residencia de datos y localización de datos no son conceptos periféricos ni meramente técnicos. Son categorías necesarias para comprender por qué el tratamiento transfronterizo no puede reducirse a la firma de un contrato de encargo.

Esta lectura conecta directamente con el análisis previo sobre el encargo de tratamiento internacional en la LOPDP ecuatoriana. La condición de encargado puede ordenar la relación funcional entre responsable y proveedor, pero no permite prescindir del análisis previsto para las transferencias o comunicaciones internacionales cuando la arquitectura real del tratamiento desborda el perímetro estatal.

La fórmula de cierre puede expresarse así:

El encargo explica quién trata por cuenta de quién. La soberanía de datos pregunta bajo qué poder quedan los datos. La residencia de datos pregunta dónde viven. La localización de datos pregunta si el Estado exige que permanezcan en su territorio. Y la estrategia de datos debe integrar esas preguntas antes de internacionalizar tratamientos sensibles.

En definitiva:

La condición de encargado no convierte el tratamiento internacional en jurídicamente neutro. Cuando el dato cruza fronteras, también cruzan riesgos, jurisdicciones, poderes estatales y dependencias estratégicas.

Bibliografía

1. Asamblea Nacional del Ecuador. Ley Orgánica de Protección de Datos Personales. Registro Oficial N.º 459, Quinto Suplemento, 26 de mayo de 2021. https://www.telecomunicaciones.gob.ec/wp-content/uploads/2021/06/Ley-Organica-de-Datos-Personales.pdf.
2. Presidencia de la República del Ecuador. Decreto Ejecutivo N.º 904, Reglamento General de la Ley Orgánica de Protección de Datos Personales. 2023. https://www.cosede.gob.ec/wp-content/uploads/2023/12/REGLAMENTO-GENERAL-A-LA-LEY-ORG%C3%81NICA-DE-PROTECCION-DE-DATOS-PERSONALES_compressed-1.pdf.
3. Del Giovane, C. y Ferencz, J. The Nature, Evolution and Potential Implications of Data Localisation Measures. OECD Trade Policy Papers, N.º 278, OECD Publishing, 2023. https://www.oecd.org/en/publications/the-nature-evolution-and-potential-implications-of-data-localisation-measures_179f718a-en.html.
4. Gobierno de España. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE núm. 106, 4 de mayo de 2022. https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191.
5. Comisión Europea. A European Strategy for Data. Shaping Europe’s Digital Future. https://digital-strategy.ec.europa.eu/en/policies/strategy-data.
6. Comisión Europea. Data Act explained. Shaping Europe’s Digital Future. https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained.
7. Comité Europeo de Protección de Datos. Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR. Versión final, 24 de febrero de 2023. https://www.edpb.europa.eu/documents/guideline/guidelines-052021-on-the-interplay-between-the-application-of-article-3-and-the_en.
8. Comité Europeo de Protección de Datos. Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data. Versión final, 18 de junio de 2021. https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_en.
9. People’s Republic of China. Personal Information Protection Law, art. 40. Traducción de referencia: DigiChina, Stanford University. https://digichina.stanford.edu/work/translation-personal-information-protection-law-of-the-peoples-republic-of-china-effective-nov-1-2021/.
10. Russian Federation. Federal Law N.º 242-FZ, data localisation requirements. Referencia: Stanford WILMap. https://wilmap.stanford.edu/entries/federal-law-no-242-fz.
11. Reserve Bank of India. Storage of Payment System Data. https://www.rbi.org.in/commonperson/english/scripts/FAQs.aspx?Id=2995.
12. Government of Vietnam. Decree N.º 53/2022/ND-CP, detailing a number of articles of the Law on Cybersecurity. Traducción de referencia: LuatVietnam. https://english.luatvietnam.vn/decree-no-53-2022-nd-cp-dated-august-15-2022-of-the-government-detailing-a-number-of-articles-of-the-law-on-cyber-security-228170-doc1.html.
13. Kingdom of Saudi Arabia. Regulation on Personal Data Transfer Outside the Kingdom. https://dgp.sdaia.gov.sa/wps/wcm/connect/e5bbede0-1119-4f70-b4ef-f043ce58d780/Regulation%2Bon%2BPersonal%2BData%2BTransfer%2BOutside%2Bthe%2BKingdom..pdf.

[1] Sobre la distinción metodológica entre transferencia internacional, exposición internacional y acceso estatal extranjero, véase el artículo previo del autor sobre encargo de tratamiento internacional y garantías del titular en la LOPDP ecuatoriana.

[2] Asamblea Nacional del Ecuador, Ley Orgánica de Protección de Datos Personales, Registro Oficial N.º 459, 26 de mayo de 2021.

[3] C. Del Giovane y J. Ferencz, The Nature, Evolution and Potential Implications of Data Localisation Measures, OECD Trade Policy Papers, N.º 278, 2023.

[4] Fuentes principales del cuadro: Real Decreto 311/2022 (España); PIPL, art. 40 (China); Federal Law N.º 242-FZ (Rusia); RBI, Storage of Payment System Data (India); Decree N.º 53/2022/ND-CP (Vietnam); Regulation on Personal Data Transfer Outside the Kingdom (Arabia Saudí).

[5] Comisión Europea, A European strategy for data, Shaping Europe’s Digital Future.

[6] Comisión Europea, Data Act explained, Shaping Europe’s Digital Future.

[7] Comité Europeo de Protección de Datos, Guidelines 05/2021 y Recommendations 01/2020.

[8] Presidencia de la República del Ecuador, Decreto Ejecutivo N.º 904, Reglamento General de la LOPDP, Capítulo XII.