El encargo de tratamiento internacional y garantías del titular en la LOPDP ecuatoriana

Una interpretación sistemática, finalista y protectora del criterio de la SPDP

Resumen y palabras clave

El artículo analiza el alcance del encargo de tratamiento en escenarios internacionales conforme a la Ley Orgánica de Protección de Datos Personales de Ecuador. Sostiene que el art. 34 LOPDP debe leerse como una regla funcional que excluye la comunicación ordinaria al encargado, pero no como una cláusula de exclusión automática del análisis internacional cuando el tratamiento presenta exposición relevante a otra jurisdicción. A partir de una interpretación sistemática, finalista y favorable al titular, se propone distinguir entre transferencia o comunicación internacional como categoría normativa y exposición internacional del tratamiento como categoría analítica de gestión de riesgos, transparencia y responsabilidad proactiva.[1]

Palabras clave: protección de datos personales; encargo de tratamiento; transferencias internacionales; LOPDP; Ecuador; responsabilidad proactiva; exposición internacional; garantías adecuadas; encargado; SPDP.

Abstract and keywords

This article analyses the scope of processor arrangements in international scenarios under Ecuador’s Organic Law on Personal Data Protection. It argues that Article 34 of the LOPDP should be read as a functional rule excluding an ordinary disclosure to a processor, but not as an automatic exclusion of international scrutiny where the processing entails material exposure to another jurisdiction. Based on a systematic, purposive and data-subject-oriented interpretation, the article distinguishes between international transfer or disclosure as a statutory category and international exposure of processing as an analytical category for risk management, transparency and accountability.

Keywords: personal data protection; processor; international transfers; LOPDP; Ecuador; accountability; international exposure; appropriate safeguards; SPDP.

Nota metodológica y alcance del análisis

El presente documento se formula como un análisis técnico-jurídico y doctrinal en materia de protección de datos personales, desde una perspectiva de cumplimiento, gobernanza, gestión de riesgos, responsabilidad proactiva y protección efectiva del titular.

No constituye un dictamen legal procesal ni pretende sustituir la opinión de un abogado ecuatoriano habilitado para emitir criterio profesional sobre acciones contencioso-administrativas, impugnaciones normativas o estrategias litigiosas en Ecuador. Las referencias al control de legalidad administrativa, a la interpretación conforme y a los límites de la potestad administrativa deben entenderse como líneas de análisis jurídico-institucional que, en su caso, deberían ser contrastadas con asesoría legal ecuatoriana especializada.

La finalidad del artículo no es sostener una controversia procesal cerrada, sino aportar una lectura sistemática, finalista y protectora de la LOPDP cuando el encargo de tratamiento se proyecta sobre escenarios internacionales en los que pueden verse afectados el control del titular, la transparencia, la tutela efectiva, la reparación, la trazabilidad, la seguridad jurídica y la gestión de riesgos a derechos y libertades.

1. Objeto del artículo

El presente artículo analiza, desde una perspectiva técnico-jurídica, doctrinal y de cumplimiento, el alcance del criterio sostenido por la Superintendencia de Protección de Datos Personales -en particular en el Oficio N.º SPDP-IRD-2026-0300-O y en conexión con los arts. 23 y 24 de la Resolución N.º SPDP-SPD-2026-0004-R- según el cual el encargo de tratamiento no constituye transferencia ni comunicación de datos personales. La Resolución N.º SPDP-SPD-2026-0004-R expide la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales y tiene por objeto regular procedimientos y requisitos técnicos y jurídicos vinculados con tales operaciones.[2]

El análisis no pretende negar la regla del art. 34 LOPDP ni desconocer que el encargado trata datos personales a nombre y por cuenta del responsable. Esa regla resulta razonable en el plano funcional: el encargado no recibe los datos como tercero autónomo ni como responsable independiente cuando actúa bajo instrucciones documentadas, sin finalidades propias y dentro del perímetro jurídico del responsable.

La cuestión examinada es más precisa: si esa regla funcional puede interpretarse como una exclusión automática de todo análisis de garantía internacional cuando los datos personales quedan alojados, accesibles, replicados, soportados o administrados desde otra jurisdicción.

El art. 34 LOPDP debe interpretarse como una regla de calificación funcional del acceso del encargado. No debería operar como una cláusula de blindaje total frente al Capítulo IX cuando el tratamiento presenta una dimensión internacional relevante.

Esta tesis se formula con prudencia. No se afirma que el criterio de la SPDP sea necesariamente inválido ni que exista una contradicción frontal con la LOPDP. Lo que se sostiene es que dicho criterio debería leerse de forma conforme, limitativa y sistemática: el encargo no constituye comunicación ordinaria a un tercero autónomo, pero la condición de encargado no elimina por sí sola la necesidad de analizar jurisdicción, contexto, garantías, tutela efectiva, riesgo de acceso estatal, reparación, subencargados y capacidad real de control del titular.

2. Método de interpretación

El presente análisis utiliza una metodología hermenéutica sistemática, finalista y favorable al titular. No se parte de una lectura aislada del art. 34 LOPDP, sino de su integración con el conjunto normativo que estructura el derecho a la protección de datos personales en Ecuador.

Primero, jerarquía y coherencia normativa. La LOPDP, como ley orgánica, fija el marco sustantivo de protección; el Reglamento desarrolla su aplicación; y las resoluciones administrativas de la SPDP deben ser leídas de forma compatible con la finalidad, principios, derechos y garantías previstos en la ley. En esa estructura, las absoluciones de consulta pueden orientar la interpretación, pero no crean derecho ni desplazan el contenido de la ley. El Reglamento de atención de consultas de la SPDP establece que la absolución o contestación de consultas no constituye acto administrativo ni decisión administrativa, no es vinculante y no tiene valor probatorio.[3]

Segundo, finalidad protectora del derecho. La LOPDP fue publicada en el Registro Oficial N.º 459, Quinto Suplemento, de 26 de mayo de 2021, y su art. 1 declara que la ley tiene por objeto garantizar el ejercicio del derecho a la protección de datos personales, incluyendo acceso, decisión y protección.

Tercero, aplicación favorable al titular y responsabilidad proactiva. Cuando existan dudas razonables sobre el alcance de una obligación en escenarios de exposición internacional del tratamiento, la interpretación debe favorecer la protección efectiva del titular y exigir al responsable una justificación documentada de las garantías adoptadas. La carga de demostrar que el tratamiento conserva un nivel adecuado de protección no debe descansar en la mera etiqueta contractual de “encargado”, sino en evidencias verificables de control, seguridad, transparencia, tutela y gestión de riesgos.

Ley orgánica > Reglamento > Resolución administrativa. Las absoluciones de consulta orientan, pero no crean derecho ni desplazan el contenido de la LOPDP.

3. Glosario técnico-doctrinal de términos utilizados

Este glosario no sustituye las definiciones legales de la LOPDP ni crea categorías normativas autónomas. Su finalidad es precisar cómo se utilizan determinados términos en este análisis, especialmente para distinguir entre categorías expresamente previstas por la ley y categorías analíticas empleadas para interpretar escenarios de encargo de tratamiento con dimensión internacional.

Tabla 1. Glosario técnico-doctrinal de términos utilizados

A efectos de evitar confusión dogmática, “transferencia o comunicación internacional” se reserva para la categoría normativa del Capítulo IX LOPDP. “Exposición internacional del tratamiento” se utiliza como categoría analítica para describir situaciones en las que, aun sin calificar automáticamente el encargo como transferencia internacional, existen elementos transfronterizos que pueden afectar el control, la transparencia, la tutela, la reparación y la gestión de riesgos del titular.

4. Textos normativos objeto de interpretación

La interpretación debe partir del lenguaje normativo. La LOPDP no puede analizarse por fragmentos. El art. 34 debe leerse junto con la Constitución, el art. 1 LOPDP, sus definiciones, principios, derechos del titular, obligaciones de seguridad, gestión de riesgos, régimen de encargados, Capítulo IX, régimen sancionador y Reglamento.

La finalidad de este apartado no es reproducir íntegramente todos los artículos afectados, sino destacar los extractos literales imprescindibles para sostener el análisis semántico, técnico y jurídico. Para una versión editorial definitiva, la transcripción extensa de los artículos puede incorporarse como anexo normativo o en notas a pie, conforme al estilo de la revista.

4.1. Constitución de la República del Ecuador: derecho fundamental protegido

El fundamento constitucional aparece recogido en la propia LOPDP cuando recuerda el derecho a la protección de datos de carácter personal, que incluye acceso, decisión y protección sobre la información personal.  La Resolución N.º SPDP-SPD-2026-0004-R también parte de esa base constitucional en sus considerandos al expedir la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.[4]

Este punto debe presidir todo el análisis. El debate no se reduce a una relación contractual entre responsable y encargado. El bien jurídico protegido es la capacidad efectiva del titular para conocer, controlar, decidir, reclamar y obtener protección sobre sus datos personales.

4.2. LOPDP: art. 1 como norte hermenéutico

El art. 1 LOPDP define el objeto y finalidad de la ley mediante una fórmula que debe gobernar toda interpretación posterior: garantizar el ejercicio del derecho a la protección de datos personales, incluyendo acceso, decisión y protección. La misma disposición vincula ese objetivo con principios, derechos, obligaciones y mecanismos de tutela.

Este artículo opera como criterio rector. Cualquier interpretación del art. 34, del Capítulo V o del Capítulo IX debe ser compatible con la garantía efectiva del derecho del titular. Si una lectura reduce el control, la información, la tutela o la reparación del titular en escenarios internacionales, debe ser examinada con cautela.

4.3. LOPDP: definiciones de responsable, encargado, destinatario, tratamiento y transferencia

La LOPDP distingue sujetos y flujos. El responsable decide sobre la finalidad y el tratamiento; el encargado trata datos a nombre y por cuenta del responsable; y el destinatario es quien ha sido comunicado con datos personales. La definición de transferencia o comunicación utiliza una enumeración amplia que incluye, entre otras operaciones, consulta, interconexión, cesión, transmisión, difusión, divulgación o revelación de datos personales a persona distinta del titular, responsable o encargado.

También es relevante la amplitud de la noción de tratamiento, porque incluye operaciones de conservación, consulta, utilización, distribución, cesión, comunicación, transferencia y habilitación de acceso. Esa amplitud demuestra que la ley no observa solo la cesión de poder decisorio, sino también las formas materiales de circulación, disponibilidad, acceso, conservación y uso del dato.

La interpretación del art. 34 debe partir de esa doble lógica: por un lado, la ley delimita sujetos; por otro, describe formas de circulación y disponibilidad del dato.

4.4. LOPDP: principios del art. 10

El art. 10 LOPDP impone principios que condicionan toda interpretación de la ley. Entre ellos destacan juridicidad, lealtad, transparencia, seguridad, responsabilidad proactiva y aplicación favorable al titular.

Estos principios impiden que una calificación contractual -“es encargado”- oculte una realidad material relevante: que los datos personales puedan quedar alojados, consultados, replicados, administrados o sometidos a una jurisdicción extranjera.

La lealtad y la transparencia exigen que el titular pueda comprender cómo serán tratados sus datos. La seguridad y la responsabilidad proactiva exigen analizar riesgos reales, no solo categorías formales. Y la aplicación favorable al titular exige que, ante una duda razonable, se prefiera la interpretación que mejor preserve el control y la protección efectiva de la persona.

4.5. LOPDP: art. 12 y derecho a la información

El art. 12 LOPDP reconoce el derecho del titular a ser informado sobre elementos esenciales del tratamiento y, cuando corresponda, sobre transferencias o comunicaciones nacionales o internacionales, destinatarios, finalidades y garantías de protección. La propia página oficial de consultas de la SPDP reproduce el deber de informar sobre transferencias o comunicaciones nacionales o internacionales que se pretendan realizar, incluyendo destinatarios, finalidades y garantías.[5]

Este artículo debe utilizarse con precisión. Si se sostiene que el encargo no es transferencia o comunicación ordinaria, no debe afirmarse que todo encargo internacional deba informarse necesariamente como “transferencia”. La tesis más exacta es que, aunque el encargo internacional no se califique formalmente como transferencia ordinaria, la transparencia, la lealtad y el derecho de información pueden exigir informar la dimensión internacional del tratamiento cuando sea materialmente relevante para el titular.

La dimensión internacional puede ser relevante cuando afecte al ejercicio de derechos, al lugar de alojamiento, al soporte remoto, a la intervención de subencargados, a la tutela disponible, al acceso por autoridades extranjeras o a las garantías aplicables.

4.6. LOPDP: arts. 34 y 35, acceso funcional del encargado y de terceros prestadores

El art. 34 LOPDP establece que no se considera transferencia o comunicación cuando el encargado accede a datos personales para prestar un servicio al responsable. El mismo artículo exige contrato, instrucciones, prohibición de finalidades distintas, restricciones de comunicación ulterior, devolución o destrucción de datos y responsabilidad del encargado.

El art. 35 LOPDP incorpora una regla semejante para el acceso a datos personales por parte de terceros cuando el acceso sea necesario para la prestación de un servicio al responsable, exigiendo también legitimidad, contrato, instrucciones, límites de finalidad y restricciones a la comunicación ulterior.

La incorporación del art. 35 es importante para la honestidad científica del análisis. Los arts. 34 y 35 confirman que el Capítulo V regula accesos funcionales necesarios para la prestación de servicios. Precisamente por eso, su función es ordenar la circulación operativa del dato dentro del ecosistema del responsable, no resolver por sí sola el problema jurídico de la exposición internacional del tratamiento.

4.7. LOPDP: seguridad, privacidad desde el diseño y gestión de riesgos

Los arts. 37, 39, 40, 41 y 42 LOPDP obligan a considerar categorías y volumen de datos, estado de la técnica, naturaleza, alcance, contexto, fines del tratamiento, particularidades de las partes involucradas, antecedentes de acceso no autorizado, riesgos para derechos y libertades, medidas de seguridad y evaluación continua.

Estas disposiciones impiden que el debate se agote en la etiqueta contractual. Si el encargado está situado en otro país o accede desde otra jurisdicción, cambian el contexto, las partes involucradas, los riesgos jurídicos, la trazabilidad, la tutela y las condiciones de control.

4.8. LOPDP: art. 47 y obligación de garantizar y demostrar

El art. 47 LOPDP impone al responsable obligaciones de garantía, demostración, evaluación periódica, gestión de riesgos y verificación de que el encargado ofrece mecanismos suficientes para garantizar el derecho a la protección de datos personales, conforme a la ley, el Reglamento, directrices y mejores prácticas nacionales o internacionales.

Este artículo refuerza una idea central: el responsable no puede limitarse a decir que el proveedor es encargado. Debe acreditar que, en el contexto concreto, el encargado permite preservar el derecho del titular.

4.9. LOPDP: Capítulo IX sobre transferencias o comunicaciones internacionales

El Capítulo IX LOPDP regula la transferencia o comunicación internacional. El art. 55 vincula dicha operación con el efectivo ejercicio del derecho a la protección de datos personales, y el art. 57 contempla garantías adecuadas cuando no existe nivel adecuado de protección.

El dato normativo más relevante es que el art. 57 menciona expresamente al responsable o encargado en el régimen de garantías adecuadas. Esta mención no prueba, por sí sola, que toda relación responsable-encargado internacional sea transferencia internacional. La inferencia científicamente correcta es más precisa: la LOPDP no trata al encargado como sujeto irrelevante en el régimen internacional; por ello, una lectura que expulse todo encargo internacional de cualquier análisis de garantías debe justificarse sistemáticamente.

El art. 59 refuerza la relevancia del encargado al prever que la información sobre transferencias internacionales pueda ser registrada por el responsable o, en su caso, por el encargado.

4.10. LOPDP: art. 70 e infracciones graves del encargado

El art. 70 LOPDP considera infracción grave del encargado el incumplimiento del contrato con el responsable, inclusive en lo relativo a transferencia o comunicación internacional.

Este dato normativo tiene alto valor dogmático. No permite concluir automáticamente que todo encargo internacional sea transferencia internacional, pero sí impide sostener que el encargado es absolutamente ajeno al fenómeno internacional. La ley contempla que el contrato del encargado puede tener relevancia respecto de transferencias o comunicaciones internacionales.

4.11. Reglamento de la LOPDP: régimen del encargado y control efectivo

El Reglamento General de la LOPDP tiene por objeto desarrollar la normativa para aplicar la ley y proteger derechos y libertades fundamentales de los titulares; además, se aplica a responsables y encargados, incluso cuando sus actividades tengan lugar en territorio ecuatoriano o no, y contempla responsables y encargados no establecidos en Ecuador cuando les resulte aplicable la legislación nacional.[6]

El Reglamento refuerza la tesis del control efectivo. El encargado puede estar integrado funcionalmente en la esfera del responsable, pero esa integración no se presume: debe demostrarse mediante contrato, instrucciones, supervisión, auditoría, control de subencargados, medidas equivalentes y evidencia.

4.12. Resolución N.º SPDP-SPD-2026-0004-R: arts. 23 y 24

La Resolución N.º SPDP-SPD-2026-0004-R expide la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales; según los resultados oficiales de la propia SPDP, su art. 23 sostiene que el encargo de tratamiento no constituye transferencia ni comunicación y su art. 24 admite que el uso de cláusulas contractuales modelo en encargos puede constituir buena práctica dentro del principio de responsabilidad proactiva.

La cuestión crítica es el alcance de esa afirmación. Puede ser correcta si se limita al plano funcional: el encargado no es un tercero autónomo. Pero sería problemática si se utiliza para excluir sin matices cualquier análisis del riesgo internacional.

5. Distinción central: transferencia internacional y exposición internacional del tratamiento

Para que el artículo sea científicamente preciso, debe evitarse una afirmación excesiva: no debe decirse simplemente que todo encargado situado fuera de Ecuador implica necesariamente una transferencia internacional bajo la LOPDP.

Aun si el encargo internacional no se califica formalmente como transferencia o comunicación internacional en todos los casos, sí puede generar una exposición internacional del tratamiento que debe ser analizada desde las obligaciones de transparencia, seguridad, responsabilidad proactiva, gestión de riesgos y garantías del titular.

Esta distinción permite mantener la tesis de fondo sin forzar la categoría legal. La “transferencia internacional” es una categoría normativa del Capítulo IX. La “exposición internacional del tratamiento” es una categoría analítica que permite identificar situaciones en las que el dato queda alojado, accesible, replicado, administrado, soportado o sometido a condiciones jurídicas de otro país.

Tabla 2. Transferencia internacional y exposición internacional del tratamiento

La exposición internacional puede producirse, entre otros supuestos, por almacenamiento principal en otro país, copias de respaldo o réplicas fuera de Ecuador, soporte técnico desde el extranjero, administración remota de la plataforma, subencargados internacionales, acceso operativo desde otros territorios, control de claves por proveedor extranjero, obligaciones legales del proveedor frente a autoridades de otro Estado o conflictos entre contrato y legislación extranjera.

6. Encargo funcional e internacionalización material del tratamiento

En el plano funcional, el encargado actúa dentro del perímetro de instrucciones del responsable. No decide la finalidad. No utiliza los datos para fines propios. No recibe los datos como responsable independiente. En este plano, el art. 34 cumple una función necesaria: evitar que toda prestación de servicios sea tratada como cesión.

El art. 35 refuerza esta lógica al excluir también la transferencia o comunicación cuando el acceso de un tercero sea necesario para prestar un servicio al responsable, siempre dentro de un marco contractual y legítimo. Esta regla confirma que el Capítulo V regula accesos funcionales necesarios para la prestación de servicios, no necesariamente la totalidad del problema internacional.

En el plano internacional, la pregunta cambia. Ya no basta con identificar quién decide la finalidad. Debe analizarse dónde se encuentran los datos, desde dónde se accede, qué ley extranjera puede incidir, qué autoridad podría requerir acceso, qué subencargados participan, qué tutela existe, qué reparación es posible y qué control conserva el responsable ecuatoriano. La condición de encargado no elimina estas preguntas. Solo resuelve una parte del análisis: la naturaleza funcional de la relación.

7. Riesgo de lectura reductora del art. 34 LOPDP y del art. 23 de la Resolución

La lectura problemática sería la siguiente: si el proveedor extranjero es encargado, no hay transferencia ni comunicación internacional y no procede ningún análisis propio del Capítulo IX.

Esta conclusión es excesiva. Reduce el art. 1, debilita el art. 12, minimiza la gestión de riesgos de los arts. 37 a 42, desactiva la exigencia demostrativa del art. 47 y vacía parcialmente el Capítulo IX.

La interpretación más sólida es otra: el encargo no constituye transferencia o comunicación ordinaria a un tercero autónomo, pero cuando el tratamiento se ejecuta desde otra jurisdicción debe analizarse si se conservan garantías suficientes para el titular.

La tensión no está en negar el art. 34 ni el art. 23 de la Resolución. Está en evitar que ambos sean leídos como una cláusula de blindaje total frente al Capítulo IX.

8. ¿Qué quedaría del Capítulo IX si se acepta la interpretación absoluta?

Si todo encargo internacional queda fuera del Capítulo IX, el régimen de transferencias internacionales quedaría prácticamente limitado a relaciones responsable-responsable, responsable-corresponsable o responsable-tercero destinatario autónomo.

Esa consecuencia sería reductora. Los flujos internacionales más frecuentes -cloud, SaaS, hosting, CRM, analítica, soporte remoto, ciberseguridad gestionada, call centers, back office, inteligencia artificial, proveedores de infraestructura y subencargados internacionales- quedarían fuera del análisis internacional si contractualmente se califican como encargo.

El riesgo doctrinal es evidente: bastaría etiquetar al proveedor extranjero como encargado para evitar el análisis de país, jurisdicción, tutela efectiva, reparación, acceso estatal, subencargados, control ex post y garantías equivalentes. Esa lectura no parece compatible con un Capítulo IX que se orienta a preservar el efectivo ejercicio del derecho a la protección de datos personales en escenarios internacionales.

9. La posición del titular del derecho

El titular no participa en el contrato entre responsable y encargado. Sin embargo, es el centro del sistema. Su derecho incluye acceso, decisión, información, control, protección, tutela y reparación.

Tabla 3. Impactos potenciales para el titular

La transparencia no se satisface diciendo “el proveedor es encargado”. Esa afirmación describe la relación funcional, pero no informa necesariamente sobre la exposición internacional del tratamiento.

No toda relación con un encargado extranjero debilita necesariamente al titular con la misma intensidad. La afectación dependerá del tipo de datos, volumen, finalidad, localización, acceso remoto, subencargados, país de destino, medidas técnicas, garantías contractuales y tutela disponible. Precisamente por eso el análisis de riesgos no puede ser omitido.

10. Carga probatoria del responsable y diligencia reforzada

La responsabilidad proactiva no se agota en adoptar medidas. Exige demostrar que dichas medidas existen, son adecuadas y se mantienen durante el ciclo de vida del tratamiento.

Cuando exista exposición internacional significativa, la carga probatoria debería recaer principalmente sobre el responsable, porque es quien decide finalidades, selecciona al encargado, define instrucciones, aprueba subencargados, informa al titular y debe poder demostrar cumplimiento. Esa carga no significa prohibición de contratar proveedores internacionales. Significa que la contratación debe estar acompañada de evidencia suficiente.

Tabla 4. Diligencia reforzada y evidencia esperable

La etiqueta contractual de “encargado” no sustituye la evidencia de control. En escenarios de exposición internacional, el responsable debe poder demostrar que conoce dónde están los datos, quién accede, bajo qué garantías, con qué medidas técnicas, con qué subencargados y con qué mecanismos de tutela para el titular.

11. Riesgos jurídicos verificables en escenarios internacionales

Debe evitarse un uso meramente retórico de expresiones como “riesgo geopolítico”. La categoría es útil solo si se conecta con criterios jurídicos verificables. En un encargo internacional deben evaluarse, entre otros:

1. existencia o ausencia de nivel adecuado de protección;
2. leyes de acceso gubernamental a datos;
3. control judicial sobre solicitudes estatales;
4. posibilidad de informar al responsable sobre requerimientos de autoridades;
5. independencia de la autoridad de control;
6. disponibilidad de acciones administrativas o judiciales;
7. reparación efectiva;
8. ubicación de servidores, réplicas y copias de seguridad;
9. subencargados internacionales;
10. trazabilidad de accesos remotos;
11. conflicto entre contrato y ley extranjera;
12. medidas técnicas suplementarias, como cifrado robusto, segregación, control de claves, registro de accesos y minimización.

Estos elementos no son ajenos a la LOPDP. Se conectan con el análisis de contexto, riesgos, partes involucradas, garantías adecuadas, tutela efectiva y reparación integral. El Reglamento también reconoce que los mecanismos de autorregulación pueden servir para cumplir obligaciones de la Ley y del propio Reglamento en materia de transferencias, procedimientos y medidas de cumplimiento.

12. Caso de uso: hospital ecuatoriano y proveedor cloud extranjero

Un hospital ecuatoriano contrata un proveedor cloud situado en un tercer país para alojar historias clínicas electrónicas, imágenes diagnósticas, datos biométricos de autenticación, logs de acceso, datos de investigación clínica y registros de pacientes.

Contractualmente, el proveedor actúa como encargado: no decide la finalidad asistencial, no usa los datos para fines propios y trata bajo instrucciones del hospital. En el plano funcional, el art. 34 permite sostener que no hay comunicación ordinaria a un tercero responsable. El proveedor está subordinado al hospital.

Pero en el plano internacional-riesgo surgen preguntas que el art. 34 no resuelve: ¿en qué país están los servidores?, ¿dónde se ubican las réplicas?, ¿desde dónde se presta soporte?, ¿hay subencargados?, ¿qué autoridad extranjera puede requerir datos?, ¿puede el paciente ejercer derechos frente al proveedor extranjero?, ¿existe tutela judicial efectiva?, ¿puede obtener reparación integral?, ¿el hospital puede auditar y verificar borrado?, ¿se informó al paciente de forma clara?

El proveedor es encargado en el plano funcional, pero el tratamiento presenta dimensión internacional; por tanto, el hospital debe documentar garantías reforzadas, evaluar jurisdicción, controlar subencargados, informar al titular, asegurar tutela efectiva, prever medidas técnicas suplementarias y acreditar responsabilidad proactiva.

Tabla 5. Matriz mínima de control para el caso hospital-cloud

12.1. Caso atenuador: exposición internacional mínima

No toda intervención de un encargado extranjero exige la misma intensidad de garantías. La diligencia debe ser proporcional al riesgo.

Puede existir un escenario de exposición internacional atenuada cuando el proveedor extranjero realiza operaciones puramente técnicas sobre datos cifrados o fuertemente pseudonimizados, no dispone de claves, no puede acceder a datos en claro, no utiliza subencargados no autorizados, no conserva copias persistentes y el responsable mantiene control efectivo sobre claves, trazabilidad, instrucciones y supresión.

En tal supuesto, la conclusión no debería ser que no existe ningún deber de análisis, sino que el análisis puede justificar medidas menos intensas. La clave no está en la ubicación formal del encargado, sino en la capacidad real de acceso, la reversibilidad del dato, la localización de copias, la intervención de terceros, el nivel de tutela y el control efectivo del responsable.

13. Derecho comparado como apoyo persuasivo

El derecho comparado no decide la interpretación de la LOPDP, pero ayuda a diseccionar el problema. Debe utilizarse como apoyo persuasivo, no como fundamento decisivo.

13.1. RGPD / EDPB

En el RGPD, la relación responsable-encargado y la transferencia internacional pueden coexistir. Las Directrices 05/2021 del EDPB tienen por objeto ayudar a responsables y encargados a determinar cuándo una operación constituye transferencia a un tercer país u organización internacional bajo el Capítulo V del RGPD; el EDPB identifica tres criterios acumulativos, entre ellos que un exportador sujeto al RGPD ponga datos a disposición de otro responsable, corresponsable o encargado situado en un tercer país u organización internacional.[7]

Las Recomendaciones 01/2020 del EDPB sobre medidas suplementarias desarrollan la necesidad de evaluar el marco jurídico del país tercero, incluidos los supuestos de acceso por autoridades públicas, cuando se utilizan herramientas de transferencia del art. 46 RGPD.[8]

La enseñanza comparada es clara: la condición de encargado no elimina por sí sola el análisis internacional.

13.2. Colombia

Colombia distingue entre transferencia y transmisión. El Decreto 1377 de 2013 define la transferencia como el envío de datos por responsable o encargado ubicado en Colombia hacia un receptor que, a su vez, es responsable del tratamiento; en cambio, define la transmisión como el tratamiento que implica comunicación de datos dentro o fuera de Colombia para que un encargado trate por cuenta del responsable.[9]

El aporte colombiano es útil para Ecuador: permite separar la calificación funcional del encargado de la relevancia jurídica del flujo internacional. No convierte al encargado en responsable extranjero, pero tampoco invisibiliza el flujo.

13.3. Brasil

Brasil se aproxima más al modelo europeo. La ANPD informó que la Resolución CD/ANPD N.º 19/2024 aprueba el Reglamento de Transferencia Internacional de Datos, regula los arts. 33 a 36 de la LGPD y disciplina mecanismos contractuales, cláusulas-padrón, cláusulas específicas, normas corporativas globales y decisiones de adecuación.[10]

Aunque el lenguaje brasileño no sea trasladable automáticamente a Ecuador, su enfoque confirma una tendencia: las operaciones por cuenta de un responsable no siempre quedan fuera del escrutinio internacional.

13.4. Red Iberoamericana de Protección de Datos

La RIPD ha desarrollado una Guía de Implementación de Cláusulas Contractuales Modelo para Transferencias Internacionales de Datos Personales, con modelos para transferencias entre responsables y de responsable a encargado.[11]

La propia Resolución N.º SPDP-SPD-2026-0004-R descarta su aplicabilidad obligatoria en Ecuador para encargos, pero admite que su uso puede constituir buena práctica de responsabilidad proactiva. Este punto es relevante: aunque la SPDP no adopte obligatoriamente esas cláusulas para Ecuador, su reconocimiento como buena práctica confirma que los encargos con dimensión internacional pueden requerir una capa contractual reforzada.

14. Consideraciones prudenciales sobre control de legalidad administrativa, interpretación conforme y límites del análisis

Este apartado debe leerse con especial cautela metodológica. No se formula aquí un dictamen procesal ecuatoriano ni una estrategia de impugnación contencioso-administrativa. Lo que se plantea es una reflexión técnico-jurídica sobre los posibles límites interpretativos de una norma administrativa cuando desarrolla una ley orgánica cuyo objeto es garantizar el derecho fundamental a la protección de datos personales.

La discusión no debería centrarse en el Oficio N.º SPDP-IRD-2026-0300-O considerado aisladamente. Una absolución de consulta no tiene la misma naturaleza que una resolución normativa general. Su valor principal, a efectos de este análisis, consiste en revelar un criterio institucional de interpretación. El Reglamento de consultas de la SPDP establece que el contenido de una absolución no es acto administrativo ni decisión administrativa, no es vinculante, no tiene valor probatorio y no convalida tratamientos ni impide el ejercicio de facultades de supervisión, control, evaluación o sanción.

Por ello, el foco no se sitúa tanto en el oficio, sino en la forma en que ese criterio se conecta con el art. 23 de la Resolución N.º SPDP-SPD-2026-0004-R.

Desde una lectura prudente, esta construcción puede entenderse de dos maneras. La primera lectura es funcional y limitada: el encargo no constituye transferencia o comunicación ordinaria porque el encargado no recibe los datos como tercero autónomo, no decide finalidades propias y actúa a nombre y por cuenta del responsable. Esta lectura es coherente con el art. 34 LOPDP y no plantea, en sí misma, una tensión estructural con la ley.

La segunda lectura es absoluta: todo encargo de tratamiento quedaría fuera de cualquier análisis propio del régimen de transferencias o comunicaciones internacionales, incluso cuando el encargado esté situado fuera de Ecuador o cuando los datos queden alojados, accesibles, replicados, soportados o administrados desde otra jurisdicción. Esta segunda lectura es la que plantea mayores dudas desde una interpretación sistemática, finalista y protectora de la LOPDP.

La cautela doctrinal consiste, por tanto, en no afirmar que el art. 23 sea necesariamente contrario a la LOPDP, sino en advertir que su aplicación podría resultar reductora si se utiliza como una cláusula de blindaje total frente al Capítulo IX. El problema no está en reconocer la naturaleza funcional del encargo. El problema estaría en convertir esa naturaleza funcional en una exclusión automática del análisis internacional.

Desde una perspectiva de control de legalidad administrativa, que debería ser validada por asesoría jurídica ecuatoriana especializada, podrían identificarse varias líneas de análisis: jerarquía normativa, interpretación sistemática, finalidad protectora, razonabilidad administrativa y responsabilidad proactiva.

El encargo de tratamiento no constituye transferencia o comunicación ordinaria a un tercero autónomo cuando el encargado actúa a nombre y por cuenta del responsable, bajo instrucciones documentadas y sin finalidades propias. Sin embargo, cuando el encargado se encuentra fuera de Ecuador, o cuando los datos personales quedan alojados, accesibles, replicados, soportados o administrados desde otra jurisdicción, el responsable debe analizar y documentar las garantías necesarias para preservar el efectivo ejercicio del derecho a la protección de datos personales, en coherencia con la finalidad de la LOPDP y con el Capítulo IX.

15. Escala prudencial de actuación institucional y técnica

La discusión puede abordarse con diferentes niveles de intensidad institucional. Esta escala no constituye asesoramiento procesal, sino una orientación técnico-jurídica que debería ser validada por asesoría ecuatoriana cuando se pretenda actuar formalmente. Las vías de intensidad media-alta o alta requieren análisis específico por asesoría jurídica ecuatoriana habilitada.

Tabla 6. Escala prudencial de actuación institucional y técnica

16. Lectura conforme propuesta

La interpretación sistemática, finalista y protectora debería separar tres preguntas: quién recibe funcionalmente el dato, dónde queda expuesto jurídicamente el dato y qué garantías exige la protección efectiva del titular.

Tabla 7. Lectura conforme por planos

El art. 34 LOPDP excluye que el acceso del encargado sea tratado como transferencia o comunicación ordinaria a un tercero autónomo. Pero no excluye que, cuando ese acceso se produce desde fuera de Ecuador o implica alojamiento, soporte, administración o disponibilidad internacional del dato, deban analizarse las garantías del Capítulo IX o, al menos, garantías funcionalmente equivalentes.

17. Conclusión doctrinal

La LOPDP no puede interpretarse por fragmentos. El art. 34 debe armonizarse con el art. 1, el art. 10, el art. 12, los arts. 35, 37 a 42, el art. 47, el Capítulo IX, el art. 70 y el Reglamento.

El encargado explica una relación funcional. La transferencia o comunicación internacional explica una categoría normativa específica. La exposición internacional del tratamiento explica un riesgo jurídico-material que puede existir incluso cuando no se califique formalmente como transferencia en todos los casos. Son planos distintos y pueden coincidir.

El encargo no convierte al proveedor en destinatario autónomo ni en responsable extranjero. Pero la condición de encargado no elimina el riesgo internacional ni la necesidad de garantías reforzadas cuando los datos quedan alojados, accesibles, replicados, soportados o administrados desde otra jurisdicción.

La discusión sobre el encargo internacional no se agota, por tanto, en la calificación funcional del proveedor ni en la delimitación entre transferencia internacional y exposición internacional del tratamiento. Cuando los datos desbordan el perímetro territorial del Estado, emergen además cuestiones de soberanía de datos, residencia, localización, acceso estatal extranjero y dependencia de infraestructuras digitales externas. Estas dimensiones no sustituyen el análisis de la LOPDP, pero ayudan a comprender por qué la condición de encargado no puede convertir el tratamiento internacional en jurídicamente neutro; antes bien, abren una línea complementaria de análisis sobre el dato como objeto de control territorial, jurisdiccional y estratégico.

La etiqueta contractual de “encargado” no puede operar como pasaporte jurídico para que los datos personales crucen el límite de soberanía regulatoria sin análisis de riesgo, sin transparencia suficiente, sin tutela efectiva y sin garantías equivalentes. El art. 34 ordena la circulación funcional del dato; el Capítulo IX protege al titular frente a la internacionalización del tratamiento; y la responsabilidad proactiva exige demostrar que ambos planos han sido correctamente integrados.

Anexo I. Cláusulas mínimas recomendadas en encargos con exposición internacional

Cuando un encargo de tratamiento implique exposición internacional significativa, el responsable debería conservar evidencia suficiente de que el proveedor ofrece garantías adecuadas, no solo desde el punto de vista contractual, sino también operativo, técnico y organizativo.

Tabla 8. Cláusulas mínimas recomendadas

Anexo II. Evidencia mínima que debería conservar el responsable

Tabla 9. Evidencia mínima a conservar por el responsable

Bibliografía y fuentes normativas

• Asamblea Nacional del Ecuador. Ley Orgánica de Protección de Datos Personales. Registro Oficial N.º 459, Quinto Suplemento, 26 de mayo de 2021. Disponible en: https://www.asambleanacional.gob.ec/es/multimedios-legislativos/63464-ley-organica-de-proteccion-de-datos.
• Presidencia de la República del Ecuador. Reglamento General de la Ley Orgánica de Protección de Datos Personales. 2023. Disponible en: https://www.cosede.gob.ec/wp-content/uploads/2023/12/REGLAMENTO-GENERAL-A-LA-LEY-ORG%C3%81NICA-DE-PROTECCION-DE-DATOS-PERSONALES_compressed-1.pdf.
• Superintendencia de Protección de Datos Personales. Resolución N.º SPDP-SPD-2026-0004-R, Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales. Disponible en: https://spdp.gob.ec/wp-content/uploads/2026/01/04.01.01-SPSP-SPD-2026-0004-R-Norma-general-de-transferencias-signed.pdf.
• Superintendencia de Protección de Datos Personales. Resolución N.º SPDP-SPDP-2024-0012-R, Reglamento que establece el procedimiento para la atención de consultas que se le formulen a la SPDP. Disponible en: https://spdp.gob.ec/wp-content/uploads/2024/12/16.pdf.pdf.
• Comité Europeo de Protección de Datos. Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR. Versión final, 24 de febrero de 2023. Disponible en: https://www.edpb.europa.eu/documents/guideline/guidelines-052021-on-the-interplay-between-the-application-of-article-3-and-the_en.
• Comité Europeo de Protección de Datos. Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data. Versión final, 18 de junio de 2021. Disponible en: https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_en.
• República de Colombia. Decreto 1377 de 2013. Gestor Normativo, Función Pública. Disponible en: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=53646.
• Autoridade Nacional de Proteção de Dados de Brasil. Resolución CD/ANPD N.º 19, de 23 de agosto de 2024, Reglamento de Transferencia Internacional de Datos. Disponible en: https://www.gov.br/anpd/pt-br/assuntos/noticias/resolucao-normatiza-transferencia-internacional-de-dados.
• Red Iberoamericana de Protección de Datos. Guía de Implementación de Cláusulas Contractuales Modelo para la Transferencia Internacional de Datos Personales. Disponible en: https://www.redipd.org/sites/default/files/2022-09/guia-clausulas-tidp.pdf.

[1]             Asamblea Nacional del Ecuador, Ley Orgánica de Protección de Datos Personales, Registro Oficial N.º 459, Quinto Suplemento, 26 de mayo de 2021, art. 1 y concordantes. Disponible en: https://www.asambleanacional.gob.ec/es/multimedios-legislativos/63464-ley-organica-de-proteccion-de-datos. Fecha de consulta: 4 de julio de 2026.

[2]             Superintendencia de Protección de Datos Personales, Resolución N.º SPDP-SPD-2026-0004-R, Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales, arts. 23 y 24. Disponible en: https://spdp.gob.ec/wp-content/uploads/2026/01/04.01.01-SPSP-SPD-2026-0004-R-Norma-general-de-transferencias-signed.pdf. Fecha de consulta: 4 de julio de 2026.

[3]             Superintendencia de Protección de Datos Personales, Resolución N.º SPDP-SPDP-2024-0012-R, Reglamento que establece el procedimiento para la atención de consultas que se le formulen a la SPDP, art. 1. Disponible en: https://spdp.gob.ec/wp-content/uploads/2024/12/16.pdf.pdf. Fecha de consulta: 4 de julio de 2026.

[4]             Constitución de la República del Ecuador, art. 66 numeral 19. Véase también la cita constitucional incorporada en los considerandos de la Ley Orgánica de Protección de Datos Personales, Registro Oficial N.º 459, Quinto Suplemento, 26 de mayo de 2021.

[5]             Superintendencia de Protección de Datos Personales, Consultas absueltas 2026, extracto del derecho de información relativo a transferencias o comunicaciones nacionales o internacionales. Disponible en: https://spdp.gob.ec/consultas2026/. Fecha de consulta: 4 de julio de 2026.

[6]             Presidencia de la República del Ecuador, Reglamento General de la Ley Orgánica de Protección de Datos Personales, arts. 1, 2 y régimen responsable-encargado. Disponible en: https://www.cosede.gob.ec/wp-content/uploads/2023/12/REGLAMENTO-GENERAL-A-LA-LEY-ORG%C3%81NICA-DE-PROTECCION-DE-DATOS-PERSONALES_compressed-1.pdf. Fecha de consulta: 4 de julio de 2026.

[7]             Comité Europeo de Protección de Datos, Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR, versión final, 24 de febrero de 2023. Disponible en: https://www.edpb.europa.eu/documents/guideline/guidelines-052021-on-the-interplay-between-the-application-of-article-3-and-the_en. Fecha de consulta: 4 de julio de 2026.

[8]             Comité Europeo de Protección de Datos, Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, versión final, 18 de junio de 2021. Disponible en: https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_en. Fecha de consulta: 4 de julio de 2026.

[9]             República de Colombia, Decreto 1377 de 2013, arts. 3, 24 y 25, Gestor Normativo, Función Pública. Disponible en: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=53646. Fecha de consulta: 4 de julio de 2026.

[10]          Autoridade Nacional de Proteção de Dados de Brasil, Resolución CD/ANPD N.º 19, de 23 de agosto de 2024, Reglamento de Transferencia Internacional de Datos; véase también la nota institucional de la ANPD sobre su aprobación. Disponible en: https://www.gov.br/anpd/pt-br/assuntos/noticias/resolucao-normatiza-transferencia-internacional-de-dados. Fecha de consulta: 4 de julio de 2026.

[11]          Red Iberoamericana de Protección de Datos, Guía de Implementación de Cláusulas Contractuales Modelo para la Transferencia Internacional de Datos Personales. Disponible en: https://www.redipd.org/sites/default/files/2022-09/guia-clausulas-tidp.pdf. Fecha de consulta: 4 de julio de 2026.