Resolución No. SPDP-SPDP-2024-0002-R

Mediante Resolución No. SPDP-SPDP-2024-0002-R (“Resolución”), publicada en el Registro Oficial No. 640 de 10 de septiembre de 2024, la Superintendencia de Protección de Datos Personales (“SPDP” o “Superintendencia”) expidió la “Guía Técnica Obligatoria para el Registro de los Apoderados Especiales de Responsables, Conjuntos o No, y Encargados Extranjeros que realicen actividades de Tratamiento de Datos Personales en la República del Ecuador” (“Guía”).

Resaltamos lo siguiente:

1. Las disposiciones de esta Guía son de cumplimiento obligatorio para todos los responsables y encargados extranjeros que, sin estar domiciliados en Ecuador, ofrezcan bienes o servicios a residentes del país, formen parte del sistema de protección de datos personales, o controlen el comportamiento, en la medida que dicho control tuviere lugar en el territorio (“Sujetos Regulados”).
2. Los Sujetos Regulados deben tener de forma permanente un apoderado especial (“Apoderado”). El Apoderado debe estar investido de amplias facultades para representarlos ante instancias administrativas y judiciales en temas de protección de datos. Además, el Apoderado debe recibir y tramitar toda petición y queja de los titulares de datos que afecten sus derechos.
3. En el poder, los responsables extranjeros deben incluir su nombre comercial y las marcas que los identifican en el mercado. Los encargados extranjeros también deben mencionar a los responsables para quienes procesan datos personales. Además, tanto responsables como encargados deben proporcionar direcciones electrónicas, físicas y números telefónicos de sus sedes y de los Apoderados designados en Ecuador.
4. En caso de incumplimiento de las obligaciones de los Sujetos Regulados, responderán administrativamente las personas naturales y jurídicas que, según las circunstancias, aparenten actuar u obrar por cuenta de los Sujetos Regulados. La Superintendencia podrá dictar y aplicar las medidas correctivas previstas en la normativa.
5. El Apoderado puede ser una persona natural o jurídica domiciliada en Ecuador. Si es persona natural, debe ser ecuatoriano y, si es extranjero, debe tener residencia en el país, y gozar de derechos políticos. Si es una persona jurídica, su objeto social debe permitirle actuar como mandataria. La SPDP puede verificar con la Superintendencia de Compañías que la sociedad cumpla sus obligaciones y que el nombramiento de su representante legal esté vigente.
6. Los Sujetos Regulados deben registrar a su Apoderado en la SPDP, presentando el respectivo poder. Si el poder es otorgado en el extranjero, debe ser apostillado o certificado por un agente diplomático ecuatoriano. Los poderes en idioma extranjero deben ser traducidos al español.
7. La SPDP verificará que el Apoderado cumpla con los requisitos de la Guía y determinará si el poder es adecuado y suficiente. Si es aprobado, se procederá al registro y se notificará al Sujeto Regulado. El registro de los Apoderados, junto con sus datos de contacto, se publicará en la página web de la SPDP y en la de los Sujetos Regulados para facilitar el ejercicio de los derechos de los titulares.
8. Los Sujetos Regulados deberán actualizar el registro del Apoderado en los siguientes casos: a) muerte del Apoderado; b) renuncia del Apoderado; c) vencimiento del plazo del poder especial conferido, si lo tuviese; d) Cambio en la denominación, absorción, escisión, transformación, disolución o liquidación de la persona jurídica designada como Apoderado. Con excepción del caso de muerte, el Apoderado registrado continuará respondiendo ante la SPDP y los titulares hasta que se registre su reemplazo.
9. Los Sujetos Regulados deben presentar a la Superintendencia:
   • El acuerdo de corresponsabilidad o de encargo.
   • El registro de actividades de tratamiento (RAT).
   • Un análisis de riesgos por cada actividad de tratamiento.
   • El flujo de datos personales de cada tratamiento.
   • Las medidas de seguridad implementadas para la comunicación y transferencia de datos.
   • Sus códigos de autorregulación, si los tienen, que deberán aprobarse por la Superintendencia.

Las disposiciones transitorias de la Resolución establecen lo siguiente:

1. Se otorga un plazo de seis meses, a partir del 06 de septiembre de 2024 para que los Sujetos Regulados que ejecuten actividades de tratamiento de datos registren sus Apoderados en la Superintendencia.
2. De no hacerlo en el plazo señalado, la Superintendencia iniciará los procesos administrativos de control que correspondan.
3. La solicitud de registro del Apoderado deberá presentarse de forma presencial en las oficinas de la Superintendencia.