Tag Archives: Protección de datos

Mediante Resolución No. SPDP-SPDP-2024-0002-R (“Resolución”), publicada en el Registro Oficial No. 640 de 10 de septiembre de 2024, la Superintendencia de Protección de Datos Personales (“SPDP” o “Superintendencia”) expidió la “Guía Técnica Obligatoria para el Registro de los Apoderados Especiales de Responsables, Conjuntos o No, y Encargados Extranjeros que realicen actividades de Tratamiento de Datos Personales en la República del Ecuador” (“Guía”).

Resaltamos lo siguiente:

1. Las disposiciones de esta Guía son de cumplimiento obligatorio para todos los responsables y encargados extranjeros que, sin estar domiciliados en Ecuador, ofrezcan bienes o servicios a residentes del país, formen parte del sistema de protección de datos personales, o controlen el comportamiento, en la medida que dicho control tuviere lugar en el territorio (“Sujetos Regulados”).
2. Los Sujetos Regulados deben tener de forma permanente un apoderado especial (“Apoderado”). El Apoderado debe estar investido de amplias facultades para representarlos ante instancias administrativas y judiciales en temas de protección de datos. Además, el Apoderado debe recibir y tramitar toda petición y queja de los titulares de datos que afecten sus derechos.
3. En el poder, los responsables extranjeros deben incluir su nombre comercial y las marcas que los identifican en el mercado. Los encargados extranjeros también deben mencionar a los responsables para quienes procesan datos personales. Además, tanto responsables como encargados deben proporcionar direcciones electrónicas, físicas y números telefónicos de sus sedes y de los Apoderados designados en Ecuador.
4. En caso de incumplimiento de las obligaciones de los Sujetos Regulados, responderán administrativamente las personas naturales y jurídicas que, según las circunstancias, aparenten actuar u obrar por cuenta de los Sujetos Regulados. La Superintendencia podrá dictar y aplicar las medidas correctivas previstas en la normativa.
5. El Apoderado puede ser una persona natural o jurídica domiciliada en Ecuador. Si es persona natural, debe ser ecuatoriano y, si es extranjero, debe tener residencia en el país, y gozar de derechos políticos. Si es una persona jurídica, su objeto social debe permitirle actuar como mandataria. La SPDP puede verificar con la Superintendencia de Compañías que la sociedad cumpla sus obligaciones y que el nombramiento de su representante legal esté vigente.
6. Los Sujetos Regulados deben registrar a su Apoderado en la SPDP, presentando el respectivo poder. Si el poder es otorgado en el extranjero, debe ser apostillado o certificado por un agente diplomático ecuatoriano. Los poderes en idioma extranjero deben ser traducidos al español.
7. La SPDP verificará que el Apoderado cumpla con los requisitos de la Guía y determinará si el poder es adecuado y suficiente. Si es aprobado, se procederá al registro y se notificará al Sujeto Regulado. El registro de los Apoderados, junto con sus datos de contacto, se publicará en la página web de la SPDP y en la de los Sujetos Regulados para facilitar el ejercicio de los derechos de los titulares.
8. Los Sujetos Regulados deberán actualizar el registro del Apoderado en los siguientes casos: a) muerte del Apoderado; b) renuncia del Apoderado; c) vencimiento del plazo del poder especial conferido, si lo tuviese; d) Cambio en la denominación, absorción, escisión, transformación, disolución o liquidación de la persona jurídica designada como Apoderado. Con excepción del caso de muerte, el Apoderado registrado continuará respondiendo ante la SPDP y los titulares hasta que se registre su reemplazo.
9. Los Sujetos Regulados deben presentar a la Superintendencia:
   • El acuerdo de corresponsabilidad o de encargo.
   • El registro de actividades de tratamiento (RAT).
   • Un análisis de riesgos por cada actividad de tratamiento.
   • El flujo de datos personales de cada tratamiento.
   • Las medidas de seguridad implementadas para la comunicación y transferencia de datos.
   • Sus códigos de autorregulación, si los tienen, que deberán aprobarse por la Superintendencia.

Las disposiciones transitorias de la Resolución establecen lo siguiente:

1. Se otorga un plazo de seis meses, a partir del 06 de septiembre de 2024 para que los Sujetos Regulados que ejecuten actividades de tratamiento de datos registren sus Apoderados en la Superintendencia.
2. De no hacerlo en el plazo señalado, la Superintendencia iniciará los procesos administrativos de control que correspondan.
3. La solicitud de registro del Apoderado deberá presentarse de forma presencial en las oficinas de la Superintendencia.

 

La Resolución No. SPDP-SPDP-2024-0001-R introduce el Estatuto Orgánico de Gestión Organizacional por Procesos de Arranque en la SPDP, en adelante “Estatuto”. Esta resolución entró en vigencia desde el 2 de agosto de 2024, y establece las bases para una gestión eficiente y transparente en la institución.

¿Cuáles son los aspectos clave que trae consigo el Estatuto?

Flexibilidad en la Estructura El Estatuto permite modificaciones futuras en procesos, productos y unidades administrativas según las necesidades de implementación y desconcentración. Gestión por Procesos La SPDP optimizará sus actividades y recursos, enfocándose en alcanzar sus metas de manera más eficiente y efectiva. Puestos Directivos Las Intendencias, Coordinadores Generales y Directores son de libre nombramiento y remoción. Mejora Continua Se promueve la evaluación y mejora constante de los procesos, asegurando la adaptación a los cambios y la búsqueda de la excelencia en la gestión. Transparencia La gestión por procesos facilitará el acceso a la información y la rendición de cuentas, fortaleciendo la transparencia institucional. Demanda de Servicios y Productos La Dirección Administrativa Financiera en 180 días deberá presentar un informe detallando los servicios y productos que la SPDP necesitará. Este informe deberá ser aprobado por las autoridades correspondientes.

¿Qué implica la aprobación del Estatuto?

La aprobación del Estatuto implica que la SPDP viabiliza el cumplimiento de su rol como organismo técnico de vigilancia, auditoría, intervención y control. Esto incluye la emisión de resoluciones, la supervisión del cumplimiento de la ley, la investigación de denuncias y la aplicación de sanciones en caso de incumplimiento.

¿Cuál es la estructura organizacional?

La estructura organizacional se divide en tres procesos:

• Procesos Gobernantes: Se encargan de la dirección y el control de la institución, estableciendo directrices, políticas y planes estratégicos.
• Procesos Sustantivos: Llevan a cabo las actividades esenciales para brindar servicios y cumplir la misión de la SPDP, como la supervisión, regulación y control del tratamiento de datos personales.
• Procesos Adjetivos: Proporcionan apoyo a los otros procesos, incluyendo asesoría jurídica, planificación y gestión administrativa y financiera.

En resumen, la estructura está divida de la siguiente forma:

Tipo de Proceso Nivel Unidad Responsable Gobernantes Directivo Direccionamiento Estratégico Superintendente de Protección de Datos Personales Sustantivos Operativo Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales Intendente General de Innovación Tecnológica y Seguridad de Datos Personales Sustantivos Operativo Intendencia General de Regulación de Protección de Datos Personales Intendente General de Regulación de Protección de Datos Personales Sustantivos Operativo Intendencia General de Control y Sanción Intendente General de Control y Sanción Adjetivos Asesoría Dirección de Asesoría Jurídica Director/a de Asesoría Jurídica Adjetivos Asesoría Unidad de Planificación y Gestión Estratégica Especialista de Planificación y gestión estratégica Adjetivos Apoyo Gestión Administrativa Financiera Director/a Administrativo Financiero

En conclusión, la aprobación del Estatuto Orgánico de la Superintendencia de Protección de Datos Personales marca un hito crucial en la protección de datos en Ecuador. A partir de ahora, la SPDP cuenta con la estructura y los mecanismos necesarios para velar por el cumplimiento de la Ley Orgánica de Protección de Datos Personales y su Reglamento. Esto significa que las empresas deberán estar en cumplimiento, ser diligentes y transparentes en el manejo de la información personal, garantizando así la privacidad y seguridad de los datos de sus clientes, empleados y usuarios.