Resolución RESOLUCIÓN No. SPDP-SPD-2026-0004-R

Año I - Nº 225 - 49 páginas

Quito, viernes 13 de febrero de 2026

Te

r

ce

r Su

pleme

nt

o

SUPERINTENDENCIA DE

PROTECCIÓN DE DATOS

PERSONALES

RESOLUCIÓN

No. SPDP-SPD-2026-0004-R

SE EXPIDE LA NORMA GENERAL

DE TRANSFERENCIAS O

COMUNICACIONES NACIONALES

E INTERNACIONALES DE DATOS

PERSONALES

Tercer Suplemento Nº 225 - Registro Oficial

2

Viernes 13 de febrero de 2026

RESOLUCIÓN Nº SPDP-SPD-2026-0004-R

Página

1 de 47

RESOLUCIÓN Nº SPDP-SPD-2026-0004-R

EL SUPERINTENDENTE DE PROTECCIÓN DE DATOS PERSONALES

CONSIDERANDO:

Que el numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”)

les reconoce y garantiza, a todas las personas, el derecho “a la protección de datos de carácter

personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así

como su correspondiente protección”;

Que el artículo 213 CRE establece que “[l]as superintendencias son organismos técnicos de

vigilancia, auditoría, intervención y control de las actividades económicas, sociales y

ambientales, y de los servicios que prestan las entidades públicas y privadas, con el propósito

de que estas actividades y servicios se sujeten al ordenamiento jurídico y atiendan al interés

general (…)”; que forman parte de la Función de Transparencia y Control Social; y que,

conforme lo dispone el artículo 204 idem, detentan “personalidad jurídica y autonomía

administrativa, financiera, presupuestaria y organizativa (…)”;

Que el artículo 3 de la Decisión N° 897 de la Comunidad Andina (“CAN”), publicada en la

Gaceta Oficial del Acuerdo de Cartagena N° 4499 del 14 de julio del 2022, define como usuario

a la “[p]ersona natural o jurídica que en forma eventual o permanente, use algún servicio de

telecomunicaciones, de conformidad con la normativa interna de los Países Miembros”;

Que el artículo 4 de la indicada Decisión N° 897 de la CAN les reconoce y garantiza a todos

los usuarios de la CAN “el derecho que tienen todos los usuarios de la Comunidad Andina al

debido tratamiento de sus datos personales y a la titularidad sobre los mismos, así como el

derecho de acceso, uso, rectificación, eliminación, cancelación, oposición, limitación al

tratamiento o circulación de los mismos y a la portabilidad de su información”;

Que a través de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) se creó la

Superintendencia de Protección de Datos Personales (“SPDP”) como un órgano de control, con

potestad sancionatoria, de administración desconcentrada, con personalidad jurídica y

autonomía administrativa, técnica, operativa y financiera, cuyo máximo titular es, de acuerdo

con el inciso primero del artículo 76 ídem, el Superintendente de Protección de Datos Personales;

Que el artículo 76 de la LOPDP establece que “[l]a [Superintendencia de] Protección de

Datos Personales es el órgano de control y vigilancia encargado de garantizar a todos los

ciudadanos la protección de sus datos personales, y de realizar todas las acciones necesarias

para que se respeten los principios, derechos, garantías y procedimientos previstos en la [Ley

Orgánica de Protección de Datos Personales]”;

Que el numeral 5 de ese mismo artículo 76 de la LOPDP le confiere a la SPDP funciones,

atribuciones y facultades para “[e]mitir normativa general o técnica, criterios y demás actos

que sean necesarios para el ejercicio de sus competencias y la garantía del ejercicio del derecho

a la protección de datos personales”;

Que el numeral 10 del señalado artículo 76 de la LOPDP le atribuye a la SPDP, además, la

facultad de “[e]jercer el control y emitir las resoluciones de autorización para la transferencia

internacional de datos”;

Que varios aspectos relacionados con la transferencia o comunicación de datos personales

están definidos y regulados por los artículos 4, 12, 17 de la LOPDP, así como por el capítulo V

de este mismo cuerpo legal;

Que, de igual manera, los artículos que van del 55 al 61, inclusive, de la LOPDP, regulan de

forma específica la transferencia internacional de datos personales;

Registro Oficial - Tercer Suplemento Nº 225

3

Viernes 13 de febrero de 2026

RESOLUCIÓN Nº SPDP-SPD-2026-0004-R

Página

2 de 47

Que los artículos 21, 22, 23, 38 del Reglamento General de la LOPDP (“RGLOPDP”), así

como los que están contenidos en su capítulo XII, precisan los procedimientos y criterios para

la transferencia nacional e internacional de datos personales, entre los cuales se incluyen la

obligación de obtener el consentimiento del titular o contar con una causal legal de excepción;

la exigencia de registrar las actividades de tratamiento, cuando corresponda; los aspectos que

deben estimarse para determinar el nivel adecuado de protección de países, organizaciones

internacionales, personas jurídicas o territorios económicos internacionales; y la validez de

instrumentos jurídicos tales como las normas corporativas vinculantes, las cláusulas

contractuales tipo, los códigos de conducta y los mecanismos de certificación;

Que la SPDP es miembro de pleno derecho de la Red Iberoamericana de Protección de Datos

Personales (“RIPD”), con voz y voto, de acuerdo con la resolución unánimemente acordada en

la Sesión Cerrada del 27 de mayo del 2024, que se llevó a cabo en el marco del XXI Encuentro

Iberoamericano 2024 de la RIPD realizado en Cartagena de Indias, Colombia;

Que, de acuerdo con el literal a) del artículo 1 de su Reglamento, la RIPD persigue, entre

otros objetivos, “[p]romover la cooperación, el diálogo y el uso compartido de la información

para el desarrollo de iniciativas y políticas de protección de datos y privacidad”;

Que en el marco del XV Encuentro Iberoamericano de la RIPD se aprobaron y presentaron,

el 20 de junio del 2017, los Estándares de Protección de Datos Personales de los Estados

Iberoamericanos (“Estándares Iberoamericanos”), que constituyen “un conjunto de directrices

orientadoras que contribuyan a la emisión de iniciativas regulatorias de protección de datos

personales en la región iberoamericana de aquellos países que aún no cuentan con estos

ordenamientos, o en su caso, [que] sirvan como referente para la modernización y actualización

de las legislaciones existentes”;

Que el artículo 36 de los Estándares Iberoamericanos instituyen, entre otros aspectos, las

reglas generales para las transferencias de datos personales, mientras que el literal c) del apartado

36.1. prevé, como uno de los supuestos para realizarlas, el hecho de que “[e]l exportador y

destinatario suscriban cláusulas contractuales o cualquier otro instrumento jurídico que ofrezca

garantías suficientes y que permita demostrar el alcance del tratamiento de los datos

personales, las obligaciones y responsabilidades asumidas por las partes y los derechos de los

titulares”;

Que la RIPD tiene publicada la Guía de Implementación de Cláusulas Contractuales Modelo

para la Transferencia Internacional de Datos Personales (“Guía de Implementación”), cuyo

anexo contiene, en su primer apartado, el denominado “acuerdo modelo de transferencia

internacional de datos personales entre responsable y responsable”;

Que, no obstante lo anterior, en la Guía de Implementación se declara que aquella “no

reemplaza a las normativas nacionales ni a las...