La SPDP aclara cuándo una empresa privada puede entregar datos a la Fiscalía ecuatoriana

La Superintendencia de Protección de Datos Personales respondió una consulta sobre datos personales que una empresa entrega a organismos de investigación penal. Su criterio distingue el tratamiento que realiza el organismo público para investigar delitos del tratamiento independiente del responsable privado que comunica datos ante una solicitud u orden. La operación privada sigue dentro de la Ley Orgánica de Protección de Datos Personales.

El oficio explica que, cuando la entrega responde a una obligación legal, el responsable puede encontrar una base de legitimación en el artículo 7 de la LOPDP. También analiza la excepción al consentimiento del artículo 36 numeral 3 para información que debe proporcionarse a autoridades administrativas o judiciales en virtud de requerimientos amparados en competencias legales. La falta de consentimiento no elimina la necesidad de comprobar la competencia y fundamento del requerimiento.

La SPDP señala que la Fiscalía General del Estado es un órgano autónomo de la Función Judicial y que puede quedar comprendida en la expresión “autoridades administrativas o judiciales” del artículo 36, sin necesidad de clasificarla como autoridad administrativa. El alcance depende de las atribuciones constitucionales y legales relevantes y de que exista un deber jurídico de comunicar la información.

Para áreas de privacidad, legal, seguridad y atención a autoridades, el pronunciamiento respalda un proceso verificable: autenticar al solicitante, revisar la competencia invocada, precisar la finalidad y los datos pedidos, comprobar la obligación y limitar la entrega a lo necesario. La empresa debe documentar la decisión, la base jurídica, la fecha, el destinatario y las medidas de protección del canal de envío. La respuesta a una solicitud no equivale a una autorización general para compartir información.

La propia SPDP califica la absolución como opinión técnica no vinculante, de aplicación bajo responsabilidad de la consultante y sin efectos jurídicos generales. No resuelve de antemano la validez de cada orden ni dispensa de autorizaciones judiciales que exija el COIP para diligencias específicas. Las entidades deben analizar cada requerimiento y conservar la evidencia de esa revisión; ante ambigüedad, conviene obtener asesoría jurídica local.