¿Qué es una transferencia internacional de datos y cuándo está permitida?

¿Qué cuenta como transferencia?

La Ley Orgánica de Protección de Datos Personales define la transferencia o comunicación, en su artículo 4, como cualquier forma de revelar datos personales a una persona distinta del titular, del responsable o del encargado: entregarlos, cederlos, transmitirlos, permitir su consulta o interconectarlos. Es internacional cuando el destinatario está fuera del país.

Hay una distinción clave: según el artículo 34, cuando un encargado accede a los datos para prestarle un servicio al responsable, no hay transferencia. La norma general de transferencias de la Superintendencia lo reafirma en su artículo 23: el encargo de tratamiento no constituye transferencia ni comunicación de datos.

¿Qué mecanismos permite la ley?

¿Qué agregó la norma general de 2026?

La Resolución SPDP-SPD-2026-0004-R se firmó el 28 de enero de 2026 y se publicó en el Tercer Suplemento del Registro Oficial n.º 225 del 13 de febrero de 2026, como confirma también Lexis. Sus reglas más prácticas:

• Cláusulas modelo: la Superintendencia reconoce como propias las cláusulas contractuales modelo entre responsables de la Red Iberoamericana de Protección de Datos, incluidas en su anexo I. Las cláusulas entre responsable y encargado de esa red no se aplican en Ecuador, porque el encargo no es transferencia.
• Autorización con análisis previo: toda solicitud de autorización debe incluir un análisis de riesgos y una evaluación de impacto.
• Registro: las transferencias autorizadas por casos excepcionales y los flujos con la Comunidad Andina se inscriben una por una, con un término mínimo de diez días antes de la operación; las que se basan en nivel adecuado o garantías adecuadas se reportan en un informe consolidado anual, en el primer trimestre.
• Archivo: responsables y encargados deben conservar al menos tres años la documentación que respalde cada transferencia.
• Transición: hay 12 meses desde la vigencia de la norma para notificar las transferencias previas con un plan de adecuación, y el mismo plazo para que la Superintendencia implemente el Registro Nacional.

Un ejemplo en una empresa ecuatoriana

Una aseguradora de Quito usa dos servicios en el exterior. El primero es un CRM alojado en Estados Unidos que procesa los datos solo por cuenta de la aseguradora: es un encargado, y lo que corresponde es un contrato que limite el uso de los datos, más las medidas de seguridad. El segundo es su casa matriz en Europa, que recibe la cartera de clientes para sus propios análisis: eso sí es una transferencia internacional, que necesita un mecanismo válido, como las cláusulas modelo, su reporte a la Superintendencia y que los clientes hayan sido informados, como exige el artículo 12 de la LOPDP.

Errores comunes

• Creer que la nube no cuenta. Siempre hay que definir si el proveedor es encargado o destinatario.
• No tener contrato con el encargado. El artículo 34 lo exige.
• Olvidar las transferencias ulteriores. La norma pide que el destinatario no reenvíe los datos sin las mismas garantías.
• No informar a los titulares. Las transferencias previstas son parte de lo que se debe comunicar.

Relación con otros términos

La frontera entre encargo y transferencia se explica en responsable y encargado del tratamiento, y quién vigila estas reglas, en Superintendencia de Protección de Datos. Para el caso de los modelos de inteligencia artificial, revisa la guía de inteligencia artificial y datos personales y la de seguridad de datos al usar inteligencia artificial.