Protección de datos personales y seguros: ¿cómo afecta la normativa sobre transferencias de datos al sector asegurador en Ecuador?
La actividad aseguradora implica un flujo constante de información personal.
Desde la contratación de una póliza hasta la atención y liquidación de un siniestro, las compañías de seguros pueden compartir información con corredores, reaseguradores, ajustadores, peritos, talleres, clínicas, médicos, abogados, empresas de asistencia y proveedores tecnológicos.
Esta circulación de información adquiere una nueva dimensión jurídica con la Resolución No. SPDP-SPD-2026-0004-R, mediante la cual la Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
La norma fue publicada el 13 de febrero de 2026 y regula los requisitos jurídicos y técnicos aplicables a las transferencias y comunicaciones de datos personales dentro y fuera del Ecuador.
Aunque la resolución no es una regulación específica del sector asegurador, su aplicación resulta especialmente relevante para las compañías de seguros debido a la cantidad y variedad de terceros que intervienen en la operación aseguradora.
La pregunta, por tanto, es: ¿Qué deben tener en cuenta las aseguradoras cuando comunican datos personales de sus asegurados, beneficiarios, clientes o terceros?
1. ¿Por qué la protección de datos personales es especialmente importante en los seguros?
Una compañía de seguros no solamente administra pólizas. También administra grandes cantidades de información personal.
Dependiendo del ramo, puede tratar información como:
- nombres y apellidos;
- número de identificación;
- domicilio;
- teléfono y correo electrónico;
- información patrimonial;
- información financiera;
- información sobre bienes asegurados;
- información de accidentes;
- fotografías;
- información laboral;
- información médica y de salud;
- información de beneficiarios;
- información relacionada con siniestros.
Durante un siniestro, además, esa información puede circular entre múltiples participantes.
Por ejemplo:
Asegurado → aseguradora → ajustador → perito → taller
En un seguro de salud:
Asegurado → aseguradora → médico → clínica → laboratorio
Y en una operación internacional:
Aseguradora ecuatoriana → broker → reasegurador extranjero → ajustador internacional.
Por ello, la protección de datos personales no constituye un asunto exclusivamente tecnológico o informático. Forma parte de la gestión jurídica de la actividad aseguradora.
2. La Resolución SPDP-SPD-2026-0004-R establece nuevas reglas para la circulación de datos
La resolución tiene por objeto regular los procedimientos y requisitos técnicos y jurídicos destinados a garantizar los derechos de protección de datos en las transferencias o comunicaciones nacionales e internacionales. Sus disposiciones son obligatorias para los responsables del tratamiento que intervengan en estas operaciones y también contemplan determinados supuestos relacionados con encargados del tratamiento.
Para una aseguradora, esto significa que no basta con saber que necesita enviar información a un tercero.
Debe analizarse jurídicamente:
- qué datos se están comunicando;
- quién los recibe;
- para qué finalidad;
- cuál es la base de legitimación;
- qué rol jurídico tiene el destinatario;
- si la comunicación es nacional o internacional;
- qué garantías deben implementarse;
- qué información debe proporcionarse al titular;
- cómo se documentará la operación.
3. No toda entrega de información a un tercero constituye una transferencia
Este es uno de los puntos más importantes para las aseguradoras.
La primera pregunta no debería ser: ¿Estoy enviando datos fuera de la empresa?
La pregunta correcta es: ¿Cuál es jurídicamente la relación entre mi compañía y quien recibe los datos?
Esto resulta fundamental porque la normativa ecuatoriana distingue entre el responsable del tratamiento, el encargado del tratamiento y las transferencias o comunicaciones a terceros.
La propia resolución establece que, conforme a la legislación ecuatoriana, el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales. Por ello, las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos para relaciones responsable–encargado no son aplicables en Ecuador como mecanismo de transferencia.
La SPDP posteriormente aclaró que esta regla opera incluso cuando el encargado se encuentra fuera del Ecuador: si realmente trata los datos a nombre y por cuenta del responsable, su ubicación extranjera no transforma por sí sola el encargo en una transferencia internacional. (spdp.gob.ec)
Esto es particularmente importante para las aseguradoras que utilizan:
- proveedores cloud;
- plataformas tecnológicas;
- sistemas de gestión de siniestros;
- proveedores de almacenamiento;
- servicios de asistencia;
- proveedores de procesamiento de información.
La ubicación geográfica del proveedor no es suficiente para determinar su naturaleza jurídica.
Hay que analizar qué hace realmente con los datos y quién determina las finalidades y medios del tratamiento.
4. ¿Qué ocurre cuando una aseguradora comunica datos a un tercero?
Cuando sí existe una transferencia o comunicación nacional, la resolución establece varias condiciones.
Debe existir:
- una finalidad lícita, legítima y determinada;
- una base de legitimación conforme a la LOPDP;
- consentimiento informado del titular, salvo las excepciones previstas legalmente.
Cuando la transferencia se fundamenta en consentimiento, este debe ser previo, libre, específico, informado e inequívoco, y el titular debe conocer la finalidad, la identidad o categoría del destinatario y las garantías aplicables.
Esto tiene consecuencias prácticas importantes.
Por ejemplo, una aseguradora debería poder justificar jurídicamente por qué comunica determinada información a:
- un ajustador;
- un perito;
- una clínica;
- un abogado;
- un proveedor de asistencia;
- un reasegurador;
- otro tercero.
5. El principio de minimización adquiere especial importancia en los siniestros
La resolución exige limitar la transferencia a los datos estrictamente necesarios para cumplir la finalidad legítima previamente declarada. También exige utilizar mecanismos seguros de comunicación y contempla medidas como el cifrado, la formalización de acuerdos escritos y el control de transferencias ulteriores.
Esto plantea una pregunta muy relevante para la gestión de siniestros: ¿La aseguradora está entregando al tercero solamente la información que necesita para cumplir su función?
Por ejemplo, para que un perito determine los daños de un vehículo quizá sea necesario proporcionarle:
- identificación del asegurado;
- información de la póliza;
- datos del vehículo;
- información del accidente;
- fotografías;
- documentación relacionada con el daño.
Pero eso no significa necesariamente que deba recibir todo el expediente histórico del cliente.
La aplicación del principio de minimización exige analizar cada flujo de información según su finalidad.
6. Los ajustadores y peritos deben ser analizados jurídicamente
Este punto tiene especial importancia en la actividad aseguradora.
Una aseguradora puede comunicar información personal a un ajustador o perito para investigar un siniestro.
Pero la calificación jurídica de esa relación no debería establecerse únicamente por el nombre del contrato.
Debe analizarse:
- quién determina la finalidad del tratamiento;
- quién determina los medios;
- qué instrucciones recibe el tercero;
- si utiliza los datos exclusivamente por cuenta de la aseguradora;
- si puede utilizar la información para finalidades propias;
- si puede comunicarla posteriormente a terceros.
Por ello, la relación entre aseguradora, ajustador y perito debe analizarse bajo la LOPDP y la normativa de la SPDP, además de la regulación propia del sector asegurador.
Esta cuestión puede adquirir todavía mayor complejidad cuando intervienen proveedores internacionales.
7. Un caso especialmente sensible: los reaseguradores
Uno de los escenarios más relevantes para el sector asegurador es la comunicación de información a un reasegurador extranjero.
Supongamos que una aseguradora ecuatoriana debe comunicar información relacionada con un siniestro importante a un reasegurador ubicado fuera del Ecuador.
Aquí deberían formularse, entre otras, las siguientes preguntas:
¿El reasegurador actúa como encargado o como responsable? La respuesta dependerá de la relación concreta y de las funciones que desempeñe.
¿Qué datos se están enviando? No es lo mismo información limitada de una póliza que un expediente completo de siniestro.
¿Cuál es la finalidad? Debe determinarse la finalidad específica que justifica la comunicación.
¿En qué país se encuentra el destinatario? Esto será relevante para determinar el mecanismo jurídico de la transferencia internacional.
¿Existe un nivel adecuado de protección? Si existe, deben cumplirse las condiciones establecidas por la resolución.
¿Existen garantías adecuadas? Si no existe un nivel adecuado, deberá analizarse alguno de los mecanismos reconocidos por la normativa.
Este análisis resulta particularmente importante en seguros corporativos, transporte, energía, responsabilidad civil, riesgos financieros y otros ramos que frecuentemente involucran operaciones internacionales.
8. Transferencias internacionales: ¿qué debe verificar una aseguradora?
La resolución establece un régimen específico para las transferencias internacionales.
Una de las posibilidades es que el destinatario se encuentre en un país, organización internacional, persona jurídica o territorio económico internacional declarado con nivel adecuado de protección.
En ese caso, el responsable debe verificar que el destinatario se encuentre efectivamente en el listado correspondiente y que el reconocimiento no haya sido suspendido o revocado.
Pero incluso cuando existe nivel adecuado, la aseguradora debe adoptar medidas contractuales y técnicas, mantener un registro actualizado de las transferencias, informar a los titulares y cumplir las obligaciones de registro correspondientes.
Por tanto: Que un país tenga un nivel adecuado de protección no significa que la aseguradora pueda transferir datos sin controles adicionales.
9. ¿Qué sucede si el país destinatario no tiene un nivel adecuado?
La resolución permite realizar transferencias mediante garantías adecuadas que aseguren una protección efectiva de los derechos de los titulares. Entre ellas se encuentran:
- cláusulas contractuales tipo;
- normas corporativas vinculantes;
- códigos de conducta vinculantes;
- mecanismos de certificación.
Estas garantías deben ser jurídicamente exigibles y deben asegurar, entre otros aspectos:
- cumplimiento de los principios de protección de datos;
- supervisión;
- ejercicio de los derechos de los titulares;
- control de transferencias ulteriores;
- aceptación de la jurisdicción ecuatoriana en materia de protección de datos;
- mecanismos de responsabilidad y reparación.
Para una compañía de seguros que trabaja con reaseguradores internacionales, este análisis contractual puede convertirse en una parte importante de su programa de cumplimiento en protección de datos.
10. Las cláusulas contractuales modelo y el reaseguro
La resolución reconoce como válidas las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos para transferencias internacionales entre responsables y responsables.
Esta distinción es importante.
Si una aseguradora ecuatoriana y un reasegurador extranjero actúan jurídicamente como responsables independientes respecto de determinados tratamientos, puede ser necesario analizar la aplicación de este mecanismo.
Pero si estamos ante un verdadero encargo de tratamiento, el artículo 23 de la resolución establece un régimen diferente.
Por eso, antes de incorporar automáticamente una cláusula contractual modelo a un contrato de servicios, es necesario determinar primero la naturaleza jurídica de la relación.
11. ¿Qué ocurre con los grupos aseguradores internacionales?
La resolución también contempla las normas corporativas vinculantes para grupos empresariales.
Estas pueden ser especialmente relevantes para grupos aseguradores multinacionales que necesitan intercambiar información entre diferentes compañías del grupo.
Las normas corporativas vinculantes deben integrarse en la gobernanza de datos del grupo y establecer, entre otros aspectos:
- responsabilidades;
- derechos de los titulares;
- mecanismos de supervisión;
- procedimientos internos;
- auditorías;
- transparencia;
- formación;
- mecanismos de cumplimiento.
La aprobación de estas normas por la SPDP tiene una vigencia de cuatro años y puede ser revisada o revocada ante determinados incumplimientos.
Esto permite observar que la protección de datos empieza a conectarse directamente con:
gobierno corporativo + compliance + gestión de riesgos.
12. La aseguradora debe poder demostrar que sus transferencias son legales
Uno de los aspectos más importantes de la resolución es el principio de responsabilidad proactiva.
El artículo 4 exige conservar durante al menos tres años la documentación que respalde la legalidad y legitimidad de la transferencia o comunicación, incluyendo contratos, evaluaciones de impacto y medidas de seguridad, entre otros documentos. Esa información debe estar disponible para la SPDP cuando sea requerida.
Por tanto, una aseguradora debería estar en capacidad de responder preguntas como:
¿Qué datos personales transferimos?
¿A quién?
¿Para qué?
¿Con qué base jurídica?
¿Qué rol tiene el destinatario?
¿En qué país está?
¿Qué garantías aplicamos?
¿Qué medidas de seguridad utilizamos?
¿Existe una transferencia posterior?
¿Dónde está documentada?
Esto convierte la protección de datos en una verdadera materia de compliance corporativo.
13. El mapa de flujos de datos debería formar parte del sistema de cumplimiento de una aseguradora
Desde una perspectiva práctica, una de las primeras medidas que debería adoptar una compañía de seguros es elaborar un mapa de flujos de datos personales.
Por ejemplo:
| Flujo | Destinatario | Finalidad | ¿Nacional/internacional? | Análisis requerido | |
|---|---|---|---|---|---|
| Aseguradora → ajustador | Ajustador | Investigación del siniestro | Nacional | Rol jurídico y base legal | |
| Aseguradora → perito | Perito | Evaluación del daño | Nacional | Minimización y seguridad | |
| Aseguradora → clínica | Prestador médico | Atención de siniestro | Nacional | Datos de salud | |
| Aseguradora → reasegurador | Reasegurador | Gestión del reaseguro | Internacional | Transferencia internacional | |
| Aseguradora → proveedor cloud | Proveedor tecnológico | Almacenamiento/procesamiento | Depende | Encargo y ubicación | |
| Aseguradora → matriz | Empresa del grupo | Gestión corporativa | Internacional | Responsable/responsable y mecanismo habilitante | |
Este mapa permite identificar los puntos de riesgo y determinar qué contratos, políticas y medidas de seguridad deben revisarse.
14. Los datos de salud requieren especial atención
En seguros de salud, vida, accidentes personales y otros productos, pueden tratarse categorías de información particularmente sensibles.
La comunicación de información médica a:
- clínicas;
- médicos;
- laboratorios;
- ajustadores;
- reaseguradores;
- proveedores internacionales;
debe analizarse con especial cuidado. No basta con que la comunicación sea útil para gestionar el siniestro.
Debe existir una base jurídica adecuada y deben observarse los principios de protección de datos, incluida la minimización, seguridad y limitación de la finalidad.
Por ello, la protección de datos personales en seguros de salud y vida constituye un campo que merece un análisis jurídico específico.
15. Existe además un período de regularización para transferencias internacionales anteriores
La resolución establece un régimen transitorio para las transferencias o comunicaciones internacionales efectuadas antes de su vigencia.
Los responsables y encargados cuentan con doce meses desde la vigencia de la norma para notificar a la SPDP determinadas transferencias internacionales previas y presentar un plan de adecuación. El régimen contempla, además, condiciones bajo las cuales no se impondrán sanciones durante ese período por el incumplimiento de la obligación de regularización.
Dado que la resolución entró en vigor con su publicación el 13 de febrero de 2026, este período transitorio tiene especial relevancia durante 2026 y hasta febrero de 2027.
Para las compañías de seguros con relaciones internacionales, esto hace recomendable revisar desde ahora las transferencias que ya vienen realizando, en lugar de esperar al final del período de regularización.
16. ¿Qué deberían hacer las compañías de seguros?
A partir de la normativa analizada, una aseguradora debería considerar al menos las siguientes acciones:
1. Levantar un inventario de transferencias y comunicaciones
Identificar todos los terceros que reciben datos personales.
2. Clasificar jurídicamente a los destinatarios
Determinar quién es responsable, encargado o tercero y bajo qué condiciones.
3. Identificar las categorías de datos
Especialmente cuando existen datos de salud u otras categorías que requieren mayor protección.
4. Determinar la base de legitimación
No asumir que toda comunicación está legitimada simplemente porque forma parte de la operación del seguro.
5. Aplicar minimización
Enviar únicamente los datos necesarios para la finalidad correspondiente.
6. Revisar contratos
Los contratos con proveedores, ajustadores, peritos, clínicas, empresas de asistencia y terceros deberían ser revisados desde la perspectiva de protección de datos.
7. Analizar las transferencias internacionales
Especialmente las realizadas a reaseguradores, matrices, brokers y proveedores extranjeros.
8. Implementar garantías adecuadas cuando correspondan
Incluyendo el análisis de cláusulas contractuales modelo, normas corporativas vinculantes u otros mecanismos reconocidos.
9. Mantener evidencia documental
La aseguradora debe poder demostrar la legalidad de sus transferencias.
10. Revisar las transferencias internacionales existentes
Especialmente aquellas realizadas antes de la entrada en vigor de la nueva normativa.
Conclusión: los seguros también son una actividad intensiva en datos personales
La Resolución SPDP-SPD-2026-0004-R no fue diseñada exclusivamente para el sector asegurador. Sin embargo, su impacto potencial en las compañías de seguros es considerable, debido a la cantidad de datos personales que circulan durante el ciclo de la póliza y la gestión de siniestros.
Una aseguradora puede ser responsable del tratamiento, comunicante, destinataria o utilizar encargados para distintas operaciones. Por ello, cada flujo debe analizarse individualmente.
El verdadero desafío para las compañías de seguros no consiste simplemente en preguntarse: ¿Podemos enviar estos datos?
La pregunta correcta es: ¿Podemos demostrar que este flujo de datos personales es lícito, necesario, seguro, proporcional y adecuadamente documentado?
Esta nueva perspectiva conecta directamente derecho de seguros, protección de datos personales y compliance.
Para las aseguradoras, esto significa que la protección de datos debe dejar de verse exclusivamente como una obligación del área tecnológica o de privacidad y comenzar a integrarse en la gestión jurídica y de riesgos de la organización.
Y para el sector asegurador ecuatoriano, la identificación y auditoría de los flujos de datos personales puede convertirse en uno de los nuevos ámbitos de cumplimiento que deberán recibir mayor atención durante los próximos años.
Nota: Este artículo tiene carácter informativo y no constituye asesoría jurídica para un caso concreto.
Fuentes normativas
- Resolución No. SPDP-SPD-2026-0004-R, Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales, publicada en el Tercer Suplemento del Registro Oficial No. 225 de 13 de febrero de 2026.
- Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento.
- Criterio publicado por la SPDP en 2026 sobre la aplicación del artículo 23 de la Resolución SPDP-SPD-2026-0004-R a encargados ubicados fuera del Ecuador. (spdp.gob.ec)
