Una operación de comercio exterior puede mover información de trabajadores, clientes, contactos de proveedores, conductores y representantes. La LOPDP protege a las personas identificadas o identificables detrás de esos documentos, incluso cuando la operación principal es entre empresas. El primer paso es seguir los datos por todo el proceso, no tratar todos los archivos como si fueran información aduanera sin dimensión personal.
Qué datos necesita realmente la operación
Separe identificación y contacto, información laboral, datos de pago y categorías especiales. La condición migratoria es sensible; no todo dato de un viaje o documento identificativo lo es automáticamente. Pida solo información pertinente para la finalidad y determine quién necesita verla.
Que un documento sea necesario para una obligación aduanera no permite usar después los contactos incluidos para cualquier campaña. Asigne una base jurídica a cada finalidad y comunique el uso de forma comprensible.
Prepare un mapa de flujos
| Flujo | Preguntas que debe resolver |
|---|---|
| Personal hacia plataforma de la matriz | ¿Qué datos recibe, en qué país, para qué y bajo qué rol? |
| Documentación hacia agente aduanero | ¿Qué información personal exige su actuación y qué decisiones adopta por sus obligaciones propias? |
| Datos hacia transportista | ¿Qué necesita para entregar y qué usos adicionales realiza? |
| CRM o sistema de gestión extranjero | ¿Procesa por instrucciones, quién accede y qué subproveedores intervienen? |
Para cada fila añada responsable interno, categoría de personas, conservación, contrato y evidencia de la legitimación. El país de alojamiento es un dato del mapa, pero no define por sí solo toda la relación jurídica.
Agentes y transportistas no son siempre encargados
Si un tercero decide finalidades propias puede actuar como responsable independiente. Si procesa por instrucciones de la empresa, puede ser encargado. La denominación comercial del proveedor o una cláusula estándar no sustituye el análisis por operación.
Documente las comunicaciones entre responsables y los encargos con el instrumento aplicable. Evite pedir que un contrato de encargo cubra usos que el proveedor realiza por su propia cuenta: los roles deben reflejar lo que ocurre.
Cómo revisar un proveedor extranjero
El artículo 23 de la Resolución 2026-0004-R establece que el encargo no constituye transferencia ni comunicación de datos. Por ello, un acceso desde el extranjero bajo un encargo genuino no activa automáticamente el régimen de transferencias internacionales. Deben mantenerse instrucciones, seguridad, transparencia y demás obligaciones.
Cuando hay un destinatario responsable, revise nivel adecuado, garantías o supuesto excepcional conforme a la norma. Las transferencias anteriores a su vigencia requieren analizar la regularización transitoria, con notificación y plan dentro de los doce meses establecidos. La guía de transferencias internacionales detalla esa ruta.
Ejemplo de una plataforma de la matriz
Supuesto hipotético: una importadora carga contactos y expedientes de trabajadores en un sistema administrado por su grupo extranjero. Debe distinguir al proveedor técnico, que podría ser encargado, de la matriz que usa parte de esa información para decisiones propias. Cada flujo requiere un análisis; llamarlo todo “uso de nube” deja fuera la finalidad de la matriz.
Antes de activar el sistema, pregunte por alojamiento, acceso remoto, reutilización, subproveedores, exportación de datos y respuesta a incidentes. Compruebe además si el tratamiento encaja en gran escala y si corresponde DPD. Guarde respuestas y contratos junto con el mapa, y revíselo al incorporar nuevos operadores o países.
Fuentes oficiales
- Ley Orgánica de Protección de Datos Personales
- Reglamento General de la LOPDP
- Norma de transferencias de datos, Resolución 2026-0004-R
- Registro Oficial: publicación de la norma de transferencias, 13 de febrero de 2026
- Norma de tratamiento a gran escala, Resolución 2026-0005-R
Revisión normativa: 12 de octubre de 2026.