Consulta
¿Requieren o no de la designación de un Delegado de Protección de Datos Personales para cumplir con la obligación establecida en el art. 38 del Reglamento General a la Ley Orgánica de Protección de Datos Personales?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente.
(…)
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
(…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
(…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.”
(énfasis agregado). El artículo 47 de la LOPDP se establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
3) Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas;
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular;
5) Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas;
6) Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales;
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas;
8) Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto;
9) Implementar la protección de datos personales desde el diseño y por defecto;
10) Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales;
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional;
12) Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;
14) Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales; y,
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.” (énfasis agregado).
El artículo 48 de la LOPDP dispone lo siguiente:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.”
(énfasis agregado). El artículo 49 de la LOPDP indica:
“Art. 49.- Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación;
4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y,
5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales.
En caso de incumplimiento de sus funciones, el delegado de protección de datos personales responderá administrativa, civil y penalmente, de conformidad con la ley.” (énfasis agregado).
Asimismo, el artículo 50 de la LOPDP establece:
“Art. 50.- Consideraciones especiales para el delegado de protección de datos personales.- Para la ejecución de las funciones del delegado de protección de datos, el responsable y el encargado de tratamiento de datos personales, deberán observar lo siguiente:
1) Garantizar que la participación del delegado de protección de datos personales, en todas las cuestiones relativas a la protección de datos personales, sea apropiada y oportuna;
2) Facilitar el acceso a los datos personales de las operaciones de tratamiento, así como todos los recursos y elementos necesarios para garantizar el correcto y libre desempeño de sus funciones;
3) Capacitar y actualizar en la materia al delegado de protección de datos personales, de conformidad con la normativa técnica que emita la Autoridad de Protección de Datos Personales;
4) No podrán destituir o sancionar al delegado de protección de datos personales por el correcto desempeño de sus funciones;
5) El delegado de protección de datos personales mantendrá relación directa con el más alto nivel ejecutivo y de decisión del responsable y con el encargado;
6) El titular de los datos personales podrá contactar al delegado de protección de datos personales con relación al tratamiento de sus datos personales a fin de ejercer sus derechos; y,
7) El delegado de protección de datos personales estará obligado a mantener la más estricta confidencialidad respecto a la ejecución de sus funciones.
Siempre que no exista conflicto con las responsabilidades establecidas en la presente Ley, su reglamento, directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales, el delegado de protección, de datos personales podrá desempeñar otras funciones dispuestas por el responsable o el encargado del tratamiento de datos personales.”
El artículo 38 del Reglamento General de la Ley Orgánica de Protección de Datos Personales (“RGLOPDP”) dispone lo siguiente:
“Art. 38.- Registro de actividades de tratamiento.- El responsable del tratamiento que cuente con cien o más trabajadores, llevará un registro de todas las actividades de tratamiento de datos personales que sean de su competencia.
Este registro contendrá la siguiente información:
- El nombre y los datos de contacto del responsable del tratamiento y, en su caso, del responsable que actúa conjuntamente con el responsable del tratamiento de datos personales, así como el nombre y los datos de contacto del delegado de protección de datos;
- Los fines del tratamiento;
- Las categorías de destinatarios a los que se han comunicado o se comunicarán los datos personales;
- Identificar a los titulares y las categorías de datos personales de los titulares;
- En su caso, el uso de perfiles;
- En su caso, definir las transferencias de datos personales a organismos de un tercer país o a una organización internacional;
- Descripción de las bases legitimadoras que facultan el tratamiento;
- Los plazos de retención previstos para la supresión o la revisión de la necesidad de conservar las diferentes categorías de datos personales; y,
- Una descripción general de las medidas técnicas, jurídicas, administrativas y organizativas.
El registro se llevará por escrito o electrónicamente. Los responsables pondrán a disposición de la Autoridad de Protección de Datos Personales los registros de actividades cuando ésta lo solicite.”(énfasis agregado).
El artículo 48 del RGLOPDP dispone lo siguiente:
“Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado. (énfasis agregado).
Asimismo, el artículo 52 RGLOPDP establece lo siguiente:
“Art. 52.- Buenas prácticas.- Los responsables o encargados del tratamiento de datos personales, que no se encuentren dentro de las categorías de obligados a designar un delegado de protección de datos, podrán hacerlo de manera voluntaria como un mecanismo de buena práctica y como parte de las medidas de responsabilidad proactiva a adoptar.
En atención a sus necesidades institucionales, los responsables y encargados del tratamiento de datos personales podrán designar un delegado suplente, que actuará en caso de ausencia o impedimento temporal o definitivo del primero.” (énfasis agregado).
La Resolución N° SPDP-SPD-2025-0028-R, expedida el 30 de julio del 2025, y publicada en Registro Oficial N° 105 de 19 de agosto del 2025 la cual emite el Reglamento del Delegado de Protección de Datos Personales, en su artículo 10 menciona lo siguiente:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro:
10.1. Las instituciones de educación inicial, educación general básica, bachillerato, relacionadas con el sostenimiento público, fiscomisional y particular, con modalidad presencial, semi presencial y/o a distancia, o cualquier otra institución que trate datos de menores de edad aunque no lo hiciere dentro del ámbito educativo;
10.2. Las instituciones de educación superior de naturaleza privada o pública, por las diferentes categorías especiales de datos personales que tuvieren que tratar para la ejecución de sus actividades académicas y/o administrativas;
10.3. Toda actividad que conllevare el tratamiento datos personales de categorías especiales relacionadas con menores de edad;
10.4. Las personas jurídicas que realizaren actividades financieras y que, por cualquier motivo, tuvieren acceso o trataren directa o indirectamente datos personales;
10.5. Las personas jurídicas que realizaren operaciones de seguros, compañías o intermediarios de reaseguros, así como los asesores productores de seguros, corredores, agentes y prestadores del sector asegurador;
10.6. Las personas jurídicas que realizaren actividades de publicidad, prospección comercial o investigación de mercados y, que para tales fines, llevaren a cabo tratamientos de datos personales basados en las preferencias, intereses o comportamientos de los titulares, o que implicaren la elaboración de perfiles
10.7. Los actores del sistema de salud legalmente obligados al mantenimiento de las historias clínicas de los pacientes, a excepción de los profesionales de la salud que ejercieren su profesión de manera particular;
10.8. Los establecimientos del sector farmacéutico que ejecutaren actividades de producción, distribución y comercialización de productos farmacéuticos, así como los laboratorios, las casas de representación de medicamentos, las de distribuidoras farmacéuticas y las farmacias;
10.9. Las personas jurídicas de seguridad privada, así como las personas jurídicas de derecho privado o fideicomisos que administraren urbanizaciones o conjuntos residenciales privados o propiedades horizontales, por el tratamiento de datos personales para el control de accesos;
10.10. Las federaciones o asociaciones deportivas profesionales, sociedades anónimas deportivas, clubes profesionales o academias deportivas;
10.11. Los colegios o gremios de profesionales;
10.12. Las personas jurídicas de derecho privado que prestaren servicios de telecomunicaciones
10.13. Las personas jurídicas de derecho privado que ofertaren o prestaren servicios de video vigilancia masiva, de geolocalización o de tecnologías de la información, inclusive las dedicadas al desarrollo, implementación o despliegue de inteligencia artificial; y,
10.14. Las personas jurídicas de derecho público o privado que fueren concesionarias de servicios públicos, así como las alianzas público-privadas que distribuyeren, comercializaren y/o suministraren servicios públicos.” (énfasis agregado).
Con base en los artículos previamente citados, se procede a realizar el análisis correspondiente. En este sentido es necesario aclarar que el derecho a la protección de datos personales, reconocido en el numeral 19 del artículo 66 de la Constitución de la República del Ecuador, constituye un derecho fundamental cuyo ejercicio impone obligaciones claras a quienes deciden o ejecutan tratamientos de datos personales. Este mandato constitucional se desarrolla en la LOPDP, que delimita con precisión los roles de responsable, encargado y delegado de protección de datos personales (“DPD”), asignando a cada uno funciones diferenciadas y complementarias.
Desde esta perspectiva, el DPD, conforme a los artículos 4, 48, 49 y 50 de la LOPDP, es una persona natural cuya función principal es asesorar, supervisar y cooperar con la SPDP, actuando como punto de contacto entre ésta y el responsable o encargado del tratamiento. La normativa es consistente al caracterizar su rol como uno de acompañamiento técnico, vigilancia normativa e independencia funcional, y no como un ejecutor directo de las obligaciones materiales que la ley impone al responsable del tratamiento.
En efecto, el artículo 47 de la LOPDP establece de manera expresa que las obligaciones relacionadas con la implementación de medidas, la adopción de políticas, la gestión de riesgos, el registro de actividades de tratamiento y, en general, la demostración del cumplimiento normativo, recaen primordialmente en el responsable del tratamiento, y de forma aplicable, en el encargado del tratamiento. Dentro de este catálogo se incluye la obligación de designar un delegado “en los casos que corresponda”, pero no se traslada al delegado la titularidad de las obligaciones del responsable.
En relación específica con el artículo 38 del RGLOPDP, se observa que la obligación de llevar un registro de actividades de tratamiento (“RAT”) recae exclusivamente en el responsable del tratamiento que cuente con cien o más trabajadores. Si bien dicha disposición establece que el RAT debe incluir, entre otros elementos, los datos de contacto del delegado de protección de datos personales, “en su caso”, ello no implica que la designación de un delegado constituya un requisito previo o habilitante para el cumplimiento de esta obligación, ni que dicho artículo cree un nuevo supuesto de obligatoriedad para la designación de un DPD. Esta referencia responde únicamente a un elemento informativo que deberá incorporarse cuando la designación del delegado sea exigible conforme al artículo 48 de la LOPDP, al artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R o, incluso, cuando, no siendo obligatoria, el responsable o encargado del tratamiento haya optado por designarlo de manera voluntaria, en aplicación del principio de responsabilidad proactiva.
De este modo, la normativa no establece una relación de condicionalidad entre la obligación de llevar el RAT y la designación de un DPD. La obligación de designación del delegado surge únicamente en los supuestos previstos en el artículo 48 de la LOPDP, en el artículo 10 del Reglamento del Delegado de Protección de Datos Personales, mientras que la obligación de registro deriva del tamaño organizacional y de la condición de responsable del tratamiento, conforme al RGLOPDP.
Las tareas que ejecuta el DPD solo serán validan en la medida en que no generen conflictos de interés ni afecten la independencia funcional que la LOPDP y el RGLOPDP garantizan a éste. En consecuencia, esta autoridad aclara que no se requiere necesariamente la designación de un Delegado de Protección de Datos Personales para cumplir con la obligación establecida en el artículo 38 del RGLOPDP, ya que éstas son obligaciones independientes
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N de 19 de diciembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿Requieren o no de la designación de un Delegado de Protección de Datos Personales para cumplir con la obligación establecida en el art. 38 del Reglamento General a la Ley Orgánica de Protección de Datos Personales?”
De conformidad con el análisis técnico-jurídico precedentemente expuesto, y en estricto apego a la normativa vigente en materia de protección de datos personales, esta Autoridad establece que la designación de un DPD, por parte de un responsable o encargado del tratamiento, constituye una obligación autónoma e independiente. Dicha designación debe formalizarse siempre que el sujeto obligado se encuentre circunscrito en los supuestos de hecho previstos en la LOPDP, su RGLOPDP, o en los criterios específicos determinados en el artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R.
Por su parte, el cumplimiento de la obligación relativa al RAT se configura como un deber jurídico distinto, cuya exigibilidad para el responsable del tratamiento está supeditada a que este cuente con una nómina de cien (100) o más trabajadores. No obstante, el responsable tiene el imperativo legal de integrar los datos de contacto del DPD dentro del referido RAT en aquellos escenarios donde cuente con dicho oficial; ya sea por imperativo legal al concurrir los supuestos normativos citados, o bien, por haber efectuado la designación de manera voluntaria en ejercicio del principio de responsabilidad proactiva y las buenas prácticas de gobernanza de datos.
Adicionalmente esta autoridad identifica que la Consultante realizó otra pregunta, sin embargo, ésta no versa sobre el inteligenciamiento ni el esclarecimiento de una duda en concreto sobre un artículo o disposición de la normativa de protección de datos personales, por lo que se entiende a ésta como parte de los antecedentes para esclarecer a esta autoridad la pregunta planteada a la cual se ha dado respuesta en el presente oficio.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.