Consulta
1. En relación con el artículo 7, y el artículo 8, numeral 8.q, de la Norma General, en concordancia con el artículo 3, numeral 3.8 del mismo cuerpo normativo: cuando un mismo responsable realiza tratamientos de datos personales sobre distintas categorías de titulares -por ejemplo, trabajadores, clientes, proveedores y usuarios- y cada tratamiento arroja un resultado de MTGE distinto ¿debe calcularse el MTGE de forma independiente para cada tratamiento, de modo que si ninguna supera individualmente los 6 puntos no existirá tratamiento a gran escala? ¿O, por el contrario, debe realizarse un cálculo consolidad los MTGE individuales de todas las categorías de titulares?
2. En relación con el numeral 14.1. del artículo 14 de la Norma General: ¿el solo hecho de tratar datos sensibles o categorías especiales califica automáticamente el tratamiento como gran escala, o es necesario que dicho tratamiento se realice en el marco de sistemas sanitarios, asistenciales, de seguridad o de gestión de historiales clínicos?
3. En relación con el numeral 14.4. del artículo 14 de la Norma General: ¿el tratamiento de datos biométricos y el tratamiento con actividades de geolocalización son supuestos alternativos e independientes, o deben concurrir simultáneamente para activar la calificación directa?
4. En relación con el numeral 14.6. del artículo 14 de la norma general: ¿Qué elementos concretos constituyen una transferencia “sistemática, y qué significa “flujo continuo o estructural”?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la
Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en
ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del
artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se
emite la presente absolución de consulta a nombre y en representación de la SPDP en el
siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el
derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección
de datos de carácter personal, que incluye el acceso y la decisión sobre información y
datos de este carácter, así como su correspondiente protección. La recolección, archivo,
procesamiento, distribución o difusión de estos datos o información requerirán la
autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”), indica:
“Datos sensibles: Datos relativos a: etnia, identidad de género, identidad cultural,
religión, ideología, filiación política, pasado judicial, condición migratoria, orientación
sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido
pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y
libertades fundamentales”
En su artículo 25 ibidem contempla: “Art. 25 .- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes:
a) Datos sensibles;
b) Datos de niñas, niños y adolescentes;
c) Datos de salud; y,
d) Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad”
El artículo 26 ibidem señala:
“Art. 26 .- Tratamiento de datos sensibles.- Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias:
a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
e) El tratamiento se lo realiza por orden de autoridad judicial.
f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente Ley.”
El artículo 42 ibidem expone:
“Art. 42 .- Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines,
conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de
Protección de Datos Personales lo requiera.
La evaluación de impacto relativa a la protección de los datos será de carácter obligatoria
en caso de:
a) Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se
base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base
se tomen decisiones que produzcan efectos jurídicos para las personas naturales;
b) Tratamiento a gran escala de las categorías especiales de datos, o de los datos
personales relativos a condenas e infracciones penales, o
c) Observación sistemática a gran escala de una zona de acceso público.
La Autoridad de Protección de Datos Personales establecerá otros tipos de operaciones
de tratamiento que requieran una evaluación de impacto relativa a la protección de datos.
La evaluación de impacto deberá efectuarse previo al inicio del tratamiento de datos
personales.”
El artículo 48 ibidem menciona:
“Art. 48 .- Delegado de protección de datos personales.- Se designará un delegado de
protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de
acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos
personales requieran un control permanente y sistematizado por su volumen, naturaleza,
alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a
ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos
Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de
conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y
defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo
establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las
que deba designarse un delegado de protección de datos personales y emitirá, a dicho
efecto, las directrices suficientes para su designación.”
Por otro lado, el artículo 4 del Reglamento General a la LOPDP (“RGLOPDP”) define:
“Art. 4 .- Definiciones.- Sin perjuicio de lo dispuesto en la Ley, para efectos de la
aplicación del presente Reglamento, se establecen las siguientes definiciones: (…)
7. Tratamiento a gran escala: es aquel que afecta a una gran cantidad de datos,
referentes a un elevado número de titulares, procedentes de una amplia diversidad
geográfica, y que pueden entrañar un riesgo a sus derechos y libertades. Para
determinar cuándo se está en presencia de un tratamiento «a gran escala» la Autoridad
de Protección de Datos Personales y los responsables del tratamiento deberán tener en
cuenta los siguientes aspectos:
a. El número de interesados o titulares, bien como cifra concreta o como proporción de la
población correspondiente;
b. El volumen de datos o la variedad de elementos de datos que son objeto de tratamiento;
c. La duración o permanencia de la actividad de tratamiento de datos; y,
d. El alcance geográfico de la actividad de tratamiento.
Se considera tratamiento a gran escala:
a. El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un
hospital, o de las instituciones que conforman el Sistema Nacional de Salud;
b. El tratamiento de datos de desplazamiento de las personas que utilizan el sistema de
transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte):
c. El tratamiento de datos de geolocalización en tiempo real de clientes por parte de un
responsable del tratamiento de datos personales especializado en la prestación de estos
servicios;
d. El tratamiento de datos de clientes en el desarrollo normal de la actividad de una
compañía de seguros, corredores, agentes, prestadores o de instituciones financieras;
e. El tratamiento de datos personales para publicidad comportamental por un motor de
búsqueda; y.
f. El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de
telefonía o internet”
El artículo 31 ibidem manifiesta: “Art. 31 .- Evaluación de impacto obligatoria.- Las evaluaciones de impacto del tratamiento de datos serán obligatorias en los casos establecidos en la Ley y deberán realizarse de
forma previa al inicio del tratamiento de datos personales. Los responsables utilizarán los criterios establecidos en el presente Reglamento para determinar en qué casos se está en presencia de una evaluación sistemática y exhaustiva de aspectos personales, de un tratamiento a gran escala de categorías especiales de datos, de
datos relativos a condenas e infracciones penales o, de una observación sistemática a gran
escala de una zona de acceso público.
En caso de duda, el responsable podrá dirigir una consulta a la Autoridad de Protección de
Datos Personales con la finalidad de que determine la obligatoriedad de la evaluación de
impacto. La Autoridad de Protección de Datos personales deberá contestar dicha consulta
en el término máximo de cinco (5) días contados desde la recepción de la consulta.”
El artículo 54 ibidem expone:
“Art. 54 .- Tratamiento a gran escala de datos de categoría especiales.- Para determinar
el tratamiento de datos de categorías especiales a gran escala, se considerarán, entre otros
factores que defina la Autoridad de Protección de Datos Personales, los establecidos en
el presente Reglamento”
La Resolución N° SPDP-SPD-2026-0005-R que expide la Norma General sobre el Tratamiento
de Datos Personales a Gran Escala, en su artículo 3 se define:
“Art. 3.- Sin perjuicio de las definiciones establecidas en la LOPDP y el RGLOPDP, para
los efectos de esta norma general se adoptan las siguientes definiciones específicas:
3.1. Alcance geográfico: Extensión o impacto territorial del tratamiento de datos
personales, considerando la ubicación de los titulares, de las actividades o de las
operaciones del tratamiento. El alcance geográfico se clasifica, al menos, como local,
nacional, transfronterizo o global.
3.2. Alcance geográfico global: Tratamiento realizado en más de un país, en más de una
organización internacional, en más de una persona jurídica o territorio económico
internacional.
3.3. Alcance geográfico local: Tratamiento realizado dentro de una provincia, cantón o
ciudad.
3.4. Alcance geográfico nacional: Tratamiento realizado en más de una provincia, cantón
o ciudad.
3.5. Alcance geográfico transfronterizo: Tratamiento realizado en un país, en una
organización internacional, en una persona jurídica o en un territorio económico
internacional.
3.6. Categorías de datos personales: Clasificación de los datos tal cual se encuentran
establecidas en la LOPDP y el RGLOPDP.
3.7. Frecuencia del tratamiento: Regularidad o continuidad con la que se realizan las
operaciones de tratamiento, considerando la repetición, acumulación y continuidad de
dichas operaciones. La frecuencia se clasificará como única, periódica o continua, según
la intensidad y constancia del tratamiento.
3.8. Número de titulares de datos personales: Cantidad total única de titulares de datos
personales involucrados en un determinado tratamiento, calculada sobre un período de
tiempo referencial de doce (12) meses por tratamiento, de manera que cada titular sea
contado una sola vez dentro del cálculo.
3.9. Permanencia del tratamiento: Tiempo durante el cual los datos personales están
sometidos a operaciones de tratamiento activas, excluidos los periodos de conservación en
archivo o bloqueo, los cuales se regirán por la normativa aplicable. La permanencia se
clasifica como ocasional, temporal o prolongada.
3.10. Permanencia de tratamiento ocasional: Tratamiento que se realiza de manera
excepcional, puntual o esporádico.
3.11. Permanencia de tratamiento prolongada: Tratamiento que se realiza por un período
desde tres (3) años en adelante.
3.12. Permanencia de tratamiento temporal: Tratamiento que se realiza por un período
menor a tres (3) años.
3.13. Volumen de datos: Se entenderá por volumen de datos la cantidad total de datos
personales tratados en un determinado tratamiento por parte de un responsable o
encargado, considerando, principalmente, el número de titulares afectados y la cantidad de
datos personales asociados a cada uno.”
El artículo 7 ibidem establece:
“Art. 7.- Para determinar objetivamente cuándo un tratamiento de datos personales
puede ser considerado como de gran escala, se establece el MTGE como un instrumento
de carácter técnico-jurídico que permite valorar —mediante el análisis conjunto de los
criterios cuantitativos y cualitativos previstos en el RGLOPDP y esta norma general— el
nivel de riesgo y la magnitud de un determinado tratamiento de datos personales.
El MTGE se basa en la suma de estos seis (6) componentes o variables, que reflejan las
dimensiones esenciales del tratamiento de datos personales:
7.1. Número de titulares de datos personales;
7.2. Volumen de datos personales;
7.3. Categorías de datos personales;
7.4. Frecuencia del tratamiento de datos personales;
7.5. Permanencia del tratamiento de datos personales; y,
7.6. Alcance geográfico del tratamiento.
El resultado del MTGE deberá constar de forma expresa y verificable en el RAT; y,
además, habrá de mantenerse actualizado frente a cualquier cambio sustancial del
tratamiento, sin perjuicio de las facultades de control y verificación de la SPDP” (énfasis
agregado).
El artículo 9 ibidem expone:
“Art.9.- El puntaje total del MTGE se calculará de acuerdo con la siguiente expresión
matemática:
P = Ttitulares + Tvolumen + Tcategorías + Tfrecuencia + Tpermanencia + Tgeografía
Donde “P” representa el puntaje acumulado del tratamiento de datos personales, resultante
de la sumatoria de las seis variables descritas.”
El artículo 10 ibidem establece:
“Art.10.- El tratamiento de datos personales será considerado de gran escala cuando el
valor total fuere igual o superior al valor de seis (6) puntos, que es el que constituye el
umbral de calificación. Cuando el valor obtenido fuere inferior a seis (6), el tratamiento no
será calificado como de gran escala.
La SPDP podrá ajustar el umbral de calificación mediante resolución técnica motivada, considerando los cambios tecnológicos, la evolución del mercado y los estándares internacionales.”
El artículo 14 ibidem estipula:
“Art. 14.- Constituirá tratamiento de datos personales a gran escala —de manera directa y obligatoria, sin necesidad de aplicar el MTGE—, a más de los establecidos en el RGLOPDP, cuando el responsable o, en su caso, el encargado con acceso, visibilidad o control efectivo de los datos objeto de tratamiento, realizaren las siguientes actividades:
14.1. Los tratamientos relativos a la salud, en particular cuando se realizare en el marco de sistemas sanitarios, asistenciales, de seguridad social o de gestión de historiales clínicos, así como los relativos a otras categorías especiales de datos personales, como los que realicen tratamientos de datos sensibles;
14.2. La evaluación sistemática y exhaustiva de aspectos personales de personas naturales basada en tratamientos automatizados, tales como el perfilamiento, predicción o monitoreo de comportamientos, en la medida en que, de dicha evaluación, se derivaren decisiones que produzcan efectos jurídicos o que afectaren los derechos y libertades de los titulares de los datos personales;
14.3. La observación, vigilancia o monitoreo sistemático de personas en zonas o espacios de acceso público, realizada mediante sistemas de videovigilancia u otros mecanismos tecnológicos de supervisión continua;
14.4. Todo tratamiento de datos biométricos, así como todo tratamiento que ejecutare actividades de geolocalización a los titulares de datos personales;
14.5. El tratamiento estructural de datos personales en el marco de sistemas de información crediticia, financiera o de evaluación de riesgo económico, destinados a valorar el cumplimiento de obligaciones dinerarias, la solvencia patrimonial o el comportamiento financiero de las personas naturales;
14.5. El tratamiento sistemático de datos personales de niñas, niños y adolescentes, cuando se realizare en entornos institucionales, educativos, digitales o de prestación de servicios dirigidos a estos grupos de atención prioritaria;
14.6. La realización de transferencias sistemáticas de datos personales, cuando aquellas formaren parte de flujos continuos o estructurales de información entre responsables, encargados u otros destinatarios, dentro o fuera del territorio nacional; o,
14.7. El tratamiento de datos personales en servicios de mensajería acelerada, expresa o courier.”(énfasis agregado).
Para abordar las cuestiones planteadas, es necesario partir del marco normativo que regula el tratamiento a gran escala dentro del sistema ecuatoriano de protección de datos personales, así como de la naturaleza de los datos que pueden incidir en dicha calificación.
El numeral 7 del artículo 4 del RGLOPDP define el tratamiento a gran escala como aquel que afecta a una gran cantidad de datos, relativos a un elevado número de titulares, provenientes de una amplia diversidad geográfica y que puede entrañar un riesgo para los derechos y libertades de estos. Esta definición no se limita a un criterio cuantitativo, sino que incorpora una dimensión cualitativa asociada al riesgo, lo que implica que la calificación de gran escala requiere una evaluación conjunta de varios factores.
En efecto, la misma disposición establece que, para determinar si un tratamiento es a gran escala, deben considerarse, entre otros, el número de titulares afectados, el volumen o variedad de los datos tratados, la duración o permanencia del tratamiento y su alcance geográfico. Estos elementos permiten identificar que el concepto de gran escala responde a la magnitud real del tratamiento en su contexto operativo, lo que excluye una aproximación meramente formal o basada en un solo criterio aislado.
Por otra parte, el análisis del tratamiento a gran escala no puede desvincularse de la naturaleza de los datos personales tratados. En este sentido, el artículo 4 de la LOPDP define los datos sensibles como aquellos que, por su contenido, pueden generar un riesgo significativo para los derechos y libertades fundamentales de los titulares o aquellos cuyo tratamiento indebido pueda dar lugar a discriminación. A su vez, el artículo 25 de la LOPDP establece la categoría de datos personales especiales, dentro de la cual se incluyen los datos sensibles, los datos de niñas, niños y adolescentes, los datos de salud y los datos de personas con discapacidad. Esta clasificación responde a un criterio de protección reforzada, en la medida en que estos datos, por su naturaleza, implican un mayor riesgo de afectación a derechos fundamentales.
Esta mayor protección se materializa en el artículo 26 de la LOPDP, que establece una regla general de prohibición para el tratamiento de datos sensibles, salvo en los supuestos expresamente previstos en la ley. Esta restricción responde a la naturaleza particularmente riesgosa de estos datos, en tanto su tratamiento puede afectar de manera directa derechos fundamentales de los titulares. No obstante, el hecho de que un dato sea sensible y esté sujeto a un régimen de protección reforzada no implica, por sí mismo, que cualquier tratamiento que lo involucre deba ser considerado como de gran escala. Esto debido a que la normativa distingue entre dos dimensiones distintas del tratamiento: por un lado, la naturaleza del dato, que determina el nivel de protección aplicable, y, por otro, la escala del tratamiento, que se relaciona con distintos criterios no solamente con la naturaleza del dato.
Cuando un tratamiento de datos personales es considerado de “gran escala”, éste pasa a tener dos obligaciones principales que lo diferencia de las obligaciones normales que deben cumplir los responsables y encargados del tratamiento cuando realizan un tratamiento de datos personales. Éstas son: la de contar obligatoriamente con una evaluación de impacto y la de nombrar un delegado de protección de datos personales (“DPD”). Estas obligaciones adicionales responden a que se entendió que estos tratamientos al ser masivos o usar datosdelicados de la esfera más íntima del titular, por más de que sean pocos, podían afectar en mayor medida los derechos y libertades de los titulares de datos, por lo que se vio la necesidad de incorporar mayores medidas de seguridad otorgándoles las dos previamente mencionadas.
En este sentido el artículo 42 de la LOPDP, dispone que la evaluación de impacto relativa a la protección de datos será obligatoria, entre otros casos, cuando exista un tratamiento a gran escala de categorías especiales de datos personales. La formulación normativa no se limita a referirse al tratamiento de datos sensibles, sino que exige adicionalmente que dicho tratamiento sea a gran escala, lo que evidencia que el legislador ha configurado un supuesto compuesto en el que deben concurrir ambos elementos: la naturaleza del dato y la escala del tratamiento.
Esta misma lógica se reproduce en el artículo 48 de la LOPDP, que establece la obligación de designar un DPD cuando exista tratamiento a gran escala de categorías especiales de datos personales. De ello se desprende que la naturaleza sensible o especial del dato constituye un factor de suma relevancia, pero no un único factor para activar las obligaciones reforzadas previstas en la normativa. En desarrollo de estos criterios, el artículo 54 del RGLOPDP dispone o que, para determinar cuándo se está ante un tratamiento a gran escala de categorías especiales de datos, deben considerarse los factores establecidos en el propio reglamento y aquellos que determine la SPDP, lo que refuerza que la calificación de gran escala requiere una evaluación contextual y no automática.
En este escenario, la SPDP, en ejercicio de sus competencias, expidió la Resolución N° SPDPSPD-2026-0005-R, con la finalidad de establecer criterios técnicos que permitan identificar de manera objetiva cuándo un tratamiento debe ser considerado como de gran escala. Esta norma responde a la necesidad de operacionalizar los criterios generales del RGLOPDP, evitando interpretaciones dispares y garantizando la aplicación uniforme de la normativa.
Para ello, la Resolución N° SPDP-SPD-2026-0005-R introduce un mecanismo técnico de valoración denominado Modelo Técnico de Gran Escala (“MTGE”), el cual permite determinar, mediante una fórmula aritmética, si un tratamiento alcanza el umbral necesario para ser considerado como de gran escala. Este modelo se basa en la evaluación de seis variables:
número de titulares, volumen de datos, categorías de datos, frecuencia del tratamiento, permanencia del tratamiento y alcance geográfico. El artículo 9 de la Resolución N° SPDPSPD-2026-0005-R establece que el puntaje total se obtiene mediante la suma de estas variables,
mientras que el numeral 10 del artículo 10 dispone que un tratamiento será considerado como de gran escala cuando el resultado sea igual o superior a seis (6) puntos, igual comprendiendo que la valoración para llegar a mencionado umbral cambie a través de informe técnico si la SPDP considera pertinente su modificación. Este diseño evidencia que la calificación de gran escala, en su modalidad ordinaria, responde a un análisis cuantificable que busca reflejar la magnitud real del tratamiento en función de criterios previamente definidos.
No obstante, la Resolución N° SPDP-SPD-2026-0005-R no se limita a este mecanismo aritmético. El artículo 14 establece una serie de supuestos en los cuales determinados tratamientos deben ser considerados como de gran escala de manera directa, sin necesidad de aplicar el MTGE. Estos supuestos responden a actividades que, por su naturaleza, contexto o impacto, implican un nivel elevado de riesgo para los derechos y libertades de los titulares, lo que justifica su calificación automática. En consecuencia, el marco normativo vigente establece un sistema dual para la determinación del tratamiento a gran escala, por un lado, un mecanismo técnico basado en la aplicación del MTGE y, por otro lado, supuestos de calificación directa en los cuales la propia normativa presume la existencia de gran escala. Sobre esta base, corresponde analizar las cuestiones planteadas a la luz de estos criterios.
Ahora bien, en relación con la primera pregunta, corresponde analizar el alcance de los artículos 7, 8 y 10 de la Resolución N° SPDP-SPD-2026-0005-R, en concordancia con el numeral 8 del artículo 3 del mismo cuerpo normativo, a fin de determinar si el MTGE debe aplicarse de manera independiente a cada tratamiento de datos personales, o si es posible realizar un cálculo consolidado que integre distintos tratamientos efectuados por un mismo responsable.
El punto de partida para este análisis se encuentra en el artículo 7 de la Resolución N° SPDPSPD-2026-0005-R, que establece que el MTGE se utiliza “para determinar objetivamente cuándo un tratamiento de datos personales puede ser considerado como de gran escala”(énfasis agregado). La utilización expresa del término “un tratamiento” delimita la unidad de análisis del modelo, lo que implica que la evaluación debe realizarse sobre cada tratamiento individualmente considerado, y no sobre el conjunto de actividades del responsable en forma agregada.
Esta delimitación no es meramente formal, sino que responde a la estructura misma del modelo. En efecto, el numeral 8 del artículo 3 de la Resolución N° SPDP-SPD-2026-0005-R define el “número de titulares” como la cantidad total única de titulares involucrados en un determinado tratamiento, calculados en un período de doce (12) meses. Esta definición excluye expresamente la posibilidad de integrar titulares provenientes de distintos tratamientos, en la medida en que cada tratamiento responde a una finalidad, un contexto operativo y una base jurídica específica.
A su vez, el artículo 9 de la Resolución N° SPDP-SPD-2026-0005-R establece que el puntaje del MTGE se obtiene a partir de la suma de variables asociadas al tratamiento de datos personales, estas variables no son abstractas, sino que describen características propias de una actividad de tratamiento concreta. Por tanto, su valoración solo resulta coherente cuando se realiza respecto de un mismo tratamiento, ya que su agregación entre tratamientos distintos alteraría el sentido técnico del modelo.
En este sentido, la aplicación independiente del MTGE implica que cada tratamiento debe ser analizado como una unidad autónoma, definida por su finalidad, por los titulares a los que afecta, por las operaciones que lo componen y por su contexto de ejecución. Esta individualización es coherente con la lógica del Registro de Actividades de Tratamiento (“RAT”), en el cual cada tratamiento debe ser identificado y documentado de forma diferenciada, precisamente porque cada uno puede implicar riesgos distintos y, por tanto, requerir medidas diferenciadas.
Permitir un cálculo consolidado entre tratamientos distintos implicaría desnaturalizar el modelo previsto en la Resolución N° SPDP-SPD-2026-0005-R, en la medida en que se estarían sumando variables que no corresponden a una misma actividad de tratamiento, sino a operaciones independientes que pueden tener finalidades, bases de licitud y niveles de riesgo distintos generaría una distorsión del análisis, al atribuir a un tratamiento individual una magnitud que en realidad corresponde a la suma de varios tratamientos distintos.
En consecuencia, del análisis sistemático de los artículos 7, 8, 9 y 10 de la Resolución N° SPDP-SPD-2026-0005-R, en concordancia con el numeral 8 del artículo 3, se desprende que el MTGE debe aplicarse de manera independiente a cada tratamiento de datos personales.
Sobre la segunda pregunta, el punto de análisis se ubica en el numeral 1 del artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R, Norma General sobre el Tratamiento de Datos Personales a Gran Escala, y su lectura conjunta con la LOPDP y el RGLOPDP, para establecer si el tratamiento de datos sensibles o de categorías especiales implica por sí mismo la calificación como tratamiento a gran escala.
Como se ha señalado previamente, el mero hecho de tratar datos sensibles o de categorías especiales no constituye una calificación automática de tratamiento a gran escala. Esta calificación requiere la concurrencia de factores adicionales que deben ser evaluados de manera integral, los cuales se encuentran recogidos en la fórmula prevista en el MTGE.
En este sentido, el numeral 1 del artículo 14 establece supuestos de calificación directa únicamente respecto de determinados tratamientos específicos —particularmente aquellos relacionados con datos de salud en el marco de sistemas sanitarios, asistenciales, de seguridad social o de gestión de historiales clínicos—, en los cuales la norma presume la existencia de gran escala por las características inherentes de dichos contextos.
Por el contrario, cuando se trata de datos personales de categorías especiales fuera de estos supuestos taxativos establecidos en el artículo 14 de la Norma General de Gran Escala, su tratamiento no se presume automáticamente como de gran escala, sino que debe someterse a la aplicación de la fórmula establecida en el MTGE. A través de esta evaluación se determinará si, en función de elementos como la magnitud, la sistematicidad, el volumen de datos o el alcance del tratamiento, corresponde o no su calificación como tratamiento a gran escala. En consecuencia, si bien el tratamiento de datos sensibles o de categorías especiales implica un mayor nivel de riesgo y exige un régimen reforzado de protección, su sola naturaleza no es suficiente para calificarlo como de gran escala, siendo indispensable analizar los criterios adicionales previstos en la normativa aplicable.
Sobre la tercera pregunta, el análisis se centra en el numeral 4 del artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R, a fin de establecer si el tratamiento de datos biométricos y las actividades de geolocalización deben concurrir conjuntamente o si operan como supuestos autónomos de calificación directa.
El artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R recoge una serie de supuestos en los cuales determinados tratamientos son considerados como de gran escala sin necesidad de aplicar el MTGE, en atención a su naturaleza, contexto o impacto. Dentro de estos, el numeral 4 del artículo 14 dispone que constituyen tratamientos a gran escala “todo tratamiento de datos biométricos, así como todo tratamiento que ejecutare actividades de geolocalización a los titulares de datos personales”.
La estructura de la disposición resulta determinante para su interpretación. El uso de la expresión “así como” no introduce una condición acumulativa, sino que conecta dos supuestos diferenciados dentro de un mismo enunciado normativo. Desde el punto de vista material, ambos supuestos responden a características propias que justifican su tratamiento autónomo. Los datos biométricos, conforme al artículo 4 de la LOPDP, permiten identificar de manera única a una persona natural, lo que los convierte en información altamente sensible desde la perspectiva de la privacidad y la seguridad. Por su parte, las actividades de geolocalización implican el seguimiento o rastreo de la ubicación de los titulares, lo que permite reconstruir patrones de comportamiento, hábitos o desplazamientos, generando un impacto significativo sobre la esfera privada.
Ambos tipos de tratamiento comparten un elemento común, su capacidad de generar perfiles altamente intrusivos sobre los titulares, aun cuando se desarrollen en contextos distintos. Esa capacidad de afectación es la que justifica que la norma los incluya dentro de los supuestos de calificación directa, sin exigir que se presenten de manera conjunta. Lo que implica que el mero tratamiento de datos biométricos como el mero tratamiento que contenga actividades de geolocalización será considerado de gran escala. Y, evidentemente si estos de alguna manera concurren en un solo tratamiento, con más razón, se les debe considerar como un tratamiento de gran escala el cual deberá contener elevadas medidas de seguridad.
Adicionalmente, el propio RGLOPDP, en el numeral 7 del artículo 4, reconoce expresamente como ejemplo de tratamiento a gran escala el tratamiento de datos de geolocalización en tiemporeal de clientes, lo que refuerza que este tipo de actividad puede, por sí sola, alcanzar un nivel de impacto suficiente para ser considerada como gran escala. Exigir la concurrencia simultánea de ambos supuestos implicaría introducir una condición que no se encuentra prevista en la norma y que desnaturalizaría su finalidad, que es identificar tratamientos que, por sí mismos, implican un nivel elevado de riesgo para los derechos y libertades de los titulares.
De este modo, el tratamiento de datos biométricos y las actividades de geolocalización operan como supuestos independientes y autónomos dentro del numeral 4 del artículo 14, siendo suficiente la verificación de cualquiera de ellos para activar la calificación directa de tratamiento a gran escala.
Del análisis para la cuarta pregunta, se ubica en el numeral 6 del artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R, que considera como tratamiento a gran escala, de manera directa, “la realización de transferencias sistemáticas de datos personales, cuando aquellas formaren parte de flujos continuos o estructurales de información”.
La disposición no contiene una definición expresa de “transferencia sistemática” ni de “flujo continuo o estructural”, por lo que su interpretación debe construirse a partir de los elementos que la propia Resolución N° SPDP-SPD-2026-0005-R establece para caracterizar los tratamientos de datos personales.
El numeral 7 del artículo 3 define la frecuencia del tratamiento como la regularidad con la que se realizan las operaciones, distinguiendo entre tratamientos únicos, periódicos o continuos. Esta clasificación permite identificar que una actividad es sistemática cuando no responde a un evento aislado, sino a una repetición en el tiempo, ya sea bajo una lógica periódica o continua.
La sistematicidad, por tanto, supone la existencia de un patrón de comportamiento en la transferencia de datos, que se ejecuta de manera organizada y previsible dentro de la actividad del responsable o encargado. A su vez, el numeral 9 del artículo 3 define la permanencia del tratamiento como el tiempo durante el cual los datos se encuentran sometidos a operaciones activas, lo que permite diferenciar entre tratamientos ocasionales, temporales o prolongados.
Este elemento introduce una dimensión temporal que permite identificar cuándo una transferencia deja de ser eventual y pasa a formar parte de una actividad sostenida en el tiempo.
El numeral 13 del artículo 3, relativo al volumen de datos, añade una dimensión cuantitativa al análisis, en la medida en que permite valorar la magnitud de la información transferida, tanto en función del número de titulares como de la cantidad de datos asociados a cada uno. Este criterio resulta relevante para distinguir entre transferencias de bajo impacto y aquellas que, por su escala, adquieren relevancia estructural.
Por su parte, el artículo 5 de la Resolución N° SPDP-SPD-2026-0005-R establece que, para determinar el nivel de riesgo del tratamiento, deben evaluarse criterios cualitativos como la frecuencia, la permanencia y las categorías de datos, lo que refuerza que la sistematicidad y la continuidad no se determinan únicamente por la repetición, sino también por la intensidad y el contexto en el que se desarrolla la actividad.
A partir de estos elementos, una transferencia sistemática puede entenderse como aquella que se realiza de manera recurrente, conforme a un esquema definido, integrada en las operaciones habituales del responsable o encargado, y no como una transmisión aislada o excepcional. La sistematicidad implica que la transferencia responde a una lógica organizativa estable, vinculada al funcionamiento ordinario del tratamiento. En cuanto a los flujos continuos o estructurales de información, la norma introduce dos dimensiones complementarias. Un flujo continuo se caracteriza por la transmisión constante o periódica de datos, sin interrupciones relevantes o con una repetición regular en el tiempo. Un flujo estructural, en cambio, supone que la transferencia de datos forma parte de la arquitectura operativa del tratamiento, es decir, que se encuentra incorporada en los procesos, sistemas o relaciones funcionales del responsable o encargado, siendo necesaria para el desarrollo de su actividad.
Esta distinción permite excluir del ámbito de aplicación del numeral 6 del artículo 14 aquellas transferencias que, aun siendo lícitas, se producen de manera puntual, ocasional o excepcional, ya que en estos casos no existe ni la repetición ni la integración estructural que caracterizan a los flujos continuos o estructurales.
De esta forma, la calificación prevista en el numeral 6 del artículo 14 se activa únicamente cuando las transferencias de datos personales presentan un carácter recurrente, organizado y permanente, formando parte de un flujo de información integrado en el funcionamiento ordinario del responsable o encargado, lo que justifica su consideración como tratamiento a gran escala sin necesidad de aplicar el MTGE.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N de 8 de enero de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
1. “¿En relación con el artículo 7, y el artículo 8, numeral 8.q, de la Norma General, en concordancia con el artículo 3, numeral 3.8 del mismo cuerpo normativo: cuando un mismo responsable realiza tratamientos de datos personales sobre distintas categorías de titulares -por ejemplo, trabajadores, clientes, proveedores y usuarios- y cada tratamiento, de modo que si ninguna supera individualmente los 6 puntos no existirá tratamiento a gran escala? ¿o, por el contrario, debe realizarse un cálculo consolidad los MTGE individuales de todas las categorías de titulares?
El MTGE debe aplicarse respecto de cada tratamiento de datos personales de manera independiente, y no mediante un cálculo consolidado. En efecto, la norma delimita como unidad de análisis a “un tratamiento”, por lo que cada actividad debe evaluarse de forma autónoma conforme a sus propias características. En consecuencia, si los tratamientos realizados por un mismo responsable no alcanzan individualmente el umbral de seis (6) puntos, no corresponde su calificación como tratamiento a gran escala mediante la suma de resultados de distintos tratamientos.
2. En relación con el numeral 14.1. del artículo 14 de la Norma General: ¿el solo hecho de tratar datos sensibles o categorías especiales califica automáticamente el tratamiento como gran escala, o es necesario que dicho tratamiento se realice en el marco de sistemas sanitarios, asistenciales, de seguridad o de gestión de historiales clínicos?
El solo hecho de tratar datos sensibles o categorías especiales de datos personales no califica automáticamente un tratamiento como de gran escala. Conforme a la LOPDP y el RGLOPDP, la naturaleza del dato y la escala del tratamiento constituyen elementos distintos, por lo que la calificación depende de la magnitud, alcance o sistematicidad del tratamiento, evaluados a través del MTGE. No obstante, el numeral 1 del artículo 14 de la Resolución N° SPDP-SPD2026-0005-R prevé supuestos de calificación directa, particularmente cuando el tratamiento se realiza en el marco de sistemas sanitarios, asistenciales, de seguridad social o de gestión de historiales clínicos, en los cuales se presume la existencia de gran escala.
3. En relación con el numeral 14.4. del artículo 14 de la Norma General: ¿el tratamiento de datos biométricos y el tratamiento con actividades de geolocalización son supuestos alternativos e independientes, o deben concurrir simultáneamente para activar la calificación directa?
El tratamiento de datos biométricos y el tratamiento que implique actividades de geolocalización constituyen supuestos alternativos e independientes de calificación directa como tratamiento a gran escala. De conformidad con el numeral 4 del artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R, cada uno de estos supuestos, por su naturaleza y nivel de riesgo, es suficiente por sí mismo para activar dicha calificación, sin que sea necesaria su concurrencia simultánea.
4. En relación con el numeral 14.6. del artículo 14 de la norma general: ¿Qué elementos concretos constituyen una transferencia “sistemática, y qué significa “flujo continuo o estructural”?
Una transferencia “sistemática” es aquella que se realiza de manera recurrente, organizada y no ocasional, conforme a un patrón estable dentro de las operaciones del responsable o encargado. Por su parte, un “flujo continuo” implica la transmisión constante o periódica de datos personales en el tiempo, mientras que un “flujo estructural” supone que dicha transferencia forma parte del funcionamiento ordinario del tratamiento, integrándose en sus procesos o sistemas. En este sentido, conforme al numeral 6 del artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R, la calificación directa como tratamiento a gran escala se configura únicamente cuando las transferencias presentan estas características de regularidad, continuidad e integración operativa. Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.