Consulta
“De conformidad con el numeral 10.9 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R, ¿la obligación de designar un Delegado de Protección de Datos Personales recae únicamente y es suficiente, sobre la persona jurídica de derecho privado o fidecomiso que desarrolla de forma habitual la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales; o, recae,también, y de forma directa sobre los administrados, entiéndase como urbanizaciones, conjuntos residenciales privados o propiedades horizontales?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 4 de la LOPDP establece:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El artículo 5 de la LOPDP dispone lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…)
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…)
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.”
Asimismo, el artículo 48 de la LOPDP establece lo siguiente:
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.”(énfasis agregado).
En este sentido, el artículo 68 de la LOPDP indica lo siguiente:
“Art. 68.- Infracciones graves del Responsable de protección de datos.- Se consideran infracciones graves las siguientes: (…)
12) No designar al delegado de protección de datos personales cuando corresponda; (…)”(énfasis agregado).
En esta misma línea, el artículo 48 del RGLOPDP dispone:
“Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
El numeral 9 del artículo 10 de la Resolución Nº SPDP-SPD-2025-0028-R menciona lo siguiente:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)
10.9. Las personas jurídicas de seguridad privada, así como las personas jurídicas de derecho privado o fideicomisos que administraren urbanizaciones o conjuntos residenciales privados o propiedades horizontales, por el tratamiento de datos personales para el control de accesos;;(…)” (énfasis agregado).
Con base en los artículos previamente citados, para poder llegar a la respuesta de la pregunta realizada en la consulta, es necesario analizar la obligación jurídica prevista en el artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R, para lo cual a continuación se cita el análisis realizado en respuesta a la consulta absuelta en el oficio N° SPDP-IRD-2025-0180-O donde se menciona lo siguiente:
“Para examinar el numeral 3 del artículo 10, se debe realizar un análisis ontológico de su contenido normativo en su totalidad, prestando especial atención a la integralidad del artículo en conjunto con todo el ordenamiento jurídico vigente. En este sentido, resulta pertinente considerar la parte inicial del artículo, que se cita a continuación:
“ Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)”
En este sentido, se advierte que existe una obligación de carácter general que surge en la primera parte del artículo antes señalado, es decir, en el texto previamente citado establece el presupuesto normativo general dentro del cual debe aplicarse a todos los numerales descritos en el mismo artículo. Asimismo, se concluye que dicha obligación establece dos condiciones previas necesarias para que resulten aplicables en los supuestos correspondientes a las actividades enunciadas posteriormente en el mismo artículo. Para analizar las condiciones, se procederá a examinar el supuesto objeto de la consulta, correspondiente al numeral 3.
En este sentido, (…) Según la Real Academia Española, en este contexto la expresión “por objeto” funciona como atributo o complemento predicativo, equivalente a “tener como finalidad”. La norma establece que debe “tener por objeto”, lo cual se presenta como opción disyuntiva frente a la segunda parte, que es que el responsable o encargado “se dedicaren” a la actividad. En el ámbito jurídico-lingüístico, la expresión “dedicarse a” debe aplicarse conforme a las acepciones de la Real Academia Española, esto es, por un lado, destinar tiempo, recursos o esfuerzos a un fin determinado (acepción 1); y, por otro, ejercer de manera frecuente una actividad u ocupación profesional (acepción 2). En consecuencia, cuando un contrato, estatuto o disposición normativa establece que una persona natural o jurídica “se dedica a” determinada actividad, ello debe entenderse como la orientación estable y continua de su labor hacia un objeto o finalidad específica.
Adicionalmente, como segunda condición se establece que esta se aplica únicamente si se cumple o configura la primera, esto es, (…), además de que el responsable o encargado del tratamiento tenga por objeto o se dedique a dicha actividad de manera “habitual”. El mencionado concepto deriva de habĭtus, vocablo latino que alude a lo que se realiza, tiene o sufre de manera continuada o con frecuencia. En el ámbito jurídico, la habitualidad no se identifica con un hecho aislado ni esporádico, sino con una conducta reiterada y permanente en el tiempo, que otorga a la actividad un carácter estable y reconocible. Tal calificación adquiere relevancia para distinguir entre actos ocasionales y actividades que, por su continuidad y permanencia, configuran un ejercicio profesional, económico o jurídico específico, generando así obligaciones y responsabilidades propias para quien las desarrolla de forma habitual.
Para mejor entendimiento a continuación se describe un gráfico que demuestra las dos condiciones a cumplirse para que pueda aplicarse una de las causales establecidas en los numerales del artículo 10 del Reglamento de los DPD.
Ahora bien, sobre dicha explicación que contiene obligaciones que condicionan el alcance de los numerales, se debe analizar el alcance de la aplicación del numeral 9 del artículo 10 de la resolución analizada. En este sentido, para poder tener un claro entendimiento de dicho numeral es menester analizar los elementos de la oración comprendida en dicho numeral, para lo cual se cita el mismo a continuación:
“Las personas jurídicas de seguridad privada, así como las personas jurídicas de derecho privado o fideicomisos que administraren urbanizaciones o conjuntos residenciales privados o propiedades horizontales, por el tratamiento de datos personales para el control de accesos;”
En este sentido, corresponde efectuar una interpretación gramatical y sistemática de la disposición normativa analizada, a fin de determinar con precisión el sujeto obligado respecto de la designación obligatoria de un delegado de protección de datos personales (“DPD”). Así, se debe entender que el sujeto de la oración, esto es, aquel sobre quien recae la obligación jurídica, está constituido por todos los elementos mencionados con anterioridad al verbo rector de la disposición, concretamente: “[l]as personas jurídicas de seguridad privada, así como las personas jurídicas de derecho privado o fideicomisos”. Por su parte, el verbo rector de la norma corresponde a “administraren”, término que delimita la conducta exigida y que introduce el predicado normativo que determina el supuesto de hecho sujeto a regulación.
Bajo esta interpretación, la obligación legal debe entenderse aplicable a todas las personas jurídicas de seguridad privada, personas jurídicas de derecho privado o fideicomisos que tengan por objeto o desarrollen de manera habitual actividades de administración de urbanizaciones, conjuntos privados o propiedades horizontales. Es decir, la norma no condiciona la obligación a la naturaleza de los clientes o administrados, sino al ejercicio habitual de actividades de administración por parte del propio sujeto obligado. En consecuencia, la exigencia de designar un DPD surge en razón de la actividad desarrollada por los referidos en el sujeto de la oración, particularmente considerando que tengan como objeto o se dediquen de manera habitual a la prestación de tales servicios de administración.
En virtud de lo expuesto, se evidencia que la obligación normativa recae directamente sobre las personas jurídicas o fideicomisos que ejecutan la actividad de administración, y no sobre las urbanizaciones, conjuntos privados, propiedades horizontales o demás clientes que reciben dichos servicios. Por lo tanto, son las entidades que administran las que deben cumplir con la obligación de contar con un delegado de protección de datos personales, en observancia de las disposiciones previstas en la normativa aplicable en materia de protección de datos personales.
La incorporación de este supuesto dentro de los casos de designación obligatoria de un DPD responde a la necesidad de reforzar las garantías de protección respecto de tratamientos de datos personales que, por su naturaleza y frecuencia, pueden generar riesgos relevantes para los derechos y libertades de los titulares. En la práctica, las urbanizaciones, conjuntos privados y propiedades horizontales suelen realizar tratamiento de datos personales, como, por ejemplo, implementar mecanismos de control de acceso y registro de ingresos que implican el tratamiento de datos personales de residentes, visitantes, proveedores y terceros. No obstante, es necesario dar la seguridad necesaria para que dichos tratamientos no se realicen de forma desproporcionada o sin observar plenamente los principios establecidos en la normativa de protección de datos personales, solicitándose información excesiva para la finalidad perseguida, tales como cédulas de identidad, almacenamiento de documentos personales o incluso registros biométricos, sin que necesariamente exista una justificación suficiente, proporcional o debidamente informada para ello.
En este contexto, la obligación de designar un DPD no constituye una carga arbitraria ni un requisito impuesto discrecionalmente por la autoridad de control, sino una medida preventiva y de cumplimiento orientada a fortalecer la gobernanza y responsabilidad en el tratamiento de datos personales. La figura del delegado tiene como finalidad asesorar y supervisar que las actividades de tratamiento desarrolladas por las entidades administradoras se ejecuten conforme a los principios, derechos y obligaciones previstos en la normativa aplicable. De esta manera, se busca promover la adopción de medidas adecuadas de cumplimiento, garantizar que los tratamientos de datos personales se realicen de manera legítima, proporcional y segura, y prevenir prácticas invasivas o excesivas que puedan afectar los derechos de los titulares de los datos personales.
Sin perjuicio de lo expuesto y considerando que, conforme al análisis efectuado respecto del numeral 9 del artículo 10 de la resolución, la obligación jurídica de designar un DPD no recae directamente sobre las propiedades horizontales cuando estas no constituyen las entidades administradoras previstas en la norma; esta autoridad considera recomendable que aquellas propiedades horizontales que no mantengan contratada una empresa de administración evalúen la designación voluntaria de un DPD, en aplicación del principio de responsabilidad proactiva. Lo anterior, en atención a que dichas propiedades igualmente realizan actividades de tratamiento de datos personales vinculadas al control de accesos, registros de visitas, videovigilancia u otros mecanismos de seguridad implementados dentro de sus instalaciones. En este sentido, la recomendación de contar con un delegado responde a la finalidad misma que motivó la incorporación de esta obligación normativa, esto es, fortalecer las medidas de supervisión, asesoramiento y cumplimiento en materia de protección de datos personales, procurando garantizar que el tratamiento de información de las personas naturales que acceden a las propiedades se efectúe de manera legítima, proporcional y conforme a los principios establecidos en la normativa aplicable.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N de 17 de abril de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
“ ¿De conformidad con el numeral 10.9 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R, ¿la obligación de designar un Delegado de Protección de Datos Personales recae únicamente y es suficiente, sobre la persona jurídica de derecho privado o fidecomiso que desarrolla de forma habitual la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales; o, recae,también, y de forma directa sobre los administrados, entiéndase como urbanizaciones, conjuntos residenciales privados o propiedades horizontales?”
En atención al análisis jurídico y gramatical efectuado sobre el numeral 10.9 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R, esta autoridad concluye que la obligación de designar un Delegado de Protección de Datos Personales recae de manera directa sobre las personas jurídicas de seguridad privada, las personas jurídicas de derecho privado o fideicomisos que tengan por objeto o se dediquen de forma habitual a la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales. Por consiguiente, dicha obligación no recae ni direca ni automáticamente sobre las urbanizaciones, conjuntos residenciales privados o propiedades horizontales administradas, en su calidad de clientes o administrados.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.