Consulta
“¿La obligación de designar un Delegado de Protección de Datos Personales, prevista en el artículo 10.13 de la Resolución No. SPDP-SPD-2025-0028-R, aplicable a personas jurídicas de derecho privado que oferten o presten servicios de tecnologías de la información, se limita exclusivamente a aquellas entidades cuya actividad principal implique el tratamiento de datos personales como parte inherente de sus servicios tecnológicos, o también alcanza a empresas cuya actividad principal sea únicamente la oferta, consultoría o asesoramiento en transformación digital y de procesos, aunque no realicen un tratamiento sistematizado de datos personales?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos. (…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.”
(énfasis agregado).
El artículo 47 de la LOPDP establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…)
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…)
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.” (énfasis agregado).
El artículo 48 ibidem establece:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
En este sentido, el artículo 68 de la LOPDP indica lo siguiente:
“Art. 68.- Infracciones graves del Responsable de protección de datos.- Se consideran infracciones graves las siguientes: (…)
12) No designar al delegado de protección de datos personales cuando corresponda; (…)” (énfasis agregado).
En esta misma línea, el artículo 48 del RGLOPDP indica lo siguiente:
“Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
Adicionalmente, es menester citar la Resolución N° SPDP-SPD-2025-0028-R donde se expide el Reglamento del Delegado de Protección de Datos Personales, donde en su numeral 13 del artículo 10 se menciona lo siguiente:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)
10.13. Las personas jurídicas de derecho privado que ofertaren o prestaren servicios de video vigilancia masiva, de geolocalización o de tecnologías de la información, inclusive las dedicadas al desarrollo, implementación o despliegue de inteligencia artificial; y,(…)” (énfasis agregado).
De manera concordante es necesario hacer referencia al artículo 225 del Código de Comercio (“CCom”) el cual dispone lo siguiente:
“La oferta o propuesta es el proyecto de negocio jurídico que una persona formula a otra u otras personas determinadas. Deberá contener los elementos esenciales del negocio y ser comunicada al destinatario.
Se entenderá que la propuesta ha sido comunicada cuando se utilice cualquier medio adecuado para hacerla conocer del destinatario.
Toda propuesta no dirigida a una o varias personas determinadas, será considerada como una simple invitación a cualquier persona a hacer ofertas, a menos que la persona que haga la propuesta indique claramente lo contrario.” (énfasis agregado).
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R (Estatuto de Arranque de la SPDP) y en ejercicio de la competencia administrativa delegada a esta Intendencia General de Regulación prevista en el literal c) del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir el análisis técnico-jurídico vinculante en atención a las consulta formulada respecto de la aplicación del numeral 13 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R y la obligatoriedad de la designación del Delegado de Protección de Datos Personales (DPD).
En este sentido, para poder dar contestación a la consulta planteada es pertinente analizar todo el artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R debido a que el numeral del cual se pide inteligenciamiento en la presente consulta debe ser comprendido de manera armónica con el artículo y con la normativa de protección de datos personales. Para lo cual, a continuación, se cita el acápite pertinente de la consulta absuelta en el Oficio N° SPDP-IRD-2025-0180-O donde se analiza la aplicación normativa que explica la figura del DPD y el artículo 10 de la resolución previamente referida, en su parte inicial y se menciona lo siguiente:
“Con base en la normativa previamente citada, el Delegado de Protección de Datos Personales constituye una figura esencial en el marco del régimen jurídico de protección de datos en el Ecuador, en virtud de lo establecido en el artículo 4 de la LOPDP, el artículo 48 de la misma Ley, y su reglamento, así como en la normativa emitida por la SPDP. Se trata de una persona natural que debe asesorar al responsable o encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos personales, supervisar y velar por el cumplimiento normativo, y actuar como enlace entre la entidad responsable y la SPDP. La designación de esta figura es obligatoria en los casos previstos por la Ley, entre ellos: cuando el tratamiento se realice en el sector público, cuando las actividades del responsable requieran un control sistemático por su volumen o naturaleza, o cuando se trate de categorías especiales de datos, incluidos los datos de menores de edad, así como en aquellas situaciones adicionales determinadas por la SPDP, quien ha emitido el Reglamento de los DPD donde se establecen más casos especiales de designación obligatoria de DPD, entre estos a los casos de tratamiento de datos personales que conlleven tratamiento de categorías especiales de menores de edad.
En este sentido, cabe mencionar que la finalidad del DPD radica en garantizar la observancia y el respeto de los derechos de los titulares de datos personales, en concordancia con las obligaciones de los responsables y encargados del tratamiento. En este sentido, el DPD actúa de manera profesional e independiente, asegurando que las operaciones de tratamiento se realicen conforme a la ley, y colaborando estrechamente con la SPDP para la supervisión y cumplimiento de la normativa. Su designación y desempeño constituyen un elemento clave para prevenir infracciones graves, garantizar la transparencia en el tratamiento de datos personales y fortalecer la cultura de protección de datos dentro de las entidades obligadas, en cumplimiento de las disposiciones legales y reglamentarias aplicables.
Es así que, la designación de un DPD, en su esencia, conlleva la necesidad de designarlo en los casos de mayor riesgo y esto trasciende una mera formalidad administrativa, constituyendo un mecanismo estratégico de mitigación de riesgos y garantía de seguridad adicional en el tratamiento de datos. Esta figura permite establecer un control especializado y continuo que fortalece la resiliencia del responsable o encargado del tratamiento frente a posibles vulneraciones, asegurando que las decisiones y operaciones relacionadas con datos personales se realicen bajo estándares adecuados o elevados de protección. Asimismo, la presencia del DPD contribuye a consolidar una cultura organizacional orientada a la prevención, la transparencia y la responsabilidad proactiva, promoviendo no solo el cumplimiento normativo, sino también la confianza de los titulares de datos.
Con base en lo previamente mencionado la LOPDP establece que la SPDP como autoridad competente en la materia podrá “definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales”, en este sentido, esta autoridad en uso de sus facultades emitió el Reglamento de los DPD, donde se incluyó en el artículo 10 los casos adicionales en los cuales se debe designar obligatoriamente un DPD. (…).
Para examinar el numeral 3 del artículo 10, se debe realizar un análisis ontológico de su contenido normativo en su totalidad, prestando especial atención a la integralidad del artículo en conjunto con todo el ordenamiento jurídico vigente. En este sentido, resulta pertinente considerar la parte inicial del artículo, que se cita a continuación:
“ Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)”
En este sentido, se advierte que existe una obligación de carácter general que surge en la primera parte del artículo antes señalado, es decir, en el texto previamente citado establece el presupuesto normativo general dentro del cual debe aplicarse a todos los numerales descritos en el mismo artículo. Asimismo, se concluye que dicha obligación establece dos condiciones previas necesarias para que resulten aplicables en los supuestos correspondientes a las actividades enunciadas posteriormente en el mismo artículo. Para analizar las condiciones, se procederá a examinar el supuesto objeto de la consulta, correspondiente al numeral 3.
(…). Según la Real Academia Española, en este contexto la expresión “por objeto” funciona como atributo o complemento predicativo, equivalente a “tener como finalidad”. La norma establece que debe “tener por objeto”, lo cual se presenta como opción disyuntiva frente a la segunda parte, que es que el responsable o encargado “se dedicaren” a la actividad. En el ámbito jurídico-lingüístico, la expresión “dedicarse a” debe aplicarse conforme a las acepciones de la Real Academia Española, esto es, por un lado, destinar tiempo, recursos o esfuerzos a un fin determinado (acepción 1); y, por otro, ejercer de manera frecuente una actividad u ocupación profesional (acepción 2). En consecuencia, cuando un contrato, estatuto o disposición normativa establece que una persona natural o jurídica “se dedica a” determinada actividad, ello debe entenderse como la orientación estable y continua de su labor hacia un objeto o finalidad específica.
Adicionalmente, como segunda condición se establece que esta se aplica únicamente si se cumple o configura la primera, esto es, si se establece que la actividad de tratamiento de datos personales de categorías especiales relacionadas con menores de edad debe realizarse, además de que el responsable o encargado del tratamiento tenga por objeto o se dedique a dicha actividad de manera “habitual”. El mencionado concepto deriva de habĭtus, vocablo latino que alude a lo que se realiza, tiene o sufre de manera continuada o con frecuencia. En el ámbito jurídico, la habitualidad no se identifica con un hecho aislado ni esporádico, sino con una conducta reiterada y permanente en el tiempo, que otorga a la actividad un carácter estable y reconocible. Tal calificación adquiere relevancia para distinguir entre actos ocasionales y actividades que, por su continuidad y permanencia, configuran un ejercicio profesional, económico o jurídico específico, generando así obligaciones y responsabilidades propias para quien las desarrolla de forma habitual.
Para mejor entendimiento a continuación se describe un gráfico que demuestra las dos condiciones a cumplirse para que pueda aplicarse una de las causales establecidas en los numerales del artículo 10 del Reglamento de los DPD.
Una vez aclarado el ámbito de aplicación normativo que establece cuando y porqué determinados casos se los considera que obligatoriamente deben contar con un DPD y también las condiciones previas que deben cumplir los supuestos contemplados en los numerales del artículo 10 de referida resolución, se procede a analizar el numeral 13, el cual es objeto de la presente consulta. En este sentido a continuación se cita el mencionado numeral:
“10.13. Las personas jurídicas de derecho privado que ofertaren o prestaren servicios de video vigilancia masiva, de geolocalización o de tecnologías de la información, inclusive las dedicadas al desarrollo, implementación o despliegue de inteligencia artificial; y, (…)”
El primer punto a analizar es que se debe entender que el inciso es solamente aplicable a las personas jurídicas del sector privado, por lo tanto, se limita su ámbito de aplicación exclusivamente a dichos actores. Como segundo punto, se evidencia que el numeral establece como acciones necesarias para que se configure la hipótesis prevista es la oferta1 o la prestación de un servicio, acciones que a la par deben entenderse conjuntamente con las condiciones generales establecidas en el inciso primero del artículo 10, esto es que se tengan por objeto o se dediquen de manera habitual un giro de negocio concreto. Y, en el caso de la presente consulta, se videncia como tercer punto, que el giro al que se refiere son los concretamente detallados en el inciso esto es videovigilancia masiva, geolocalización o tecnologías de la información. Como cuarto punto, también se evidencia que el inciso enfatiza en el alcance de la obligación ampliando a las personas jurídicas de derecho privado que se dediquen al “desarrollo, implementación o despliegue de inteligencia artificial”.
Ahora bien, la consulta versa sobre el alcance de “tecnologías de la información” contenido en el tercer punto analizado, para ello es necesario establecer que este término ha sido analizado por varios doctrinarios y organizaciones internacionales de lo cual se desprende que a la fecha no hay una definición única para tal concepto2. Sin embargo, las tecnologías de la información, a efectos del alcance de la Resolución N° SPDP-SPD-2025-0028-R debe ser entendida, pero sin limitar su alcance, a herramientas tecnológicas, equipos, programas informáticos, aplicaciones, redes y medios que son utilizadas para trabajar con información y procesar la misma para distintas finalidades.
Con base en lo expuesto, debe entenderse que el presente inciso resulta aplicable a todas las personas jurídicas de derecho privado que oferten o presten servicios de tecnologías de la información, en los términos previamente señalados, siempre que, de conformidad con el inciso primero del artículo 10, actúen como responsables o encargados del tratamiento y tengan por objeto o se dediquen habitualmente a la prestación de dichos servicios.
No obstante, es necesario realizar una precisión fundamental respecto del ámbito de aplicación de la LOPDP. En este sentido, aun cuando una persona jurídica de derecho privado cumpla con las condiciones antes descritas, la normativa de protección de datos personales únicamente le será aplicable en la medida en que realice tratamientos de datos personales. Por consiguiente, si en el desarrollo de sus actividades no interviene en ninguna de las etapas del ciclo de vida de los datos personales, la LOPDP no resultaría aplicable a sus operaciones. En consecuencia, la aplicabilidad de la normativa no depende exclusivamente de la naturaleza de la actividad económica desarrollada por la entidad, sino de la existencia efectiva de un tratamiento de datos personales. En este contexto, debe recordarse que el tratamiento comprende cualquier operación realizada sobre datos personales, incluyendo su mera solicitud, recopilación, acceso, consulta, utilización, almacenamiento, comunicación o cualquier otra forma de procesamiento prevista en la ley.
Por lo tanto, la resolución no es solo aplicable a las personas jurídicas que traten datos personales como parte inherente de sus servicios tecnológicos, sino que aplica también a quienes traten datos personales para la oferta o prestación de un servicio y que dicho servicio sea a lo que se dedicare de manera habitual.
Pronunciamiento
En atención a los términos de la consulta realizada mediante oficio S/N de 20 de abril de 2026, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente: “¿La obligación de designar un Delegado de Protección de Datos Personales, prevista en el artículo 10.13 de la Resolución No. SPDP-SPD-2025-0028-R, aplicable a personas jurídicas de derecho privado que oferten o presten servicios de tecnologías de la información, se limita exclusivamente a aquellas entidades cuya actividad principal implique el tratamiento de datos personales como parte inherente de sus servicios tecnológicos, o también alcanza a empresas cuya actividad principal sea únicamente la oferta, consultoría o asesoramiento en transformación digital y de procesos, aunque no realicen un tratamiento sistematizado de datos personales?” Con base en el análisis expuesto, la obligación de designar un Delegado de Protección de Datos Personales prevista en el numeral 13 del artículo 10 de la Resolución N° SPDP-SPD-2025-0028-R no se limita exclusivamente a las personas jurídicas de derecho privado cuya actividad principal implique el tratamiento de datos personales como elemento inherente de los servicios tecnológicos que ofrezcan o presten. Dicha obligación también puede alcanzar a aquellas entidades que tengan por objeto o se dediquen de manera habitual a la oferta de consultoría, asesoramiento o prestación de servicios relacionados con tecnologías de la información, siempre que, en el desarrollo de tales actividades, actúen como responsables o encargados del tratamiento y efectivamente realicen tratamientos de datos personales en cualquiera de las etapas de su ciclo de vida. Por el contrario, si una entidad, aun dedicándose habitualmente a actividades de transformación digital, consultoría tecnológica o asesoramiento de procesos, no realiza tratamiento alguno de datos personales, la normativa de protección de datos personales no le resultará aplicable y, en consecuencia, no se configurará la obligación de designar un Delegado de Protección de Datos Personales derivada del referido numeral.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.