Preguntas
“¿Debe entenderse, conforme al numeral 3 del artículo 10 del Reglamento del Delegado de Protección de Datos Personales, que la designación de un Delegado de Protección de Datos Personales es obligatoria para todos los responsables o encargados que traten datos personales de niños, niñas y adolescentes exclusivamente en cumplimiento de obligaciones legales previstas en el Código del Trabajo y en la normativa tributaria, incluso cuando dicho tratamiento se limite estrictamente a dichas finalidades?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta, a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 4 de la LOPDP establece: “Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos. Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales. Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El artículo 5 de la LOPDP dispone lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…) 13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…) 15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia. El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.”
Asimismo, el artículo 48 de la LOPDP establece lo siguiente:
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos: 1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República; 2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales; 3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y, 4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.”(énfasis agregado).
En este sentido, el artículo 68 de la LOPDP indica lo siguiente:
“Art. 68.- Infracciones graves del Responsable de protección de datos.- se consideran infracciones graves las siguientes: (…) 12) No designar al delegado de protección de datos personales cuando corresponda; (…)”(énfasis agregado).
En esta misma línea, el artículo 48 del RLOPDP dispone:
“Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
El numeral 3 del artículo 10 de la RESOLUCIÓN N.º SPDP-SPD-2025-0028-R menciona lo siguiente:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)
10.3. Toda actividad que conllevare el tratamiento datos personales de categorías especiales relacionadas con menores de edad;(…)” (énfasis agregado).
Con base en la normativa previamente citada, el Delegado de Protección de Datos Personales constituye una figura esencial en el marco del régimen jurídico de protección de datos en el Ecuador, en virtud de lo establecido en el artículo 4 de la LOPDP, el artículo 48 de la misma Ley, y su reglamento, así como en la normativa emitida por la SPDP. Se trata de una persona natural que debe asesorar al responsable o encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos personales, supervisar y velar por el cumplimiento normativo, y actuar como enlace entre la entidad responsable y la SPDP. La designación de esta figura es obligatoria en los casos previstos por la Ley, entre ellos: cuando el tratamiento se realice en el sector público, cuando las actividades del responsable requieran un control sistemático por su volumen o naturaleza, o cuando se trate de categorías especiales de datos, incluidos los datos de menores de edad, así como en aquellas situaciones adicionales determinadas por la SPDP, quien ha emitido el Reglamento de los DPD donde se establecen más casos especiales de designación obligatoria de DPD, entre estos a los casos de tratamiento de datos personales que conlleven tratamiento de categorías especiales de menores de edad.
En este sentido, cabe mencionar que la finalidad del DPD radica en garantizar la observancia y el respeto de los derechos de los titulares de datos personales, en concordancia con las obligaciones de los responsables y encargados del tratamiento. En este sentido, el DPD actúa de manera profesional e independiente, asegurando que las operaciones de tratamiento se realicen conforme a la ley, y colaborando estrechamente con la SPDP para la supervisión y cumplimiento de la normativa. Su designación y desempeño constituyen un elemento clave para prevenir infracciones graves, garantizar la transparencia en el tratamiento de datos personales y fortalecer la cultura de protección de datos dentro de las entidades obligadas, en cumplimiento de las disposiciones legales y reglamentarias aplicables.
Es así que, la designación de un DPD, en su esencia, conlleva la necesidad de designarlo en los casos de mayor riesgo y esto trasciende una mera formalidad administrativa, constituyendo un mecanismo estratégico de mitigación de riesgos y garantía de seguridad adicional en el tratamiento de datos. Esta figura permite establecer un control especializado y continuo que fortalece la resiliencia del responsable o encargado del tratamiento frente a posibles vulneraciones, asegurando que las decisiones y operaciones relacionadas con datos personales se realicen bajo estándares adecuados o elevados de protección. Asimismo, la presencia del DPD contribuye a consolidar una cultura organizacional orientada a la prevención, la transparencia y la responsabilidad proactiva, promoviendo no solo el cumplimiento normativo, sino también la confianza de los titulares de datos.
Con base en lo previamente mencionado la LOPDP establece que la SPDP como autoridad competente en la materia podrá “definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales”, en este sentido, esta autoridad en uso de sus facultades emitió el Reglamento de los DPD, donde se incluyó en el artículo 10 los casos adicionales en los cuales se debe designar obligatoriamente un DPD. Entre estos al numeral 3 del mencionado artículo que menciona que: “[t]oda actividad que conllevare el tratamiento datos personales de categorías especiales relacionadas con menores de edad”, el cual ha sido objeto de la presente consulta, para lo cual es necesario desglosarlo con la finalidad de tener un entendimiento completo y correcto para su aplicación.
Para examinar el numeral 3 del artículo 10, se debe realizar un análisis ontológico de su contenido normativo en su totalidad, prestando especial atención a la integralidad del artículo en conjunto con todo el ordenamiento jurídico vigente. En este sentido, resulta pertinente considerar la parte inicial del artículo, que se cita a continuación:
“Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro: (…)”
En este sentido, se advierte que existe una obligación de carácter general que surge en la primera parte del artículo antes señalado, es decir, en el texto previamente citado establece el presupuesto normativo general dentro del cual debe aplicarse a todos los numerales descritos en el mismo artículo. Asimismo, se concluye que dicha obligación establece dos condiciones previas necesarias para que resulten aplicables en los supuestos correspondientes a las actividades enunciadas posteriormente en el mismo artículo. Para analizar las condiciones, se procederá a examinar el supuesto objeto de la consulta, correspondiente al numeral 3.
En este sentido, la primera condición que se identifica es que el responsable o encargado del tratamiento debe dedicarse a una actividad que implique el tratamiento de datos personales de categorías especiales relacionados con menores de edad. Según la Real Academia Española, en este contexto la expresión “por objeto” funciona como atributo o complemento predicativo, equivalente a “tener como finalidad”. La norma establece que debe “tener por objeto”, lo cual se presenta como opción disyuntiva frente a la segunda parte, que es que el responsable o encargado “se dedicaren” a la actividad. En el ámbito jurídico-lingüístico, la expresión “dedicarse a” debe aplicarse conforme a las acepciones de la Real Academia Española, esto es, por un lado, destinar tiempo, recursos o esfuerzos a un fin determinado (acepción 1); y, por otro, ejercer de manera frecuente una actividad u ocupación profesional (acepción 2). En consecuencia, cuando un contrato, estatuto o disposición normativa establece que una persona natural o jurídica “se dedica a” determinada actividad, ello debe entenderse como la orientación estable y continua de su labor hacia un objeto o finalidad específica.
Adicionalmente, como segunda condición se establece que esta se aplica únicamente si se cumple o configura la primera, esto es, si se establece que la actividad de tratamiento de datos personales de categorías especiales relacionadas con menores de edad debe realizarse, además de que el responsable o encargado del tratamiento tenga por objeto o se dedique a dicha actividad de manera “habitual”. El mencionado concepto deriva de habitus, vocablo latino que alude a lo que se realiza, tiene o sufre de manera continuada o con frecuencia. En el ámbito jurídico, la habitualidad no se identifica con un hecho aislado ni esporádico, sino con una conducta reiterada y permanente en el tiempo, que otorga a la actividad un carácter estable y reconocible. Tal calificación adquiere relevancia para distinguir entre actos ocasionales y actividades que, por su continuidad y permanencia, configuran un ejercicio profesional, económico o jurídico específico, generando así obligaciones y responsabilidades propias para quien las desarrolla de forma habitual.
Para mejor entendimiento a continuación se describe un gráfico que demuestra las dos condiciones a cumplirse para que pueda aplicarse una de las causales establecidas en los numerales del artículo 10 del Reglamento de los DPD.
Ahora bien, analizada la obligación, se subsume el hecho objeto de la consulta a la obligación analizada. Por lo tanto, el que se realicen tratamientos de datos personales de categoría especial relacionadas con menores de edad, como es el caso del supuesto presentado, en el que el tratamiento se da en el cumplimiento de obligaciones legales previstas en el Código del Trabajo y en la normativa tributaria (siempre y cuando esté prevista en una norma con rango de ley), es un tratamiento que si bien puede realizarse con frecuencia y por ende habitualidad, este no cumple con la condición de que los responsables o encargados de tratamiento tengan por objeto ni se dediquen a tratar los datos personales de menores de edad. Sin embargo, si este responsable o encargado del tratamiento, incurriere en cualquiera de las otras causales establecidas en la LOPDP o el Reglamento de los DPD de designación obligatoria de DPD, se deberá designar un DPD.
Es así que, si un responsable o encargado del tratamiento incurre en cualquiera de las causales de designación de DPD y, además, por cumplimiento legal realiza tratamientos de datos personales, se entiende que no se dedica a este último tratamiento de datos personales aun siendo de menores de edad, ya que se lo realiza por mandato legal más no como giro de negocio, ni como objeto de su labor, ni se dedica a éste, empero está obligado a designar un DPD por la causal en la que se configura, más no por la obligación legal per se. Por ejemplo, un colegio, en virtud del Código de Trabajo y de la normativa tributaria, tiene la obligación de comunicar los datos personales de las cargas familiares de sus trabajadores; en consecuencia, debe realizar imperativamente un tratamiento de datos personales para cumplir con dicha obligación legal. No obstante, esta actividad no constituye el objeto al que se dedica la institución educativa, por lo que no estaría obligada a designar un DPD conforme a la causal prevista en el numeral 3 del artículo 10 del Reglamento de los DPD. Ahora bien, al momento de analizar en su integralidad la situación jurídica del colegio, como responsable de tratamiento, debe considerarse que su actividad principal consiste en la prestación de servicios educativos a menores de edad. En tal virtud, se encuentra necesariamente vinculado al tratamiento de datos personales pertenecientes a una categoría especial, esto es, los datos de niños, niñas y adolescentes, por ende, incurre en la causal del numeral 1 de artículo 10 del Reglamento de los DPD, por lo tanto, al momento de analizar al responsable de manera integral para determinar si este tiene la obligación de nombrar un DPD por la causal que corresponda del artículo 10 de la norma previamente mencionada.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio s/n del 05 de agosto de 2025, al análisis realizado y dando respuesta a la consulta planteada por el Consultante, se determina lo siguiente: “¿Debe entenderse, conforme al numeral 3 del artículo 10 del Reglamento del Delegado de Protección de Datos Personales, que la designación de un Delegado de Protección de Datos Personales es obligatoria para todos los responsables o encargados que traten datos personales de niños, niñas y adolescentes exclusivamente en cumplimiento de obligaciones legales previstas en el Código del Trabajo y en la normativa tributaria, incluso cuando dicho tratamiento se limite estrictamente a dichas finalidades?”
En atención a los términos de la consulta realizada mediante Oficio s/n del 05 de agosto de 2025, al análisis realizado y dando respuesta a la consulta planteada por el Consultante, se determina lo siguiente:
“¿Debe entenderse, conforme al numeral 3 del artículo 10 del Reglamento del Delegado de Protección de Datos Personales, que la designación de un Delegado de Protección de Datos Personales es obligatoria para todos los responsables o encargados que traten datos personales de niños, niñas y adolescentes exclusivamente en cumplimiento de obligaciones legales previstas en el Código del Trabajo y en la normativa tributaria, incluso cuando dicho tratamiento se limite estrictamente a dichas finalidades?”
Debe entenderse que se debe designar un DPD por el responsable o encargado del tratamiento, siempre y cuando se incurra en una de las causales del artículo 48 de la LOPDP y, respecto a los casos adicionales establecidos en el Reglamento de los DPD, se deberá nombrar un DPD cuando se cumpla con las condiciones de establecidas en el artículo 10 de este último. Esto es, cuando tuviere por objeto o se dedicare de manera habitual al tratamiento de datos personales contenido en una o más de las causales establecidas en el artículo 10.
En este sentido, si el responsable o encargado del tratamiento tratan datos personales de niños, niñas y adolescentes en cumplimiento de obligaciones legales, no estarían obligados a designar un DPD al no cumplir con la condición de tener por objeto ni dedicarse a ese tratamiento. Sin embargo, si el mismo responsable o encargado incurre en cualquiera de las otras causales o cumple con uno de los numerales del artículo 48 de la LOPDP, si deberá designar un DPD.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad del Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.