Preguntas
Solicitamos a su autoridad inteligencie sobre la aplicación del artículo 12 de la Resolución N° SPDP-SPD-2025-0028-R y si el mismo debe entenderse como si las personas jurídicas cuyo objeto social esté relacionado con servicios jurídicos o servicios relacionados con sistemas de la información, de comunicación, o tecnologías, pueden brindar el servicio de delegado de protección de datos, mediante personas naturales que tengan relación de dependencia o no con ellas.
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N°SPDP-SPD-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta, a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)”(énfasis agregado).
El artículo 76 numeral 3 de la CRE dispone:
“Art. 76.- En todo proceso en el que se determinen derechos y obligaciones de cualquier orden, se asegurará el derecho al debido proceso que incluirá las siguientes garantías básicas (…)
3. Nadie podrá ser juzgado ni sancionado por un acto u omisión que, al momento de cometerse, no esté tipificado en la ley como infracción penal, administrativa o de otra naturaleza; ni se le aplicará una sanción no prevista por la Constitución o la ley. Sólo se podrá juzgar a una persona ante un juez o autoridad competente y con observancia del trámite propio de cada procedimiento.(…)”
El artículo 82 de la CRE dispone:
“Art. 82.-El derecho a la seguridad jurídica se fundamenta en el respeto a la Constitución y en la existencia de normas jurídicas previas, claras, públicas y aplicadas por las autoridades competentes”
Asimismo, el artículo 226 de la CRE determina:
“Art. 226.- Las instituciones del Estado, sus organismos, dependencias, las servidoras o servidores públicos y las personas que actúen en virtud de una potestad estatal ejercerán solamente las competencias y facultades que les sean atribuidas en la Constitución y la ley.” (énfasis agregado).
Los artículos 424 y 425 de la CRE determinan: “Art. 424.- La Constitución es la norma suprema y prevalece sobre cualquier otra del ordenamiento jurídico. Las normas y los actos del poder público deberán mantener conformidad con las disposiciones constitucionales; en caso contrario carecerán de eficacia jurídica.
La Constitución y los tratados internacionales de derechos humanos ratificados por el Estado que reconozcan derechos más favorables a los contenidos en la Constitución, prevalecerán sobre cualquier otra norma jurídica o acto del poder público. Art. 425.- El orden jerárquico de aplicación de las normas será el siguiente: La Constitución; los tratados y convenios internacionales; las leyes orgánicas; las leyes ordinarias; las normas regionales y las ordenanzas distritales; los decretos y reglamentos; las ordenanzas; los acuerdos y las resoluciones; y los demás actos y decisiones de los poderes públicos.
En caso de conflicto entre normas de distinta jerarquía, la Corte Constitucional, las juezas y jueces, autoridades administrativas y servidoras y servidores públicos, lo resolverán mediante la aplicación de la norma jerárquica superior.
La jerarquía normativa considerará, en lo que corresponda, el principio de competencia, en especial la titularidad de las competencias exclusivas de los gobiernos autónomos descentralizados.” (énfasis agregado).
El artículo 426 de la CRE dispone:
“Art. 426.- Todas las personas, autoridades e instituciones están sujetas a la Constitución. Las juezas y jueces, autoridades administrativas y servidoras y servidores públicos, aplicarán directamente las normas constitucionales y las previstas en los instrumentos internacionales de derechos humanos siempre que sean más favorables a las establecidas en la Constitución, aunque las partes no las invoquen expresamente.
Los derechos consagrados en la Constitución y los instrumentos internacionales de derechos humanos serán de inmediato cumplimiento y aplicación. No podrá alegarse falta de ley o desconocimiento de las normas para justificar la vulneración de los derechos y garantías establecidos en la Constitución, para desechar la acción interpuesta en su defensa, ni para negar el reconocimiento de tales derechos.” (énfasis agregado).
El artículo 4 de la LOPDP determina lo siguiente:
“Art. 4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos. (…)”.
En concordancia con el artículo previamente citado, el artículo 5 establece:
“Art. 5.- Integrantes del sistema de protección de datos personales.- Son parte del sistema de protección de datos personales, los siguientes:
1) Titular;
2) Responsable del tratamiento;
3) Encargado del tratamiento;
4) Destinatario;
5) Autoridad de Protección de Datos Personales; y,
6) Delegado de protección de datos personales.” (énfasis agregado).
El artículo 47 de la LOPDP determina:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…)
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;” (énfasis agregado).
Por su parte el Reglamento General de la Ley Orgánica de Protección de Datos Personales (RGLOPDP) en su artículo 48 determina:
“Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.” (énfasis agregado).
El artículo 55 del Reglamento establece:
“Art. 55 .- Requisitos para ser delegado.- Sin perjuicio de otros requisitos que establezca la Autoridad de Protección de Datos Personales, para ser delegado de protección de datos personales, se requerirá:
1. Estar en goce de los derechos políticos;
2. Ser mayor de edad;
3. Tener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; y,
4. Acreditar experiencia profesional de por lo menos cinco años.” (énfasis agregado).
El artículo 49 habla de las funciones del delegado y determina:
”Art. 49.- Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones: 1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales; 2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales; 3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación; 4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y, 5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales. En caso de incumplimiento de sus funciones, el delegado de protección de datos personales responderá administrativa, civil y penalmente, de conformidad con la ley.” (énfasis agregado).
En cumplimiento de dicha disposición, la SPDP expidió la Resolución N° SPDP-SPD 2025-0028-R, expedida el 30 de julio del 2025 y publicada en Registro Oficial N° 105 de 19 de agosto del 2025, que aprueba el Reglamento del Delegado de Protección de Datos Personales, en su artículo 3 determina:
“Art. 3.- El delegado deberá ser designado por quien tuviere la calidad de responsable o, según corresponda, por quien tuviere el rol de encargado del tratamiento, esto es:
3.1. Por la persona natural, ya sea por sí misma o ya fuere representada por un apoderado especial;
3.2. Por la persona jurídica de derecho privado, a través de su representante legal o apoderado debidamente autorizado; o,
3.3. Por la persona jurídica de derecho público, autoridad pública u otro organismo, representada por la máxima autoridad que ejerciere la representación legal.
En este reglamento el responsable o el encargado podrán ser también aludidos, de manera indistinta, como “organización”.
El artículo 11 ibídem prevé que:
“Art. 11.- El delegado, además de los requisitos establecidos en el RGLOPDP, para desempeñar sus funciones deberá cumplir y aprobar, en forma obligatoria, el contenido mínimo de formación del Programa Profesionalizante de Delegados de Protección de Datos oficializado por la SPDP” (énfasis agregado).
El artículo 12 de la misma Resolución determina que:
“Art. 12.- Incluso si prestare sus servicios bajo relación de dependencia, el delegado deberá mantener total independencia e imparcialidad en el ejercicio de sus funciones. No obstante, los responsables o los encargados del tratamiento podrán contar con el servicio de delegados mediante la suscripción de contratos de prestación de servicios técnicos especializados, así como contratar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales con personas jurídicas de derecho privado domiciliadas en la República del Ecuador.” (énfasis agregado).
En concordancia con la normativa previamente referida, el Consultante solicita el inteligenciamiento del artículo 12 de la Resolución N° SPDP-SPD-2025-0028-R, a fin de determinar si dicha disposición permite que personas jurídicas de derecho privado cuyo objeto social esté relacionado con servicios jurídicos o con sistemas de información, comunicación o tecnología, pueden brindar el servicio de delegado de protección de datos personales (“DPD”) a través de sus trabajadores.
En este sentido, el análisis que se desarrolla a continuación se orienta a analizar el alcance del artículo 12, diferenciando entre la forma de contratación del DPD, reservada a personas naturales, y la prestación de servicios de soporte, asesoría, implementación o consultoría en materia de protección de datos personales por parte de personas jurídicas, conforme a la LOPDP, su Reglamento General y la normativa secundaria aplicable. Una vez clarificado el alcance del articulo objeto de inteligenciamiento de la presente consulta, se procederá a subsumir su aplicación a la pregunta realizada.
En el sistema ecuatoriano de protección de datos personales, la figura del DPD constituye un mecanismo estructural de garantía del derecho fundamental a la protección de datos, cuya finalidad es asegurar que las obligaciones previstas en la normativa de protección de datos personales no se limiten a una observancia meramente formal, sino que se integren de manera efectiva y permanente en la gestión del responsable y encargado del tratamiento de datos personales. Esta finalidad se refleja en la definición contenida en el artículo 4 de la LOPDP, que concibe al DPD como una persona natural encargada de informar al responsable o al encargado del tratamiento, según haya sido contratado, sobre sus obligaciones legales en materia de protección de datos. La configuración del DPD como persona natural busca que las funciones que le son asignadas tengan un responsable de llevarlas a cabo y ejecutarlas. Estas funciones exigen el ejercicio de criterio técnico, autonomía de actuación, responsabilidad individual y una interlocución directa y efectiva tanto con el responsable y encargado del tratamiento como con la SPDP.
Asimismo, el artículo 49 de la LOPDP delimita las funciones y atribuciones del DPD como un rol eminentemente técnico, preventivo y de supervisión, orientado a garantizar la correcta aplicación del marco normativo en materia de protección de datos personales. En este sentido, el DPD debe asesorar al responsable, a su personal y al encargado del tratamiento respecto del cumplimiento de la LOPDP, el RGLOPDP y la normativa emitida por la SPDP, supervisar el cumplimiento efectivo de dichas disposiciones, asesorar en la identificación y gestión de riesgos, así como en la evaluación de impacto y de las medidas de seguridad, vigilar su adecuada aplicación, y cooperar con la SPSP, actuando como punto de contacto institucional en lo relativo a las actividades de tratamiento. Estas funciones podrán ampliarse en atención a las categorías especiales de datos personales que se traten, y su inobservancia genera responsabilidad administrativa, civil y penal, en caso de que corresponda.
Habiéndose señalado las funciones del DPD, es menester establecer la naturaleza y una característica sustancial del DPD, la cual corresponde a su independencia. En este sentido, el artículo 48 del RGLOPDP, establece que el DPD debe ejercer sus funciones de asesorar, velar y supervisar de manera independiente respecto de las obligaciones asignadas por la normativa al responsable y del encargado del tratamiento. Esta independencia garantiza que el DPD pueda tener la libertad necesaria en su accionar para identificar riesgos, advertir incumplimientos y formular recomendaciones técnicas sin verse atado a intereses personales, organizacionales, comerciales o estratégicos.
Con base en las funciones previamente mencionadas que tiene el DPD y, precisamente por la especialidad de sus funciones, se exige que el DPD cumpla con requisitos profesionales específicos, previstos en el artículo 55 del RGLOPDP, los cuales corresponden a que la persona designada debe encontrarse en goce de sus derechos políticos, ser mayor de edad, contar con un título de tercer nivel en derecho, sistemas de información, comunicación o tecnologías, y acreditar una experiencia profesional mínima de cinco años. Estos requisitos buscan asegurar que el DPD cuente con la idoneidad técnica, jurídica y profesional necesaria para desempeñar sus funciones con un alto nivel. A esto se suma la obligación establecida en el artículo 11 de la Resolución N° SPDP-SPD-2025-0028-R, que impone la aprobación obligatoria del Programa Profesionalizante de DPD, como mecanismo para garantizar un estándar mínimo homogéneo de conocimientos técnicos y jurídicos, requisito el cual entrará en vigencia en enero del 2029.
Ahora bien, habiéndose establecido las funciones y la naturaleza del DPD, resulta un imposible jurídico que una persona jurídica pueda ejercer directamente la función de DPD por el mero hecho de ser una persona jurídica. En consecuencia, la interpretación sistemática de la LOPDP, su Reglamento General y la Resolución N° SPDP-SPD-2025-0028-R conduce a concluir que la función del DPD se encuentra reservada de manera exclusiva a personas naturales, en atención a la naturaleza de las funciones asignadas, a los requisitos profesionales exigidos y al régimen de independencia y responsabilidad que caracteriza a esta figura dentro del sistema ecuatoriano de protección de datos personales.
Una vez determinada la función de DPD y su naturaleza, corresponde analizar el alcance del artículo 12 de la Resolución N° SPDP-SPD-2025-0028-R, a fin de establecer de qué manera las personas jurídicas de derecho privado pueden intervenir legítimamente en el sistema de cumplimiento en materia de protección de datos personales, sin desnaturalizar la figura del DPD. El artículo 12 está compuesto por dos oraciones, en los cuales se contemplan tres nociones, por lo que para un mejor análisis de cada una de éstas es necesario separar las tres. En este sentido la primera noción se identifica en la primera oración, la cual menciona lo siguiente:
“Incluso si prestare sus servicios bajo relación de dependencia, el delegado deberá mantener total independencia e imparcialidad en el ejercicio de sus funciones. (…)”
En la cita previamente referida se hace alusión a que un responsable o encargado del tratamiento puede contratar un DPD bajo relación de dependencia, esto es bajo un contrato que se rige por el Código de Trabajo por lo que surgirá inevitablemente una relación de subordinación entre el trabajador y el empleador. Sin embargo, se recalca que en caso de que se contrate un DPD bajo dicha modalidad se deberá garantizar la característica esencial de la mencionada figura la cual es la independencia, como se ha analizado anteriormente.
La segunda oración del artículo citado contiene dos nociones, para lo cual a continuación se desglosa la oración y se cita solamente la primera premisa:
“(…) No obstante, los responsables o los encargados del tratamiento podrán contar con el servicio de delegados mediante la suscripción de contratos de prestación de servicios técnicos especializados, (…)”
Como se evidencia en la cita previa, ésta a diferencia de la primera oración del artículo, presupone la posibilidad de que el responsable o encargado del tratamiento de datos personales pueda contratar el DPD por servicios profesionales, esto es bajo la figura de servicios profesionales a través de la facturación respetiva, sin relación de dependencia. En este sentido, el artículo da la flexibilidad necesaria para que se contrate a un DPD dependiendo de las necesidades de cada responsable o encargado del tratamiento según su giro de negocio.
Finalmente, el artículo 12 contempla una última noción la cual se transcribe a continuación:
“(…) así como contratar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales con personas jurídicas de derecho privado domiciliadas en la República del Ecuador.”
La idea plasmada en el texto referido establece que el responsable o encargado del tratamiento puedan contratar servicios de soporte, asesoría, implementación y/o consultoría en caso de que lo consideren necesario, toda vez que es facultativo no obligatorio; sin embargo, al dar la norma la posibilidad de que se contrate la implementación, el servicio es distinto a las funciones y rol del DPD. Adicionalmente, a que, en esta última premisa planteada, se hace referencia expresa a “personas jurídicas”, por lo tanto, sería un despropósito asumir que esta noción hace referencia a las actividades propias de los DPD, ya que sería expresamente contraria a la LOPDP y el RGLOPDP. En este sentido, el artículo 12 no confiere a ninguna persona jurídica la calidad de DPD, ni les transfiere ni pueden asumir las funciones propias de esta figura. Por el contrario, lo que habilita es la participación de personas jurídicas en actividades de carácter instrumental y de apoyo, orientadas a fortalecer la capacidad técnica, jurídica u organizativa del responsable o encargado del tratamiento.
Es así que personas jurídicas cuyo objeto social esté relacionado con servicios jurídicos o servicios relacionados con sistemas de la información, de comunicación, o de tecnología pueden ofertar los servicios de un DPD, que puede estar bajo su relación de dependencia o no, siempre y cuando cumpla con las condiciones previstas en la normativa de protección de datos personales, especialmente respecto del instrumento jurídico que lo vincula al responsable o encargado del tratamiento previsto en el artículo 12 de la Resolución SPDP-SPD-2025-0028-R.
Cabe destacar que, frente a esta autoridad de protección de datos personales y los titulares de datos personales, el DPD que se inscriba como tal para un responsable o encargado del tratamiento es plenamente responsable de sus acciones u omisiones y responderá de manera personal en caso de incumplimiento en instancias civiles, penales y administrativas según corresponda. En NINGUN CASO, la persona natural, dependiente o no vinculada a una persona jurídica, que haya optado por prestar sus servicios como DPD podrá eximirse o eludir su responsabilidad aludiendo que actuó en nombre de la persona jurídica para quien trabaja.
En este sentido, la normativa permite que el DPD una persona natural actúe de manera externa al responsable del tratamiento, bajo un contrato de prestación de servicios profesionales celebrado directamente con dicho responsable, sin que exista vínculo alguno con una persona jurídica intermediaria. De igual forma, el DPD puede ser una persona natural que mantenga una relación de dependencia con una persona jurídica que presta servicios de soporte, asesoría, implementación o consultoría en materia de protección de datos personales, siempre que dicha relación no comprometa la independencia funcional del DPD ni habilite a la persona jurídica a incidir en sus decisiones, criterios técnicos o funciones de supervisión.
En ambos supuestos, lo jurídicamente relevante no es la modalidad contractual ni la existencia de una relación laboral o civil, sino el respeto efectivo de la autonomía del DPD en el ejercicio de sus funciones, la ausencia de conflictos de interés y la preservación de su rol como garante del cumplimiento normativo y punto de contacto con la Autoridad de Protección de Datos Personales. En consecuencia, la persona jurídica que presta servicios de apoyo no puede dirigir, condicionar, revisar ni sustituir las decisiones del DPD, ni asumir directa o indirectamente las funciones que la normativa reserva de manera exclusiva para el mismo.
Adicionalmente, la referencia a “personas jurídicas de derecho privado” contenida en el artículo 12 no introduce restricciones vinculadas al objeto social, al sector económico o al giro de negocio de dichas entidades. La norma no condiciona que la persona jurídica tenga un objeto social específico ni establece categorías diferenciadas entre estudios jurídicos, empresas tecnológicas u otras formas societarias. Esta ausencia de limitaciones debe interpretarse conforme al principio de legalidad y seguridad jurídica consagrados en los artículos 76 numeral 3 y 82 de la Constitución de la República del Ecuador, en virtud de los cuales, en el ámbito privado, no pueden imponerse restricciones, prohibiciones o exigencias que no se encuentren expresamente previstas en la norma.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N del 23 de octubre de 2025 y debidamente subsanada el 18 de noviembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“Solicitamos a su autoridad inteligencie sobre la aplicación del artículo 12 de la Resolución N° SPDP-SPD-2025-0028-R y si el mismo debe entenderse como si las personas jurídicas cuyo objeto social esté relacionado con servicios jurídicos o servicios relacionados con sistemas de la información, de comunicación, o tecnologías, pueden brindar el servicio de delegado de protección de datos, mediante personas naturales que tengan relación de dependencia o no con ellas.”
Al respecto, esta autoridad determina que la función de DPD se encuentra reservada de manera exclusiva a personas naturales, en atención a la naturaleza personalísima de sus funciones, a los requisitos profesionales exigidos por la normativa vigente y al régimen de independencia y responsabilidad que caracteriza a dicha figura dentro del sistema ecuatoriano de protección de datos personales. En consecuencia, una persona jurídica no puede ejercer directamente la función de DPD ni asumir las atribuciones que la normativa asigna a esta figura.
No obstante, el artículo 12 de la Resolución N° SPDP-SPD-2025-0028-R habilita expresamente a las personas jurídicas de derecho privado domiciliadas en la República del Ecuador a prestar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales, sin que dicha habilitación se encuentre condicionada al objeto social, al sector económico o al giro de negocio de la entidad prestadora. En este marco, dichas personas jurídicas pueden brindar servicio de DPD a través de personas naturales que mantengan o no una relación de dependencia con ellas, siempre que dichas personas que funjan como DPD sean personas naturales y cumplan con las funciones y obligaciones que establece la normativa de protección de datos personales para dicha figura.
Cabe destacar que, frente a la SPDP y los titulares de datos personales, el DPD que se inscriba como tal para un responsable o encargado del tratamiento es plenamente responsable de su actuar y responderá de manera personal en caso de incumplimiento en instancias civiles, penales y administrativas según corresponda y, en NINGUN CASO la persona natural, dependiente o no vinculada a una persona jurídica, que haya optado por prestar sus servicios como DPD puede eximirse de responsabilidad alegando que actuó en representación de la persona jurídica para la que quien trabaja.
Este presente pronunciamiento constituye una opinión técnica emitida en el marco de la atención de consultas y debe ser entendido conforme a los antecedentes y al análisis desarrollado en el presente oficio. No tiene carácter vinculante ni limita el ejercicio de las facultades de supervisión, control y sanción atribuidas a la Superintendencia de Protección de Datos Personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.