Consultas
2. En relación con el artículo 14, numeral 14.4, de la Norma General, en concordancia con los artículos 10 y 11 del mismo cuerpo normativo: ¿debe interpretarse que la calificación directa por el solo tratamiento de datos biométricos opera de manera absoluta e irrestricta, con independencia del número de titulares, del contexto y de la naturaleza del tratamiento; o admite una lectura sistemática conforme a la finalidad del umbral del artículo 11 (excluir operaciones de bajo riesgo), dando como resultado que únicamente se considere como tratamiento a gran escala aquel tratamiento biométrico que suponga un riesgo elevado para los derechos y libertades de los titulares?
(…)
iii. Pregunta b) reformulada 6. En relación con el artículo 8, numeral 8.3.3, de la Norma General, en concordancia con los artículos 10 y 11 del mismo cuerpo normativo:dado que el tratamiento de datos de salud, de datos de personas con discapacidad y de datos de menores de edad resulta legalmente obligatorio en el marco de las relaciones laborales, y que dicha combinación determina la asignación de tres (3) puntos en la variable de categorías de datos personales que, sumada a los valores mínimos de las restantes variables, supera de manera prácticamente automática el umbral de seis (6) puntos del artículo 10, ¿cómo debe interpretarse y aplicarse dicha asignación a fin de que resulte compatible con la finalidad del umbral de calificación prevista en el artículo 11; y existe algún criterio de ponderación o corrección que permita excluir de la calificación de gran escala a los empleadores que, en cumplimiento de una obligación legal, realicen tales tratamientos cuando estos sean de magnitud objetivamente reducida?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y reformada mediante Resolución N° SPDP-SPD-2026-0023-R, expedida el 19 de mayo del 2026, y publicada en Registro Oficial N° 297 de 03 de junio del 2026, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)”(énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 4 de la LOPDP establece:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Datos relativos a la salud: datos personales relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.
Datos sensibles: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización,
posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El artículo 42 de la LOPDP dispone lo siguiente:
“Art. 42.- Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera.
La evaluación de impacto relativa a la protección de los datos será de carácter obligatoria en caso de:
a) Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas naturales;
b) Tratamiento a gran escala de las categorías especiales de datos, o de los datos personales relativos a condenas e infracciones penales, o
c) Observación sistemática a gran escala de una zona de acceso público.
La Autoridad de Protección de Datos Personales establecerá otros tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos.
La evaluación de impacto deberá efectuarse previo al inicio del tratamiento de datos personales.”
Asimismo, el artículo 48 de la LOPDP establece lo siguiente:
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.”(énfasis agregado).
En esta misma línea, el numeral 7 del artículo 4 del RLOPDP dispone:
“7. Tratamiento a gran escala: es aquel que afecta a una gran cantidad de datos, referentes a un elevado número de titulares, procedentes de una amplia diversidad geográfica, y que pueden entrañar un riesgo a sus derechos y libertades. Para determinar cuándo se está en presencia de un tratamiento «a gran escala» la Autoridad de Protección de Datos Personales y los responsables del tratamiento deberán tener en cuenta los siguientes aspectos:
a. El número de interesados o titulares, bien como cifra concreta o como proporción de la población correspondiente;
b. El volumen de datos o la variedad de elementos de datos que son objeto de tratamiento;
c. La duración o permanencia de la actividad de tratamiento de datos; y,
d. El alcance geográfico de la actividad de tratamiento.
Se considera tratamiento a gran escala:
a. El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital, o de las instituciones que conforman el Sistema Nacional de Salud;
b. El tratamiento de datos de desplazamiento de las personas que utilizan el sistema de transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte):
c. El tratamiento de datos de geolocalización en tiempo real de clientes por parte de un responsable del tratamiento de datos personales especializado en la prestación de estos servicios;
d. El tratamiento de datos de clientes en el desarrollo normal de la actividad de una compañía de seguros, corredores, agentes, prestadores o de instituciones financieras;
e. El tratamiento de datos personales para publicidad comportamental por un motor de búsqueda; y.
f. El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de telefonía o internet.” (énfasis agregado).
El artículo 31 del RDPDP, dispone lo siguiente:
“Art. 31.- Evaluación de impacto obligatoria.- Las evaluaciones de impacto del tratamiento de datos serán obligatorias en los casos establecidos en la Ley y deberán realizarse de forma previa al inicio del tratamiento de datos personales.
Los responsables utilizarán los criterios establecidos en el presente Reglamento para determinar en qué casos se está en presencia de una evaluación sistemática y exhaustiva de aspectos personales, de un tratamiento a gran escala de categorías especiales de datos, de datos relativos a condenas e infracciones penales o, de una observación sistemática a gran escala de una zona de acceso público.
En caso de duda, el responsable podrá dirigir una consulta a la Autoridad de Protección de Datos Personales con la finalidad de que determine la obligatoriedad de la evaluación de impacto. La Autoridad de Protección de Datos personales deberá contestar dicha consulta en el término máximo de cinco (5) días contados desde la recepción de la consulta.” (énfasis agregado).
El artículo 54 del RDPDP, indica lo siguiente:
“Art. 54.- Tratamiento a gran escala de datos de categoría especiales.- Para determinar el tratamiento de datos de categorías especiales a gran escala, se considerarán, entre otros factores que defina la Autoridad de Protección de Datos Personales, los establecidos en el presente Reglamento.”
El artículo 7 de la Resolución N° SPDP-SPD-2026-0005-R manifiesta:
“Art. 7.- Para determinar objetivamente cuándo un tratamiento de datos personales puede ser considerado como de gran escala, se establece el MTGE como un instrumento de carácter técnico-jurídico que permite valorar —mediante el análisis conjunto de los criterios cuantitativos y cualitativos previstos en el RGLOPDP y esta norma general— el nivel de riesgo y la magnitud de un determinado tratamiento de datos personales.
El MTGE se basa en la suma de estos seis (6) componentes o variables, que reflejan las dimensiones esenciales del tratamiento de datos personales:
7.1. Número de titulares de datos personales;
7.2. Volumen de datos personales;
7.3. Categorías de datos personales;
7.4. Frecuencia del tratamiento de datos personales;
7.5. Permanencia del tratamiento de datos personales; y,
7.6. Alcance geográfico del tratamiento.
El resultado del MTGE deberá constar de forma expresa y verificable en el RAT; y, además, habrá de mantenerse actualizado frente a cualquier cambio sustancial del tratamiento, sin perjuicio de las facultades de control y verificación de la SPDP.” (énfasis agregado).
El artículo 8 de la Resolución N° SPDP-SPD-2026-0005-R dispone:
“Art. 8.- Cada variable del MTGE se evaluará de acuerdo con los siguientes parámetros estandarizados, aplicables a todos los sectores económicos y administrativos:
8.1. Número de titulares en doce (12) meses por tratamiento:
8.1.1. De 0 a 1.000 titulares tendrá la equivalencia de un (1) punto;
8.1.2. De 1.001 a 10.000 titulares equivaldrán a dos (2) puntos;
8.1.3. De 10.001 a 100.000 titulares, tres (3) puntos; y,
8.1.4. Desde 101.000 o más titulares, cuatro (4) puntos.
8.2. Volumen de datos personales tratados:
8.2.1. Hasta 10 tipos de datos por titular, el volumen representará cinco décimas (0,5) de un punto;
8.2.2. Entre 11 y 30 tipos de datos, un (1) punto;
8.2.3. Entre 31 y 100 tipos de datos, dos (2) puntos; y,
8.2.4. Desde 101 o más tipos de datos, tres (3) puntos.
8.3. Categorías de datos personales tratados:
8.3.1. Únicamente las categorías de datos básicos, esto es, los que no fueren considerados como categorías especiales de datos, equivaldrán a cinco décimas (0,5) de un punto;
8.3.2. El tratamiento que incluya una categoría especial equivaldrá a dos (2) puntos; y,
8.3.3. El tratamiento que incluya más de una categoría especial, datos de grupos vulnerables o datos de naturaleza penal o infracciones, equivaldrán tres (3) puntos.
8.4. Frecuencia del tratamiento:
8.4.1. Un tratamiento puntual representará, para la determinación de gran escala, a cinco décimas (0,5) de un punto;
8.4.2. La frecuencia periódica o recurrente representará un (1) punto; y,
8.4.3. La continua o en tiempo real, dos (2) puntos.
8.5. Permanencia del tratamiento:
8.5.1. Cuando fuere ocasional representará, para la determinación de gran escala, a cinco décimas (0,5) de un punto;
8.5.2. La temporal representará un (1) punto; y,
8.5.3. La prolongada, dos (2) puntos.
8.6. Alcance geográfico del tratamiento:
8.6.1. Con alcance local tendrá la equivalencia de un (1) punto;
8.6.2. Nacional, dos (2) puntos; y,
8.6.3. Global o transfronterizo, tres (3) puntos.”
El artículo 10 y 11 de la Resolución N° SPDP-SPD-2026-0005-R indica:
“Art.10.- El tratamiento de datos personales será considerado de gran escala cuando el valor total fuere igual o superior al valor de seis (6) puntos, que es el que constituye el umbral de calificación. Cuando el valor obtenido fuere inferior a seis (6), el tratamiento no será calificado como de gran escala.
La SPDP podrá ajustar el umbral de calificación mediante resolución técnica motivada, considerando los cambios tecnológicos, la evolución del mercado y los estándares internacionales.
Art.11.- El puntaje del umbral de calificación con equivalencia a seis (6) puntos, ha sido determinado de conformidad con un análisis de sensibilidad y proporcionalidad que equilibra la detección de tratamientos de alto impacto con la exclusión de operaciones de bajo riesgo, en particular:
11.1. Tratamientos con combinación de magnitud media-alta (v. g., más de 10.000 titulares, frecuencia continua y ámbito nacional) tienden a superar el umbral y, así, aseguran su clasificación como gran escala.
11.2. Tratamientos de magnitud baja (v. g., hasta 1.000 titulares, 10 tipos de datos y datos no sensibles), no alcanzan, en condiciones ordinarias, el umbral de seis (6) puntos, aun cuando el tratamiento fuere prolongado o de alcance nacional, lo que evita clasificaciones desproporcionadas de bajo impacto.
La aplicación del umbral de calificación de seis (6) puntos maximiza la correspondencia entre la magnitud del tratamiento, el riesgo real y la carga regulatoria, en coherencia con los principios de necesidad y proporcionalidad de la LOPDP.”
El artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R indica:
“Art. 14.- Constituirá tratamiento de datos personales a gran escala —de manera directa y obligatoria, sin necesidad de aplicar el MTGE—, a más de los establecidos en el RGLOPDP, cuando el responsable o, en su caso, el encargado con acceso, visibilidad o control efectivo de los datos objeto de tratamiento, realizaren las siguientes actividades:
14.1. Los tratamientos relativos a la salud, en particular cuando se realizare en el marco de sistemas sanitarios, asistenciales, de seguridad social o de gestión de historiales clínicos, así como los relativos a otras categorías especiales de datos personales, como los que realicen tratamientos de datos sensibles;
14.2. La evaluación sistemática y exhaustiva de aspectos personales de personas naturales basada en tratamientos automatizados, tales como el perfilamiento, predicción o monitoreo de comportamientos, en la medida en que, de dicha evaluación, se derivaren decisiones que produzcan efectos jurídicos o que afectaren los derechos y libertades de los titulares de los datos personales;
14.3. La observación, vigilancia o monitoreo sistemático de personas en zonas o espacios de acceso público, realizada mediante sistemas de videovigilancia u otros mecanismos tecnológicos de supervisión continua;
14.4. Todo tratamiento de datos biométricos, así como todo tratamiento que ejecutare actividades de geolocalización a los titulares de datos personales;
14.5. El tratamiento estructural de datos personales en el marco de sistemas de información crediticia, financiera o de evaluación de riesgo económico, destinados a valorar el cumplimiento de obligaciones dinerarias, la solvencia patrimonial o el comportamiento financiero de las personas naturales;
14.5. El tratamiento sistemático de datos personales de niñas, niños y adolescentes, cuando se realizare en entornos institucionales, educativos, digitales o de prestación de servicios dirigidos a estos grupos de atención prioritaria;
14.6. La realización de transferencias sistemáticas de datos personales, cuando aquellas formaren parte de flujos continuos o estructurales de información entre responsables, encargados u otros destinatarios, dentro o fuera del territorio nacional; o,
14.7. El tratamiento de datos personales en servicios de mensajería acelerada, expresa o courier.”
Para poder dar respuesta a las dos preguntas planteadas, y para mayor claridad en ella, esta autoridad realizará el análisis diferenciado para cada una de las preguntas. En este sentido, y dando contestación a la primera pregunta, es necesario analizar la aplicación sistemática que debe tener la Norma General sobre el Tratamiento de Datos Personales a Gran Escala, que al igual que otras normas, esta se encuentra dividida en títulos y capítulos de acuerdo con los temas específicos abordados en cada uno de ellos, los cuales si bien tienen relación se diferencias en supuestos distintos de aplicación. En este sentido, se concluye que el supuesto previsto en el numeral 14.4 del artículo 14 constituye un caso de calificación directa y obligatoria de tratamiento a gran escala, el cual opera de manera autónoma respecto del mecanismo de determinación previsto en el Título III. En consecuencia, no resulta jurídicamente procedente entender que el tratamiento de datos biométricos deba someterse al umbral de seis (6) puntos establecidos en los artículos 10 y 11 de la misma Norma, ni condicionar su calificación a la concurrencia de elementos tales como el número de titulares, el contexto o la magnitud del tratamiento. Ello responde a que el propio diseño normativo diferencia expresamente dos regímenes de calificación: por un lado, el régimen general basado en el Modelo Técnico de Gran Escala (MTGE) y, por otro, un régimen excepcional de calificación directa para determinados tratamientos que, por su naturaleza, tanto el reglamento como la regulación presume como de gran escala.
En efecto, el Título III de la norma regula la «Fórmula de Identificación y Cálculo para el Tratamiento de Datos Personales a Gran Escala», estableciendo un mecanismo técnico sustentado en seis variables objetivas, cuyo resultado determina si un tratamiento alcanza el umbral de seis puntos previsto en los artículos 10 y 11. Dicho modelo responde a una finalidad específica: dotar de criterios objetivos para aquellos tratamientos cuya condición de gran escala debe ser determinada mediante una valoración conjunta de factores cuantitativos y cualitativos. Precisamente por ello, el artículo 11 señala que el umbral busca equilibrar la detección de tratamientos de alto impacto con la exclusión de operaciones de bajo riesgo, evitando clasificaciones desproporcionadas cuando se trata de tratamientos ordinarios cuya magnitud no justifica la aplicación del régimen reforzado.
Sin embargo, esa lógica no resulta trasladable a los supuestos establecidos en el Título IV, pues este incorpora una categoría normativa distinta. El artículo 14 dispone expresamente que constituirá tratamiento a gran escala, «de manera directa y obligatoria, sin necesidad de aplicar el MTGE», además de los casos ya previstos en el Reglamento General, una serie de actividades entre las cuales se encuentra «todo tratamiento de datos biométricos». La utilización de la expresión «sin necesidad de aplicar el MTGE» excluye de forma inequívoca la aplicación de la metodología contenida en el Título III y evidencia la voluntad del regulador de establecer una presunción normativa absoluta respecto de dichos tratamientos. Si el propósito hubiese sido someter estos supuestos a una valoración adicional basada en el número de titulares, el volumen de datos o cualquier otro criterio del MTGE, el propio artículo 14 no habría excluido expresamente la aplicación de dicho instrumento.
Esta aplicación también encuentra respaldada en la estructura sistemática de la resolución. La norma se encuentra organizada en títulos con finalidades diferenciadas: el Título II desarrolla los criterios generales de identificación; el Título III determina la fórmula de cálculo aplicable a los tratamientos que requieren una evaluación objetiva para establecer si constituyen tratamientos a gran escala; mientras que el Título IV describe supuestos cuya calificación deriva directamente de la propia norma, sin necesidad de acudir al procedimiento técnico anterior. Por tanto, los artículos 10 y 11 únicamente producen efectos respecto de los tratamientos sometidos al MTGE, mientras que el artículo 14 configura un régimen jurídico distinto e independiente que desplaza la aplicación de dicho mecanismo por expresa disposición normativa. Interpretar lo contrario supondría dejar sin efecto útil la frase «sin necesidad de aplicar el MTGE», contrariando el principio de interpretación conforme al efecto útil de las disposiciones jurídicas.
Adicionalmente, debe considerarse que el fundamento de la calificación directa no radica en la cantidad de titulares afectados, sino en la naturaleza intrínseca del tratamiento y en el nivel de riesgo que el ordenamiento presume asociado a determinadas operaciones. Los datos biométricos constituyen una categoría especial de datos personales cuyo tratamiento puede generar impactos especialmente intensos sobre los derechos y libertades de los titulares, debido a su carácter único, permanente y estrechamente vinculado con la identidad de la persona. Precisamente por ello, la norma opta por un criterio preventivo de protección reforzada, prescindiendo del análisis cuantitativo propio del MTGE y sujetando estos tratamientos, desde su origen, al régimen aplicable a los tratamientos a gran escala, lo cual concluye en la implementación principalmente de dos medidas específicas que son la obligación de contar con una evaluación de impacto y la de contar con un delegado de protección de datos personales.
En consecuencia, esta autoridad considera que el numeral 14.4 del artículo no admite una aplicación orientada a usar el umbral previsto en el artículo 11, ni permite distinguir entre tratamientos biométricos de mayor o menor intensidad con base en el número de titulares, el contexto o la finalidad del tratamiento. La diferenciación entre tratamientos sometidos al MTGE y tratamientos de calificación directa responde a una decisión normativa expresa reflejada en la estructura misma de la resolución. En tal virtud, todo tratamiento de datos biométricos comprendido en el numeral 14.4 del artículo 14 constituye un supuesto autónomo de calificación directa como tratamiento a gran escala, al cual no le resulta aplicable la fórmula prevista en el Título III ni el análisis de proporcionalidad incorporado para aquellos tratamientos cuya calificación depende del Modelo Técnico de Gran Escala.
Ahora bien, dando respuesta a la segunda pregunta, la aplicación del numeral 8.3.3 del artículo 8 de la Norma General sobre el Tratamiento de Datos Personales a Gran Escala debe realizarse también de manera sistemática y conforme a la estructura del MTGE, evitando interpretaciones que conduzcan a una sobreestimación artificial del riesgo. En ese sentido, el numeral 8.3.3 del artículo 8 asigna tres (3) puntos únicamente cuando un mismo tratamiento comprende más de una categoría especial de datos personales, datos de grupos vulnerables o datos relativos a naturaleza penal o infracciones, según la combinación prevista en la propia disposición. No obstante, dicha valoración debe efectuarse respecto del tratamiento concreto objeto de análisis, puesto que el MTGE no califica a una organización en abstracto, sino a cada actividad de tratamiento individualmente considerada, de conformidad con la metodología prevista en los artículos 7 al 13 de la norma.
En el supuesto planteado, no resulta correcto asumir que el tratamiento simultáneo de datos de salud, datos de personas con discapacidad y datos de niñas, niños o adolescentes genera automáticamente la asignación de tres (3) puntos prevista en el numeral 8.3.3 del artículo 8. En primer lugar, debe precisarse que, desde una perspectiva material y jurídica, los datos relativos a la discapacidad constituyen, en esencia, datos relativos a la salud, pues la condición de discapacidad deriva de información relacionada con el estado físico, mental, intelectual o sensorial de una persona y, por tanto, integra la misma categoría de un dato personal de salud. En consecuencia, el tratamiento conjunto de datos de salud y de discapacidad no configura dos categorías especiales distintas, sino una única categoría especial de datos, lo que, de conformidad con el numeral 8.3.2 del artículo 8 corresponde a una valoración de dos (2) puntos y no de tres (3).
De igual manera, la circunstancia de que el titular sea una niña, niño o adolescente tampoco transforma automáticamente el tratamiento en uno comprendido en el numeral 8.3.3 del artículo 8. La norma distingue claramente entre categorías especiales de datos personales y datos de grupos vulnerables. Por ello, únicamente cuando un tratamiento involucre simultáneamente una categoría especial de datos —por ejemplo, datos de salud— y, además, datos correspondientes a un grupo vulnerable —como niñas, niños o adolescentes— podrá configurarse la hipótesis prevista en el numeral 8.3.3 del artículo 8. En cambio, si el tratamiento corresponde a datos de salud de un trabajador con discapacidad, la discapacidad no constituye una categoría adicional independiente de los datos de salud, por lo que no procede acumular puntuaciones por ambos conceptos.
Asimismo, debe recordarse que el MTGE fue diseñado para valorar el riesgo de cada tratamiento específico y no la totalidad de datos que un responsable pueda tratar en el ejercicio de sus actividades, ya que en dicho caso todos los responsable y encargados del tratamiento tendrían más de 6 puntos. Así se desprende de la propia estructura de la norma, que exige identificar y documentar cada tratamiento en el Registro de Actividades de Tratamiento (RAT), calcular individualmente las variables previstas en el artículo 7 y registrar expresamente el resultado obtenido para cada tratamiento. En consecuencia, un empleador no debe sumar indiscriminadamente todos los datos personales que posee sobre un trabajador para efectos del MTGE, sino identificar cuál es el tratamiento concreto que está siendo evaluado —por ejemplo; administración de nómina, gestión de seguridad y salud ocupacional, afiliación al seguro social o procesos de selección— y calcular el puntaje exclusivamente respecto de ese tratamiento determinado.
En este contexto, tampoco resulta jurídicamente correcto afirmar que el solo cumplimiento de obligaciones laborales conduce de manera “prácticamente automática” a la calificación de gran escala. La metodología prevista en la Norma General precisamente evita ese resultado, ya que la variable relativa a las categorías de datos constituye únicamente uno de los seis componentes del MTGE. El artículo 11 establece que el umbral de seis (6) puntos fue definido mediante un análisis de sensibilidad y proporcionalidad destinado a excluir operaciones de bajo riesgo y a garantizar que exista correspondencia entre la magnitud real del tratamiento, el riesgo efectivo y la carga regulatoria. Por ello, aun cuando un tratamiento obtenga dos o incluso tres puntos en la variable correspondiente a categorías de datos, la calificación final dependerá de la valoración conjunta del número de titulares, el volumen de datos, la frecuencia, la permanencia y el alcance geográfico del tratamiento, los cuales deben evaluarse de forma acumulativa.
En consecuencia, la Norma General no contempla un mecanismo adicional de ponderación o corrección distinto al propio MTGE, precisamente porque dicho modelo ya incorpora una valoración integral y proporcional del tratamiento. La exclusión de tratamientos de magnitud reducida no se logra mediante una excepción específica para empleadores o para tratamientos derivados del cumplimiento de obligaciones legales, sino mediante la aplicación correcta de todas las variables del modelo respecto del tratamiento concreto analizado. Así, cuando un tratamiento laboral involucre un número reducido de titulares, un volumen limitado de datos, un alcance geográfico acotado y características de baja magnitud, esas circunstancias deberán reflejarse en las restantes variables del MTGE, evitando que la sola existencia de categorías especiales determine, por sí misma, la calificación como tratamiento a gran escala. Esta interpretación es la que resulta compatible con la finalidad del artículo 11 y con los principios de necesidad y proporcionalidad que inspiran la mencionada Norma.
Pronuciamiento
En atención a los términos de la consulta realizada mediante oficio S/N de 16 de junio de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
“i. Pregunta a) reformulada
2. En relación con el artículo 14, numeral 14.4, de la Norma General, en concordancia con los artículos 10 y 11 del mismo cuerpo normativo: ¿debe interpretarse que la calificación directa por el solo tratamiento de datos biométricos opera de manera absoluta e irrestricta, con independencia del número de titulares, del contexto y de la naturaleza del tratamiento; o admite una lectura sistemática conforme a la finalidad del umbral del artículo 11 (excluir operaciones de bajo riesgo), dando como resultado que únicamente se considere como tratamiento a gran escala aquel tratamiento biométrico que suponga un riesgo elevado para los derechos y libertades de los titulares?
En mérito de las consideraciones expuestas, el supuesto previsto en el numeral 14.4 del artículo 14 de la Norma General constituye un caso de calificación directa y obligatoria de tratamiento de datos personales a gran escala, el cual configura supuestos independientes del mecanismo de determinación previsto en el Título III de la misma norma. En consecuencia, a los tratamientos comprendidos en el artículo 14 no les resulta aplicable el Modelo Técnico de Gran Escala (MTGE), ni el umbral de calificación establecido en los artículos 10 y 11, por tratarse de supuestos expresamente excluidos de dicha metodología. Por tanto, el tratamiento de datos biométricos previsto en el numeral 14.4 debe considerarse como tratamiento a gran escala por mandato normativo expreso, sin que corresponda realizar una ponderación adicional sobre el número de titulares, el contexto, la finalidad o la magnitud del tratamiento.
iii. Pregunta b) reformulada
6. En relación con el artículo 8, numeral 8.3.3, de la Norma General, en concordancia con los artículos 10 y 11 del mismo cuerpo normativo: dado que el tratamiento de datos de salud, de datos de personas con discapacidad y de datos de menores de edad resulta legalmente obligatorio en el marco de las relaciones laborales, y que dicha combinación determina la asignación de tres (3) puntos en la variable de categorías de datos personales que, sumada a los valores mínimos de las restantes variables, supera de manera prácticamente automática el umbral de seis (6) puntos del artículo 10, ¿cómo debe interpretarse y aplicarse dicha asignación a fin de que resulte compatible con la finalidad del umbral de calificación prevista en el artículo 11; y existe algún criterio de ponderación o corrección que permita excluir de la calificación de gran escala a los empleadores que, en cumplimiento de una obligación legal, realicen tales tratamientos cuando estos sean de magnitud objetivamente reducida?”
En atención a lo expuesto, la aplicación del numeral 8.3.3 del artículo 8 de la Norma General debe efectuarse respecto de cada tratamiento concreto y no de manera general sobre todas las actividades desarrolladas por un responsable del tratamiento. Asimismo, se precisa que los datos relativos a la discapacidad constituyen, por su naturaleza, datos relativos a la salud y, por ende, no configuran una categoría especial distinta que permita acumular puntuaciones independientes dentro de la variable prevista en el artículo 8.3. En consecuencia, el MTGE no contempla un mecanismo adicional de corrección o ponderación distinto al previsto en su propia metodología, siendo la valoración conjunta de todas las variables establecidas en los artículos 7 al 11 la que garantiza la observancia de los principios de necesidad y proporcionalidad, evitando que la sola existencia de categorías especiales de datos determine, por sí misma, la calificación de un tratamiento como realizado a gran escala.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.