Preguntas
“1.¿Cuál es la figura jurídica adecuada para designar al Delegado de Protección de Datos Personales (DPDP) en una institución del sector público, considerando que el artículo 49 inciso segundo del RGLOPDP únicamente nos indica que lo designa la máxima autoridad?
¿Es necesario que este cargo conste previamente en el orgánico estructural y funcional de la entidad de conformidad con la LOSEP y demás normativa que regula el desempeño de un puesto público, o basta con su designación mediante resolución administrativa por parte de la máxima autoridad institucional que explique una toma de responsabilidad y figura jurídica?
2. ¿Puede un funcionario público asumir simultáneamente el rol de DPDP y otras funciones dentro de la entidad, o se requiere que esta función se ejerza con dedicación exclusiva?
3. ¿Qué nivel jerárquico o funcional mínimo debe tener el DPDP dentro de una entidad pública para que se asegure su autonomía, autoridad técnica y cumplimiento efectivo de sus responsabilidades según la LOPDP?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 4 y 5 de la LOPDP establecen:
“Art. 4.- (…) Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.”
“Art. 5.- Integrantes del sistema de protección de datos personales.- Son parte del sistema de protección de datos personales, los siguientes:
1) Titular;
2) Responsable del tratamiento;
3) Encargado del tratamiento;
4) Destinatario;
5) Autoridad de Protección de Datos Personales; y,
6) Delegado de protección de datos personales.” (énfasis agregado).
En este contexto se menciona dentro del derecho a la información lo siguiente en el artículo 12 LOPDP:
“Art. 12.- Derecho a la información.- El titular de datos personales tiene derecho a ser informado conforme los principios de lealtad y transparente por cualquier medio sobre: (…) 9) Cuando sea del caso, identidad y datos de contacto del delegado de protección de datos personales, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico;” (énfasis agregado).
Como obligaciones el artículo 47 y 48 de la LOPDP disponen lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a: (…) 13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;” (énfasis agregado).
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
El artículo 49 de la LOPDP dispone:
“Art. 49.- Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación;
4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y,
5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales.
En caso de incumplimiento de sus funciones, el delegado de protección de datos personales responderá administrativa, civil y penalmente, de conformidad con la ley.”
“Art. 50.- Consideraciones especiales para el delegado de protección de datos personales.- Para la ejecución de las funciones del delegado de protección de datos, el responsable y el encargado de tratamiento de datos personales, deberán observar lo siguiente:
1) Garantizar que la participación del delegado de protección de datos personales, en todas las cuestiones relativas a la protección de datos personales, sea apropiada y oportuna;
2) Facilitar el acceso a los datos personales de las operaciones de tratamiento, así como todos los recursos y elementos necesarios para garantizar el correcto y libre desempeño de sus funciones;
3) Capacitar y actualizar en la materia al delegado de protección de datos personales, de conformidad con la normativa técnica que emita la Autoridad de Protección de Datos Personales;
4) No podrán destituir o sancionar al delegado de protección de datos personales por el correcto desempeño de sus funciones;
5) El delegado de protección de datos personales mantendrá relación directa con el más alto nivel ejecutivo y de decisión del responsable y con el encargado;
6) El titular de los datos personales podrá contactar al delegado de protección de datos personales con relación al tratamiento de sus datos personales a fin de ejercer sus derechos; y,
7) El delegado de protección de datos personales estará obligado a mantener la más estricta confidencialidad respecto a la ejecución de sus funciones.
Siempre que no exista conflicto con las responsabilidades establecidas en la presente Ley, su reglamento, directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales, el delegado de protección, de datos personales podrá desempeñar otras funciones dispuestas por el responsable o el encargado del tratamiento de datos personales.” (énfasis agregado).
Respecto a la infracción y sanción de no contar con un DPD los artículos 68 y 76 disponen lo siguiente:
“Art. 68.- Infracciones graves del Responsable de protección de datos.- Se consideran infracciones graves las siguientes: (…) 12) No designar al delegado de protección de datos personales cuando corresponda; (…)”
“Art. 76.- Funciones atribuciones y facultades.- La Autoridad de Protección de Datos Personales es el órgano de control y vigilancia encargado de garantizar a todos los ciudadanos la protección de sus datos personales, y de realizar todas las acciones necesarias para que se respeten los principios, derechos, garantías y procedimientos previstos en la presente Ley y en su reglamento de aplicación, para lo cual le corresponde las siguientes funciones, atribuciones y facultades: (…) 2) Ejercer la potestad sancionadora respecto de responsables, delegados, encargados y terceros, conforme a lo establecido en la presente Ley; (…)”(énfasis agregado).
En alcance a los artículos previamente citado el RLOPDP dispone los siguientes artículos:
“Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
Art. 49.- Tipo de contratación.- El delegado de protección de datos podrá ser contratado por el responsable del tratamiento de datos personales, bajo la figura de relación de dependencia o a través de un contrato de prestación de servicios. Sin perjuicio de lo indicado, en cualquiera de los casos, deberá respetar y garantizar que se presten los servicios de manera independiente.
Tratándose de las instituciones del sector público, el delegado de protección de datos será designado por la máxima autoridad institucional. (…)
Art. 51.- Prohibición de sanción al delegado de protección de datos.- El responsable y el encargado del tratamiento de datos personales deberán respetar el trabajo que ejecute el delegado de protección de datos personales, y no se aplicarán sanciones por el hecho de desempeñar y cumplir sus funciones. En caso que el delegado sea sancionado o removido por motivo de la ejecución de sus funciones, podrá poner este hecho en conocimiento de la Autoridad de Protección de Datos Personales, que valorará las circunstancias en las que se produjo la desvinculación o sanción y validará las sanciones que correspondan, sin perjuicio de las acciones legales o judiciales a que hubiere a lugar por parte del delegado perjudicado.
La Autoridad de Protección de Datos Personales establecerá el procedimiento de denuncia y las sanciones correspondientes para los casos de remoción o sanción injustificadas del delegado de protección de datos.
Art. 52.- Buenas prácticas.- Los responsables o encargados del tratamiento de datos personales, que no se encuentren dentro de las categorías de obligados a designar un delegado de protección de datos, podrán hacerlo de manera voluntaria como un mecanismo de buena práctica y como parte de las medidas de responsabilidad proactiva a adoptar.
En atención a sus necesidades institucionales, los responsables y encargados del tratamiento de datos personales podrán designar un delegado suplente, que actuará en caso de ausencia o impedimento temporal o definitivo del primero.”
El artículo 55 y 56 del RLOPDP, establecen los requisitos e impedimentos para ser DPD disponiendo lo siguiente:
“Art. 55.- Requisitos para ser delegado.- Sin perjuicio de otros requisitos que establezca la Autoridad de Protección de Datos Personales, para ser delegado de protección de datos personales, se requerirá:
1. Estar en goce de los derechos políticos;
2. Ser mayor de edad;
3. Tener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; y,
4. Acreditar experiencia profesional de por lo menos cinco años.
Art. 56.- Impedimento para ser delegado.- Sin perjuicio de otras que defina la Autoridad de Protección de Datos Personales, no podrán ser delegados de protección de datos personales las siguientes personas:
1. Quienes formen parte de los órganos de administración y control del responsable y encargado;
2. Los socios o accionistas del responsable y encargado;
3. Los cónyuges de los administradores, directores o comisarios de la compañía, en caso de haberlos, del responsable y encargado, o sus parientes hasta el cuarto grado de consanguinidad o segundo de afinidad; y,
4. Quienes tengan conflictos de intereses con el responsable y encargado, para lo cual la Autoridad de Protección de Datos Personales emitirá la normativa correspondiente en la que se establecerán los supuestos específicos que darían lugar a dicho conflicto de intereses.
Tratándose de las instituciones del sector público, la Autoridad de Protección de Datos Personales definirá las incompatibilidades para ser delegado de protección de datos personales para cada caso en particular.” (énfasis agregado).
El artículo 57 del RLOPDP dispone lo siguiente:
“Art. 57.- Acuerdos de Confidencialidad.- El delegado de protección de datos personales suscribirá un acuerdo de confidencialidad respecto de la información que llegase a conocer o respecto de la cual pueda llegar a tener acceso por el desempeño de su cargo. Las partes acordarán, libremente, los términos y condiciones del acuerdo, pero en ningún caso tales documentos podrán limitar el acceso del delegado a la información que estime necesaria para el desempeño de su función.
El incumplimiento de los acuerdos de confidencialidad estará sujeto a las responsabilidades civiles y penales a las que hubiere lugar.
Este deber de guardar confidencialidad subsistirá incluso una vez que haya concluido la relación jurídica con el responsable o encargado.” (énfasis agregado).
En concordancia con lo previamente mencionado, el artículo 47 del Código Orgánico Administrativo (“COA”) establece lo siguiente:
“Art. 47.- Representación legal de las administraciones públicas. La máxima autoridad administrativa de la correspondiente entidad pública ejerce su representación para intervenir en todos los actos, contratos y relaciones jurídicas sujetas a su competencia. Esta autoridad no requiere delegación o autorización alguna de un órgano o entidad superior, salvo en los casos expresamente previstos en la ley.” (énfasis agregado).
Asimismo, el artículo 17 de la Ley Orgánica de Servicio Público (“LOSEP”) dispone:
“Art. 17.- Clases de Nombramiento.- Para el ejercicio de la función pública los nombramientos podrán ser:
a) Permanentes: Aquellos que se expiden para llenar vacantes mediante el sistema de selección previstos en esta Ley;
b) Provisionales, aquellos que se expiden para ocupar:
b.1) El puesto de un servidor que ha sido suspendido en sus funciones o destituido, hasta que se produzca el fallo de la Sala de lo Contencioso Administrativo u otra instancia competente para este efecto;
b.2) El puesto de una servidora o servidor que se hallare en goce de licencia sin remuneración. Este nombramiento no podrá exceder el tiempo determinado para la señalada licencia;
b.3) Para ocupar el puesto de la servidora o servidor que se encuentre en comisión de servicios sin remuneración o vacante. Este nombramiento no podrá exceder el tiempo determinado para la señalada comisión;
b.4) Quienes ocupen puestos comprendidos dentro de la escala del nivel jerárquico superior; y,
b.5) De prueba, otorgado a la servidora o servidor que ingresa a la administración pública o a quien fuere ascendido durante el periodo de prueba. El servidor o servidora pública se encuentra sujeto a evaluación durante un periodo de tres meses, superado el cual, o, en caso de no haberse practicado, se otorgará el nombramiento definitivo; si no superare la prueba respectiva, cesará en el puesto. De igual manera se otorgará nombramiento provisional a quienes fueron ascendidos, los mismos que serán evaluados dentro de un periodo máximo de seis meses, mediante una evaluación técnica y objetiva de sus servicios y si se determinare luego de ésta que no califica para el desempeño del puesto se procederá al reintegro al puesto anterior con su remuneración anterior;
c) De libre nombramiento y remoción; y,
d) De período fijo. Los nombramientos provisionales señalados en los literales b.1) y b.2) podrán ser otorgados a favor de servidoras o servidores públicos de carrera que prestan servicios en la misma institución; o a favor de personas que no tengan la calidad de servidores públicos.” (énfasis agregado).
El artículo 56 de la LOSEP establece:
“Art. 56.- De la planificación institucional del talento humano.- Las Unidades de Administración del Talento Humano estructurarán, elaborarán y presentarán la planificación del talento humano, en función de los planes, programas, proyectos y procesos a ser ejecutados. Las Unidades de Administración del Talento Humano de las Entidades del Sector Público, enviarán al Ministerio del Trabajo, la planificación institucional del talento humano para el año siguiente para su aprobación, la cual se presentará treinta días posteriores a la expedición de las Directrices Presupuestarias para la Proforma Presupuestaria del año correspondiente. Esta norma no se aplicará a los miembros activos de las Fuerzas Armadas y Policía Nacional, Universidades y Escuelas Politécnicas Públicas y a las entidades sujetas al ámbito de la Ley Orgánica de Empresas Públicas. Los Gobiernos Autónomos Descentralizados, sus entidades y regímenes especiales, obligatoriamente tendrán su propia planificación anual del talento humano, la que será sometida a su respectivo órgano legislativo.” (énfasis agregado).
El artículo 58 de la LOSEP establece:
“Art. 58.- De los contratos de servicios ocasionales.- La suscripción de contratos de servicios ocasionales será autorizada de forma excepcional por la autoridad nominadora, para satisfacer necesidades institucionales no permanentes, previo el informe motivado de la Unidad de Administración del Talento Humano, siempre que exista la partida presupuestaria y disponibilidad de los recursos económicos para este fin. La contratación de personal ocasional para la ejecución de actividades no permanentes, no podrá sobrepasar el veinte por ciento de la totalidad del personal de la entidad contratante; en caso de que se superare dicho porcentaje, deberá contarse con la autorización previa del Ministerio de Trabajo. Se exceptúa de este porcentaje a las personas con discapacidad, debidamente calificadas por la Autoridad Sanitaria Nacional a través del Sistema Nacional de Salud; personas contratadas bajo esta modalidad en instituciones u organismos de reciente creación, hasta que se realicen los correspondientes concursos de selección de méritos y oposición, en el caso de puestos que correspondan a proyectos de inversión o comprendidos en la escala del nivel jerárquico superior; y el de las mujeres embarazadas. Por su naturaleza, este tipo de contratos no generan estabilidad, en el caso de las mujeres embarazadas la vigencia del contrato durará «hasta el fin del período fiscal en que concluya su período de lactancia», de acuerdo con la ley. El personal que labora en el servicio público bajo esta modalidad tendrá relación de dependencia y derecho a todos los beneficios económicos contemplados para el personal de nombramiento permanente, con excepción de las indemnizaciones por supresión de puesto o partida o incentivos para jubilación. Las servidoras o servidores públicos sujetos a este tipo de contrato no ingresarán a la carrera del servicio público, mientras dure su contrato. Nada impedirá a una persona con un contrato ocasional presentarse a un concurso público de méritos y oposición mientras dure su contrato. Para las y los servidores que tuvieran suscritos este tipo de contratos, no se concederá licencias y comisiones de servicios con o sin remuneración para estudios regulares o de postgrados dentro de la jornada de trabajo, ni para prestar servicios en otra institución del sector público. Las y los servidores que tienen suscritos este tipo de contratos tendrán derecho a los permisos mencionados en el artículo 33 de esta Ley. Este tipo de contratos, por su naturaleza, de ninguna manera representará estabilidad laboral en el mismo, ni derecho adquirido para la emisión de un nombramiento permanente, pudiendo darse por terminado en cualquier momento por alguna de las causales establecidas en la presente ley y su reglamento. La remuneración mensual unificada para este tipo de contratos será la fijada conforme a los valores y requisitos determinados para los puestos o grados establecidos en las Escalas de Remuneraciones fijadas por el Ministerio de Trabajo, el cual expedirá la normativa correspondiente. El contrato de servicios ocasionales que no se sujete a los términos de esta Ley será causal para la conclusión automática del mismo y originará, en consecuencia, la determinación de las responsabilidades administrativas, civiles o penales de conformidad con la ley. Cuando la necesidad institucional pasa a ser permanente, la Unidad Administrativa de Talento Humano planificará la creación del puesto el cual será ocupado agotando el concurso de méritos y oposición, previo al cumplimiento de los requisitos y procesos legales correspondientes. Se considerará que las necesidades institucionales pasan a ser permanentes cuando luego de un año de contratación ocasional se mantenga a la misma persona o se contrate a otra, bajo esta modalidad, para suplir la misma necesidad, en la respectiva institución pública. La Unidad Administrativa de Talento Humano bajo sanción en caso de incumplimiento tendrá la obligación de iniciar el concurso de méritos y oposición correspondiente, tiempo en el cual se entenderá prorrogado el contrato ocasional hasta la finalización del concurso y la designación de la persona ganadora. Los servidores responsables determinados en los artículos 56 y 57 de esta ley, deberán, presentar las planificaciones, solicitudes, aprobaciones e informes que se necesitan para poder convocar a concurso de méritos y oposición, inmediatamente a partir de la fecha de terminación del contrato ocasional; caso contrario será causal de remoción o destitución del cargo según corresponda. Las servidoras o servidores públicos responsables de la Unidad Administrativa de Talento Humano que contravengan con lo dispuesto en este artículo serán sancionados por la autoridad nominadora o su delegado, con la suspensión o destitución del cargo previo el correspondiente sumario administrativo, proceso disciplinario que será vigilado por el Ministerio de Trabajo. En todos los casos, se dejará constancia por escrito de la sanción impuesta en el expediente personal de la servidora o servidor.” (énfasis agregado).
El artículo 65 de la LOSEP dispone:
“Art. 65.- Del ingreso a un puesto público.- El ingreso a un puesto público será efectuado mediante concurso de merecimientos y oposición, que evalúe la idoneidad de los interesados y se garantice el libre acceso a los mismos. El ingreso a un puesto público se realizará bajo los preceptos de justicia, transparencia y sin discriminación alguna. Respecto de la inserción y accesibilidad en igualdad de condiciones al trabajo remunerado de las personas con discapacidad y de las comunidades, pueblos y nacionalidades, se aplicarán acciones afirmativas. El Ministerio del Trabajo implementará normas para facilitar su actividad laboral. La calificación en los concursos de méritos y oposición debe hacerse con parámetros objetivos, y en ningún caso, las autoridades nominadoras podrán intervenir de manera directa, subjetiva o hacer uso de mecanismos discrecionales. Este tipo de irregularidades invalidarán los procesos de selección de personal. Durante la calificación de los concursos de méritos y oposiciones, se otorgará un puntaje adicional a los aspirantes que demuestren haber sido acreedores a un reconocimiento dentro del Programa Nacional de Reconocimientos a la Excelencia Académica o que hubieren alcanzado algún reconocimiento a la excelencia en el ámbito de la formación técnica, tecnológica o su equivalente, reconocida por el ente rector de la Educación Superior, Ciencia, Tecnología e Innovación.”
El artículo 85 de la LOSEP indica:
“Art. 85.- Servidoras y servidores públicos de libre nombramiento y remoción.- Las autoridades nominadoras podrán designar, previo el cumplimiento de los requisitos previstos para el ingreso al servicio público, y remover libremente a las y los servidores que ocupen los puestos señalados en el literal a) y el literal h) del Artículo 83 de esta Ley. La remoción así efectuada no constituye destitución ni sanción disciplinaria de ninguna naturaleza.”
Asimismo, el artículo 16 y 17 del Reglamento General a la Ley Orgánica del Servicio Público (“RLOSEP”) menciona:
“Art. 16.- Nombramiento.- Entiéndase por nombramiento el acto unilateral del poder público expedido por autoridad competente o autoridad nominadora mediante la expedición de un decreto, acuerdo, resolución, acta o acción de personal, que otorga capacidad para el ejercicio de un puesto en el servicio público.
Art. 17.- Clases de nombramientos.- Los nombramientos extendidos para el ejercicio de un puesto en la función pública pueden ser: a) Permanentes: El que se otorga a la o el ganador del concurso de méritos y oposición, una vez que haya aprobado el período de prueba; b) Provisionales: Aquellos otorgados para ocupar temporalmente los puestos determinados en el literal b) del artículo 17 de la LOSEP; no generarán derecho de estabilidad a la o el servidor; c) De libre nombramiento y remoción: Los expedidos a favor de personas que van a ocupar puestos de dirección política, estratégica o administrativa en las instituciones del Estado; y, d) De período fijo: Aquellos cuyos titulares son nombrados para ejercer un puesto en el servicio público por un período determinado por mandato legal.”
El artículo 141 del RLOSEP indica:
“Art. 141.- De la planificación institucional del talento humano.- Sobre la base de las políticas, normas e instrumentos del Ministerio de Relaciones Laborales, las UATH, de conformidad con el plan estratégico institucional, portafolio de productos, servicios, procesos, y procedimientos diseñarán los lineamientos en que se fundamentarán las diferentes unidades o procesos administrativos, para la elaboración de la planificación del talento humano necesario en cada una de ellas. Posteriormente las UATH deberán remitir la información en el término señalado en el segundo inciso del artículo 56 de la LOSEP, para la aprobación del Ministerio de Relaciones Laborales. La planificación del talento humano se constituirá en un referente para los procesos de creación de puestos, la contratación de servicios ocasionales, contratos civiles de servicios profesionales, los convenios o contratos de pasantías o prácticas laborales, la supresión de puestos y demás movimientos de personal, y se registrarán en el sistema de información que el Ministerio de Relaciones Laborales determine. (…)”
El artículo 143 del RLOSEP establece:
“Art. 143.- De los contratos de servicios ocasionales.- La autoridad nominadora, podrá suscribir contratos para la prestación de servicios ocasionales, previo informe favorable de la UATH. El informe justificará la necesidad de trabajo ocasional, certificará el cumplimiento de los requisitos previstos en la LOSEP y este Reglamento General para el ingreso ocasional al servicio público por parte de la persona a ser contratada; para el efecto se contará con la certificación de que existen los recursos económicos disponibles en la correspondiente partida presupuestaria y se observará que la contratación no implique aumento en la masa salarial aprobada; en caso de que esta contratación implique aumento de la masa salarial aprobada, deberá obtenerse en forma previa las respectivas autorizaciones favorables. El plazo máximo de duración del contrato de servicios ocasionales será de hasta doce meses o hasta finalizar el ejercicio fiscal en curso, y podrá ser renovado por única vez hasta por doce meses adicionales en el siguiente ejercicio fiscal, en cuyo caso no será necesaria la suscripción de un nuevo contrato por el transcurso del nuevo ejercicio fiscal, bastando la decisión administrativa que en tal sentido expida la autoridad nominadora o su delegado la cual se incorporará al expediente respectivo al igual que la certificación presupuestaria que expida la unidad financiera de la institución. Se podrán suscribir varios contratos de servicios ocasionales entre la misma institución y la o el mismo servidor, durante un ejercicio fiscal en curso, que se pueden renovar dentro del consecutivo ejercicio fiscal, por necesidad institucional solo hasta 12 meses adicionales. Superado este plazo ya no se podrán contratar con la o el mismo servidor; y, pasado un ejercicio fiscal se podrá contratar nuevamente. Cuando las instituciones del Estado hayan contratado personal hasta el lapso de tiempo que permite el artículo 58 de la LOSEP, en el que se incluye la renovación, de persistir la necesidad de cumplimiento de actividades permanentes, la UATH planificará la creación del puesto el cual será ocupado agotando el concurso de méritos y oposición. En caso de proceder a la renovación del contrato de servicios ocasionales, no se suspende la relación entre la o el servidor y la institución contratante. El personal sujeto a contratos de servicios ocasionales, podrá subrogar o encargarse de un puesto de aquellos comprendidos dentro de la escala del nivel jerárquico superior o de la escala nacional de remuneraciones mensuales unificadas de los servidores públicos, para lo cual deberá cumplir con los requisitos y perfiles para el puesto a subrogar o encargarse. La UATH en el informe previo a la contratación deberá incorporar dicha posibilidad, la cual constará de manera expresa como cláusula en el contrato a suscribirse. Si se requiere que la servidora o servidor contratado ejecute parcial o totalmente actividades o funciones distintas a las determinadas en el contrato, se podrá realizar un adendum al mismo en acuerdo entre las partes, o se deberá dar por terminado el contrato, previo al cumplimiento de las disposiciones establecidas en la LOSEP y este Reglamento General, y este último caso celebrar un nuevo contrato. Por su naturaleza, este tipo de contratos no genera estabilidad laboral alguna, no son sujetos de indemnización por supresión de puestos o partidas, incentivos para la jubilación, planes de retiro voluntario con indemnización, compras de renuncias, compensaciones por renuncia voluntaria, licencias sin remuneración y comisiones de servicio con remuneración para estudios regulares de postgrado, no ingresarán a la carrera del servicio público mientras dure la relación contractual; sin embargo, las personas contratadas deberán cumplir con todos los requisitos y el perfil del puesto exigido en los manuales institucionales y en el Manual Genérico de Puestos. La UATH a fin de propender a una efectiva realización de sus actividades, desde el primer momento, será responsable de la implementación de mecanismos de inducción para las y los servidores con contratos de servicios ocasionales. Todos los contratos de servicios ocasionales celebrados por las instituciones comprendidas en el artículo 3 de la LOSEP, deberán ser registrados en el Sistema Informático Integrado del Talento Humano que implemente el Ministerio de Relaciones Laborales para el efecto. Para efectos presupuestarios y de pago, las instituciones deberán registrar estos contratos en el eSIPREN con la finalidad de expedir los distributivos de remuneraciones correspondientes y de ser el caso las respectivas reformas. Para las instituciones de la Función Ejecutiva, el Ministerio de Relaciones Laborales controlará los procedimientos de contratación utilizados por la UATH de cada institución, y verificará el cumplimiento de las políticas, normas e instrumentos de contratación ocasional; y, de su incumplimiento comunicará a la autoridad nominadora para la aplicación del régimen disciplinario, sin perjuicio de someter a conocimiento de la Contraloría General del Estado, para la determinación de responsabilidades a que hubiere lugar.”
Asimismo, el artículo 148 del RLOSEP dispone:
“Art. 148.- De los contratos civiles de servicios.- La autoridad nominadora podrá suscribir contratos civiles de servicios profesionales o contratos técnicos especializados sin relación de dependencia, siempre y cuando la UATH justifique que la labor a ser desarrollada no puede ser ejecutada por personal de su propia entidad u organización, fuere insuficiente el mismo o se requiera especialización en trabajos específicos a ser desarrollados, que existan recursos económicos disponibles en una partida para tales efectos, que no implique aumento en la masa salarial aprobada, y que cumpla con los perfiles establecidos para los puestos institucionales y genéricos correspondientes. Estos contratos se suscribirán para puestos comprendidos en todos los grupos ocupacionales y se pagarán mediante honorarios mensualizados. Las personas a contratarse bajo esta modalidad no deberán tener inhabilidades, prohibiciones e impedimentos establecidos para las y los servidores públicos. Tratándose de personas que hayan recibido indemnización o compensación económica por compra de renuncia, retiro voluntario, venta de renuncia u otras figuras similares, no constituirá impedimento para suscribir un contrato civil de servicios, conforme lo establece la LOSEP y este Reglamento General. Las personas extranjeras, podrán prestar sus servicios al Estado Ecuatoriano, mediante la suscripción de contratos civiles de servicios profesionales o de servicios técnicos especializados para lo cual se estará a lo que establece para estas personas en la LOSEP, en este Reglamento General y las normas legales aplicables.”
Con base en la normativa previamente citada, pueden ser designados como Delegados de Protección de Datos Personales aquellas personas naturales que cumplan con los requisitos establecidos en el artículo 55 del RLOPDP. En tal sentido, el DPD deberá estar en pleno goce de sus derechos políticos, ser mayor de edad, poseer un título de tercer nivel en las áreas de derecho, sistemas de información, comunicación o tecnologías, así como acreditar una experiencia profesional mínima de cinco años en la carrera profesional que ostente de las previamente mencionadas. Estos requisitos buscan garantizar que quien asuma este rol cuente con el conocimiento necesario para asesorar, supervisar y velar por el cumplimiento de la normativa en materia de protección de datos personales, en concordancia con lo establecido en el artículo 4 de la LOPDP.
Respecto a la forma de contratación del DPD, se ha evidenciado que ni la Ley Orgánica de Protección de Datos Personales (LOPDP) ni su Reglamento (RLOPDP) establecen una modalidad específica de contratación en el sector público. Lo único que se dispone al respecto es que la designación debe ser realizada por la máxima autoridad, en concordancia con lo establecido en el COA, el cual señala que dicha autoridad ejerce la representación legal e institucional, con facultad para intervenir en todos los contratos que suscriba la entidad. En este marco, la LOSEP contempla varias modalidades de contratación en el sector público, las cuales se agrupan en tres categorías generales: La primera, los Contratos de Servicios Ocasionales, esta modalidad se utiliza para atender necesidades institucionales específicas y temporales. Los contratos son autorizados por la autoridad nominadora, previo informe favorable de la Unidad de Administración del Talento Humano (UATH), y están sujetos a la existencia de una partida presupuestaria y disponibilidad de recursos económicos. De acuerdo con la LOSEP, la contratación de personal bajo esta figura no podrá exceder el 20% del total de personal de la entidad; en caso de superar dicho porcentaje, se requerirá autorización previa del Ministerio de Trabajo. Además, la duración máxima del contrato será de 12 meses, o hasta la finalización del ejercicio fiscal correspondiente.
La segunda modalidad es por nombramientos, según el artículo 17 de la LOSEP, los nombramientos pueden clasificarse en:
Nombramientos provisionales, otorgados en los siguientes casos:
Cuando un servidor ha sido suspendido o destituido, mientras se resuelve su situación legal en sede administrativa o judicial.
Cuando el servidor titular del puesto se encuentra en licencia sin remuneración.
Para cubrir vacantes temporales por comisión de servicios sin remuneración o cuando el puesto se encuentra vacante.
Para el ejercicio de funciones en puestos correspondientes al nivel jerárquico superior.
Durante el período de prueba para servidores de nuevo ingreso o ascendidos, con evaluación obligatoria al cabo de tres meses (o seis en caso de ascensos).
Cabe señalar que los nombramientos provisionales señalados en los literales b.1) y b.2) pueden otorgarse tanto a servidores públicos de carrera como a personas externas sin dicha calidad.
Nombramientos de libre nombramiento y remoción y
Nombramientos de período fijo, aplicables según las características del puesto.
Finalmente, se encuentra la contratación por servicios profesionales la cual no establece relación de dependencia. Esta modalidad se utiliza para actividades específicas y determinadas, conforme a la normativa legal vigente.
En este contexto, la contratación del DPD podrá ejecutarse bajo relación de dependencia o mediante contrato de prestación de servicios, conforme a los criterios establecidos por el área de talento humano de cada institución. En todos los casos, se deberá garantizar el cumplimiento de funciones y la independencia de sus funciones de acuerdo con lo mencionado en la normativa de protección de datos personales.
No obstante, existen impedimentos expresamente previstos por la normativa que deben ser observados con rigurosidad al momento de la designación. El artículo 56 del RLOPDP prohíbe que ejerzan funciones como DPD las personas que formen parte de los órganos de administración y control del responsable o encargado del tratamiento, sus socios o accionistas, los cónyuges o parientes cercanos de estos, o quienes mantengan conflictos de intereses con dichas entidades. Estas disposiciones buscan garantizar la independencia, imparcialidad y objetividad del DPD, condición fundamental para el ejercicio eficaz de sus funciones. De manera particular, en el sector público, esta Superintendencia podrá establecer incompatibilidades específicas, a fin de asegurar que el DPD no se encuentre condicionado por jerarquías o intereses institucionales que comprometan su labor. En suma, solo aquellas personas naturales que cumplan con los requisitos formales, así como cuenten con experiencia acreditada y no se encuentren incursas en causales de incompatibilidad, pueden ser legítimamente designadas como DPD en el marco del sistema ecuatoriano de protección de datos personales.
En el sector público, la prohibición de que el DPD forme parte de los órganos de administración y control del responsable o encargado del tratamiento debe entenderse como una garantía esencial para preservar su independencia funcional, integridad y objetividad en el ejercicio de sus atribuciones. Esta restricción, cobra especial relevancia en la administración pública, donde las estructuras jerárquicas y las responsabilidades administrativas pueden generar presiones o interferencias en el desempeño del DPD. Así, estar desvinculado de los órganos que adoptan decisiones operativas, presupuestarias o de supervisión interna como por ejemplo direcciones, subsecretarías, unidades administrativas, comités institucionales de control o de auditoría interna. Esto permite al DPD ejercer su función de asesorar, velar y supervisar el cumplimiento de la normativa sin que exista parcialidad o conflicto de intereses, garantizando en todo momento una independencia y autonomía funcional concreta y real. Esta separación orgánica y funcional también fortalece la percepción de imparcialidad del DPD ante la ciudadanía, lo que resulta indispensable para consolidar la confianza en las instituciones públicas y para asegurar que las recomendaciones y advertencias del DPD no sean desestimadas o ignoradas por razones jerárquicas o institucionales.
Conforme a lo dispuesto en los artículos previamente citados de la LOPDP y del RLOPDP, las funciones del DPD se estructuran en torno a tres verbos rectores: asesorar, velar y supervisar. Esta delimitación funcional implica que el DPD NO es el encargado de ejecutar directamente las obligaciones legales que corresponden al responsable o al encargado del tratamiento de datos, sino que debe guiar, acompañar y verificar que dichas obligaciones se cumplan adecuadamente. En consecuencia, no le corresponde elaborar ni implementar políticas, procedimientos, registros, evaluaciones de impacto, ni ningún otro instrumento de cumplimiento normativo; estas son responsabilidades que recaen exclusivamente sobre los sujetos obligados. La labor del DPD consiste, más bien, en asesorar técnica y jurídicamente sobre la correcta aplicación de la normativa, alertar sobre riesgos, formular observaciones preventivas y supervisar que las medidas adoptadas por el responsable o encargado se ajusten a la ley. Esta separación de funciones es esencial para preservar su objetividad e independencia, evitando que el DPD se convierta en juez de su propia actuación. En esta misma línea, el artículo 48 del RLOPDP refuerza esta función diferenciada al establecer que, si bien el DPD puede realizar otras actividades relacionadas con la protección de datos personales, dichas tareas no deben exigir una preparación ajena a su perfil ni generar conflictos con sus funciones principales. Esto implica que cualquier encargo adicional debe estar subordinado al principio de independencia funcional y no puede tener como efecto la asunción de obligaciones propias del responsable o encargado, pues hacerlo desnaturalizaría el rol del DPD y podría comprometer su imparcialidad y su capacidad para ejercer un control efectivo sobre el cumplimiento normativo. Bajo este mismo argumento el DPD puede ejecutar otras actividades siempre y cuando no afecten a la imparcialidad y correcto desempeño de sus funciones como DPD.
Adicionalmente, la SPDP, emitió la Resolución N° SPDP-SPD-2025-0002-R, donde se aprobó el Plan Regulatorio Institucional del año 2025 donde se incluyó como uno de los proyectos normativos a expedirse en este ejercicio económico, el “Estatuto de los Delegados de Protección de Datos Personales”, el cual a la fecha se encuentra en proceso de revisión de las observaciones emitidas por la ciudadanía durante su proceso de socialización, por lo que aún se encuentra en trámite de aprobación, por lo que a la fecha no es una normativa aplicable. Dicho estatuto busca esclarecer y ampliar varios supuestos que no han sido especificados en la LOPDP ni en el RLOPDP y, que en dichas normativas se ha remitido a la SPDP para que regule dichos temas. En este mismo sentido de ideas, la CRE en su artículo 82 hace referencia al principio a la seguridad jurídica que implica la “…existencia de normas jurídicas previas, claras, públicas y aplicadas por las autoridades competentes.”; y su fundamento es el respeto a la CRE. En concordancia con esto, el Código Orgánico Administrativo (“COA”) en su artículo 22 consagra el principio de seguridad jurídica indicando que las “administraciones públicas actuarán bajo los criterios de certeza y previsibilidad.”; es decir, que el administrado sabrá previamente la forma de actuar coherente de la administración pública a través de las normas que contemplen dichas reglas.
Adicionalmente, la Jueza ponente constitucional, abogada Karla Andrade Quevedo, en su Sentencia N° 2137-21-EP /21 del caso N° 2137-21-EP del 29 de septiembre del 2021, menciona respecto del artículo 82 CRE que “[d]el texto constitucional se desprende que la Constitución garantiza a las personas el derecho de contar con un ordenamiento jurídico previsible, claro, determinado, estable y coherente que le permita tener una noción razonable de las reglas de juego que le serán aplicables…”.1 En concordancia con lo mencionado en el párrafo anterior, el Juez ponente constitucional, abogado Enrique Herrería Bonnet, en su Sentencia N° 54-17-IN/22 del caso N° 54-17-IN del 26 de mayo del 2022, menciona que “[l]a Constitución concibe a la seguridad jurídica como un derecho-prerrogativa que ostentan las personas para exigir el respeto de la norma constitucional a través de la formulación de normas jurídicas previas, claras y públicas, obligando al órgano con potestad normativa a respetar estos requisitos.”.2
En este sentido se ha identificado que el consultante solicita información y plantea varias preguntas sobre el proceso que implementará esta institución pública para verificar el cumplimiento de la obligación relativa a la contratación del Delegado de Protección de Datos Personales, conforme a lo establecido en el numeral 13 del artículo 47 de la LOPDP. Al respecto, me permito indicar que, si bien la obligación del responsable del tratamiento de designar a un Delegado de Protección de Datos Personales está establecida por la LOPDP, el proceso no está condicionado a ninguna circunstancia específica, lo cual no obsta o impide su designación en cumplimiento de la ley vigente, por ello no podemos ofrecer información sobre el mismo. Además, cabe mencionar que la SPDP, como se ha mencionado anteriormente, se encuentra gestionando las acciones necesarias para expedir el “Estatuto de los Delegados de Protección de Datos Personales” el cual aclarará algunas de las dudas de los administrados en caso de que sean de su competencia.
Cabe mencionar que cada institución pública cuenta con una estructura específica y única de acuerdo con sus necesidades y obligaciones normativas, por lo que cada una, de manera independiente, debe analizar su estructura para poder establecer al DPD en el cargo adecuado y correspondiente que cumpla con los requisitos establecidos por la normativa en protección de datos personales y, que en su esencia no haya ningún conflicto de intereses y se garantice su independencia en el actuar del mismo.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio SN del 25 de marzo de 2025, al análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“1.¿Cuál es la figura jurídica adecuada para designar al Delegado de Protección de Datos Personales (DPDP) en una institución del sector público, considerando que el artículo 49 inciso segundo del RGLOPDP únicamente nos indica que lo designa la máxima autoridad?
Con base en el análisis previamente realizado y en concordancia con la normativa citada, esta Autoridad no puede establecer cuál es la figura jurídica adecuada para designar al DPD en vista de que la normativa en protección de datos personales solamente dispone que deberá ser nombrado por la máxima autoridad y, a la fecha no se ha emitido ninguna normativa adicional que regule la designación del mismo. En este sentido, se podrá contratar un DPD siempre que sea designado por la máxima autoridad bajo cualquiera de las modalidades contempladas por la LOSEP siempre y cuando sus funciones no se contrapongan a las obligaciones que debe cumplir ni se encuentre en ninguna de las causales de impedimentos contemplados en la normativa de protección de datos personales.
¿Es necesario que este cargo conste previamente en el orgánico estructural y funcional de la entidad de conformidad con la LOSEP y demás normativa que regula el desempeño de un puesto público, o basta con su designación mediante resolución administrativa por parte de la máxima autoridad institucional que explique una toma de responsabilidad y figura jurídica?
Por el momento esta autoridad no se pronuncia al respecto, toda vez que la pregunta realizada versa sobre normativa inexistente en la actualidad, que no ha sido emitida por esta Autoridad a la fecha. Sin embargo, se aclara que la designación de un DPD al no haber una especificación de formas, a la fecha se considerarán válidas todas las designaciones que cumplan con el requisito establecido por la normativa en protección de datos personales, esto es, que sean designados por la máxima autoridad y que se encuentre bajo una de las formas de contratación establecidas en la LOSEP.
2. ¿Puede un funcionario público asumir simultáneamente el rol de DPDP y otras funciones dentro de la entidad, o se requiere que esta función se ejerza con dedicación exclusiva?
Sí, siempre y cuando pueda ejercer sus funciones como DPD de manera correcta, se cumpla con el principio de independencia de sus funciones, no asuma obligaciones propias del responsable o encargado, no comprometa su imparcialidad y su capacidad para ejercer un control efectivo sobre el cumplimiento normativo.
3. ¿Qué nivel jerárquico o funcional mínimo debe tener el DPDP dentro de una entidad pública para que se asegure su autonomía, autoridad técnica y cumplimiento efectivo de sus responsabilidades según la LOPDP?”
Por el momento esta Autoridad no se pronuncia al respecto, toda vez que la pregunta realizada versa sobre normativa inexistente en la actualidad, que no ha sido emitida por esta entidad a la fecha. Sin embargo, a la fecha, cada institución al tener su propia organización interna deberá evaluar internamente el cargo a otorgarle al DPD para que pueda cumplir con los requisitos normativos previamente analizados, especialmente garantizar la independencia en las funciones de este.
El presente pronunciamiento deberá ser entendido en su integridad, siendo de exclusiva responsabilidad de la persona consultante su aplicación.