Preguntas
“2.3. En este sentido, si una persona que ocupa el cargo de Oficial de cumplimiento, Oficial de Seguridad de la información, es apoderado especial de un responsable o encargado extranjero, realiza actividades que implican el tratamiento de datos, o brinda asesoría en una empresa fue nombrada como Delegado de Protección de Datos Personales, previo a la expedición de la Resolución No. SPDP-SPD-2025-0028-R, ¿puede continuar como Delegado de Protección de Datos Personales de una sociedad conforme lo determina la Disposición Transitoria Primera de la Resolución N° SPDP-SPD-2025-0028-R, ¿sin perjuicio de que el referido delegado se encuentre dentro de las limitaciones y prohibiciones para desarrollar su cargo?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.” (énfasis agregado).
En el artículo 47 de la LOPDP, se señala:
“Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…)” (énfasis agregado).
En el artículo 48 de la LOPDP, se indica:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos: 1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República; 2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales; 3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y, 4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia. La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
En el artículo 49 de la LOPDP, se refiere:
“Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones: 1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales ; 2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales; 3) Asesorar en el análisis de riesgo , evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación; 4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad , con relación a las cuestiones referentes al tratamiento de datos personales; y, 5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales.” (énfasis agregado).
El inciso final del artículo 50 de la LOPDP, manifiesta:
“Consideraciones especiales para el delegado de protección de datos personales.- Para la ejecución de las funciones del delegado de protección de datos, el responsable y el encargado de tratamiento de datos personales, deberán observar lo siguiente: 1) Garantizar que la participación del delegado de protección de datos personales, en todas las cuestiones relativas a la protección de datos personales, sea apropiada y oportuna; 2) Facilitar el acceso a los datos personales de las operaciones de tratamiento, así como todos los recursos y elementos necesarios para garantizar el correcto y libre desempeño de sus funciones; 3) Capacitar y actualizar en la materia al delegado de protección de datos personales, de conformidad con la normativa técnica que emita la Autoridad de Protección de Datos Personales; 4) No podrán destituir o sancionar al delegado de protección de datos personales por el correcto desempeño de sus funciones; 5) El delegado de protección de datos personales mantendrá relación directa con el más alto nivel ejecutivo y de decisión del responsable y con el encargado; 6) El titular de los datos personales podrá contactar al delegado de protección de datos personales con relación al tratamiento de sus datos personales a fin de ejercer sus derechos; y, 7) El delegado de protección de datos personales estará obligado a mantener la más estricta confidencialidad respecto a la ejecución de sus funciones. Siempre que no exista conflicto con las responsabilidades establecidas en la presente Ley, su reglamento, directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales, el delegado de protección, de datos personales podrá desempeñar otras funciones dispuestas por el responsable o el encargado del tratamiento de datos personales.” (énfasis agregado).
En concordancia con lo previamente mencionado, el artículo 48 del RLOPDP establece:
“Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales. Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas. El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado. Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.” (énfasis agregado).
El artículo 50 del RLOPDP dispone:
“Delegado de protección de datos de grupos empresariales.- Los grupos empresariales podrán designar a un único delegado de protección de datos personales, en la medida en que pueda ejecutar sus actividades y sin que esto genere conflicto de intereses.” (énfasis agregado).
Asimismo, el artículo 55 del RLOPDP indica:
“Requisitos para ser delegado.- Sin perjuicio de otros requisitos que establezca la Autoridad de Protección de Datos Personales, para ser delegado de protección de datos personales, se requerirá: 1. Estar en goce de los derechos políticos; 2. Ser mayor de edad; 3. Tener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; y, 4. Acreditar experiencia profesional de por lo menos cinco años.” (énfasis agregado).
El artículo 56 del RLOPDP detalla:
“Impedimento para ser delegado.- Sin perjuicio de otras que defina la Autoridad de Protección de Datos Personales, no podrán ser delegados de protección de datos personales las siguientes personas: 1. Quienes formen parte de los órganos de administración y control del responsable y encargado; 2. Los socios o accionistas del responsable y encargado; 3. Los cónyuges de los administradores, directores o comisarios de la compañía, en caso de haberlos, del responsable y encargado, o sus parientes hasta el cuarto grado de consanguinidad o segundo de afinidad; y, 4. Quienes tengan conflictos de intereses con el responsable y encargado, para lo cual la Autoridad de Protección de Datos Personales emitirá la normativa correspondiente en la que se establecerán los supuestos específicos que darían lugar a dicho conflicto de intereses. Tratándose de las instituciones del sector público, la Autoridad de Protección de Datos Personales definirá las incompatibilidades para ser delegado de protección de datos personales para cada caso en particular.” (énfasis agregado).
También tomando en consideración la Resolución SPDP-SPD-2025-0028-R su artículo 3 precisa:
“El delegado deberá ser designado por quien tuviere la calidad de responsable o, según corresponda, por quien tuviere el rol de encargado del tratamiento, esto es: 3.1. Por la persona natural, ya sea por sí misma o ya fuere representada por un apoderado especial; 3.2. Por la persona jurídica de derecho privado, a través de su representante legal o apoderado debidamente autorizado; o, 3.3. Por la persona jurídica de derecho público, autoridad pública u otro organismo, representada por la máxima autoridad que ejerciere la representación legal. En este reglamento el responsable o el encargado podrán ser también aludidos, de manera indistinta, como “organización”.”
Igualmente, el artículo 12 de la Resolución SPDP-SPD-2025-0028-R señala:
“Incluso si prestare sus servicios bajo relación de dependencia, el delegado deberá mantener total independencia e imparcialidad en el ejercicio de sus funciones. No obstante, los responsables o los encargados del tratamiento podrán contar con el servicio de delegados mediante la suscripción de contratos de prestación de servicios técnicos especializados, así como contratar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales con personas jurídicas de derecho privado domiciliadas en la República del Ecuador” (énfasis agregado).
El artículo 16 de la Resolución SPDP-SPD-2025-0028-R establece:
“Art. 16.- Además de los impedimentos establecidos en el RGLOPDP, no podrán ser nombrados o designados como delegados: 16.1. Las mismas personas que estuvieren designadas como oficiales de seguridad de la información dentro de la organización; 16.2. Las mismas personas que fueren oficiales de cumplimiento dentro de la organización; 16.3. Los apoderados especiales de responsables, conjuntos o no, y de encargados extranjeros que realizaren actividades de tratamiento de datos personales en la República del Ecuador; y, 16.4. Las personas que ejercieren cargos del nivel jerárquico superior en el sector público” (énfasis agregado).
Adicional el artículo 18 de la Resolución No. SPDP-SPD-2025-0028-R determina:
Conflicto de interés: Art. 18.- Habrá conflicto de interés si el delegado designado o que estuviere ya en ejercicio del cargo: 18.1. Ejecutare una o varias actividades de tratamiento de datos personales, o si participare en el desarrollo de su ejecución de forma ocasional o permanente; 18.2. Ejerciere acciones de asesoría que, ajenas a sus funciones como delegado, tuvieren por objetivo salvaguardar los intereses de la organización; y, 18.3. Tomare decisiones sobre la organización, sus actividades o sus gestiones internas.” (énfasis agregado).
De igual manera, el artículo 2 de la Resolución No. SPDP-SPD-2025-0002-R comprende lo siguiente:
“Art. 2.- Designación de apoderado especial.- Los sujetos regulados deberán tener en el territorio, de manera permanente, un apoderado especial con amplias y suficientes facultades para comparecer, a nombre de sus representados, ante instancias administrativas y judiciales en materia de protección de datos personales; y, de manera señalada aunque no exclusiva, para atender y tramitar o, en su caso, para colaborar en el cumplimiento de la obligación de atender y tramitar las peticiones o quejas que presenten los titulares en ejercicio de los derechos que la LOPDP les confiere. Las facultades del apoderado especial no podrán estar sujetas a limitaciones o condiciones de ninguna clase que pudieren servir para menoscabar, entorpecer, dilatar, conculcar o que, de cualquier otra manera, se presten para tornar ineficaces los derechos de los titulares. En el texto del poder los responsables extranjeros harán constar, además de sus denominaciones o razones sociales, las marcas o nombres comerciales que utilizan para distinguir sus productos o servicios en el mercado, y que son los que comúnmente el público o los titulares usan para identificarlos. En el caso de los encargados extranjeros, además de sus denominaciones o razones sociales, harán constar las de los responsables a nombre de quienes y por cuya cuenta tratan datos personales (…).” (énfasis agregado).
En el artículo 3 de la Resolución No. SPDP-SPD-2025-0002-R enuncia:
“Requisitos para ser apoderado especial.- La designación del apoderado especial podrá recaer en una persona natural o en una persona jurídica que tenga la calidad de sociedad mercantil activa, establecida o domiciliada en el Ecuador. Si fuere una persona natural, será ecuatoriana domiciliada en el Ecuador; más si fuere extranjera, deberá tener en el territorio la calidad de residente. En uno y otro caso, la persona designada deberá hallarse en goce de sus derechos políticos. Si fuere una persona jurídica, su objeto social deberá permitirle obrar como mandataria. La SPDP podrá requerirle información a la Superintendencia de Compañías, Valores y Seguros para verificar el cumplimiento de este requisito, así como el hecho de que la sociedad se encuentre al día en el cumplimiento de sus obligaciones y que el nombramiento de su respectivo representante legal se halle vigente.” (énfasis agregado).
El Reglamento de la Ley Orgánica de Prevención de Lavado de Activos y del Financiamiento de Delitos (“RLOPCAYFD”) en su artículo 13 dispone que:
“Del Oficial de Cumplimiento.- Es la persona natural idónea, designada por el sujeto obligado, que tiene la responsabilidad de vigilar la adecuada implementación y funcionamiento del Sistema de Prevención de Riegos. Para ser oficial de cumplimiento titular, y suplente (en caso de ser exigido), deberá aprobar la capacitación impartida por la UAFE, para posteriormente a través del sujeto obligado, solicitar al respectivo organismo de control su calificación. Calificado el oficial de cumplimiento, el sujeto obligado en el término de cinco (5) días realizará el procedimiento de registro ante la UAFE. El sujeto obligado, el representante legal o apoderado de la persona jurídica, en caso de serlo, será el responsable de la información consignada en el formulario de registro. Los oficiales de cumplimiento deberán cumplir con los requisitos que su respectivo órgano de control establezca para su calificación. Los oficiales de cumplimiento de los sujetos obligados que no cuenten con organismo de control, deberán acogerse a lo dispuesto por la Unidad de Análisis Financiero y Económico (UAFE). Para el registro se consignará también la siguiente información: a) Dirección de correos electrónicos (corporativo y personal). b) Números de teléfono convencional con su respectiva extensión y celular. c) Dirección del domicilio del sujeto obligado. Los grupos empresariales podrán designar a un mismo oficial de cumplimiento titular y/o suplente en las compañías que formen parte del mismo, para el efecto el organismo de control deberá establecer los parámetros de idoneidad para la designación y calificación del oficial de cumplimiento; y, posteriormente el sujeto obligado remitirá el documento de calificación a la UAFE para su registro correspondiente. En caso de que existieran otros grupos que no posean organismo de control específico, la UAFE determinará los parámetros a seguir. Cuando se haya producido un cambio del oficial de cumplimiento titular y/o suplente, deberán actualizar inmediatamente la información indicada en el cuarto inciso del presente artículo en el Sistema para la Prevención de Lavado de Activos y Financiamiento de Delitos. Las personas naturales obligadas a informar de conformidad con el Artículo 5 de la Ley deberán contar con un sistema de prevención de riesgos diseñados y acorde a la estructura de su negocio.” (énfasis agregado).
Además, en el artículo 15 del RLOPCAYFD indica:
“De las funciones del Oficial de Cumplimiento.- Son funciones del oficial de cumplimiento: a. Realizar los controles correspondientes sobre las operaciones y transacciones que igualen o superen el umbral legal. Estos controles constituyen uno de los insumos para la detección y reporte de operaciones inusuales e injustificadas; b. Remitir dentro del plazo legal fijado para el efecto, los reportes previstos en el Artículo 4 de la Ley; c. Presentar sus reportes mediante el formulario fijado para el efecto, conforme a la estructura establecida en los manuales emitidos por la Unidad de Análisis Financiero y Económico (UAFE); d. Cooperar con la Unidad de Análisis Financiero y Económico (UAFE), en la entrega oportuna de la información adicional que ésta solicite, de conformidad con el término establecido en la Ley. La negativa o retraso en la entrega de la información, dará lugar al inicio de las acciones administrativas y legales que correspondan; e. Comunicar en forma permanente al personal del sujeto obligado, acerca de la estricta reserva que deben mantener en relación a los requerimientos de información realizados por la Unidad de Análisis Financiero y Económico (UAFE), de conformidad con lo previsto en la Ley; f. Registrar en la Unidad de Análisis Financiero y Económico (UAFE), la capacitación recibida en el año anterior; g. Planificar y coordinar la capacitación para el personal del sujeto obligado, así como liderar la expedición de manuales, políticas y procedimientos internos en materia de prevención y detección de lavado de activos; h. Implementar y ejecutar una metodología de administración de riesgos de lavado de activos y financiamiento de delitos para mitigar la exposición al riesgo del sujeto obligado; i. Elaborar el Manual de Prevención de Lavado de Activos y del Financiamiento de Delitos, así como políticas y procedimientos internos en materia de prevención y detección de lavado de activos, y verificar su cumplimiento; j. Ejecutar los controles establecidos en el Manual de Prevención de Lavado de Activos y Financiamiento de Delitos y realizar un monitoreo periódico de perfiles de clientes y usuarios así como también de las operaciones y transacciones llevadas a cabo; k. Registrar en el sistema de reportes dentro del plazo establecido en la letra c) del Art. 4 de la Ley, la no existencias de transacciones y operaciones que igualen o superen el umbral legal; y, l. Otros que determine el organismo de control correspondiente.”
También en el artículo 6 del Esquema Gubernamental de Seguridad de la Información (“EGSI”), se explica lo siguiente:
“Art. 6.- La máxima autoridad designará al interior de la Institución, un Comité de Seguridad de la Información (CSI), que estará integrado por los responsables de las siguientes áreas o quienes hagan sus veces: Planificación quien lo presidirá, Talento Humano, Administrativa, Comunicación Social, Tecnologías de la Información, Jurídica y el Delegado de protección de datos. El Oficial de Seguridad de la Información asistirá a las reuniones del comité de seguridad de la información con voz, pero sin voto. Los representantes de los procesos Agregadores de Valor asistirán a las reuniones del comité, cuando se trate información propia de su gestión. Las instituciones del sector público que no cumplan con estas características deberán identificar el modelo que corresponda a la institución en la conformación del comité de seguridad de la información, con al menos tres integrantes garantizando su funcionalidad.”
Adicionalmente, el artículo 9 del EGSI, establece:
Art. 9.- El Oficial de Seguridad de la Información tendrá las siguientes responsabilidades:
1. Identificar y conocer la estructura organizacional de la institución.
2. Identificar las personas o instituciones públicas o privadas, que de alguna forma influyen o impactan en la implementación del EGSI
3. Implementar y actualizar del Esquema Gubernamental de Seguridad de la Información EGSI en su institución.
4. Elaborar y coordinar con las áreas respectivas las propuestas para la elaboración de la documentación esencial del Esquema Gubernamental de Seguridad de la Información (EGSI).
5. Elaborar, asesorar y coordinar con los funcionarios, la ejecución del Estudio de Gestión de Riesgos de Seguridad de la Información en las diferentes áreas.
6. Elaborar y coordinar el Plan de concienciación en Seguridad de la Información basado en el Esquema Gubernamental de Seguridad de la Información (EGSI), con las áreas involucradas que intervienen y en coordinación con el área de comunicación institucional.
7. Fomentar la cultura de seguridad de la información en la institución, en coordinación con las áreas respectivas.
8. Elaborar el plan de seguimiento y control de la implementación de las medidas de mejora o acciones correctivas, y coordinar su ejecución con las áreas responsables.
9. Coordinar la elaboración de un Plan de Recuperación de Desastres (DRP), con el área de TI y las áreas clave involucradas, para garantizar la continuidad de las operaciones institucionales ante una interrupción.
10. Elaborar el procedimiento o plan de respuesta para el manejo de los incidentes de seguridad de la información presentados al interior de la institución.
11. Coordinar la gestión de incidentes de seguridad de la información con nivel de impacto alto y que no pudieran ser resueltos en la institución, a través del Centro de Respuestas a Incidentes Informáticos (CSIRT) sectorial y/o nacional.
12. Coordinar la realización periódica de revisiones internas al Esquema Gubernamental de Seguridad de la Información – (EGSI), así como, dar seguimiento en corto plazo a las recomendaciones que hayan resultado de cada revisión.
13. Mantener toda la documentación generada durante la implementación, seguimiento y mejora continua del EGSI, debidamente organizada y consolidada, tanto políticas, controles, registros y otros.
14. Coordinar con las diferentes áreas que forman parte de la implementación del Esquema Gubernamental de Seguridad de la Información, la verificación, monitoreo y el control del cumplimiento de las normas, procedimientos políticas y controles de seguridad institucionales establecidos de acuerdo a las responsabilidades de cada área.
15. Informar al Comité de Seguridad de la Información, el avance de la implementación del Esquema Gubernamental de Seguridad de la Información y mejora continua (EGSI), así como las alertas que impidan su implementación.
16. Previa la terminación de sus funciones el Oficial de Seguridad de la información realizará la entrega recepción de la documentación generada al nuevo Oficial de Seguridad de la información, y de la transferencia de conocimientos propios de la institución adquiridos durante su gestión, en caso de ausencia, al Comité de Seguridad de la Información; procedimiento que será constatado por la unidad de talento humano, previo el cambio y/o salida del oficial de seguridad de la información.
17. Administrar y mantener el EGSI mediante la definición de estrategias políticas normas y controles de seguridad, siendo responsable del cumplimiento el propietario de la información del proceso.
18. Actuar como punto de contacto del Ministerio de Telecomunicaciones y de la Sociedad de la Información.
De igual manera, en el Anexo A de la guía del EGSI, manifiesta:
“Oficial de Seguridad de la Información (OSI) La máxima autoridad designará al interior de su Institución a un funcionario como Oficial de Seguridad de la Información (OSI), será: El responsable de la implementación y mejora continua del EGSI, así como el de coordinar las acciones del Comité de Seguridad de la Información en relación a la implementación y cumplimiento del Esquema Gubernamental de Seguridad de la Información.”
En concordancia con la normativa previamente referida, se establece que toda persona designada como DPD debe cumplir con los requisitos exigidos por la LOPDP, su Reglamento General y demás normativa emitida por la SPDP, en este caso la Resolución No. SPDP-SPD-2025-0028-R instrumento que regula de manera específica el perfil, funciones, requisitos, impedimentos y prohibiciones aplicables al DPD. Con base en la normativa previamente referida, resulta fundamental analizar cada una de las figuras mencionadas en la consulta, las cuales son: oficial de cumplimiento, oficial de seguridad de la información y apoderado especial, a fin de abordar el requerimiento de manera específica.
Es así que, en primer lugar y con base en la normativa previamente citada, se entiende al Oficial de Cumplimiento (“OC”) como la persona designada por la alta dirección o el órgano competente de una entidad para diseñar, implementar y supervisar el sistema de cumplimiento normativo, incluyendo, cuando corresponda, los programas de prevención de lavado de activos, financiamiento del terrorismo y demás delitos conexos. Entre sus atribuciones se encuentran la elaboración y actualización de políticas y procedimientos, la ejecución de evaluaciones y matrices de riesgo, la coordinación de reportes internos y externos, incluidos los informes de operaciones sospechosas dirigidos a la autoridad competente, la capacitación del personal y la interlocución directa con organismos de supervisión. Para el ejercicio de sus funciones, debe contar con autonomía funcional, acceso irrestricto a todas las áreas de la entidad, confidencialidad respecto de la información que gestiona y cumplir con los requisitos de idoneidad y formación establecidos en la normativa aplicable.
En segundo lugar, el Oficial de Seguridad de la Información (“OSI”) es el responsable de definir, implementar y mantener las medidas técnicas y organizativas destinadas a preservar la confidencialidad, integridad y disponibilidad de la información institucional. Entre sus funciones se encuentran la gestión de riesgos asociados a la seguridad de la información, el diseño de políticas y controles, incluidos los planes de respuesta ante incidentes y de recuperación ante desastres, la capacitación del personal en prácticas seguras y la articulación con equipos especializados y autoridades sectoriales competentes. Este cargo suele estar subordinado a la alta dirección o a la gerencia de tecnologías de la información, y exige garantizar la custodia adecuada de los activos informáticos, la continuidad operativa de servicios críticos y el cumplimiento de estándares internacionales y marcos normativos aplicables.
Jerárquicamente, el Oficial de Seguridad de la Información mantiene una relación funcional con áreas estratégicas como tecnología, gestión de riesgos, cumplimiento normativo y protección de datos personales, con las cuales debe coordinar acciones integradas. Aunque su enfoque es eminentemente técnico-operativo, debe comprender el entorno regulatorio y los objetivos institucionales para priorizar riesgos de manera efectiva y asegurar la resiliencia organizacional. Asimismo, le corresponde custodiar la documentación del sistema de gestión de seguridad, garantizar la implementación de controles de acceso y trazabilidad, y coordinar auditorías y revisiones periódicas orientadas a la mejora continua del sistema. Finalmente, el apoderado especial es la persona natural o jurídica designada expresamente por el responsable o encargado del tratamiento para representar a los mismos y sus intereses en asuntos específicos, particularmente en lo relativo al cumplimiento de obligaciones dentro del Ecuador cuando el responsable o encargado del tratamiento no se encuentren domiciliados en el país.
El poder conferido debe contener facultades suficientes para comparecer ante autoridades, atender requerimientos, responder a peticiones o quejas formuladas por los titulares, y acreditar la representación del sujeto regulado, incluyendo información de contacto oficial. Ahora bien, una vez establecidas las funciones de cada una de las figuras aludidas, es menester analizar lo establecido en la disposición Transitoria Primera de la Resolución No. SPDP-SPD-2025-0028-R, la cual establece que “(…) Se considerarán como válidos, y serán registrados, los nombramientos de delegados otorgados o emitidos con anterioridad a la vigencia de este reglamento, siempre y cuando las designaciones se hubiesen realizado de acuerdo con lo establecido en el artículo 3.”
En este sentido, se entiende que todos las designaciones y nombramientos de DPD realizados por el representante legal del responsable o encargado del tratamiento o, la máxima autoridad de una institución pública, son válidos y pueden registrarse siempre y cuando cumplan con los requisitos establecidos por la LOPDP y su RLOPDP los cuales ya eran vigentes desde el 2021 y 2023 respectivamente. Cabe recalcar que en dicha disposición transitoria se hace una excepción a los nombramientos y designaciones realizadas anteriormente pero no se hace referencia a ninguna otra excepción respecto a las disposiciones de la misma ley y el mismo reglamento vigentes con anterioridad, esto es no se excepciona ninguna prohibición establecidos en la Resolución No. SPDP-SPD-2025-0028-R.
Adicionalmente, la Disposición Transitoria Tercera de la Resolución No. SPDP-SPD2025-0028-R dispone que las instituciones del sector privado deberán realizar la inscripción de sus respectivos DPD entre el 1 de noviembre y el 31 de diciembre de 2025, en cumplimiento con la obligación de inscripción de estos ante la SPDP, la cual se encuentra prevista en el artículo 5 de la mencionada resolución. Cabe mencionar que al haberse dado un plazo específico para que se pueda cumplir con lo dispuesto en el referido texto normativo, por lo que en dicha inscripción se debe designar a un DPD de conformidad con las características establecidas por la LOPDP, el RLOPDP y la resolución previamente menciona debido a que ya se encuentra vigente. Una vez esclarecido lo que menciona la Resolución No. SPDP-SPD-2025-0028-R, es necesario recalcar el artículo 55 y 56 del RLOPDP los cuales establecen los requisitos de ser DPD y las causales de impedimento para el mismo.
Es así como el artículo 55 menciona que del DPD debe: “(…)
1. Estar en goce de los derechos políticos;
2. Ser mayor de edad;
3. Tener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; y,
4. Acreditar experiencia profesional de por lo menos cinco años.”
Y, además, no podrá incurrir en ninguna de las siguientes causales de impedimento: “(…)
1. Quienes formen parte de los órganos de administración y control del responsable y encargado;
2. Los socios o accionistas del responsable y encargado;
3. Los cónyuges de los administradores, directores o comisarios de la compañía, en caso de haberlos, del responsable y encargado, o sus parientes hasta el cuarto grado de consanguinidad o segundo de afinidad; y,
4. Quienes tengan conflictos de intereses con el responsable y encargado, para lo cual la Autoridad de Protección de Datos Personales emitirá la normativa correspondiente en la que se establecerán los supuestos específicos que darían lugar a dicho conflicto de intereses. (…)”.
En este sentido, es menester subsumir cada una de las figuras a los artículos previamente citados. Por lo tanto, en cuanto a la posibilidad de designación como DPD a una persona natural que haya sido designada también como OC, y suponiendo que cumple con los requisitos del artículo 55 del RLOPDP, el artículo 56 del mismo reglamento establece expresamente que no podrán ser delegados quienes formen parte de los órganos de administración y control del responsable o encargado del tratamiento.
El oficial de cumplimiento, por la naturaleza de sus funciones, integra precisamente ese ámbito de control interno, ya que su rol es supervisar, verificar y asegurar el cumplimiento normativo dentro de la organización. Esto lo ubica funcionalmente dentro de la estructura de control y supervisión interna, lo que generaría un conflicto de intereses con las funciones del DPD, quien debe actuar con autonomía e independencia frente a la administración y control interno. Es así que, el oficial de cumplimiento se considera parte del órgano de control del responsable o encargado del tratamiento, y por tanto, no puede ejercer simultáneamente el rol de DPD, conforme al principio de independencia funcional que exige la LOPDP.
Respecto a la posibilidad de designar al OSI como DPD, este no puede ejercer simultáneamente el cargo de delegado de protección de datos personales, en virtud de que sus funciones lo integran directamente al órgano de control del responsable o encargado del tratamiento, configurando un evidente conflicto de intereses.
El artículo 9 del EGSI establece que dicho funcionario es responsable de implementar, coordinar, verificar y controlar el cumplimiento de políticas, normas y procedimientos de seguridad de la información dentro de la institución, así como de dirigir revisiones internas y reportar los resultados al Comité de Seguridad de la Información. Estas atribuciones evidencian que el OSI actúa en el ámbito del control y supervisión institucional, mientras que el DPD debe ejercer sus funciones con autonomía e independencia frente a dichos órganos, conforme lo dispone la Ley Orgánica de Protección de Datos Personales.
Adicionalmente, el delegado de protección de datos personales tiene la obligación legal de asesorar y supervisar el tratamiento de datos personales, incluyendo la evaluación de las medidas de seguridad aplicadas al sistema de información, las cuales se encuentran directamente vinculadas al ámbito de actuación del OSI.
En consecuencia, la coincidencia de ambos cargos en una misma persona resulta incompatible, pues implicaría que quien implementa las medidas de seguridad sea al mismo tiempo quien las evalúe y supervise, generando una situación de auto supervisión contraria al principio de independencia funcional exigido por la LOPDP y los estándares internacionales de gobernanza en materia de privacidad y seguridad de la información.
Por tanto, el ejercicio de ambos cargos en una misma persona resulta incompatible, pues afectaría la objetividad, imparcialidad y separación de funciones exigidas para la adecuada garantía de los derechos de los titulares de datos personales, por lo que incurriría en el numeral 1 y 4 del artículo 56 del RLOPDP.
Finalmente, respecto a la posibilidad de designar como DPDP al apoderado especial esta es claramente incompatible con el artículo 56 debido a que si una persona natural ser nombrada como apoderado especial de un responsable o encargado no domiciliado en Ecuador, éste actúa en representación del mismo, por lo que incurriría en el impedimento del numeral 1 del artículo 56 del RLOPDP, ya que no solamente vendría a ser el órgano de control sino que sería el mismo responsable o encargado del tratamiento, teniendo esta persona total control y poder sobre las decisiones y, por ende, no habría ningún tipo de imparcialidad. Permitir dicha acumulación de funciones implicaría que una misma persona sea juez y parte dentro del proceso de cumplimiento normativo, lo que anularía la objetividad e imparcialidad requeridas para la supervisión y asesoría técnica en materia de protección de datos. Por tanto, el apoderado especial no puede ser designado como DPD, ya que su posición de representación jurídica y su vínculo de dependencia directa con el responsable o encargado del tratamiento generan un conflicto estructural de intereses que vulnera la finalidad y naturaleza del rol del delegado.
Habiéndose analizado las tres figuras planteadas, se concluye que ninguno de los supuestos puede considerarse válido para efectos de nombramiento o designación, en tanto todos incurren en los impedimentos previstos en el artículo 56 del RLOPDP. En consecuencia, si una persona que ejerce o se desempeña en alguno de los cargos mencionados fue designada como DPD antes de la entrada en vigor de la Resolución No. SPDP-SPD-2025-0028-R, dicha designación se considerará inválida y contraria a la LOPDP, al RLOPDP y a la mencionada Resolución.
En ese sentido, la Disposición Transitoria Primera de la Resolución No. SPDP-SPD2025-0028-R, objeto de la presente consulta, no genera excepción alguna ni ampara la validez de las designaciones correspondientes a las tres figuras previamente analizadas, al no ser compatibles con lo dispuesto en la normativa vigente. Por tanto, y en observancia de la Disposición Transitoria Tercera, se recomienda subsanar las designaciones o nombramientos que contravengan lo establecido en los artículos 55 y/o 56 del RLOPDP, así como en la citada Resolución, dentro del plazo previsto para el registro de Delegados de Protección de Datos Personales del sector privado, comprendido entre el 1 de noviembre y el 31 de diciembre de 2025.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio s/n el 8 de agosto de 2025, y debidamente subsanada el 28 de agosto de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente: “Si una persona que ocupa el cargo de Oficial de Cumplimiento, Oficial de seguridad de la información, es apoderado especial de un responsable o encargado extranjero, realiza actividades que implican el tratamiento de datos o brinda asesoría en una empresa fue nombrada como Delegado de Protección de Datos Personales, previo a la expedición de la Resolución No. SPDP-SPD2025-0028-R ¿Puede continuar como Delegado de Protección de Datos Personales de una sociedad conforme lo determina la Disposición Transitoria Primera de la Resolución No. SPDP-SPD-2025-0028-R, sin perjuicio de que el referido delegado se encuentre dentro de las limitaciones y prohibiciones para desarrollar su cargo?”
De acuerdo con el análisis realizado, se evidencia que las funciones desempeñadas por el oficial de cumplimiento, el oficial de seguridad de la información y el apoderado especial se encuentran comprendidas dentro de las causales de impedimento previstas en el artículo 56 del Reglamento a la Ley Orgánica de Protección de Datos Personales. En consecuencia, su designación como Delegados de Protección de Datos Personales resulta contraria tanto a la LOPDP como al propio RLOPDP, independientemente de que dicha designación se haya producido antes o después de la expedición de la Resolución No. SPDP-SPD-2025-0028-R.
Por lo tanto, ninguna persona natural que ejerza alguna de las funciones mencionadas puede continuar desempeñándose como delegado de protección de datos personales. Además, al encontrarse estos cargos comprendidos en los impedimentos establecidos por el RLOPDP, norma vigente desde el año 2023, no les resulta aplicable la disposición transitoria primera de la citada resolución, al no cumplirse las condiciones excepcionales allí previstas.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.