Preguntas
1. ¿El requisito previsto en el artículo 11 de la Resolución N.º SPDP-SPD-2025-0028-R, esto es, aprobar obligatoriamente el Programa Profesionalizante de Delegados de Protección de Datos Personales aplica también a profesionales que ya cuentan con maestrías, posgrados o certificaciones nacionales o internacionales en protección de datos personales reconocidos por la SENESCYT?, De ser así ¿tales acreditaciones podrían ser consideradas equivalentes a efectos de cumplir con dicho requisito?
2. ¿La acreditación de “experiencia profesional de al menos cinco años” se refiere exclusivamente a experiencia en materia de protección de datos personales o comprende la experiencia profesional general en las áreas habilitadas por la norma (Derecho, Sistemas de Información, Comunicación o Tecnologías)?
3. ¿El requisito previsto en el artículo 11 de la Resolución N.º SPDP-SPD-2025-0028-R, relativo a la obligación de aprobar el Programa Profesionalizante de Delegados de Protección de Datos, resulta igualmente exigible al Delegado de Protección de Datos Internacional (DPD Internacional, no residente en Ecuador), o pueden considerarse equivalentes, para efectos de esta obligación, las certificaciones, títulos universitarios, posgrados o maestrías internacionales en protección de datos personales reconocidos por la SENESCYT?
4. ¿Los responsables o encargados del tratamiento que han designado a un Delegado de Protección de Datos Internacional (no residente en Ecuador) están sujetos al mismo plazo de registro del nombramiento previsto en la Disposición Transitoria Tercera de la Resolución N.º SPDP-SPD-2025-0028-R?
5. ¿En los casos en que se ha designado a un Delegado de Protección de Datos Internacional, el registro del nombramiento, exigido en la Disposición Transitoria Tercera, debe ser realizado exclusivamente por el apoderado especial domiciliado en Ecuador, o también puede el propio responsable, encargado o delegado extranjero efectuar dicho registro de manera directa y virtual a través del portal institucional de la SPDP?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R, y en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales mediante lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
Asimismo, el artículo 226 de la CRE determina:
“Art. 226.- Las instituciones del Estado, sus organismos, dependencias, las servidoras o servidores públicos y las personas que actúen en virtud de una potestad estatal ejercerán solamente las competencias y facultades que les sean atribuidas en la Constitución y la ley.” (énfasis agregado).
El artículo 4 de la LOPDP dispone lo siguiente:
“Art. 4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Autoridad de Protección de Datos Personales: Autoridad pública independiente encargada de supervisar la aplicación de la presente Ley, reglamento y resoluciones que ella dicte, con el fin de proteger los derechos y libertades fundamentales de las personas naturales, en cuanto al tratamiento de sus datos personales(…)
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.” (énfasis agregado).
El artículo 23 de la LOPDP dispone lo siguiente:
“Art. 23. Derecho a la educación digital.- Las personas tienen derecho al acceso y disponibilidad del conocimiento, aprendizaje, preparación, estudio, formación, capacitación, enseñanza e instrucción relacionados con el uso y manejo adecuado, sano, constructivo, seguro y responsable de las tecnologías de la información y comunicación, en estricto apego a la dignidad e integridad humana; los derechos fundamentales y libertades individuales con especial énfasis en la intimidad, la vida privada, autodeterminación informativa, identidad y reputación en línea, ciudadanía digital y el derecho a la protección de datos personales, así como promover una cultura sensibilizada en el derecho de protección de datos personales.
El derecho a la educación digital tendrá un carácter inclusivo sobre todo en lo que respecta a las personas con necesidades educativas especiales.
El sistema educativo nacional, incluyendo el sistema de educación superior, garantizará la educación digital no solo a favor de los estudiantes de todos los niveles sino también de los docentes, debiendo incluir dicha temática en su proceso de formación.” (énfasis agregado).
El numeral 13 del artículo 47 de la LOPDP, en su parte pertinente insta lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:(…)
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda; (…)” (énfasis agregado).
El artículo 48 de la LOPDP prevé lo siguiente:
“Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un Delegado de Protección de Datos Personales y emitirá, a dicho efecto, las directrices suficientes para su designación” (énfasis agregado).
El numeral 3 del artículo 50 de la LOPDP dispone lo siguiente:
“Art. 50.- Consideraciones especiales para el delegado de protección de datos personales.- Para la ejecución de las funciones del delegado de protección de datos, el responsable y el encargado de tratamiento de datos personales, deberán observar lo siguiente:(…)
3) Capacitar y actualizar en la materia al delegado de protección de datos personales, de conformidad con la normativa técnica que emita la Autoridad de Protección de Datos Personales; (…)” (énfasis agregado).
El numeral 5 del artículo 76 de la LOPDP señala:
“Art. 76.- Funciones atribuciones y facultades.- La Autoridad de Protección de Datos Personales es el órgano de control y vigilancia encargado de garantizar a todos los ciudadanos la protección de sus datos personales, y de realizar todas las acciones necesarias para que se respeten los principios, derechos, garantías y procedimientos previstos en la presente Ley y en su reglamento de aplicación, para lo cual le corresponde las siguientes funciones, atribuciones y facultades: (…)
5) Emitir normativa general o técnica, criterios y demás actos que sean necesarios para el ejercicio de sus competencias y la garantía del ejercicio del derecho a la protección de datos personales”. (énfasis agregado).
El artículo 48 del RLOPDP, expone que:
“Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado”. (énfasis agregado).
En concordancia, el artículo 55 del RLOPDP establece lo siguiente:
“Art. 55.- Requisitos para ser delegado.- Sin perjuicio de otros requisitos que establezca la Autoridad de Protección de Datos Personales, para ser delegado de protección de datos personales, se requerirá:
1. Estar en goce de los derechos políticos;
2. Ser mayor de edad;
3. Tener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; y,
4. Acreditar experiencia profesional de por lo menos cinco años.” (énfasis agregado).
La Disposición Transitoria Segunda del RLOPDP, establece lo siguiente:
“SEGUNDA.- En el plazo máximo de un (1) año, contado a partir de la fecha de implementación y funcionamiento de la Superintendencia de Protección de Datos Personales, esta coordinará y llevará a cabo capacitaciones técnicas y cursos de formación dirigidos al público en general, orientados a promover el ejercicio del derecho a la protección de datos personales y a la profesionalización de los delegados de protección de datos personales. Para tal efecto, podrá celebrar alianzas con instituciones de educación superior con experiencia en la materia, así como con organizaciones especializadas que promuevan la protección de datos personales.” (énfasis agregado).
En cumplimiento de la Disposición Transitoria Segunda, la SPDP emitió la Resolución N° SPDP-SPD-2025-0004-R, el 29 de abril del 2025 y publicada en Registro Oficial N° 42 de 20 de mayo del 2025, donde se aprobó el Reglamento del Programa Profesionalizante de Delegados de Protección de Datos Personales la cual en su artículo 1 instituye que:
“Art. 1.- Aprobar el Reglamento del Programa Profesionalizante de Delegados de Protección de Datos Personales, a fin de garantizar que los profesionales que fueren o se encontraren ya designados por los responsables y encargados del tratamiento, ejecuten las funciones establecidas en la LOPDP de manera proactiva y adecuada en cautela a los principios, derechos y obligaciones establecidos en el ordenamiento jurídico vigente.” (énfasis agregado).
El artículo 2 ídem, dispone que:
“Art. 2.- Los delegados de protección de datos personales, para cumplir las funciones que les asigna la LOPDP, deberán contar con cualificaciones en derecho, sistemas y en tecnologías de la información y comunicación, en aras de garantizar la tutela del derecho a la protección de datos personales”. (énfasis agregado).
En este sentido la Resolución N° SPDP-SPD-2025-0028-R, expedida el 30 de julio del 2025 y publicada en Registro Oficial N° 105 de 19 de agosto del 2025, que aprueba el Reglamento del Delegado de Protección de Datos Personales, en su artículo 3 precisa:
“Art. 3.- El delegado deberá ser designado por quien tuviere la calidad de responsable o, según corresponda, por quien tuviere el rol de encargado del tratamiento, esto es:
3.1. Por la persona natural, ya sea por sí misma o ya fuere representada por un apoderado especial;
3.2. Por la persona jurídica de derecho privado, a través de su representante legal o apoderado debidamente autorizado; o,
3.3. Por la persona jurídica de derecho público, autoridad pública u otro organismo, representada por la máxima autoridad que ejerciere la representación legal.
En este reglamento el responsable o el encargado podrán ser también aludidos, de manera indistinta, como “organización”.” (énfasis agregado).
El artículo 11 de la Resolución N° SPDP-SPD-2025-0028-R, prevé que:
“Art. 11.- El delegado, además de los requisitos establecidos en el RGLOPDP, para desempeñar sus funciones deberá cumplir y aprobar, en forma obligatoria, el contenido mínimo de formación del Programa Profesionalizante de Delegados de Protección de Datos oficializado por la SPDP.” (énfasis agregado).
La Disposición Reformatoria Primera de la Resolución N° SPDP-SPD-2025-0028-R, prescribe lo siguiente:
“Primera.- En la resolución N° SPDP-SPD-2025-0004-R publicada en Registro Oficial N° 42 del 20 de mayo del 2025, mediante la cual se aprobó el Reglamento del Programa Profesionalizante de Delegados de Protección de Datos Personales, agréguense los siguientes artículos a continuación del artículo 3: (…)
Art. 5.- La IRD, en representación de la SPDP y en ejercicio de sus funciones y competencias, mediante acto administrativo, una vez cumplidos los requisitos establecidos y previo informe técnico favorable emitido para el efecto,
5.1. Autorizará la propuesta de programa profesionalizante de delegados de protección de datos personales presentada por la institución de educación, una vez que se hubiere acreditado la implementación los contenidos del Anexo I; y,
5.2. Otorgará, para dicho programa, el reconocimiento institucional oficial de la Superintendencia de Protección de Datos Personales. (…)
Art. 7.- Las instituciones de educación superior cuyos programas profesionalizantes de delegados de protección de datos personales fueren debidamente aprobados, estarán autorizadas para promocionar el reconocimiento concedido por la SPDP (…)” . (énfasis agregado).
La Disposición Transitoria Tercera de la Resolución SPDP-SPD-2025-0028-R manifiesta:
“Tercera.- Los responsables o los encargados del tratamiento de datos personales del sector privado que, de conformidad con la LOPDP y el RGLOPDP, deban contar con un delegado, deberán realizar la inscripción de sus respectivos delegados para así cumplir lo que se encuentra establecido en el artículo 5. Para ello, los responsables o los encargados podrán registrar los nombramientos de sus delegados de manera física, electrónica y/o digital ante la SPDP desde el 1 de noviembre y hasta el 31 de diciembre del 2025. El incumplimiento del registro por parte de los responsables o los encargados del tratamiento pertenecientes al sector privado, dentro del plazo señalado, será considerado como una falta de cumplimiento de medidas de seguridad de carácter jurídico, de acuerdo con la LOPDP”. (énfasis agregado).
La Resolución N° SPDP-SPDP-2024-0002-R, expedida el 6 de septiembre del 2024 y publicada en Tercer Registro Oficial Suplemento de 19 agosto 2024, que aprueba la Guía Técnica obligatoria para el Registro de los Apoderados Especiales de responsables, conjuntos o no, y encargados extranjeros que realicen actividades de tratamiento de datos personales en la República del Ecuador, que en el inciso primero del artículo 2 manda lo siguiente:
“Art. 2.- Designación de apoderado especial.- Los sujetos regulados deberán tener en el territorio, de manera permanente, un apoderado especial con amplias y suficientes facultades para comparecer, a nombre de sus representados, ante instancias administrativas y judiciales en materia de protección de datos personales; y, de manera señalada aunque no exclusiva, para atender y tramitar o, en su caso, para colaborar en el cumplimiento de la obligación de atender y tramitar las peticiones o quejas que presenten los titulares en ejercicio de los derechos que la LOPDP les confiere. (…)” (énfasis agregado).
El régimen jurídico ecuatoriano en protección de datos personales comprende la LOPDP, el RGLOPDP, y la normativa secundaria expedida por la SPDP, las cuales prevén su aplicación de manera armónica y conforme a derecho. Respecto a la primera pregunta, el delegado de protección de datos personales (“DPD”) por mandato legal prevé funciones, requisitos y prohibiciones que, garantizan que el profesional que detente o fuere a detentar el cargo, lo ejecute y proceda adecuadamente.
No obstante, la SPDP en el marco de las funciones, atribuciones y facultades establecidas en el artículo 76 de la LOPDP, es competente para emitir normativa general en garantía al ejercicio del derecho a la protección de datos personales, así como siempre que lo determine la Ley, está facultada para regular requisitos complementarios, los cuales deberán cumplirse de manera obligatoria, según corresponda.
Por consiguiente, esta autoridad mediante Resolución N° SPDP-SPD-2025-0028-R, específicamente en su artículo 11, dispone que los delegados de protección de datos personales obligatoriamente deberán cursar y aprobar el programa profesionalizante, requisito complementario a los establecidos en el artículo 55 del RGLOPDP, el cual tiene por objeto garantizar que los profesionales que ejerzan las funciones previstas en la LOPDP, su Reglamento General y la normativa secundaria expedida por la SPDP lo hagan de manera proactiva y adecuada y que, además, cuenten con las cualificaciones necesarias en derecho, sistemas y tecnologías de la información y comunicación, a fin de salvaguardar los principios, derechos y obligaciones en materia de protección de datos personales, de conformidad con lo dispuesto en los artículos 1 y 2 de la Resolución N° SPDP-SPD-2025-0004-R.
Con base en lo anterior, el requisito relacionado con la aprobación del programa profesionalizante es obligatorio para toda persona natural que aspire detentar o detente el cargo de delegado de protección de datos personales. Por lo que, este requisito no incluye a las maestrías, posgrados o certificaciones nacionales o internacionales que el profesional haya aprobado, sino garantiza la cualificación específica del profesional conforme con lo dispuesto en el artículo 11 de la Resolución N° SPDP-SDP-2025-0028-R.
Por otro lado, las maestrías, posgrados o certificaciones nacionales o internacionales en protección de datos personales aprobadas por los administrados y reconocidas por el Ministerio de Educación, Deporte y Cultura[1], a la luz de la Resolución N° SPDP-SPD-2025-0028-R, no prevén un procedimiento de homologación y/o equivalencia, ya que para ejercer el cargo de delegado protección de datos personales, es requisito aprobar el programa profesionalizante establecido por la SPDP en la Resolución N° SPDP-SPD-2025-0004-R con base en lo mencionado en los párrafos precedentes.
Sin perjuicio de anterior, el requisito de aprobar el programa profesionalizante aplica inclusive a todos los profesionales que ya aprobaron maestrías, posgrados o certificaciones en protección de datos personales, sean nacionales o internacionales, ya que estas acreditaciones, por sí solas, no pueden considerarse como un equivalente al requisito previamente analizado. En este sentido cabe mencionar que, el artículo 55 del RGLOPDP establece como uno de los requisitos para ser DPD el “(…) [t]ener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; (…)” , el cual es un requisito independiente del establecido en el artículo 11 de la Resolución N° SPDP-SPD-2025-0028-R.
En atención a la segunda pregunta , es importante traer a colación lo previsto en el art. 55 del RGLOPDP, el cual determina los requisitos que fundan el perfil para ser DPD, no obstante, en el marco de lo consultado, destaca el requisito establecido en el numeral 4 del mencionado artículo, respecto a la acreditación de experiencia profesional de por lo menos cinco (5) años por parte de la persona natural que detentare o detente el cargo en mención. En este sentido, el perfil profesional del DPD prevé un requisito académico, que exige título de tercer nivel en áreas del conocimiento tales como: derecho, sistemas de información, de comunicación, o de tecnologías, y otro requisito de experiencia profesional que, demanda un período mínimo de ejercicio de la profesión sin especificar un subcampo temático concreto dentro de esas áreas.
En este sentido, ambos requisitos operan de manera complementaria, por un lado, la formación académica prevé la especialización de los conocimientos teóricos técnico-jurídicos de una de las materias específicas previamente mencionadas las cuales dan un perfil apto para que una persona pueda tener los conocimientos necesarios para ser DPD. Mientras que la experiencia profesional garantiza la aplicación práctica de los conocimientos adquiridos de manera teórica en casos concretos, aplicando soluciones viables requeridas en situaciones reales. Es así que, la acreditación profesional de los cinco (5) años de experiencia no es en protección de datos personales, sino en una de las materias reconocidas en el numeral 3 del artículo 55 del RGLOPDP, contadas a partir de la obtención del título profesional de tercer nivel, en aplicación coherente y armónica del todos los requisitos establecidos en el artículo previamente referido.
En contexto de la tercera pregunta, el régimen jurídico ecuatoriano en protección de datos personales no establece excepcionalidades o determina un régimen diferenciado para las funciones, requisitos y prohibiciones del DPD que no residan en la República del Ecuador, por lo tanto, este profesional sea nacional o internacional deberá cumplir con lo dispuesto en la LOPDP, el RGLOPDP y la normativa secundaria expedida por la SPDP. Por consiguiente, la Resolución N° SPDP-SPD-2025-0028-R en su parte pertinente y de forma obligatoria dispone que todos los DPD deberán cursar y aprobar el programa profesionalizante impartido por una de las instituciones de educación superior debidamente autorizada, esto en atención a que el régimen jurídico en la materia no es excluyente y debe ser aplicado a todas las personas naturales que detentaren o detenten el cargo.
Por otra parte, la Resolución N° SPDP-SPD-2025-0004-R dispone que el programa profesionalizante de delegados de protección de datos personales es un mecanismo que garantiza la cualificación del profesional, a fin de que éste posea conocimientos técnico-jurídicos en derecho, sistemas y en tecnologías de la información y comunicación, y así ejerza las funciones establecidas en la LOPDP, el RGLOPDP y la normativa secundaria expedida por la SPDP, de manera proactiva y diligente.
En consecuencia, las certificaciones, títulos universitarios, de posgrado o de maestrías internacionales en materia de protección de datos personales, aun cuando se encuentren debidamente reconocidos por el Ministerio de Educación, Cultura y Deporte, no constituyen un reemplazo del requisito objeto de análisis previsto en la Resolución N° SPDP-SPD-2025-0004-R ni en la Resolución N° SPDP-SPD-2025-0028-R. En tal sentido, el hecho de que un DPD resida fuera de la República del Ecuador o tenga nacionalidad extranjera no altera ni exonera el cumplimiento de dicho requisito. En este contexto, conforme se ha señalado en la respuesta a la primera pregunta formulada, el título de tercer nivel constituye un requisito expresamente establecido en el artículo 55 del RGLOPDP. Adicionalmente, esta autoridad, en ejercicio de su potestad normativa, ha previsto un requisito adicional y complementario en el artículo 11 de la Resolución N° SPDP-SPD-2025-0028-R, aplicable a toda persona que aspire a desempeñar la función de DPD.
En relación con la cuarta pregunta, la Resolución N° SPDP-SPD-2025-0028-R, en su Disposición Transitoria Tercera, establece que los responsables y encargados del tratamiento deben proceder al registro del nombramiento del DPD dentro del plazo señalado, es decir, hasta el 31 de diciembre de 2025. Este plazo es de cumplimiento obligatorio para TODOS los sujetos regulados. La disposición mencionada, en su redacción literal, no establece un régimen especial para el registro del DPD, ya que el plazo indicado es aplicable de manera uniforme a todos los sujetos regulados, sin hacer distinción alguna basada en la nacionalidad. En consecuencia, los responsables y encargados del tratamiento deberán registrar al DPD dentro del plazo previsto. En caso de incumplimiento, dicho hecho será considerado como una infracción a las medidas de seguridad de carácter jurídico, conforme a lo dispuesto en la LOPDP.
Por último, en referencia a la quinta pregunta, la Resolución N° SPDP-SPD-2025-0028-R determina específicamente en su artículo 5 que los sujetos obligados para realizar el registro de delegado de protección de datos personales ante la SPDP son los responsables del tratamiento y los encargados del tratamiento, estos podrán tener la calidad de representante legal o haber atribuido la facultad de registro a un apoderado especial, ya sea a través de un poder general o especial, siempre y cuando esté debidamente otorgado. Por lo tanto, el responsable de tratamiento directamente o a través de su apoderado, siempre y cuando se le hayan otorgado dichas funciones y cuente con las facultades representativas suficientes que permitan actuar a nombre y en representación del responsable o encargado, podrán registrar el nombramiento dentro del plazo previsto conforme el procedimiento previsto en la Resolución N° SPDP-SPD-2025-0028-R al DPD.
En paralelo, la Resolución N° SPDP-SPD-2025-0028-R determina que el registro del delegado de protección de datos personales podrá realizarse de manera digital mediante el portal web institucional o física, siempre que el nombramiento hubiese sido emitido en soporte papel con firmas manuscritas, por lo tanto, los responsables o encargados del tratamiento que no residan en la República del Ecuador, podrán realizar el registro del profesional en mención de manera digital, en el aplicativo implementado por la SPDP para el cumplimiento de la obligación.
En consecuencia, la normativa en protección de datos personales permite que el nombramiento del delegado de protección de datos personales sea registrado tanto por los responsables o encargados del tratamiento como también por el apoderado especial, siempre y cuando se ejecute cabalmente el procedimiento establecido en el artículo 3 y dentro del plazo establecido en la Disposición Transitoria Tercera establecidos en la Resolución N° SPDP-SPF-2025-0028-R.
Finalmente, la LOPDP, el RGLOPDP, y la normativa secundaria, no permite que el DPD sea quien registre su nombramiento ante la SPDP, puesto que sus funciones son de asesoría y supervisión, pues en ningún momento puede actuar a nombre del representante o encargado, así como de cooperación con la autoridad de control, no obstante, la designación y el registro del nombramiento, le corresponde a los responsables y encargados del tratamiento de conformidad con lo establecido en el régimen normativo vigente en protección de datos personales, sin perjuicio de ésta facultad se le atribuya al apoderado especial debidamente designado.
[1] Decreto Ejecutivo N° 100 expedido el 15 de agosto del 2025 y publicado en Tercer Suplemento Registro Oficial N° 105 de 19 de agosto del 2025, fusionó determinadas instituciones del Estado, entre ellas, la Secretaría de Educación Superior, Ciencia, Tecnología e Innovación.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N del 21 de octubre de 2025 y debidamente subsanada el 19 de noviembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿El requisito previsto en el artículo 11 de la Resolución N.º SPDP-SPD-2025-0028-R, esto es, aprobar obligatoriamente el Programa Profesionalizante de Delegados de Protección de Datos Personales aplica también a profesionales que ya cuentan con maestrías, posgrados o certificaciones nacionales o internacionales en protección de datos personales reconocidos por la SENESCYT?, De ser así ¿tales acreditaciones podrían ser consideradas equivalentes a efectos de cumplir con dicho requisito?
Esta autoridad en el contexto del artículo 11 de la Resolución N° SPDP-SPD-2025-0028-R, determina que es obligatorio que el delegado de protección de datos personales curse y apruebe el programa profesionalizante, el cual constituye un requisito distinto y adicional a los establecidos en el artículo 55 del RGLOPDP, buscando asegurar que los profesionales que ostenten el cargo de DPD tengan los conocimientos necesarios y sólidos requeridos para que ejerzan las funciones establecidas en la LOPDP, el RGLOPDP y la normativa secundaria expedida por la SPDP de manera proactiva y diligente, tomando en consideración que el perfil del DPD tiene dos esferas principales, la legal y la técnica, las cuales, normalmente, en un título de tercer nivel no van de la mano, por lo que se busca profesionalizar al DPD y completar los conocimientos que requiera ya sean legales o técnicos dependiendo del título de tercer nivel que posea.
El requisito de aprobación del programa profesionalizante es aplicable a toda persona natural que aspire o detente el cargo de delegado de protección de datos personales, con independencia de su formación académica de tercer nivel establecida en el ordenamiento jurídico vigente. No obstante, las maestrías, posgrados o certificaciones, sean nacionales o internacionales, no se consideran equivalentes, ni se ha determinado un procedimiento de homologación y/o equivalencia para estas acreditaciones a la luz de la Resolución N° SPDP-SPD-2025-0028-R. Por lo tanto, la aprobación del programa profesionalizante es un requisito obligatorio, incluso para los profesionales que ya cuenten con otras certificaciones en la materia.
“¿La acreditación de “experiencia profesional de al menos cinco años” se refiere exclusivamente a experiencia en materia de protección de datos personales o comprende la experiencia profesional general en las áreas habilitadas por la norma (Derecho, Sistemas de Información, Comunicación o Tecnologías)?”