Consulta
1. “ De conformidad con el numeral 2 del artículo 48 de la Ley Orgánica de Protección de Datos Personales y el artículo 53 de su Reglamento General, ¿el tratamiento de datos personales identificativos y de contacto que se realiza de manera continua o recurrente, por el solo hecho de ser necesario para la ejecución de obligaciones legales o contractuales derivadas de normativa sectorial, configura por sí mismo un “control permanente” que obligue a la designación de un Delegado de Protección de Datos Personales?
2. ¿En aplicación del artículo 53 del Reglamento General a la LOPDP, ¿el tratamiento de datos personales que se encuentra preestablecido y organizado en función de procedimientos administrativos regulados por normativa especial puede considerarse automáticamente como un “control sistematizado”, o debe analizarse adicionalmente la existencia de un plan general de recogida de datos, estrategia de tratamiento o finalidad autónoma distinta del cumplimiento normativo?
3. Para efectos de lo previsto en el numeral 2 del artículo 48 de la LOPDP, ¿el concepto de “control permanente y sistematizado” implica necesariamente la existencia de monitoreo, evaluación o seguimiento de comportamiento de los titulares, o basta con que el tratamiento sea habitual dentro del giro ordinario de la actividad del responsable?.
4. Conforme al numeral 3 del artículo 48 de la LOPDP y a los supuestos ejemplificativos establecidos en el Reglamento General, ¿el tratamiento de datos personales de carácter identificativo y de contacto que permiten la identificación o comunicación con el titular, necesarios para la prestación de servicios regulados por normativa sectorial, puede equipararse a los supuestos de tratamiento a gran escala previstos en el Reglamento (tales como instituciones financieras, aseguradoras, servicios de telecomunicaciones o sistemas de salud)?
5. El tratamiento de datos personales de carácter identificativo y de contacto que permiten la identificación o comunicación con el titular, que no constituyen categorías especiales de datos, aun cuando se realice de forma habitual dentro del giro ordinario de una actividad económica, puede considerarse comprendido dentro del supuesto del numeral 3 del artículo 48 de la LOPDP?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.” (énfasis agregado).
El artículo 42 ibidem expone lo siguiente:
“Art. 42 .- Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera.
La evaluación de impacto relativa a la protección de los datos será de carácter obligatoria en caso de:
a) Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas naturales;
b) Tratamiento a gran escala de las categorías especiales de datos, o de los datos personales relativos a condenas e infracciones penales, o
c) Observación sistemática a gran escala de una zona de acceso público.
La Autoridad de Protección de Datos Personales establecerá otros tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos.
La evaluación de impacto deberá efectuarse previo al inicio del tratamiento de datos personales.
El artículo 47 ibidem establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
3) Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas;
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular;
5) Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas;
6) Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales;
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas;
8) Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto;
9) Implementar la protección de datos personales desde el diseño y por defecto;
10) Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales;
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional;
12) Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;
14) Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales; y,
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.” (énfasis agregado).
El artículo 48 ibidem establece:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
3) Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
4) Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.
La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un delegado de protección de datos personales y emitirá, a dicho efecto, las directrices suficientes para su designación.” (énfasis agregado).
El artículo 49 ibidem dispone:
“Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación;
4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y,
5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales.
En caso de incumplimiento de sus funciones, el delegado de protección de datos personales responderá administrativa, civil y penalmente, de conformidad con la ley.”
El artículo 4 del RGLOPDP establece lo siguiente:
“Art. 4 .- Definiciones.- Sin perjuicio de lo dispuesto en la Ley, para efectos de la aplicación del presente Reglamento, se establecen las siguientes definiciones: (…)
Tratamiento a gran escala: es aquel que afecta a una gran cantidad de datos, referentes a un elevado número de titulares, procedentes de una amplia diversidad geográfica, y que pueden entrañar un riesgo a sus derechos y libertades. Para determinar cuándo se está en presencia de un tratamiento «a gran escala» la Autoridad de Protección de Datos Personales y los responsables del tratamiento deberán tener en cuenta los siguientes aspectos:
a. El número de interesados o titulares, bien como cifra concreta o como proporción de la población correspondiente;
b. El volumen de datos o la variedad de elementos de datos que son objeto de tratamiento;
c. La duración o permanencia de la actividad de tratamiento de datos; y,
d. El alcance geográfico de la actividad de tratamiento.
Se considera tratamiento a gran escala:
a. El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital, o de las instituciones que conforman el Sistema Nacional de Salud;
b. El tratamiento de datos de desplazamiento de las personas que utilizan el sistema de transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte):
c. El tratamiento de datos de geolocalización en tiempo real de clientes por parte de un responsable del tratamiento de datos personales especializado en la prestación de estos servicios;
d. El tratamiento de datos de clientes en el desarrollo normal de la actividad de una compañía de seguros, corredores, agentes, prestadores o de instituciones financieras;
e. El tratamiento de datos personales para publicidad comportamental por un motor de búsqueda; y.
f. El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de telefonía o internet.” (énfasis agregado).
El artículo 48 ibídem indica lo siguiente:
“Art. 48 .- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales.
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado.”
El artículo 53 ibidem expone:
“Art. 53.- Actividades de control permanente y sistematizado de datos.- Para determinar si las actividades de un responsable o encargado en materia de protección de datos requieren de un control permanente, se deberá considerar, entre otros factores que defina la Autoridad de Protección de Datos Personales, alguno de los siguientes:
1. Si el tratamiento de datos es continuado o si se produce en intervalos concretos durante un periodo de tiempo;
2. Si el tratamiento de datos es recurrente o repetido en momentos prefijados; o,
3. Si el tratamiento tiene lugar de manera constante o periódica.
Así mismo, para determinar si el control es sistematizado, además de aquellos que determine la Autoridad de Protección de Datos Personales, se deberá verificar alguno de los siguientes aspectos:
1. Si el tratamiento de datos está de alguna manera preestablecido, organizado o es metódico;
2. Si el tratamiento de datos tiene lugar como parte de un plan general de recogida de datos; o,
3. Si el tratamiento de datos es llevado a cabo como parte de una estrategia.
En caso de suscitarse dudas entre los responsables y encargados respecto a los supuestos que dan lugar a la designación del delegado de protección de datos personales, podrán dirigir sus respectivas consultas a la Autoridad de Protección de Datos Personales, cuya decisión será de cumplimiento obligatorio para los consultantes.” (énfasis agregado).
El artículo ibidem manifiesta:
“Art. 54.- Tratamiento a gran escala de datos de categoría especiales. – Para determinar el tratamiento de datos de categorías especiales a gran escala, se considerarán, entre otros factores que defina la Autoridad de Protección de Datos Personales, los establecidos en el presente Reglamento.”
El artículo 3 de la Resolución N° SPDP-SPD-2026-0005-R define:
“Art. 3.- Sin perjuicio de las definiciones establecidas en la LOPDP y el RGLOPDP, para los efectos de esta norma general se adoptan las siguientes definiciones específicas:
3.1. Alcance geográfico: Extensión o impacto territorial del tratamiento de datos personales, considerando la ubicación de los titulares, de las actividades o de las operaciones del tratamiento. El alcance geográfico se clasifica, al menos, como local, nacional, transfronterizo o global.
3.2. Alcance geográfico global: Tratamiento realizado en más de un país, en más de una organización internacional, en más de una persona jurídica o territorio económico internacional.
3.3. Alcance geográfico local: Tratamiento realizado dentro de una provincia, cantón o ciudad.
3.4. Alcance geográfico nacional: Tratamiento realizado en más de una provincia, cantón o ciudad.
3.5. Alcance geográfico transfronterizo: Tratamiento realizado en un país, en una organización internacional, en una persona jurídica o en un territorio económico internacional.
3.6. Categorías de datos personales: Clasificación de los datos tal cual se encuentran establecidas en la LOPDP y el RGLOPDP.
3.7. Frecuencia del tratamiento: Regularidad o continuidad con la que se realizan las operaciones de tratamiento, considerando la repetición, acumulación y continuidad de dichas operaciones. La frecuencia se clasificará como única, periódica o continua, según la intensidad y constancia del tratamiento.
3.8. Número de titulares de datos personales: Cantidad total única de titulares de datos personales involucrados en un determinado tratamiento, calculada sobre un período de tiempo referencial de doce (12) meses por tratamiento, de manera que cada titular sea contado una sola vez dentro del cálculo.
3.9. Permanencia del tratamiento: Tiempo durante el cual los datos personales están sometidos a operaciones de tratamiento activas, excluidos los periodos de conservación en archivo o bloqueo, los cuales se regirán por la normativa aplicable. La permanencia se clasifica como ocasional, temporal o prolongada.
3.10. Permanencia de tratamiento ocasional: Tratamiento que se realiza de manera excepcional, puntual o esporádico.
3.11. Permanencia de tratamiento prolongada: Tratamiento que se realiza por un período desde tres (3) años en adelante.
3.12. Permanencia de tratamiento temporal: Tratamiento que se realiza por un período menor a tres (3) años.
3.13. Volumen de datos: Se entenderá por volumen de datos la cantidad total de datos personales tratados en un determinado tratamiento por parte de un responsable o encargado, considerando, principalmente, el número de titulares afectados y la cantidad de datos personales asociados a cada uno.” (énfasis agregado).
El artículo 5 íbidem explica: “Art. 5.- Para la determinación del nivel de riesgo del tratamiento de datos personales, el responsable del tratamiento o el encargado que tuviere acceso, visibilidad o control efectivo sobre los datos personales tratados, deberá evaluar, como mínimo, los siguientes criterios cualitativos:
5.1. La permanencia del tratamiento;
5.2. Las categorías de datos personales tratados:
5.3. La frecuencia del tratamiento; y,
5.4. El alcance geográfico del tratamiento.”
El artículo 11 del Código Orgánico Administrativo (“COA”) dispone:
“Art. 11.- Principio de planificación. Las actuaciones administrativas se llevan a cabo sobre la base de la definición de objetivos, ordenación de recursos, determinación de métodos y mecanismos de organización.” (énfasis agregado).
El artículo 225 del Código Orgánico de la Producción, Comercio e Inversiones (“COPCI”)
“Art. 225.- Base de datos.- El Servicio Nacional de Aduana del Ecuador y el Servicio de Rentas Internas, cuando éstas lo requieran, tendrán libre acceso y sin restricciones, ya sea vía informática o física, y en forma permanente y continua, a toda la información de las actividades de comercio exterior que repose en los archivos y bases de datos del Banco Central del Ecuador, Policía de Migración, Registro Civil, Instituto Ecuatoriano de Seguridad Social, Superintendencias, Agencia de Calidad del Agro, Instituto Ecuatoriano de Normalización, Registro Mercantil, Unidad de Inteligencia Financiera y demás entidades que participan en el comercio exterior ecuatoriano directa o indirectamente. Los servidores públicos que no entreguen la información o que pongan obstáculos o interferencias para obtenerlas, serán sancionados con la destitución de sus cargos.
El contenido de las bases de datos del Servicio Nacional de Aduana del Ecuador es información protegida, su acceso no autorizado o la utilización indebida de la información contenida en ella, será sancionado conforme el Código Penal.”
El artículo 227 ibídem establece:
“Art. 227.- Agente de Aduana.- Es la persona natural o jurídica cuya licencia, otorgada por la Directora o el Director General del Servicio Nacional de Aduana del Ecuador, le faculta a gestionar de manera habitual y por cuenta ajena, el despacho de las mercancías, debiendo para el efecto firmar la declaración aduanera en los casos que establezca el reglamento, estando obligado a facturar por sus servicios de acuerdo a la tabla de honorarios mínimos que serán fijados por la Directora o el Director General del Servicio Nacional de Aduana del Ecuador. Dicha licencia tendrá un plazo de duración de 5 años, la cual puede ser renovada por el mismo plazo.
El Agente de Aduana podrá contratar con cualquier operador que intervenga en el comercio internacional y quedará obligado a responder ante el Servicio Nacional de Aduana del Ecuador por la información consignada en los documentos.
El agente de aduana tendrá el carácter de fedatario y auxiliar de la función pública en cuanto que la aduana tendrá por cierto que los datos que consignan en las declaraciones aduaneras que formulen, guardan conformidad con la información y documentos que legalmente le deben servir de base para la declaración aduanera, sin perjuicio de la verificación que puede practicar el Servicio Nacional de Aduana del Ecuador.
Además de sus autores, los agentes de aduana, que en el ejercicio de su actividad, hubieren participado como autores, cómplices o encubridores, estarán sometidos a las responsabilidades penales establecidas para los delitos contra la fe pública respecto de los delitos de la falsificación de documentos en general, en cuyo caso no requerirá declaratoria judicial previa en materia civil para el ejercicio de la acción penal, prevista en el artículo 180 del Código de Procedimiento Civil. En todo caso, para efectos de responsabilidad los agentes de aduana serán considerados como notarios públicos.
En los despachos de mercancía en que intervenga el agente de aduana es responsable solidario de la obligación tributaria aduanera, sin perjuicio de la responsabilidad administrativa o penal que legalmente corresponda. Sin perjuicio de lo expuesto, el agente de aduanas no será responsable por la valoración de las mercancías.”
Con base en los artículos previamente citados, para poder dar contestación a las cinco preguntas planteadas en la Consulta presentada, se procederá a realizar el análisis correspondiente de cada una de ellas en el orden en el cual fueron planteadas.
Respecto de la primera consulta planteada, corresponde determinar si el tratamiento de datos personales identificativos y de contacto que se realiza de manera continua o recurrente, por el solo hecho de ser necesario para la ejecución de obligaciones legales o contractuales derivadas de normativa sectorial, configura por sí mismo un supuesto de “control permanente” en los términos del numeral 2 del artículo 48 de la LOPDP y en concordancia con el artículo 53 del RGLOPDP, de tal forma que origine la obligación de designar un DPD.
En este sentido, el numeral 2 del artículo 48 de la LOPDP establece que se designará un DPD cuando las actividades del responsable o encargado del tratamiento requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento. De la lectura de esta disposición se desprende que la obligación no nace de cualquier tratamiento de datos personales, ni tampoco de la sola frecuencia con que este se realice, sino de la concurrencia de varios elementos normativos que deben ser analizados de manera integral sin que ninguno de dichos elementos, considerado de forma aislada, resulte suficiente para configurar el supuesto legal.
Así, el supuesto legal exige, en primer lugar, que exista un control permanente; en segundo lugar, que dicho control sea además sistematizado; y, en tercer lugar, que ello obedezca al volumen, naturaleza, alcance o finalidades del tratamiento. Por tanto, no basta con que el tratamiento sea únicamente permanente, ni tampoco con que sea solo sistematizado. La norma requiere que ambas condiciones concurran conjuntamente y, además, que esa permanencia y sistematización se expliquen por alguno de los factores adicionales expresamente previstos por el legislador. En consecuencia, si el tratamiento fuere únicamente permanente, o únicamente sistematizado, no se configuraría, por ese solo hecho, el supuesto previsto en el numeral 2 del artículo 48 de la LOPDP.
Ahora bien, el artículo 53 del RGLOPDP desarrolla el contenido de los conceptos “permanente” y “sistematizado”. En lo que respecta al control permanente, establece que este puede apreciarse, entre otros factores, cuando el tratamiento de datos es “continuado1 o si se produce en intervalos concretos durante un período de tiempo” ; cuando es “ recurrente2 o repetido en momentos prefijados” ; o cuando tiene lugar de manera “ constante3 o periódica4” . De ello se desprende que la permanencia está directamente relacionada con la duración o repetición del tratamiento en un periodo de tiempo, esto es, con la regularidad con que las operaciones de tratamiento se ejecutan dentro de la actividad específica del responsable o encargado.
En esa misma línea, la resolución N° SPDP-SPD-2026-0005-R contiene definiciones que permiten precisar técnicamente esos elementos. Dicha resolución en su artículo 3.7 define la frecuencia del tratamiento como la “regularidad o continuidad con la que se realizan las operaciones de tratamiento, considerando su repetición, acumulación y continuidad”; y la clasifica como única, periódica o continua según la intensidad y constancia del tratamiento. Asimismo, define la permanencia del tratamiento como el “tiempo durante el cual los datos personales están sometidos a operaciones de tratamiento activas, excluidos los periodos de conservación en archivo o bloqueo”, y la clasifica como ocasional, temporal o prolongada. Además, establece que la permanencia prolongada es aquella que se realiza por un período de tres años en adelante. Estas definiciones son relevantes, ya que permiten advertir que la continuidad, recurrencia o prolongación temporal del tratamiento constituyen elementos útiles para valorar su permanencia; sin embargo, por sí solos, no implican la existencia del control reforzado previsto en el artículo 48 de la LOPDP.
Por su parte, el artículo 53 del RGLOPDP señala que el control será sistematizado cuando el tratamiento esté de alguna manera preestablecido, organizado o sea metódico; cuando tenga lugar como parte de un plan general de recogida de datos; o cuando sea llevado a cabo como parte de una estrategia. De ello se desprende que la sistematización no depende únicamente de que el tratamiento ocurra repetidamente, sino de que responda a una estructura ordenada, previamente definida o estratégicamente diseñada. En otras palabras, la sistematización no se confunde con la mera rutina operativa: exige que el tratamiento forme parte de una lógica organizada y estructurada de recopilación o uso de datos personales.
Una vez precisados estos dos primeros elementos, corresponde analizar el tercer componente del numeral 2 del artículo 48 de la LOPDP, esto es, que el control permanente y sistematizado exista por su volumen, naturaleza, alcance o finalidades del tratamiento. Este inciso también requiere desarrollo, pues delimita los supuestos en los que la permanencia y sistematización adquieren relevancia suficiente para justificar la designación de un DPD.
En primer término, el volumen debe entenderse, conforme a la resolución N° SPDP-SPD-2026-0005-R, como la cantidad total de datos personales tratados en un determinado tratamiento, considerando principalmente el número de titulares afectados y la cantidad de datos personales asociados a cada uno. Esta definición permite advertir que el volumen no se refiere únicamente al hecho de tratar datos, sino a la magnitud objetiva del tratamiento. De igual manera, la misma resolución, en armonía con el numeral 7 del artículo 4 del RGLOPDP, vincula este factor con la identificación del tratamiento a gran escala, junto con otros componentes como el número de titulares, la frecuencia, la permanencia, las categorías de datos y el alcance geográfico. En consecuencia, que exista volumen relevante es una cuestión que no puede presumirse automáticamente por el solo hecho de que el tratamiento sea continuo o recurrente; requiere una valoración concreta del número de titulares y de la cantidad de datos tratados por cada uno.
En segundo término, la naturaleza del tratamiento debe entenderse en función del tipo de datos personales involucrados y del nivel de riesgo que razonablemente puedan entrañar para los derechos y libertades de los titulares. La resolución N° SPDP-SPD-2026-0005-R incorpora la noción de categorías de datos personales y distingue entre datos básicos y categorías especiales, asignando distinta intensidad a unos y otros dentro del modelo técnico de gran escala. Por ello, la naturaleza del tratamiento no es indiferente: no produce el mismo nivel de exigencia tratar datos identificativos y de contacto que tratar datos especiales, tales como; sensibles, datos de grupos vulnerables o datos de naturaleza penal. En esa medida, cuando el tratamiento recae únicamente sobre datos identificativos y de contacto, en principio no se está frente a un supuesto que, por su sola naturaleza, evidencie un nivel reforzado de riesgo comparable al de categorías especiales o especialmente protegidas.
En tercer lugar, el alcance del tratamiento puede ser comprendido a partir de los criterios desarrollados en la resolución N° SPDP-SPD-2026-0005-R sobre alcance geográfico, definido como la extensión o impacto territorial del tratamiento de datos personales, considerando la ubicación de los titulares, de las actividades o de las operaciones del tratamiento, y clasificándolo como local, nacional, transfronterizo o global. Este criterio permite advertir que el alcance no se limita a la existencia de una operación de tratamiento, sino a la amplitud territorial o expansiva de la actividad. Por ello, un tratamiento circunscrito a un ámbito local o limitado no necesariamente alcanza la intensidad suficiente para ser considerado, por ese solo factor, como fundamento de un control permanente y sistematizado en el sentido del artículo 48 de la LOPDP.
Finalmente, las finalidades del tratamiento deben entenderse como los objetivos concretos que justifican la recopilación y uso de los datos personales. Su análisis es relevante en la medida en que permite determinar si el tratamiento puede afectar los derechos y libertades de los titulares. En este sentido, no todas las finalidades implican el mismo nivel de impacto, algunas responden a usos necesarios para la ejecución de una relación jurídica, mientras que otras pueden suponer una mayor intervención en la esfera personal del titular. Así, adquieren especial relevancia aquellas finalidades que impliquen observar, analizar o incidir de manera continua en los titulares. Por ello, la evaluación de las finalidades debe realizarse en cada caso concreto, considerando si el tratamiento puede generar una afectación relevante.
A partir de lo anterior, corresponde subsumir el supuesto consultado. Si el tratamiento recae sobre datos personales identificativos y de contacto, y se realiza de manera continua o recurrente por ser necesario para ejecutar obligaciones legales o contractuales derivadas de normativa sectorial, puede afirmarse que dicho tratamiento podría presentar un elemento de permanencia, en la medida en que se realiza de forma constante, periódica o repetida en el tiempo. Sin embargo, ello no permite concluir, de manera automática, que se configure el supuesto previsto en el numeral 2 del artículo 48 de la LOPDP.
Lo anterior se debe a que la norma no exige únicamente permanencia, sino permanencia y sistematización, conjuntamente consideradas. Incluso si, para fines argumentativos, se asumiera que el tratamiento también es organizado o metódico, todavía resta verificar si esa permanencia y sistematización se explican por el volumen, naturaleza, alcance o finalidades del tratamiento. Es precisamente en este punto donde el solo hecho de tratar datos identificativos y de contacto de manera continua o recurrente no resulta suficiente, ya que no demuestra por sí sola sistematización ni demuestra que el volumen de datos, la naturaleza de los mismos, el alcance geográfico o las finalidades perseguidas afecten los derechos y libertades de titulares de datos personales para que se justifique la necesidad de designación de un DPD.
En consecuencia, el tratamiento de datos personales identificativos y de contacto que se realiza de manera continua o recurrente, por el solo hecho de ser necesario para la ejecución de obligaciones legales o contractuales derivadas de normativa sectorial, no configura por sí mismo un supuesto de “control permanente” que obligue a la designación de un DPD. Para que dicha obligación nazca, no basta con acreditar que el tratamiento es continuado o recurrente; es necesario verificar, en cada caso concreto, que exista un control permanente y sistematizado, comprendido de manera conjunta, y que ello obedezca además al volumen, naturaleza, alcance o finalidades del tratamiento, sin que pueda presumirse automáticamente que todo tratamiento continuo o recurrente constituye un tratamiento de designación obligatoria del delegado.
De acuerdo a la segunda pregunta realizada en la consulta, corresponde determinar si el tratamiento de datos personales que se encuentra preestablecido y organizado en función de procedimientos administrativos regulados por normativa especial puede ser considerado automáticamente como un “control sistematizado”, en los términos del artículo 53 del RGLOPDP. En primer lugar, es preciso recordar que el artículo 53 del RGLOPDP exige la concurrencia de un control permanente y sistematizado, lo cual, conforme se ha desarrollado previamente, constituye una condición conjunta que no puede analizarse de manera aislada ni presumirse automáticamente, sino que requiere verificar la existencia de una estructura real de tratamiento de datos personales.
Ahora bien, en relación con los procedimientos administrativos, el COA establece en su artículo 11 el principio de planificación, conforme al cual las actuaciones administrativas se desarrollan sobre la base de la definición de objetivos, la ordenación de recursos y la determinación de métodos y mecanismos de organización. De esta disposición se desprende que la actividad administrativa no es espontánea ni improvisada, sino que responde a una estructura previamente definida, en la que existen métodos, etapas y formas de organización establecidas normativamente. En este sentido, los procedimientos administrativos pueden calificarse como preestablecidos y organizados desde una perspectiva formal de manera general pero no sobre un tratamiento de datos personales específico y, esto no implica que en si el responsable del tratamiento que tiene dicha obligación normativa ya haya implementado un procedimiento preestablecido o, organizado o, metódico o, que tenga un plan de recogida de datos o, que es parte de una estrategia.
No obstante, esta característica propia del derecho administrativo no permite concluir automáticamente que el tratamiento de datos personales que se realiza en su marco constituya un “control sistematizado” en los términos del artículo 53 del RGLOPDP. En efecto, el carácter “sistematizado” debe analizarse en sentido material, esto es, atendiendo a la forma en que el tratamiento de datos personales se ejecuta en la práctica, su estructura operativa, sus reglas de funcionamiento y su finalidad, y no únicamente a su configuración formal dentro de un procedimiento administrativo.
Bajo este enfoque, para que un tratamiento pueda ser considerado sistematizado debe cumplirse con al menos una de las siguientes:
– Una secuencia procedimental preestablecida o, organizada o, metódica lo que implica una lógica estructurada propia y previa del responsable del tratamiento; o,
– La existencia de un plan general de recogida de datos personales, que denote una captación deliberada, organizada y no meramente incidental dentro del trámite administrativo; o,
– La aplicación de una estrategia de tratamiento, es decir, el uso de criterios, reglas o metodologías predefinidas para el manejo, análisis o utilización de los datos personales.
Adicionalmente, este análisis no puede realizarse de manera aislada, sino que debe considerar los criterios técnicos desarrollados previamente, tales como la frecuencia del tratamiento, la permanencia, el volumen de datos, el número de titulares, el alcance del tratamiento y las finalidades del tratamiento, los cuales permiten determinar la intensidad y características del mismo. Estos elementos evidencian que la sistematicidad es una cualidad que requiere una evaluación integral y contextual del tratamiento, y no puede presumirse por la sola existencia de un procedimiento normado ya que este nace de la norma más no del propio responsable o encargado del tratamiento.
Por tanto, únicamente cuando el tratamiento, además de insertarse en un procedimiento administrativo, responda a una lógica operativa propia de responsable del tratamiento de datos, ya sea preestablecida, organizada, metódica, de un plan general de recogida de datos o como parte de una estrategia de este, se podría considerar que cumple con la característica de sistematizado.
La tercera pregunta realizada en la consulta, corresponde determinar si el concepto de “control permanente y sistematizado”, previsto en el numeral 2 del artículo 48 de la LOPDP, implica necesariamente la existencia de actividades de monitoreo, evaluación o seguimiento del comportamiento de los titulares, o si basta con que el tratamiento de datos personales sea habitual dentro del giro ordinario de la actividad del responsable. En primer lugar, es preciso partir del contenido del numeral 2 del artículo 48 de la LOPDP, el cual establece la obligación de designar un DPD cuando el responsable realice tratamientos que impliquen un control permanente y sistematizado de los titulares. Esta disposición introduce un estándar cualificado que no se satisface con cualquier tratamiento, sino que exige la concurrencia de elementos que evidencien el cumplimiento de la característica de permanencia y de sistematizado de acuerdo con lo analizado en las preguntas precedentes.
En este sentido, tal como se ha desarrollado en las preguntas anteriores, el carácter permanente se refiere a la continuidad o regularidad en el tiempo del tratamiento, mientras que el carácter sistematizado implica la existencia de una estructura organizada, metódica y predefinida del tratamiento de datos personales por parte del responsable del tratamiento, analizada en el funcionamiento real del tratamiento y no únicamente a su configuración formal.
Ahora bien, la expresión “control” utilizada por la norma resulta determinante para delimitar el alcance del supuesto. Desde una interpretación sistemática, el término “control” no puede entenderse como cualquier tratamiento de datos personales, sino como una actividad que supone cierto grado de supervisión, observación o influencia sobre un determinado tratamiento de datos personales que este a cargo del responsable o encargado del tratamiento, el cual debe cumplir con las características de manera conjunta de ser permanente y sistematizado.
En este sentido, el término “control permanente y sistematizado” no es excluyente ni modifica el análisis efectuado en las dos preguntas anteriores. Por tanto, para que un tratamiento sea calificado bajo dicha categoría, es necesario que cumpla, por una parte, con al menos una de las características que determinan su carácter permanente y, por otra, con al menos una de las características que permiten considerarlo sistemático, de conformidad con el artículo 53 del RGLOPDP.
Asimismo, cabe precisar que el numeral 2 del artículo 48 de la LOPDP no establece, en ningún caso, que el tratamiento de datos personales deba referirse al comportamiento de los titulares. En consecuencia, corresponde al responsable o encargado del tratamiento, según el caso, realizar un análisis individualizado para determinar si la actividad que ejecuta —incluyendo, de ser pertinente, tratamientos relacionados con el comportamiento de los titulares— se enmarca en las características de permanencia y sistematicidad, así como en los demás criterios previstos en la normativa aplicable, los cuales han sido previamente analizados.
En atención a la cuarta pregunta planteada en la consulta, corresponde analizar si el tratamiento de datos personales de carácter identificativo y de contacto, necesarios para la prestación de servicios regulados por normativa sectorial, puede equipararse a los supuestos de tratamiento a gran escala previstos en el numeral 3 del artículo 48 de la LOPDP y desarrollados de manera ejemplificativa en el RGLOPDP.
El numeral 3 del artículo 48 de la LOPDP establece la obligación de designar un DPD cuando se realicen tratamientos a gran escala, lo cual responde a un criterio vinculado a la magnitud, el alcance y el impacto del tratamiento. En esta línea, el numeral 7 del artículo 4 del RGLOPDP define el tratamiento a gran escala como aquel que afecta a una cantidad considerable de datos, relativos a un elevado número de titulares, con una diversidad geográfica significativa y vocación de permanencia. Asimismo, incorpora supuestos específicos, como los tratamientos realizados por instituciones financieras, compañías de seguros, prestadores de servicios de telecomunicaciones o entidades del sistema nacional de salud.
De igual manera, la SPDP ha desarrollado el concepto de “gran escala” en ejercicio de sus facultades mediante la resolución N° SPDP-SPD-2026-0005-R, en la que se establecen casos taxativos que califican como tales. Para aquellos supuestos que no hayan sido clasificados de manera expresa en el RGLOPDP, ni en la referida resolución, y respecto de los cuales exista duda sobre su calificación, se ha previsto una fórmula específica que deberá ser aplicada al caso concreto por el responsable o encargado del tratamiento, según corresponda.
Por tanto, en atención a la pregunta formulada, esta Autoridad aclara que corresponde al responsable o encargado del tratamiento, según el caso, realizar un análisis en cada situación concreta, considerando los supuestos taxativos previstos en el RGLOPDP y en la Resolución N° SPDP-SPD-2026-0005-R. En consecuencia, esta Autoridad no puede emitir un pronunciamiento categórico en sentido afirmativo o negativo, en tanto la determinación dependerá de la adecuada subsunción de los hechos a la normativa de protección de datos personales aplicable.
En relación con la quinta pregunta formulada, donde se plantea la interrogante de si el tratamiento de datos personales de carácter identificativo y de contacto, que no constituyen categorías especiales de datos, aun cuando se realice de forma habitual dentro del giro ordinario de una actividad económica, puede considerarse comprendido dentro del supuesto previsto en el numeral 3 del artículo 48 de la LOPDP. En atención a lo señalado, esta Autoridad remite al Consultante a la respuesta emitida en la cuarta pregunta, toda vez que no se ha planteado una nueva cuestión jurídica ni un elemento adicional de análisis, sino que la consulta recae sobre el mismo numeral y artículos previamente examinados.
En este sentido, se precisa que no corresponde a esta Autoridad emitir una respuesta categórica en sentido afirmativo o negativo respecto del supuesto planteado, pues ello implicaría un pronunciamiento inadecuado. En efecto, aun cuando el tratamiento involucre datos identificativos y de contacto de titulares de datos personales, la determinación de si dicho tratamiento se configura como realizado a gran escala deberá efectuarse caso por caso.
En consecuencia, corresponde al responsable o encargado del tratamiento evaluar, en el contexto específico, si el tratamiento se enmarca en el supuesto previsto en el numeral 3 del artículo 48 de la LOPDP, conforme a los criterios establecidos en el RGLOPDP y en la resolución N ° SPDP-SPD-2026-0005-R emitida por la SPDP.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N de 21 de enero de 2026 y debidamente subsanada el 2 de febrero del 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
1. “¿De conformidad con el numeral 2 del artículo 48 de la LOPDP y el artículo 53 del RGLOPDP, ¿el tratamiento de datos personales identificativos y de contacto que se realiza de manera continua o recurrente, por el solo hecho de ser necesario para la ejecución de obligaciones legales o contractuales derivadas de normativa sectorial, configura por sí mismo un ‘control permanente’ que obligue a la designación de un DPD?”
De conformidad con el numeral 2 del artículo 48 de la LOPDP y el artículo 53 del RGLOPDP, el tratamiento de datos personales identificativos y de contacto realizado de manera continua o recurrente, por el solo hecho de ser necesario para la ejecución de obligaciones legales o contractuales derivadas de normativa sectorial, no configura por sí mismo un “control permanente” que obligue a la designación de un DPD. En efecto, la obligación prevista en la norma no se activa únicamente por la frecuencia o continuidad del tratamiento, sino por la concurrencia conjunta de un control permanente y sistematizado que, además, se justifique por el volumen, la naturaleza, el alcance o las finalidades del tratamiento; elementos que deben ser evaluados de manera integral en cada caso concreto. Por tanto, la sola recurrencia o continuidad en el tratamiento no resulta suficiente para configurar el supuesto legal, siendo necesario verificar los otros parámetros mencionados para evaluar si dicho tratamiento alcanza un nivel que justifique la designación obligatoria del Delegado de Protección de Datos.
2. ¿En aplicación del artículo 53 del Reglamento General a la LOPDP, ¿el tratamiento de datos personales que se encuentra preestablecido y organizado en función de procedimientos administrativos regulados por normativa especial puede considerarse automáticamente como un “control sistematizado”, o debe analizarse adicionalmente la existencia de un plan general de recogida de datos, estrategia de tratamiento o finalidad autónoma distinta del cumplimiento normativo
En aplicación del artículo 53 del RGLOPDP, el tratamiento de datos personales que se encuentra preestablecido y organizado en función de procedimientos administrativos regulados por normativa especial no puede considerarse automáticamente como un “control sistematizado”. Si bien los procedimientos administrativos, conforme a su propia naturaleza, responden a una estructura planificada y ordenada, ello no implica por sí mismo que el tratamiento de datos personales posea una sistematicidad en sentido material. En consecuencia, es necesario realizar un análisis que permita verificar si el tratamiento responde a una lógica operativa propia del responsable del tratamiento, esto es, si cuenta con una estructura preestablecida, organizada o metódica en el tratamiento de datos, o si se enmarca en un plan general de recogida de datos, una estrategia de tratamiento o una finalidad que evidencie una gestión deliberada y no meramente incidental. Por tanto, la sistematicidad no se da por la sola existencia de un procedimiento normado, sino que debe determinarse en cada caso concreto a partir de una evaluación integral de las características y ejecución efectiva del tratamiento.
3. Para efectos de lo previsto en el numeral 2 del artículo 48 de la LOPDP, ¿el concepto de “control permanente y sistematizado” implica necesariamente la existencia de monitoreo, evaluación o seguimiento de comportamiento de los titulares, o basta con que el tratamiento sea habitual dentro del giro ordinario de la actividad del responsable?
Para efectos de lo previsto en el numeral 2 del artículo 48 de la LOPDP, el concepto de “control permanente y sistematizado” no implica necesariamente la existencia de actividades de monitoreo, evaluación o seguimiento del comportamiento de los titulares, pero tampoco se satisface por el solo hecho de que el tratamiento sea habitual dentro del giro ordinario de la actividad del responsable. En efecto, la noción de “control” supone un nivel cualificado de supervisión u observación en el marco de un tratamiento que, además, debe ser concurrentemente permanente y, conforme a los criterios desarrollados en el artículo 53 del RGLOPDP. Por tanto, ni el seguimiento del comportamiento constituye un requisito indispensable, ni la mera habitualidad del tratamiento resulta suficiente, siendo necesario, en cada caso concreto, verificar la concurrencia conjunta de estos elementos y las demás condiciones previstas en la normativa aplicable
4. Conforme al numeral 3 del artículo 48 de la LOPDP y a los supuestos ejemplificativos establecidos en el Reglamento General, ¿el tratamiento de datos personales de carácter identificativo y de contacto que permiten la identificación o comunicación con el titular, necesarios para la prestación de servicios regulados por normativa sectorial, puede equipararse a los supuestos de tratamiento a gran escala previstos en el Reglamento (tales como instituciones financieras, aseguradoras, servicios de telecomunicaciones o sistemas de salud)?
De conformidad con el numeral 3 del artículo 48 de la LOPDP y los supuestos taxativos previstos en el RGLOPDP, el tratamiento de datos personales de carácter identificativo y de contacto, necesario para la prestación de servicios regulados por normativa sectorial, debe ser analizado por el responsable o encargado del tratamiento, según corresponda. En tal sentido, este deberá verificar, en cada caso concreto, si dicho tratamiento se subsume en alguno de los supuestos taxativos previstos en el Reglamento o en la resolución N° SPDP-SPD-2026-0005-R, o si, mediante la aplicación de la fórmula establecida en esta última, puede calificarse como un tratamiento a gran escala. En consecuencia, esta Autoridad no puede emitir una respuesta categórica en abstracto, en tanto la determinación dependerá de las características específicas de cada tratamiento.
5. El tratamiento de datos personales de carácter identificativo y de contacto que permiten la identificación o comunicación con el titular, que no constituyen categorías especiales de datos, aun cuando se realice de forma habitual dentro del giro ordinario de una actividad económica, puede considerarse comprendido dentro del supuesto del numeral 3 del artículo 48 de la LOPDP?
En relación con el numeral 3 del artículo 48 de la LOPDP, el tratamiento de datos personales de carácter identificativo y de contacto —que no constituyen categorías especiales—, aun cuando se realice de forma habitual dentro del giro ordinario de una actividad económica, no puede considerarse comprendido automáticamente dentro del supuesto de tratamiento a gran escala. En atención a ello, esta Autoridad remite a lo señalado en la respuesta anterior, por cuanto no se introduce un nuevo elemento jurídico que amerite un análisis distinto. En consecuencia, la determinación de si dicho tratamiento se configura como realizado a gran escala deberá efectuarse caso por caso, correspondiendo al responsable o encargado del tratamiento evaluar si se cumplen los criterios establecidos en el RGLOPDP y en la resolución N° SPDP-SPD-2026-0005-R emitida por la SPDP, en función de las características específicas del tratamiento.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.