A través de la Resolución SPDP-SPD-2025-0028-R, la Superintendencia de Protección de Datos Personales (SPDP) ha publicado el Reglamento del Delegado de Protección de Datos Personales, que complementa las disposiciones de la Ley Orgánica de Protección de Datos Personales (LOPDP) y su reglamento. Este texto desarrolla con precisión los procedimientos y exigencias en torno al nombramiento, registro, funciones, independencia y protección del delegado.
Objeto y cobertura
El reglamento tiene como propósito establecer las reglas que guían el accionar del delegado de protección de datos, entendido como figura asesora e independiente encargada de vigilar el cumplimiento normativo en materia de datos personales. Se aplica tanto al sector público como al sector privado, incluyendo responsables y encargados del tratamiento, ya sean nacionales o extranjeros, que operen en territorio ecuatoriano o cuyos efectos lo impacten.
Sobre la designación y el registro
El acto de nombramiento del delegado debe contener información clara y completa: la identificación del responsable o encargado del tratamiento, los datos del delegado seleccionado, sus funciones asignadas y los documentos legales que respalden el nombramiento.
El registro deberá realizarse ante la SPDP, ya sea de forma electrónica o presencial, según el caso. La Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales tendrá a su cargo la inscripción oficial. Si dicho registro no se efectúa dentro del plazo fijado, se considerará una infracción al cumplimiento de las medidas de seguridad jurídica previstas.
Áreas donde es obligatorio designar delegado
Además del ámbito estatal, la normativa señala catorce sectores en los cuales las entidades privadas están obligadas a contar con un delegado de protección de datos:
- Instituciones educativas (inicial, básica, bachillerato) y entidades que gestionen datos de menores.
- Instituciones de educación superior, públicas o privadas.
- Actividades que impliquen tratamiento de datos sensibles o especiales de menores.
- Entidades del sistema financiero.
- Seguros, reaseguros, intermediarios y operadores de servicios aseguradores.
- Empresas dedicadas a publicidad, prospección comercial o investigación de mercados que generen perfiles.
- Instituciones de salud que gestionen historias clínicas (excepto profesionales con ejercicio individual).
- Laboratorios, farmacias y actores del sector farmacéutico.
- Empresas de seguridad privada y administradoras de propiedades con control de acceso.
- Federaciones, asociaciones, clubes o academias deportivas.
- Colegios profesionales o gremios.
- Prestadores privados de servicios de telecomunicaciones.
- Empresas que operen videovigilancia masiva, geolocalización o tecnologías de IA.
- Concesionarios de servicios públicos o alianzas público-privadas vinculadas a distribución de servicios.
Requisitos e incompatibilidades
El delegado debe cumplir los requisitos que fija el Reglamento General de la LOPDP, incluyendo haber acreditado el Programa Profesionalizante autorizado por la SPDP. Además, se establecen restricciones para preservar su autonomía: no podrá ocupar cargos jerárquicos en la administración pública ni desempeñar funciones vinculadas al cumplimiento legal, seguridad de información o en la operación directa del tratamiento. Tampoco podrá asumir tareas que comprometan su independencia frente al responsable o encargado del tratamiento.
Garantías de independencia y protección
El reglamento prevé mecanismos para proteger la independencia del delegado, como canales para denuncias en caso de represalias. Las entidades deben asegurar que el delegado tenga acceso directo a instancias ejecutivas y dotarlo de recursos adecuados para cumplir sus funciones. Evaluaciones sobre su desempeño deben realizarse bajo criterios institucionales, sin elementos jerárquicos que comprometan su autonomía.
Plazos y medidas transitorias
- Los nombramientos anteriores a la entrada en vigencia del reglamento seguirán siendo válidos, siempre que satisfagan los nuevos requisitos.
- Las entidades privadas tendrán como plazo para realizar el registro digital del delegado entre el 1 de noviembre y el 31 de diciembre de 2025.
- La exigencia de haber completado el Programa Profesionalizante comenzará a regir desde el 1 de enero de 2029.
- En un plazo máximo de seis (6) meses, la SPDP deberá implementar un sistema para gestionar quejas o denuncias por remociones injustificadas del delegado.
Reformas al Programa Profesionalizante
La resolución introduce ajustes al régimen del Programa Profesionalizante, otorgando facultades a instituciones de educación superior para solicitar su reconocimiento ante la SPDP, así como determinar condiciones para el uso de su imagen institucional.