Delegado de protección de datos en Ecuador: quiénes deben designarlo, requisitos y funciones

¿Qué es el delegado de protección de datos?

Es la persona natural que informa al responsable o al encargado sobre sus obligaciones legales de protección de datos, supervisa que se cumplan, coopera con la autoridad y sirve de punto de contacto con ella (LOPDP, art. 4). El Reglamento General precisa que su papel es asesorar, velar y supervisar con independencia (art. 48).

Ojo con el error más común: el delegado no es quien implementa la ley. Implementar, ejecutar la evaluación de impacto o decidir para qué se usan los datos le corresponde al responsable y al encargado; el delegado supervisa y aconseja (Reglamento del Delegado, art. 15).

¿Quiénes están obligados a designar un delegado?

Por la LOPDP y su reglamento

El artículo 48 de la LOPDP exige delegado cuando el tratamiento lo hace el sector público (art. 225 de la Constitución); cuando las actividades requieren un control permanente y sistematizado por su volumen, naturaleza, alcance o fines; y cuando hay tratamiento a gran escala de categorías especiales de datos. La Superintendencia puede fijar nuevos casos (art. 48, último inciso).

El Reglamento General da criterios. El control es permanente si el tratamiento es continuado, recurrente o periódico, y sistematizado si es metódico, parte de un plan general de recogida o de una estrategia (art. 53). Considera de gran escala, por ejemplo, los datos de pacientes de un hospital, los de clientes de aseguradoras e instituciones financieras y los de proveedores de telefonía o internet (art. 4, num. 7). Si hay duda, puedes consultar a la Superintendencia (art. 53).

Por el Reglamento del Delegado: 14 actividades

El Reglamento del Delegado (Resolución SPDP-SPD-2025-0028-R, publicada en el Registro Oficial n.º 105 del 19 de agosto de 2025, como recoge la Resolución SPDP-SPD-2026-0022-R) obliga a quienes se dedican de forma habitual a estas actividades, aunque no tengan fines de lucro (art. 10):

La Superintendencia aclaró en una consulta absuelta, como criterio no vinculante, que quien trata datos de menores solo para cumplir obligaciones laborales o tributarias no queda obligado por la causal del numeral 10.3, porque ese tratamiento no es su actividad habitual; otra causal sí podría obligarlo.

Por la norma de gran escala (2026)

La Resolución SPDP-SPD-2026-0005-R creó un modelo de seis variables. Se califica cada tratamiento y, si suma 6 puntos o más, es de gran escala: exige delegado, evaluación de impacto, registro en el registro de actividades y medidas reforzadas (arts. 10 y 12).

Ejemplo de cálculo: una base de 25.000 clientes (3), con 15 tipos de datos (1), solo datos básicos (0,5), uso continuo (2), por más de tres años (2) y alcance nacional (2) suma 10,5 puntos. Haz la cuenta por cada tratamiento: con esta fórmula, incluso tratamientos medianos pueden llegar al umbral. Además, ciertos tratamientos son de gran escala sin cálculo, como los de salud y otros datos sensibles, los biométricos, la geolocalización, la información crediticia y los datos de niñas, niños y adolescentes en entornos institucionales o digitales (art. 14). La norma dio 90 días desde su vigencia para designar y registrar al delegado a quienes resultaran de gran escala (Disposición Transitoria).

¿Qué requisitos debe cumplir el delegado?

El Reglamento General exige cuatro (art. 55): estar en goce de los derechos políticos; ser mayor de edad; tener título de tercer nivel en Derecho, Sistemas de Información, Comunicación o Tecnologías; y acreditar al menos cinco años de experiencia profesional. El Reglamento del Delegado agrega aprobar el programa profesionalizante oficializado por la Superintendencia (art. 11), exigible desde el 1 de enero de 2029 (Disposición Transitoria Séptima).

No pueden ser delegados (art. 56 del Reglamento General y art. 16 del Reglamento del Delegado):

• quienes integran los órganos de administración o control de la organización, y sus socios o accionistas;
• cónyuges y parientes, hasta el cuarto grado de consanguinidad o segundo de afinidad, de administradores, directores o comisarios;
• el oficial de seguridad de la información y el oficial de cumplimiento de la misma organización;
• los apoderados especiales de responsables o encargados extranjeros, y quienes ocupan cargos del nivel jerárquico superior en el sector público.

Antes de aceptar, el candidato debe declarar cualquier conflicto de intereses real, potencial o aparente (art. 17). Hay conflicto, por ejemplo, si ejecuta tratamientos de datos o toma decisiones sobre la organización (art. 18).

¿Puede ser interno, externo o compartido?

Puede estar en relación de dependencia o contratado por servicios, siempre con independencia (art. 49 del Reglamento General). El delegado es siempre una persona natural (art. 4 de la LOPDP); las empresas consultoras domiciliadas en Ecuador pueden prestar soporte, asesoría o implementación (art. 12 del Reglamento del Delegado). Un grupo empresarial puede tener un único delegado si no genera conflicto de intereses (art. 50), y cualquier organización puede nombrar un suplente o designar un delegado de forma voluntaria como buena práctica (art. 52). En el sector público lo designa la máxima autoridad (art. 49).

¿Qué hace el delegado y qué no puede hacer?

Si incumple sus funciones responde administrativa, civil y penalmente (LOPDP art. 49), pero no responde por las decisiones finales del responsable si demuestra que actuó con diligencia (art. 13 del Reglamento del Delegado).

¿Cómo se nombra y se inscribe?

Lo designa el representante legal, la persona natural responsable o la máxima autoridad de la entidad pública (art. 3). El nombramiento debe incluir fecha, datos y RUC de la organización, datos del representante y del delegado, sus funciones, firmas, la aceptación del delegado y los documentos que acrediten la representación y la existencia legal de la organización (art. 4). Se inscribe en la Superintendencia en el término de 15 días, por su portal si tiene firma electrónica o en forma presencial si es en papel; la inscripción tardía se acepta, pero cuenta como incumplimiento de una medida de seguridad jurídica (art. 5). La Superintendencia publica una lista con los datos de contacto profesionales del delegado, y la inscripción no valida por sí sola su idoneidad (arts. 6 y 7).

¿Qué garantías tiene el delegado?

La organización debe darle participación oportuna, acceso a la información y recursos, y capacitación; no puede destituirlo ni sancionarlo por cumplir bien sus funciones; el delegado mantiene relación directa con el más alto nivel ejecutivo y guarda estricta confidencialidad (LOPDP art. 50; Reglamento General arts. 51 y 57). Cada año, la organización debe evaluar los mecanismos que garantizan su independencia (art. 22 del Reglamento del Delegado). Si sufre represalias, puede denunciar ante la Superintendencia con el formulario de la Resolución SPDP-SPD-2026-0022-R, que analiza el caso y puede recomendar un procedimiento sancionador contra la organización (arts. 3 a 9).

¿Qué pasa si la empresa no lo designa?

No designarlo cuando corresponde es infracción grave (LOPDP art. 68, num. 12): multa de 0,7 % a 1 % del volumen de negocios para empresas privadas y públicas, y de 10 a 20 salarios básicos unificados para servidores públicos (art. 72). Para el sector privado obligado, el Reglamento del Delegado abrió una ventana de registro del 1 de noviembre al 31 de diciembre de 2025 (Disposición Transitoria Tercera). Las normas de la Superintendencia se actualizan con frecuencia; revisa su página de resoluciones antes de decidir. El panorama completo está en la guía de la Ley de Protección de Datos Personales.

Pasos para designar al delegado

1. Revisa los casos de la ley, las 14 actividades y el cálculo de gran escala de cada tratamiento.
2. Define el perfil: requisitos del artículo 55 y ausencia de impedimentos y conflictos.
3. Decide la modalidad: nómina, servicios o delegado de grupo.
4. Firma el nombramiento con los nueve elementos del artículo 4 y la aceptación del delegado.
5. Inscríbelo en la Superintendencia dentro de 15 días.
6. Dale acceso, recursos y línea directa con la gerencia general.
7. Evalúa cada año los mecanismos de independencia.

Si tu empresa usa agentes de inteligencia artificial, el delegado necesitará evidencia de cada tratamiento. El módulo de cumplimiento LOPDP de Advise arma la evaluación de impacto, el registro de actividades y la auditoría de los agentes en producción.