Delegado de Protección de Datos en Ecuador 2026: obligados, requisitos y plan de acción

Designar un Delegado de Protección de Datos (DPD) no consiste en añadir un nombre a un organigrama. En Ecuador, esta figura tiene funciones de asesoramiento, supervisión y contacto dentro del sistema de cumplimiento de la Ley Orgánica de Protección de Datos Personales (LOPDP). Su trabajo exige independencia, conocimientos específicos y acceso suficiente a los procesos donde se recogen, usan, comparten y conservan datos personales.

La Superintendencia de Protección de Datos Personales (SPDP) expidió en 2025 el Reglamento del Delegado de Protección de Datos Personales. Durante 2026, la autoridad publicó respuestas técnicas que ayudan a interpretar situaciones concretas, entre ellas la obligación para determinadas empresas de tecnologías de la información y la relación entre el DPD y el registro de actividades de tratamiento. Estas respuestas deben leerse completas y dentro de su alcance: una consulta técnica no reemplaza el análisis jurídico de cada organización.

Esta guía explica cómo identificar si una entidad podría estar obligada, qué requisitos debe revisar, cómo separar responsabilidades y qué pasos permiten implementar la función de manera útil. El contenido es informativo y no constituye asesoría legal.

Qué es un Delegado de Protección de Datos

El DPD es una persona natural que asesora y supervisa el cumplimiento en materia de protección de datos dentro de una organización. También sirve como punto de contacto para la autoridad y contribuye a que las solicitudes de los titulares se atiendan con orden. Su función no es operar cada base de datos ni aprobar en solitario todas las decisiones.

La responsabilidad principal sobre el tratamiento permanece en el responsable y, cuando corresponde, en el encargado. Si una empresa decide para qué y cómo se usan los datos, no puede trasladar esa responsabilidad al DPD. El delegado observa, advierte, recomienda y verifica; la dirección y los dueños de procesos deben actuar.

Quiénes deben designar un DPD en Ecuador

La obligación no depende solo del tamaño de la nómina. La LOPDP, su Reglamento General y la normativa emitida por la SPDP establecen supuestos que deben revisarse en conjunto. Entre ellos aparecen instituciones públicas, tratamientos que requieren control permanente y sistematizado por su volumen, naturaleza, alcance o finalidad, y categorías específicas definidas por la autoridad.

El Reglamento del DPD de 2025 amplió y detalló actividades donde la designación es obligatoria. La lista incluye, entre otros supuestos, instituciones educativas y organizaciones que tratan datos de menores; ciertas actividades financieras, de seguros, salud, telecomunicaciones y servicios públicos; empresas que ofrecen videovigilancia masiva, geolocalización o servicios de tecnologías de la información; y entidades dedicadas al desarrollo, implementación o despliegue de inteligencia artificial, según las condiciones de la norma.

No conviene usar esta enumeración resumida como respuesta automática. Una empresa debe analizar qué actividad realiza, qué papel ocupa respecto de los datos y cómo trata la información en la práctica.

El caso de empresas de tecnología y consultoría

En una consulta publicada en 2026, la SPDP abordó si el supuesto relativo a servicios de tecnologías de la información se limita a empresas cuyo servicio implica necesariamente tratar datos personales. La respuesta técnica indicó que también puede alcanzar a consultoras de transformación digital o procesos cuando, al prestar sus servicios, actúan como responsables o encargados y efectivamente tratan datos personales en alguna etapa del ciclo de vida.

La consecuencia práctica es importante: el objeto social o la etiqueta “empresa tecnológica” no resuelve por sí sola el análisis. Hay que verificar los servicios reales, contratos, accesos, ambientes de prueba, soporte, migraciones, analítica y cualquier actividad donde aparezcan datos identificados o identificables. Si la entidad no trata datos personales, la consulta señala que ese supuesto específico no se configuraría.

DPD y registro de actividades de tratamiento no son lo mismo

Otra consulta de 2026 aclaró que la obligación de llevar un registro de actividades de tratamiento (RAT) y la obligación de designar un DPD son independientes. El hecho de estar obligado a documentar actividades por contar con cien o más trabajadores no crea, por sí mismo, una obligación adicional de designar delegado. A la inversa, una organización puede estar obligada a tener DPD por la naturaleza de su actividad aunque deba analizar por separado el alcance de su RAT.

Esta distinción evita dos errores: nombrar un delegado solo por superar un número de trabajadores o asumir que una empresa sin RAT obligatorio queda fuera de todos los supuestos de designación.

Cómo realizar un análisis de obligatoriedad

Conviene documentar el análisis en lugar de depender de una conversación informal. Una matriz breve puede incluir estas preguntas:

Registra quién hizo el análisis, qué fuentes consultó y cuándo debe revisarse. Un cambio de servicio, una nueva aplicación de IA, una adquisición o el tratamiento de datos de otra categoría puede modificar la conclusión.

Qué requisitos debe cumplir el delegado

La normativa exige revisar requisitos profesionales, independencia, incompatibilidades y formación. El reglamento de 2025 señala que el DPD debe ser una persona natural. Puede existir una relación de dependencia o una prestación de servicios, pero la función no se entrega a una persona jurídica como si ella misma fuera el delegado.

La SPDP también estableció un contenido mínimo de formación mediante un programa profesionalizante. Las consultas publicadas por la autoridad indican que su aprobación es un requisito específico y que otras maestrías, posgrados o certificaciones no lo sustituyen automáticamente. Antes de contratar o designar, verifica la normativa vigente, los procedimientos de registro y la evidencia aceptada por la autoridad.

Independencia y conflicto de interés

El DPD debe poder emitir recomendaciones sin recibir instrucciones sobre la conclusión de su análisis. Esto no significa que trabaje aislado. Necesita conversar con legal, seguridad, tecnología, Recursos Humanos, marketing, compras y dirección. La independencia se protege con una línea de reporte adecuada, acceso a información, recursos y ausencia de represalias por señalar riesgos.

También deben evaluarse conflictos de interés. Una persona que decide las finalidades y medios de un tratamiento puede tener dificultades para supervisar objetivamente esa misma decisión. Revisa responsabilidades reales, poder de decisión y estructura, no solo el título del cargo.

Funciones del DPD y responsabilidades de la empresa

Un buen modelo evita convertir al delegado en dueño de todo. Marketing sigue siendo responsable de revisar formularios y campañas; Recursos Humanos, de proteger expedientes y datos de salud; tecnología, de los controles técnicos; compras, de evaluar proveedores; y dirección, de aceptar o tratar riesgos.

Plan de acción de 60 días

Días 1 a 10: determinar alcance

• Identificar entidades legales, sedes, servicios y procesos.
• Mapear datos, titulares, finalidades, sistemas y terceros.
• Definir roles de responsable y encargado.
• Revisar los supuestos de designación con fuentes oficiales.
• Documentar la conclusión y dudas que requieren asesoría.

Días 11 a 20: seleccionar y formalizar

• Definir perfil, dedicación, recursos y línea de reporte.
• Verificar formación obligatoria, experiencia e incompatibilidades.
• Formalizar la designación y completar el registro aplicable.
• Comunicar datos de contacto y un canal interno.

Días 21 a 40: construir la base de trabajo

• Priorizar tratamientos de mayor riesgo.
• Revisar el RAT cuando corresponda.
• Crear un calendario de revisiones y evaluaciones de impacto.
• Ordenar solicitudes de titulares, incidentes y contratos con encargados.
• Definir cómo se documentarán recomendaciones y decisiones.

Días 41 a 60: formar, probar y reportar

• Capacitar por rol con ejemplos reales y datos anonimizados.
• Simular una solicitud de acceso o eliminación.
• Ejecutar un ejercicio de incidente con tecnología y comunicación.
• Presentar a dirección riesgos, decisiones y responsables.
• Acordar indicadores y frecuencia de seguimiento.

Qué revisar al usar inteligencia artificial

Una herramienta de IA puede resumir currículos, clasificar solicitudes, redactar mensajes o analizar conversaciones. Antes de ingresar datos personales, la empresa debe entender la finalidad, base aplicable, proveedor, transferencias, retención, seguridad y posibilidad de decisiones automatizadas. El DPD puede asesorar, pero el dueño del proceso debe explicar por qué necesita esos datos y cómo revisará el resultado.

Empieza con datos ficticios o anonimizados cuando sea posible. Prohíbe el ingreso de categorías especiales en herramientas no aprobadas, define revisión humana y documenta pruebas de sesgo o error cuando la salida pueda afectar a una persona. La velocidad no justifica perder trazabilidad.

Errores frecuentes al implementar la función

• Nombrar por formalidad: un DPD sin acceso, tiempo o presupuesto no puede supervisar.
• Confundir asesorar con decidir: la organización conserva sus responsabilidades.
• Asignar un cargo incompatible: revisa si la persona controla lo que debería supervisar.
• Ignorar a proveedores: soporte, nube, nómina y marketing pueden tratar datos por la empresa.
• Centralizar todas las tareas: cada área debe aplicar controles dentro de su proceso.
• No registrar discrepancias: si dirección no sigue una recomendación, conviene documentar el análisis y la decisión.
• Capacitar con teoría genérica: los equipos necesitan practicar situaciones de su trabajo.

Indicadores para una función útil

Mide el porcentaje de tratamientos inventariados, solicitudes respondidas dentro del plazo aplicable, proveedores críticos revisados, evaluaciones de impacto completadas, incidentes escalados a tiempo y acciones correctivas cerradas. Añade indicadores de formación: cobertura por rol, resultado de casos prácticos y reincidencia de errores.

Los indicadores no deben premiar que no se reporten problemas. Un aumento inicial de consultas e incidentes menores puede reflejar una cultura más abierta. Lo importante es mejorar la respuesta, reducir riesgos repetidos y mostrar decisiones trazables.

El DPD necesita una organización que también asuma su parte

El valor del Delegado de Protección de Datos aparece cuando su conocimiento se convierte en mejores formularios, accesos, contratos, sistemas, campañas y decisiones. La designación puede ser obligatoria, pero la madurez se construye con responsables claros y personas capaces de aplicar criterios de privacidad en el trabajo diario.

Si tu empresa necesita fortalecer las capacidades de Recursos Humanos, tecnología y liderazgo para manejar datos con mayor criterio, conoce G-Talent HR. La formación aplicada ayuda a convertir políticas en prácticas: recopilar solo lo necesario, proteger accesos, evaluar herramientas de IA y escalar incidentes a tiempo.

Aviso: esta guía es informativa y no constituye asesoría legal. Revisa la LOPDP, su Reglamento General, las resoluciones y procedimientos vigentes de la SPDP, y obtén asesoría especializada para tu caso.