Delegado de protección de datos en Ecuador: quién está obligado, requisitos y plazos (2026)

Qué es el delegado de protección de datos

El delegado de protección de datos personales (DPD) es la persona que vigila, dentro de una organización, que el tratamiento de datos cumpla la Ley Orgánica de Protección de Datos Personales (LOPDP). Lo crea el art. 48 de la ley, lo desarrolla el Reglamento General (arts. 48 a 57) y lo regula en detalle la Resolución SPDP-SPD-2025-0028-R, publicada en el Registro Oficial 105 del 19 de agosto de 2025. Es el equivalente ecuatoriano del DPO europeo.

No es un cargo decorativo: la Superintendencia de Protección de Datos Personales (SPDP) lo usa como punto de contacto y su ausencia, cuando es obligatorio, es infracción grave (art. 68.12), sancionada con el 0.7% al 1% del volumen de negocio del año anterior.

Quién está obligado

Hay cuatro puertas de entrada. Basta con estar en una.

1. Sector público

Toda entidad pública y empresa pública (art. 48.1 de la ley).

2. Control permanente y sistematizado de personas

El art. 48.2 obliga a quien, por su actividad, realice un tratamiento que requiera control permanente y sistematizado por su volumen o naturaleza. El Reglamento (art. 53) lo aterriza: tratamiento continuo, recurrente, organizado o parte de una estrategia. Un CRM con seguimiento de clientes, un programa de fidelización o cuentas de usuario con historial entran en esa descripción. Es la puerta más ambigua y la que más consultas genera.

3. Categorías especiales a gran escala

Datos de salud, biométricos, origen étnico, orientación sexual, afiliación política o sindical, entre otros (art. 26), cuando se tratan a gran escala. Qué es «gran escala» lo define la Resolución SPDP-SPD-2026-0005-R con un puntaje (umbral de 6 puntos) y una lista de calificación directa: salud, perfilado, videovigilancia, biométricos, geolocalización, crédito, datos de menores, transferencias sistemáticas y courier.

4. La lista de sectores de la Resolución 0028

El art. 10 de la resolución enumera actividades que quedan obligadas por el solo hecho de ejercerlas:

• Educación, y en general quien trate datos de niños, niñas y adolescentes
• Sector financiero, cooperativas de ahorro y crédito, seguros
• Publicidad, prospección comercial e investigación de mercados con elaboración de perfiles
• Salud y farmacéutico
• Seguridad privada, videovigilancia masiva y administración de conjuntos residenciales
• Deporte profesional, gremios y asociaciones
• Telecomunicaciones y concesionarias de servicios públicos
• Empresas de tecnologías de la información e inteligencia artificial
• Quien ofrezca geolocalización de titulares

Si tu negocio es comercio, restaurante, turismo, manufactura o servicios profesionales y no haces seguimiento sistemático de personas, probablemente no estás obligado. Puedes designar uno de forma voluntaria (Reglamento art. 52), y en caso de duda puedes presentar una consulta gratuita a la SPDP (consultas@spdp.gob.ec, Res. SPDP-SPDP-2024-0012-R): responde en hasta 30 días y su criterio, aunque no es vinculante, es la posición oficial por escrito.

Requisitos del delegado

• Título de tercer nivel en Derecho, Comunicación, Sistemas o Tecnologías de la Información, y cinco años de experiencia.
• Desde el 1 de enero de 2029 será exigible además el programa profesionalizante que fija la SPDP (Res. SPDP-SPD-2025-0004-R).
• No puede ser accionista, directivo, oficial de cumplimiento ni de seguridad de la misma organización. Tiene que poder decir que no.
• Puede ser interno o externo (una persona natural contratada o una firma). Varias pymes pueden compartir uno.

Cómo se nombra y se registra

1. Nombramiento formal por escrito con los nueve elementos del art. 4 de la resolución (identificación del responsable y del delegado, funciones, recursos, canal de contacto, fecha, entre otros).
2. Registro en el portal de la SPDP en un plazo de 15 días término desde el nombramiento. El trámite está en gob.ec.
3. Publicar el contacto del delegado en la política de privacidad (es el punto 9 de los 17 que exige el art. 12).

Plazos: la ventana ya venció

Para el sector privado la ventana de registro fue del 1 de noviembre al 31 de diciembre de 2025. Según el informe de rendición de cuentas de la SPDP, 10.586 organizaciones privadas registraron delegado en 2025. Si estás obligado y no lo hiciste, registrar tarde sigue siendo mejor que no registrar: la resolución trata el registro tardío como la falta de una medida, no como el incumplimiento total. Quien califique como gran escala bajo la norma de febrero de 2026 tiene 90 días desde su vigencia para designar y registrar.

Qué hacer si no estás obligado

Nada te exime del resto de la ley. Con o sin delegado necesitas una política de privacidad con los 17 contenidos del art. 12, consentimiento con acción afirmativa (art. 8), un canal para que las personas ejerzan sus derechos en 15 días (arts. 13 a 17) y el registro de actividades de tratamiento. Eso es lo que resuelve un sitio web en una tarde.

Fuentes

• LOPDP, arts. 26, 48, 68 y 71 a 73.
• Reglamento General a la LOPDP (Decreto Ejecutivo 904), arts. 48 a 57.
• Res. SPDP-SPD-2025-0028-R, Reglamento del delegado de protección de datos (RO 105, 19 ago 2025).
• Res. SPDP-SPD-2026-0005-R, Norma sobre tratamiento a gran escala.
• Informe de rendición de cuentas 2025 de la SPDP (abril 2026).