El Reglamento del Delegado de Protección de Datos Personales fue expedido por la SPDP el 30 de julio de 2025 mediante la Resolución SPDP-SPD-2025-0028-R. Establece las condiciones de designación, funciones, requisitos, impedimentos e independencia de quienes asuman esta figura. El plazo para registrar al DPD ante la SPDP para el sector privado corrió del 1 de noviembre al 31 de diciembre de 2025.
Ese plazo ya venció. Si su empresa estaba obligada y no cumplió, este artículo le dice qué hacer ahora. Si no está segura de si estaba obligada, también le sirve para identificarlo.
Qué es el DPD y por qué no es un cargo decorativo
El DPD (Data Protection Officer o DPO en inglés) es la persona natural encargada de asesorar y supervisar, con independencia, el cumplimiento de la normativa de protección de datos dentro de la organización, y de cooperar con la SPDP como punto de contacto. Tres características lo definen:
- Es persona natural — no puede ser una firma ni un departamento.
- Tiene autonomía funcional — no recibe instrucciones sobre el ejercicio de sus funciones.
- Reporta al más alto nivel jerárquico — directamente al representante legal o al directorio.
Esta autonomía no es teórica. La LOPDP y el Reglamento del DPD prohíben remover o sancionar al DPD por el desempeño de sus funciones, y cualquier acción injustificada en su contra puede ser denunciada ante la SPDP.
Quién está obligado a designar DPD
La obligación es automática para el sector público. Para el sector privado, el Reglamento del DPD (Resolución SPDP-SPD-2025-0028-R) establece los supuestos específicos. Los principales son:
| Sector / actividad | Tipo de dato o tratamiento |
|---|---|
| Entidades financieras | Datos financieros de clientes, a gran escala |
| Compañías aseguradoras, reaseguradoras, intermediarios | Datos de asegurados, salud de riesgos |
| Sector farmacéutico (laboratorios, distribuidoras, farmacias) | Datos de pacientes y prescripciones |
| Instituciones de salud obligadas a llevar historia clínica | Datos sensibles de salud |
| Instituciones educativas (inicial, básica, bachillerato, superior) | Datos de menores de edad + datos académicos |
| Telecomunicaciones | Datos de tráfico + contenido |
| Empresas con videovigilancia sistemática | Imagen (dato personal, a veces biométrico) |
| Actividades de geolocalización | Ubicación de titulares |
| Seguridad privada | Datos de personal + vigilancia |
| Actividades que impliquen tratamiento a gran escala, perfilamiento o monitoreo sistemático | Cualquier categoría |
| Tratamiento de categorías especiales de datos de menores | Datos sensibles de menores |
Esta lista no es taxativa. El criterio de fondo es si la actividad implica tratamiento a gran escala, datos sensibles, monitoreo sistemático o perfilamiento. Si su empresa no está en un sector listado pero hace perfilamiento de clientes o tratamiento masivo de datos sensibles, probablemente también aplica.
Requisitos para ser DPD
El artículo 55 del Reglamento General y el artículo 11 del Reglamento del DPD establecen los requisitos de perfil:
- Título de tercer nivel en Derecho, Sistemas de Información, de Comunicación o de Tecnologías.
- Cinco años de experiencia profesional verificable.
- Aprobación de un programa de profesionalización oficializado por la SPDP. Este último requisito será exigible a partir del 1 de enero de 2029; hasta entonces basta con el perfil académico y la experiencia.
Impedimentos
El DPD no puede ejercer funciones que comprometan su imparcialidad. En particular, no puede ser simultáneamente:
- Oficial de cumplimiento (UAFE, etc.)
- Oficial de seguridad de la información (CISO)
- Apoderado especial de entidades extranjeras
- Responsable directo de decisiones sobre tratamiento de datos
La lógica es que el DPD supervisa — no puede supervisarse a sí mismo. Un CISO puede ser el mejor conocedor técnico de la seguridad de datos en la empresa, pero por eso mismo no puede ser el DPD.
DPD interno o externo
El Reglamento permite ambas modalidades. Cada una tiene trade-offs:
- DPD interno: empleado de la organización con conocimiento profundo del contexto. Ventaja: velocidad. Riesgo: presión jerárquica, potencial compromiso de independencia si el reporte no llega al nivel adecuado.
- DPD externo: persona contratada como prestador de servicios (frecuentemente una firma legal o consultora). Ventaja: independencia estructural. Riesgo: menor conocimiento del contexto operativo del día a día.
En empresas medianas y grandes, un modelo híbrido funciona bien: un DPD interno acompañado por asesoría externa especializada para casos complejos.
Cómo formalizar la designación
La designación formal requiere un documento que incluya:
- Fecha del nombramiento.
- Identificación del responsable del tratamiento (razón social, RUC, representante legal).
- Datos del DPD: nombres completos, cédula, correo electrónico, teléfono, dirección.
- Funciones específicas asignadas (las del Art. 49 de la LOPDP y concordantes).
- Firma de aceptación del cargo por el DPD.
- Firma del representante legal de la organización.
El nombramiento debe registrarse ante la SPDP dentro de los 15 días posteriores a su otorgamiento si se hace con firma electrónica, a través del portal institucional. Si es en formato físico con firma manuscrita, el registro es presencial.
¿Quiere evaluar su exposición antes de actuar?
El checklist LOPDP tiene una categoría específica sobre DPD: le ayuda a confirmar si su empresa estaba obligada y qué áreas de riesgo adicionales tienen que atenderse con prioridad.
Ir al checklist LOPDPQué hacer si perdió el plazo del 31 de diciembre de 2025
Si su empresa estaba obligada y no registró al DPD, la respuesta no es esconder el incumplimiento. La SPDP permite registros extemporáneos y evalúa la diligencia posterior al graduar sanciones. El plan de acción concreto:
- Esta semana: designe formalmente al DPD con el documento descrito arriba.
- En los próximos 15 días: registre el nombramiento ante la SPDP, aunque sea extemporáneo.
- Documente las razones del retraso. Un acta interna con firma del representante legal que explique por qué no se cumplió y qué se está haciendo para regularizar. Esto es evidencia de diligencia si hay requerimiento.
- Fortalezca los demás pilares. Un DPD tardío acompañado de un RAT robusto, avisos de privacidad claros, acuerdos de encargado firmados y registros de atención ARCO pesa menos negativamente que un DPD tardío en medio de un expediente vacío.
- Si recibe requerimiento de la SPDP: responda dentro del plazo con la evidencia de la regularización y las acciones correctivas adoptadas. No ignore el requerimiento — el incumplimiento de medidas correctivas es agravante.
Qué hace el DPD día a día
Las funciones están definidas en la LOPDP y el Reglamento del DPD. Las operativas:
- Asesorar en análisis de riesgos y evaluaciones de impacto de privacidad.
- Supervisar el cumplimiento del RAT.
- Coordinar la atención de derechos ARCO y mantener el registro.
- Capacitar al personal en LOPDP aplicada a sus funciones.
- Revisar contratos con encargados y transferencias internacionales.
- Gestionar incidentes de seguridad que involucren datos personales.
- Actuar como punto de contacto ante la SPDP y ante los titulares que quieran ejercer derechos.
- Reportar al más alto nivel jerárquico el estado del programa de cumplimiento.
Preguntas frecuentes
¿Mi empresa de 50 empleados en el sector retail está obligada?
Depende del tratamiento. El retail tradicional sin programa de fidelización sistemático, sin videovigilancia a gran escala y sin datos sensibles probablemente no. El retail con programa de fidelización que perfile clientes, e-commerce con tracking avanzado, o retail de productos sensibles (farmacia, óptica) sí puede caer en la obligación.
¿Puedo contratar a un abogado externo como DPD?
Sí. Es una práctica común. El abogado externo firma como DPD, la empresa lo registra ante la SPDP, y el contrato de servicios define alcance, responsabilidades e independencia. Asegúrese de que el contrato incluya la cláusula de independencia y el reporte directo al más alto nivel.
¿El DPD tiene responsabilidad personal si mi empresa incumple?
El DPD asesora y supervisa, pero la responsabilidad del tratamiento recae en el responsable (la empresa). La responsabilidad del DPD es profesional: puede haber consecuencias civiles o laborales por negligencia grave en su rol, pero no se traslada la responsabilidad administrativa ante la SPDP.
¿Cuánto cuesta tener un DPD?
Varía. Un DPD externo en Ecuador va típicamente de USD 800 a USD 3,000 mensuales según el tamaño de la empresa y la complejidad del tratamiento. Un DPD interno depende del salario base del profesional. Para una empresa mediana de 100-300 empleados, un DPD externo dedicado parcial suele ser la ruta costo-efectiva.
¿Si tengo oficial de cumplimiento UAFE, ese mismo puede ser DPD?
No. El Reglamento del DPD prohíbe que el DPD asuma roles que comprometan su imparcialidad, y oficial de cumplimiento es explícitamente uno de ellos. Son dos personas o dos roles distintos.
Conclusión
El DPD no es un trámite, es una figura de gobierno. Si su empresa está obligada y no lo designó a tiempo, el camino es regularizar con diligencia documentada, no esperar a que la SPDP toque la puerta. Y si no está seguro de si está obligada, el checklist LOPDP tiene una categoría específica para responder exactamente esa pregunta en tres preguntas concretas.