Mediante Resolución No. SPDP-SPD-2025-0028-R, de 30 de julio de 2025, la Superintendencia de Protección de Datos Personales (SPDP) expidió el Reglamento del Delegado de Protección de Datos Personales. Esta norma desarrolla y precisa las disposiciones previstas en la Ley Orgánica de Protección de Datos Personales y su reglamento, regulando de forma detallada el proceso de designación, los requisitos de registro, el alcance de las funciones, las garantías de independencia y los mecanismos de protección aplicables a esta figura.
Objeto y ámbito de aplicación
El reglamento regula las actividades de los delegados de protección de datos personales en su calidad de asesores independientes responsables de supervisar el cumplimiento normativo en materia de datos personales. Es aplicable tanto al sector público como privado, incluyendo responsables y encargados de tratamiento, nacionales o extranjeros.
Designación, nombramiento y registro
- El nombramiento debe contener información específica como los datos del responsable o encargado del tratamiento, del delegado designado, las funciones que cumplirá y los documentos que acrediten la representación legal.
- El registro podrá realizarse en línea o presencialmente según la forma del nombramiento. El incumplimiento del registro en el plazo establecido será considerado una falta de cumplimiento de medidas de seguridad de carácter jurídico.
- El nombramiento surte efecto desde la fecha de su emisión y será inscrito por la Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales.
Designaciones obligatorias
Además del sector público, la resolución identifica las siguientes catorce (14) actividades en las que es obligatoria la designación de un delegado de protección de datos personales:
- Instituciones de educación inicial, educación general básica y bachillerato (públicas, fiscomisionales y particulares), así como cualquier otra institución que trate datos de menores de edad, incluso fuera del ámbito educativo.
- Instituciones de educación superior públicas o privadas.
- Actividades que impliquen tratamiento de categorías especiales de datos personales de menores de edad.
- Entidades financieras que accedan o traten directa o indirectamente datos personales.
- Compañías aseguradoras, reaseguradoras, intermediarios, asesores, agentes y prestadores del sector asegurador.
- Empresas que realicen actividades de publicidad, prospección comercial o investigación de mercados mediante elaboración de perfiles o análisis de intereses o comportamientos.
- Actores del sistema de salud obligados a mantener historias clínicas, salvo profesionales de salud que ejerzan de forma individual.
- Establecimientos del sector farmacéutico en actividades de producción, distribución o comercialización de medicamentos, incluidos laboratorios y farmacias.
- Empresas de seguridad privada y administradores de urbanizaciones, conjuntos residenciales o propiedades horizontales que gestionen controles de acceso.
- Federaciones, asociaciones, clubes o academias deportivas.
- Colegios o gremios profesionales.
- Prestadores privados de servicios de telecomunicaciones.
- Prestadores de servicios de videovigilancia masiva, geolocalización o tecnologías de la información, incluyendo inteligencia artificial.
- Concesionarios de servicios públicos y alianzas público-privadas que distribuyan o suministren dichos servicios.
Requisitos y limitaciones
- Los delegados deben cumplir con los requisitos establecidos en el RGLOPDP y aprobar obligatoriamente el Programa Profesionalizante aprobado por la SPDP.
- Se establecen impedimentos específicos para garantizar su independencia, incluyendo la prohibición de ocupar cargos jerárquicos en el sector público, o funciones como oficial de cumplimiento o seguridad de la información.
- Se prohíbe que ejecuten funciones que correspondan directamente al responsable o encargado del tratamiento.
Protección e independencia del delegado
- La SPDP establece mecanismos de denuncia y sanción en caso de que se vulnere la independencia del delegado o se ejerzan represalias en su contra.
- Los responsables o encargados del tratamiento deben implementar mecanismos institucionales para garantizar dicha independencia, incluyendo acceso directo al nivel ejecutivo y provisión de recursos adecuados.
- Cualquier evaluación de su labor deberá ser institucional, no jerárquica, y no podrá utilizarse como mecanismo de presión.
Plazos y disposiciones transitorias
- Los nombramientos otorgados antes de la vigencia del reglamento serán válidos siempre que cumplan con los requisitos establecidos.
- El registro digital para el sector privado deberá realizarse entre el 1 de noviembre y el 31 de diciembre de 2025.
- El artículo que exige haber aprobado el Programa Profesionalizante entrará en vigor el 1 de enero de 2029.
- La SPDP desarrollará en seis meses el sistema para la gestión de quejas en caso de remoción o sanción injustificada del delegado.
Disposiciones reformatorias
La resolución incorpora reformas al Reglamento del Programa Profesionalizante, permitiendo a instituciones de educación superior solicitar su aprobación ante la SPDP y usar su imagen institucional bajo condiciones específicas.
