Autor: Susana Recalde
Mediante Oficio No. SPDP-IRD-2025-0197-O, la Superintendencia de Protección de Datos Personales (SPDP) absolvió una consulta sobre los impedimentos para ejercer simultáneamente los cargos de delegado de protección de datos personales (DPD), oficial de cumplimiento (OC), oficial de seguridad de la información (OSI) y apoderado especial. En ese contexto, aclaró las funciones y naturaleza de cada cargo.
Delegado de protección de datos personales (DPD)
Es una persona natural independiente y profesional, con título en derecho, sistemas, comunicación o tecnologías, y al menos cinco años de experiencia profesional (art. 55 del Reglamento General a la LOPDP). No puede tener conflictos de interés ni formar parte de los órganos de administración o control del responsable o encargado (art. 56). Su función principal es asesorar, supervisar y cooperar con la SPDP, garantizando el cumplimiento normativo con independencia e imparcialidad.
Oficial de cumplimiento (OC)
Tiene a su cargo la vigilancia del sistema de cumplimiento normativo de la organización, incluyendo la prevención de lavado de activos. Forma parte del órgano de control interno.
Incompatibilidad: no puede ejercer simultáneamente como DPD, ya que sus funciones de supervisión interna generan un conflicto de intereses y vulneran el principio de independencia previsto en los artículos 55 y 56 del Reglamento.
Oficial de seguridad de la información (OSI)
Es responsable de implementar y controlar las medidas de seguridad de la información, supervisar riesgos, incidentes y cumplimiento de políticas técnicas.
Incompatibilidad: no puede desempeñar al mismo tiempo el cargo de DPD, porque ejecuta y controla las medidas que el delegado debe evaluar, lo que implicaría una autoevaluación incompatible con la independencia funcional exigida por la LOPDP.
Apoderado especial
Representa legalmente a un responsable o encargado extranjero ante la SPDP, con amplias facultades de representación jurídica y operativa.
Incompatibilidad: no puede ejercer simultáneamente como DPD, dado que actúa en nombre y por cuenta del responsable o encargado, lo que lo convierte en parte del órgano de dirección y decisión, en contravención del principio de independencia e imparcialidad establecido en el artículo 56 del Reglamento.
Conclusión de la SPDP
La SPDP determinó que el cargo de delegado de protección de datos personales debe ejercerse con plena independencia e imparcialidad, sin vínculos jerárquicos ni funciones que generen conflictos de interés con el responsable o encargado del tratamiento. En consecuencia, el oficial de cumplimiento, el oficial de seguridad de la información y el apoderado especial no pueden desempeñar simultáneamente el rol de DPD, independientemente de si la designación se realizó antes o después de la emisión de la Resolución No. SPDP-SPD-2025-0028-R, que regula específicamente a los delegados de protección de datos personales.
