El 21 de octubre de 2025, la Superintendencia de Protección de Datos Personales (SPDP) publicó la Guía de Protección de Datos Personales desde el Diseño y por Defecto, con el objetivo de establecer parámetros para la gestión de riesgos en las etapas de diseño y ejecución de proyectos que involucren tratamiento de datos personales. La guía también puede ser utilizada por responsables o encargados que ya cuenten con procesos implementados y requieran ajustarlos conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP), su Reglamento General y la normativa secundaria emitida por la SPDP.

Alcance y naturaleza del documento

La guía tiene carácter orientativo. Sin embargo, los principios contenidos en sus capítulos 1 y 2 son de obligatorio cumplimiento cuando resulten aplicables en contextos de desarrollo, personalización o implementación de software o sistemas de información que traten datos personales. El capítulo 2 ofrece tácticas recomendadas que deben adaptarse proporcionalmente al riesgo, tamaño, complejidad y contexto de la actividad. Finalmente, el capítulo 3 es optativo, aunque recomendado, y mantiene coherencia con la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales.

Fundamento normativo

El artículo 39 de la LOPDP dispone que los responsables del tratamiento deben incorporar la protección de datos desde la etapa de diseño de un proyecto, identificando los riesgos que determinados tratamientos pueden generar para los derechos de los titulares y adoptando medidas técnicas, organizativas o de cualquier otra índole que garanticen el cumplimiento de la normativa. En consecuencia, toda actividad de desarrollo o implementación de sistemas que traten datos personales debe cumplir con el principio de protección de datos desde el diseño y por defecto.

Componentes principales del principio

La guía explica que:

• Protección de datos desde el diseño implica planificar las medidas de seguridad considerando los riesgos jurídicos y operacionales que podrían afectar los derechos de los titulares.
• Protección de datos por defecto exige configurar de manera preestablecida los valores y parámetros del tratamiento para garantizar los principios de pertinencia y minimización de datos, así como mecanismos efectivos para el ejercicio de los derechos de acceso, eliminación, portabilidad y otros reconocidos en la LOPDP.

Integración tecnológica y metodológica

El documento introduce un enfoque técnico basado en los principios de DevPrivOps, DevSecOps y DevRiskOps, que promueven la integración temprana de la seguridad, la automatización de procesos, la gestión de riesgos y la colaboración interdisciplinaria en el desarrollo de software. Asimismo, se incluyen criterios para evaluar el nivel de madurez de la aplicación de estos principios en las organizaciones.

Disposiciones finales

La guía prevé que la SPDP podrá emitir documentos complementarios y actualizaciones posteriores para fortalecer su aplicación práctica.