En Ecuador, la Ley Orgánica de Protección de Datos Personales (LOPDP) establece la obligación de que determinados responsables y encargados del tratamiento de datos personales cuenten con un Delegado de Protección de Datos Personales (DPD). Para el sector privado, el 31 de diciembre de 2025 constituye la fecha límite para registrar dichos nombramientos ante la Superintendencia de Protección de Datos Personales (SPDP), conforme al régimen transitorio vigente.
El incumplimiento del registro dentro del plazo señalado constituye una infracción grave por falta de medidas de seguridad de carácter jurídico.
Función del delegado de protección de datos personales
El DPD es la persona encargada de asesorar, supervisar y garantizar el cumplimiento de la LOPDP, su reglamento y las políticas internas del responsable o encargado del tratamiento. Actúa como punto de contacto entre la organización, los titulares de los datos personales y la SPDP, y debe ejercer sus funciones con independencia e imparcialidad.
El régimen aplicable fue desarrollado mediante la Resolución No. SPDP-SPD-2025-0028-R, de 30 de julio de 2025, que expidió el Reglamento del Delegado de Protección de Datos Personales.
Actividades en las que la designación es obligatoria
Además del sector público y los supuestos previstos en la LOPDP, el Reglamento del Delegado de Protección de Datos Personales identifica las siguientes actividades en las que es obligatoria la designación de un DPD:
- Instituciones de educación inicial, educación general básica y bachillerato, así como cualquier entidad que trate datos personales de menores de edad como parte de su actividad.
- Instituciones de educación superior, públicas o privadas.
- Actividades que impliquen el tratamiento de categorías especiales de datos personales de menores de edad.
- Entidades financieras.
- Compañías aseguradoras, reaseguradoras, intermediarios, asesores y prestadores del sector asegurador.
- Actores del sistema de salud obligados a mantener historias clínicas, salvo profesionales de la salud que ejerzan de forma individual.
- Establecimientos del sector farmacéutico en actividades de producción, distribución o comercialización de medicamentos, incluidos laboratorios y farmacias.
- Empresas que realicen actividades de publicidad, prospección comercial o investigación de mercados mediante elaboración de perfiles.
- Empresas de seguridad privada y administradores de urbanizaciones, conjuntos residenciales o propiedades horizontales.
- Federaciones, asociaciones, clubes o academias deportivas.
- Colegios o gremios profesionales.
- Prestadores privados de servicios de telecomunicaciones.
- Prestadores de servicios de videovigilancia masiva, geolocalización o tecnologías de la información, incluida inteligencia artificial.
- Concesionarios de servicios públicos y alianzas público-privadas.
Mediante absolución de consulta No. SPDP-IRD-2025-0180-O, de 19 de septiembre de 2025, la SPDP precisó que la causal relativa al tratamiento de datos de niños, niñas y adolescentes se configura únicamente cuando el responsable o encargado tenga por objeto o se dedique de manera habitual al tratamiento de categorías especiales de datos de menores. Esta causal no se activa cuando el tratamiento se realiza exclusivamente para cumplir obligaciones legales, como las previstas en la normativa laboral o tributaria.
Requisitos para ejercer como delegado de protección de datos personales
| Categoría | Requisito u obligación | Detalle |
|---|---|---|
| Condiciones personales | Estar en goce de los derechos políticos | No pueden ejercer el cargo quienes tengan suspendidos sus derechos políticos. |
| Ser mayor de edad | Debe tener al menos 18 años. | |
| Formación académica | Título de tercer nivel en Derecho, Comunicación, Sistemas de Información o Tecnologías | El título debe estar debidamente registrado ante la autoridad competente. |
| Experiencia profesional | Al menos cinco (5) años de experiencia profesional | Puede provenir de cualquiera de las áreas afines a su formación. |
| Formación específica | Programa Profesionalizante de Delegados de Protección de Datos | Será obligatorio a partir del 1 de enero de 2029. |
| Independencia | Ejercicio independiente e imparcial del cargo | No debe existir ningún vínculo que afecte su criterio. |
La SPDP precisó, mediante absolución de consulta emitida en noviembre de 2025, que el título de tercer nivel es un requisito obligatorio y no puede ser sustituido por cursos, diplomados, certificaciones ni por el Programa Profesionalizante.
Incompatibilidades e inhabilidades
| Categoría | Incompatibilidad o inhabilidad | Detalle |
|---|---|---|
| Órganos de dirección | No formar parte de órganos de administración o control | Incluye directorios, comités, consejos u órganos similares. |
| Participación societaria | No ser socio ni accionista | Aplica tanto a personas naturales como jurídicas. |
| Vínculos personales | No ser cónyuge ni pariente hasta cuarto grado de consanguinidad o segundo de afinidad | Respecto de administradores, directores o comisarios. |
| Conflictos de interés | No mantener conflictos de interés | Debe garantizarse objetividad e imparcialidad. |
| Acumulación de funciones | No ser oficial de cumplimiento ni oficial de seguridad de la información | Se prohíbe la acumulación de funciones de control o ejecución. |
| Representación | No ser apoderado especial de responsables o encargados extranjeros | Para evitar dependencia funcional. |
| Sector público | No ejercer cargos del nivel jerárquico superior | A fin de preservar la independencia institucional. |
Plazo de registro y efectos del incumplimiento
El nombramiento del DPD debe registrarse ante la SPDP entre el 1 de noviembre y el 31 de diciembre de 2025, de manera física, electrónica o digital. La falta de registro dentro de este plazo constituye una infracción grave y, para el sector privado, puede dar lugar a multas de entre el 0,7 % y el 1 % del volumen de negocios correspondiente al ejercicio económico inmediatamente anterior.
