En este artículo
6 puntos
umbral desde el que un tratamiento es de gran escala y exige delegado
¿Tu organización debe designar delegado?
Designación obligatoria de delegado
Pregunta 1
¿Eres una entidad del sector público?
La lista de la pregunta 3 resume el art. 10 de la Res. 2025-0028-R. La de la pregunta 4 resume parte de los casos de calificación directa del art. 14 de la Res. 2026-0005-R, que también incluye videovigilancia de espacios públicos, menores, transferencias sistemáticas y courier.
Calcula tu puntaje de gran escala
Modelo Técnico de Gran Escala (MTGE), por tratamiento
De dónde salen los puntos
- Titulares2,0 puntos27 %
- Tipos de datos1,0 puntos13 %
- Categorías0,5 puntos7 %
- Frecuencia1,0 puntos13 %
- Permanencia2,0 puntos27 %
- Alcance1,0 puntos13 %
Puntajes de la Res. SPDP-SPD-2026-0005-R, art. 8; umbral de 6 puntos, art. 10. "Especial" = categorías especiales de la LOPDP (por ejemplo, salud o biometría); "varias especiales o vulnerables" incluye datos de grupos vulnerables o de infracciones penales. Los tramos de titulares son los literales de la norma, que salta de 100.000 a 101.000. Ejemplo precargado: la base de clientes de una distribuidora familiar.
Ejemplo: una distribuidora familiar con 5.000 clientes en una sola ciudad, unos 20 datos por cliente, facturación mensual y un tratamiento activo de 3 años o más suma 7,5 puntos: 2 + 1 + 0,5 + 1 + 2 + 1. Es gran escala. Con 800 clientes (hasta 1.000 titulares) y un tratamiento de menos de 3 años baja a 5,5 y deja de serlo.
Quién puede ser delegado y quién no
| Perfil | ¿Puede ser delegado? |
|---|---|
| Empleado propio con independencia y acceso directo a la gerencia | Sí (Res. 0028, arts. 12 y 22; LOPDP art. 50) |
| Profesional externo con contrato de servicios | Sí (Res. 0028, art. 12) |
| Una empresa como tal | No: el delegado es una persona natural; la empresa puede dar soporte (LOPDP, art. 4; Res. 0028, art. 12) |
| Oficial de cumplimiento (prevención de lavado) | No (Res. 0028, art. 16.2) |
| Oficial de seguridad de la información | No (Res. 0028, art. 16.1) |
| Quien ejecuta tratamientos de datos o decide sobre la organización | No: conflicto de interés (Res. 0028, art. 18) |
¿Puede ser delegado?
- Empleado propio con independencia y acceso directo a la gerencia
- Sí (Res. 0028, arts. 12 y 22; LOPDP art. 50)
- Profesional externo con contrato de servicios
- Sí (Res. 0028, art. 12)
- Una empresa como tal
- No: el delegado es una persona natural; la empresa puede dar soporte (LOPDP, art. 4; Res. 0028, art. 12)
- Oficial de cumplimiento (prevención de lavado)
- No (Res. 0028, art. 16.2)
- Oficial de seguridad de la información
- No (Res. 0028, art. 16.1)
- Quien ejecuta tratamientos de datos o decide sobre la organización
- No: conflicto de interés (Res. 0028, art. 18)
En bancos y cooperativas el error típico es sumar la función al oficial de cumplimiento. La norma lo prohíbe. Desde el 1 de enero de 2029, además, el delegado deberá haber aprobado el programa profesionalizante oficializado por la SPDP (art. 11 y disposición transitoria séptima).
Del nombramiento al registro
Designación e inscripción
Errores
- 1Doble funciónOficial de cumplimiento como delegado
- 2Sin inscribirMedida jurídica incumplida
Cómo hacerlo
- 1DesignarFirma el representante legal
- 2AceptarEl delegado firma al pie
- 3InscribirPortal SPDP, 15 días hábiles (firma electrónica)
- 4EvaluarIndependencia, cada año
Qué debe contener el nombramiento (art. 4)
Qué hace el delegado y qué no
El delegado asesora y supervisa: análisis de riesgo, evaluación de impacto, pedidos de los titulares, vulneraciones y registro de actividades (LOPDP art. 49; Res. 0028 art. 13). No implementa la norma, no ejecuta la evaluación de impacto ni decide la finalidad de los datos (art. 15). Eso le toca a la empresa.
Un sistema que registre quién consultó qué dato, y cuándo, le da al delegado evidencia para supervisar sin hacer el trabajo operativo. Lo mismo vale para un onboarding digital con biometría, que la SPDP ya califica como gran escala.
No designar delegado cuando corresponde es infracción grave (LOPDP art. 68, num. 12). La SPDP dicta primero medidas correctivas; si no las cumples a tiempo, la multa va del 0,7 % al 1 % del volumen de negocios del ejercicio anterior (arts. 66 y 72).
Por dónde seguir
El contexto del sector está en IA para banca y cooperativas en Ecuador y en la segmentación SEPS 2026. Si vas a usar un chatbot o un agente con datos de clientes, revisa la comparación chatbot o agente de IA en Ecuador. En el diagnóstico gratuito revisamos qué procesos tratan más datos personales y cómo dejar trazabilidad para el delegado.
Fuentes: Ley Orgánica de Protección de Datos Personales (R.O. 5S 459, 26/5/2021; arts. 4, 48 a 50, 66, 68 y 72); SPDP, Resolución SPDP-SPD-2025-0028-R, Reglamento del delegado de protección de datos personales (30/7/2025; arts. 3 a 5, 10 a 18 y 22; transitorias); SPDP, Resolución SPDP-SPD-2026-0005-R, Norma general sobre el tratamiento de datos personales a gran escala (2/2/2026; arts. 6 a 14 y transitoria); listado de resoluciones de la SPDP. Esta guía no es asesoría legal.