La protección de los datos personales es un derecho fundamental y una obligación legal para las empresas. En Ecuador, la Ley Orgánica de Protección de Datos Personales (LOPDP) y su reglamento establecen la figura del Delegado de Protección de Datos (DPD), un profesional clave para garantizar el cumplimiento normativo. Para el sector privado, el plazo límite para designar y registrar a este delegado ante la Superintendencia de Protección de Datos Personales (SPDP) es el 31 de diciembre de 2025.
- ¿Qué es un Delegado de Protección de Datos (DPD)?
El DPD es la persona designada por una organización para asesorar, supervisar y garantizar el cumplimiento de la LOPDP, su reglamento y las políticas internas de tratamiento de datos. Actúa como enlace entre la empresa, los titulares de los datos y la autoridad de control (SPDP), y debe ejercer sus funciones con independencia e imparcialidad.
- ¿Qué empresas del sector privado están obligadas a designar un DPD?
El Reglamento del Delegado de Protección de Datos Personales (Resolución N° SPDP‑SPD‑2025‑0028‑R, de 30 de julio de 2025) establece que, además de los supuestos generales de la LOPDP, la designación es obligatoria para las siguientes actividades del sector privado:
- Educación: Instituciones de educación inicial, básica, bachillerato y superior (públicas o privadas), así como cualquier entidad que trate datos personales de menores de edad como parte habitual de su actividad.
- Sector financiero y asegurador: Entidades financieras, compañías aseguradoras, reaseguradoras, intermediarios, asesores y prestadores del sector.
- Salud: Actores del sistema de salud obligados a mantener historias clínicas (excepto profesionales que ejerzan de forma individual).
- Farmacéutico: Establecimientos del sector farmacéutico en actividades de producción, distribución o comercialización de medicamentos (laboratorios, farmacias).
- Marketing y publicidad: Empresas que realicen publicidad, prospección comercial o investigación de mercados mediante elaboración de perfiles.
- Seguridad: Empresas de seguridad privada y administradores de urbanizaciones, conjuntos residenciales o propiedades horizontales.
- Deporte y profesionales: Federaciones, asociaciones, clubes o academias deportivas; colegios o gremios profesionales.
- Telecomunicaciones y tecnología: Prestadores privados de servicios de telecomunicaciones; prestadores de servicios de videovigilancia masiva, geolocalización o tecnologías de la información (incluida inteligencia artificial).
- Servicios públicos: Concesionarios de servicios públicos y alianzas público-privadas.
- Plazo crítico: designación y registro antes del 31 de diciembre de 2025
El régimen transitorio fija un periodo específico para el registro del DPD: desde el 1 de noviembre hasta el 31 de diciembre de 2025. Las empresas privadas que realicen alguna de las actividades mencionadas deben, dentro de este plazo:
- Designar a su Delegado de Protección de Datos (que cumpla con los requisitos de formación, experiencia e independencia).
- Registrar dicho nombramiento ante la SPDP, de manera física, electrónica o digital.
- Consecuencias del incumplimiento
No designar o registrar al DPD dentro del plazo constituye una infracción grave por falta de medidas de seguridad de carácter jurídico. Para el sector privado, esta infracción puede acarrear multas de entre el 0,7% y el 1% del volumen de negocios del ejercicio económico anterior. Además, la empresa queda expuesta a riesgos reputacionales y a posibles reclamaciones por parte de los titulares de los datos.
- Conclusión
La designación de un Delegado de Protección de Datos no es solo un requisito legal; es una inversión en confianza y cumplimiento normativo. Las empresas del sector privado que se encuentren en los sectores listados deben actuar con celeridad: designar a un profesional idóneo y realizar el registro ante la SPDP antes del 31 de diciembre de 2025. Quienes aún no hayan iniciado el proceso deben hacerlo de inmediato para evitar sanciones económicas y fortalecer su cultura de protección de datos.
Referencias (formato APA 7)
Superintendencia de Protección de Datos Personales. (2025). Resolución No. SPDP‑SPD‑2025‑0028‑R. Reglamento del Delegado de Protección de Datos Personales. https://spdp.gob.ec
NMS Law. (2025, diciembre 15). Hasta el 31 de diciembre de 2025 debe designarse y registrarse al Delegado de Protección de Datos Personales en Ecuador. https://nmslaw.com.ec/blog/2025/12/15/recordatorio-plazo-delegado-proteccion-datos-personales-ecuador/
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial Suplemento 459 de 26‑may‑2021.
Nota: Este artículo tiene fines informativos y no constituye asesoría legal. Para casos específicos, se recomienda consultar a un profesional especializado en protección de datos.