Uno de los malentendidos más comunes entre las empresas ecuatorianas que se acercan por primera vez al cumplimiento de la LOPDP es pensar que “contratar un DPD” y “cumplir con la ley” son lo mismo. No lo son, y entender la diferencia evita contratar el servicio equivocado o pagar de más por algo que no resuelve el problema real.

Qué es la implementación del sistema de cumplimiento

La implementación es el proceso inicial mediante el cual una empresa construye, desde cero, su estructura documental y operativa de protección de datos. Esto incluye levantar información sobre qué datos se tratan y con qué finalidad, elaborar el Registro de Actividades de Tratamiento (RAT), redactar avisos de privacidad para clientes, empleados y proveedores, preparar contratos de encargo de tratamiento con terceros que procesan datos por cuenta de la empresa, definir un canal para atender solicitudes de derechos ARCO-POL, y establecer protocolos internos frente a incidentes de seguridad. Es un proyecto con inicio y fin definidos, generalmente con un costo único.

Qué es el servicio de DPD externo

El Delegado de Protección de Datos, en cambio, es la figura que supervisa de forma continua que ese sistema de cumplimiento —una vez implementado— se mantenga vigente, actualizado y correctamente aplicado en el día a día de la empresa. El DPD es el punto de contacto formal ante la Superintendencia de Protección de Datos Personales y ante los titulares de datos, revisa periódicamente el RAT, acompaña la gestión de solicitudes de derechos, y asesora frente a cualquier duda o incidente que surja en la operación. Es un servicio recurrente, generalmente mensual.

¿Puedo tener un DPD sin haber implementado el sistema?

Técnicamente sí, pero en la práctica no tiene mucho sentido: un DPD sin una estructura de cumplimiento implementada no tiene sobre qué supervisar. Es como contratar un gerente de calidad para una fábrica que no tiene procesos documentados —el rol pierde efectividad porque no hay una base sobre la cual trabajar.

¿Puedo implementar el sistema y no contratar un DPD después?

También es posible, pero conlleva un riesgo: sin supervisión continua, los sistemas de cumplimiento tienden a desactualizarse rápidamente. Cambios en la operación de la empresa —nuevos proveedores, nuevos productos, nuevas plataformas tecnológicas— generan nuevos tratamientos de datos que, si no se documentan y ajustan en el RAT, dejan a la empresa desprotegida frente a una eventual revisión de la autoridad.

La secuencia correcta

Para la gran mayoría de las empresas ecuatorianas, la secuencia lógica es: primero implementar el sistema de cumplimiento (proyecto inicial), y después contratar el servicio de DPD externo para mantenerlo vigente (servicio recurrente). Evaluar ambos servicios como si fueran lo mismo —o contratar solo uno de los dos esperando el resultado del otro— es el error más común que se observa en empresas que recién comienzan su proceso de cumplimiento con la LOPDP.