Elegir entre un delegado de protección de datos de planta y uno contratado cambia la independencia, los requisitos y el riesgo de conflicto de interés, no solo el presupuesto. Comparamos ambas opciones y proponemos un calendario de trabajo.
Actualizado: 19 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisado por: Ab. Emilie Arline Donoso Ibarra, Abogada Senior · Aprobado por: Ab. Juan Alberto Gómez Benalcázar
En Ecuador, el delegado de protección de datos (DPD) puede ser un trabajador de la empresa o un servicio contratado con una persona jurídica domiciliada en el país. El externo facilita la independencia y evita cargos incompatibles; el interno conoce mejor la operación. En ambos casos, la persona designada necesita título y cinco años de experiencia.
¿Qué es un DPD y qué norma lo regula?
El delegado de protección de datos es la persona que asesora, supervisa y coopera con la autoridad para que la organización cumpla la normativa de datos personales, sin ejecutar ella misma el tratamiento. Lo regulan tres normas que se leen juntas.
- Ley Orgánica de Protección de Datos Personales (LOPDP), artículos 48 a 50: cuándo es obligatorio, sus funciones (asesorar, supervisar, cooperar con la autoridad y ser su punto de contacto) y las garantías que le debe la empresa, como acceso a la información y relación directa con el nivel ejecutivo más alto.
- Reglamento General a la LOPDP, artículos 48 a 57: relación de dependencia o prestación de servicios (artículo 49), delegado único en grupos (artículo 50), requisitos (artículo 55), impedimentos (artículo 56) y confidencialidad (artículo 57).
- Resolución SPDP-SPD-2025-0028-R, Reglamento del Delegado (30 de julio de 2025): nombramiento (artículo 4), registro (artículo 5), sectores obligados (artículo 10), servicio externo (artículo 12), incompatibilidades y conflictos (artículos 15 a 17).
Para confirmar si su empresa está obligada, revise cuándo el DPD es obligatorio y por qué no designarlo es falta grave. Si prefiere contratar la función, conozca nuestro servicio de delegado de protección de datos externo en Ecuador.
¿Puede el DPD ser externo según la norma ecuatoriana?
Sí. El artículo 49 del Reglamento General admite que el delegado trabaje en relación de dependencia o por prestación de servicios, y el artículo 12 de la Resolución 0028-R permite contratar el servicio con personas jurídicas domiciliadas en Ecuador.
Un DPD externo es el delegado cuya función se presta mediante un contrato de servicios, no mediante un contrato de trabajo. Aun así, quien figure como delegado en el nombramiento debe ser mayor de edad, estar en goce de sus derechos políticos, tener un título universitario de tercer nivel en una de cuatro áreas (Derecho, sistemas de información, comunicación o tecnología) y acreditar al menos cinco años de ejercicio profesional (artículo 55 del Reglamento General).
¿Qué diferencia a un DPD interno de uno externo?
La diferencia de fondo es la independencia: el interno depende jerárquicamente de quien debe supervisar; el externo responde a un contrato con alcance y entregables definidos.
| Criterio | DPD interno | DPD externo |
|---|---|---|
| Independencia | Depende de la gerencia que supervisa; hay que documentarla con cuidado | Más sencilla de demostrar, porque no hay subordinación laboral |
| Título y cinco años de experiencia (art. 55 del Reglamento General) | Pocos perfiles de planta los reúnen sin contratación nueva | El proveedor asigna a una persona que ya los cumple |
| Conflicto de interés | Alto si se nombra a un gerente, al oficial de cumplimiento o al de seguridad de la información (arts. 15 a 17 de la Resolución 0028-R) | Bajo si el proveedor no presta a la vez servicios que el DPD deba supervisar |
| Conocimiento de la operación | Inmediato | Se construye con acceso a información y reuniones periódicas |
| Continuidad | Se interrumpe con vacaciones, licencias o renuncia | Depende del contrato; conviene exigir un plan de reemplazo |
| Costo | Remuneración y cargas laborales todo el año | Honorario según alcance pactado |
En un grupo con varias compañías obligadas, el artículo 50 del Reglamento General permite designar un único delegado, siempre que pueda ejecutar sus actividades sin conflicto de intereses.
¿Qué no hace el DPD?
El DPD no implementa el cumplimiento ni actúa en nombre de la empresa: asesora, supervisa y es el punto de contacto con la Superintendencia de Protección de Datos Personales (SPDP). La Resolución 0028-R (artículo 15) le impide asumir funciones que corresponden al responsable o al encargado del tratamiento.
En la práctica, el delegado no redacta ni aprueba como propias las políticas o contratos (los revisa), no ejecuta medidas técnicas de seguridad, no decide los fines del tratamiento y no sustituye al representante legal en los procedimientos ante la SPDP.
La implementación es un servicio distinto. Lea la diferencia en implementación de la LOPDP frente a contratar un delegado y el detalle de funciones del delegado de protección de datos en la empresa.
¿Qué hace un DPD mes a mes?
La ley define funciones, no un calendario. El siguiente es el plan de trabajo que TempoLegal propone a sus clientes; es una recomendación operativa, no una obligación legal.
| Periodo | Actividades del DPD | Entregable |
|---|---|---|
| Mes 1 | Revisión de documentos existentes, entrevistas con áreas clave, declaración de conflictos y apoyo en el registro del nombramiento | Informe de diagnóstico y plan anual |
| Mes 2 | Revisión del registro de actividades de tratamiento y de los tratamientos de mayor riesgo | Matriz de prioridades |
| Mes 3 | Revisión de contratos con encargados, avisos de privacidad y procedimiento de derechos | Recomendaciones por documento |
| Cada mes | Consultas internas, seguimiento de solicitudes de titulares e incidentes, reunión con la gerencia | Bitácora mensual |
| Cada trimestre | Supervisión de un área o proceso, revisión de riesgos y evaluaciones de impacto, capacitación | Informe trimestral a la alta dirección |
| Cada año | Revisión integral, simulacro de vulneración y actualización del plan | Informe anual |
El registro en el Sistema Nacional de Registros de Datos Personales (SISPDP) es en línea y sin costo, según la ficha oficial del trámite; con firma electrónica, el artículo 5 de la Resolución 0028-R fija un término de quince días, es decir, días hábiles (artículos 158 y 159 del Código Orgánico Administrativo).
¿Cuánto cuesta un DPD en Ecuador?
No existe una tarifa oficial: el costo del DPD externo depende del alcance pactado, y el del interno, de la remuneración y las cargas laborales del perfil que cumpla los requisitos.
Costo del DPD interno. Se compone de:
- Remuneración del profesional con título y cinco años de experiencia; a jornada completa, no inferior al salario básico unificado, fijado para 2026 en USD 482; la cifra real se pacta según el perfil.
- Aporte patronal al Instituto Ecuatoriano de Seguridad Social (IESS).
- Décimo tercero y décimo cuarto sueldos.
- Fondos de reserva desde el segundo año de trabajo.
- Vacaciones y reemplazo durante ausencias.
- Formación continua y, si la persona tenía un cargo incompatible, el costo de cubrirlo con otra.
Costo del DPD externo. El honorario suele depender de:
- Número de compañías que se designan y si forman un grupo.
- Volumen de titulares y presencia de datos sensibles, como salud o biométricos.
- Número de sistemas, sedes y proveedores que tratan datos.
- Madurez previa: si ya existen registro de actividades y políticas.
- Horas de reunión y tiempos de respuesta comprometidos.
- Si incluye atención de incidentes y requerimientos de la SPDP o si se cobran aparte.
- Transferencias internacionales y proveedores en el exterior.
Compare cifras solo después de igualar el alcance.
¿Cómo comparar cotizaciones de DPD externo?
Pida que cada propuesta responda lo mismo y que el contrato lo recoja.
- ☐ Nombre de la persona que será designada y prueba de su título y cinco años de experiencia.
- ☐ Declaración de conflictos de interés firmada antes del nombramiento (artículo 17 de la Resolución 0028-R).
- ☐ Constancia de que el proveedor está domiciliado en Ecuador (artículo 12 de la Resolución 0028-R).
- ☐ Alcance mensual, trimestral y anual con entregables concretos.
- ☐ Tiempos de respuesta para consultas, solicitudes de titulares e incidentes.
- ☐ Qué está fuera del alcance (implementación, redacción de documentos, auditoría técnica) y cómo se cotiza.
- ☐ Cláusula de confidencialidad (artículo 57 del Reglamento General).
- ☐ Reemplazo del delegado por ausencia y transición al terminar el contrato.
- ☐ Acceso a la información y relación directa con la alta dirección (artículo 50 de la LOPDP).
TempoLegal ha asumido más de 63 delegaciones de DPD y más de 130 implementaciones de la LOPDP. En nuestra experiencia, las propuestas se diferencian sobre todo por lo que dejan fuera.
Ejemplo hipotético: un bróker de seguros mediano
Ejemplo hipotético: Andina Asesores de Seguros, una agencia asesora productora de seguros de Quito con 45 trabajadores, gestiona pólizas de vida, salud y vehículos para unos 15.000 clientes. Recibe datos de salud para la suscripción y comparte información con varias aseguradoras.
Está obligada. El numeral 10.5 del artículo 10 de la Resolución 0028-R incluye a los intermediarios de seguros, y la agencia se dedica de forma habitual a esa actividad.
Interno. La gerencia pensó en nombrar a su oficial de cumplimiento, que ya conoce la operación. La Resolución 0028-R lo trata como cargo incompatible con la función de DPD.
Externo. Un abogado senior a tiempo completo solo para esta función no se justificaba en su caso. Comparó tres cotizaciones con el checklist anterior, descartó una que no identificaba a la persona designada y contrató un servicio externo con informe trimestral; la actualización de sus contratos con aseguradoras quedó como implementación aparte.
Para el sector, vea también nuestra guía de protección de datos para aseguradoras y asesores de seguros.
Qué debería hacer su empresa ahora
Plazos legales (norma):
- Si su actividad está en el artículo 10 de la Resolución 0028-R o en el artículo 48 de la LOPDP, designe al delegado: no hacerlo cuando corresponde es infracción grave (artículo 68, numeral 12, de la LOPDP).
- Con nombramiento firmado electrónicamente, regístrelo en el SISPDP dentro del término de quince días desde la designación (artículo 5 de la Resolución 0028-R).
Recomendaciones operativas:
- Revise si el candidato interno cumple el artículo 55 del Reglamento General y no ocupa un cargo incompatible.
- Si opta por un servicio externo, pida al menos dos cotizaciones con el mismo alcance y compárelas con el checklist.
- Defina por escrito qué hará el DPD y qué queda para la implementación.
- Fije desde el primer mes el calendario de reuniones e informes con la gerencia.
Fuentes oficiales
- Ley Orgánica de Protección de Datos Personales, Registro Oficial Quinto Suplemento 459, 26 de mayo de 2021 (texto de la SOT)
- Reglamento General a la LOPDP, Registro Oficial Suplemento 435, 13 de noviembre de 2023 (texto de COSEDE)
- SPDP, Resolución SPDP-SPD-2025-0028-R, Reglamento del Delegado de Protección de Datos Personales
- Gob.ec, Registro del Delegado de Protección de Datos (DPD)
- Código Orgánico Administrativo, artículos 158 y 159
- Ministerio del Trabajo, salario básico unificado 2026
Solicitar un diagnóstico inicial, sin costo y con respuesta el mismo día hábil, o escríbanos por WhatsApp.