La respuesta no depende del número de empleados, sino de qué datos trata su empresa, cómo los trata y en qué actividad se ocupa de forma habitual. Esta guía le permite revisar su caso con la LOPDP, su Reglamento General y el Reglamento del Delegado expedido por la SPDP.

Actualizado: 17 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisado por: Ab. Emilie Arline Donoso Ibarra, Abogada Senior

Su empresa debe designar un delegado de protección de datos (DPD) si tiene por objeto o se dedica de forma habitual a una de las 14 actividades del artículo 10 de la Resolución SPDP-SPD-2025-0028-R, o si encaja en el artículo 48 de la Ley Orgánica de Protección de Datos Personales (LOPDP). Si el nombramiento se firma electrónicamente, se registra en línea, sin costo, dentro de quince días hábiles.

Si no encaja en ningún supuesto, la designación es voluntaria, y el resto de obligaciones de la LOPDP sigue vigente.

¿Qué es un DPD y qué dice la ley sobre quién debe tenerlo?

El delegado de protección de datos es la persona natural que asesora, vela y supervisa el cumplimiento de la normativa de datos dentro de la organización (artículo 48 del Reglamento General a la LOPDP). Designarlo, cuando corresponda, es una obligación del responsable del tratamiento según el artículo 47, numeral 13, de la LOPDP.

El artículo 48 de la LOPDP exige DPD en el sector público, cuando las actividades requieren un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades, y cuando se tratan a gran escala categorías especiales de datos.

El mismo artículo faculta a la Superintendencia de Protección de Datos Personales (SPDP) a definir nuevas condiciones. Lo hizo el 30 de julio de 2025 con la Resolución SPDP-SPD-2025-0028-R, Reglamento del Delegado de Protección de Datos Personales (en adelante, Resolución 0028-R).

Si ya sabe que está obligada, conozca nuestro servicio de delegado de protección de datos externo.

¿Qué significa “control permanente y sistematizado” y “gran escala”?

Los definen los artículos 53 y 54 del Reglamento General (Registro Oficial Suplemento 435, 13 de noviembre de 2023).

El control permanente existe cuando el tratamiento es continuado o se produce en intervalos concretos durante un periodo. El control sistematizado existe cuando el tratamiento está preestablecido, organizado o es metódico.

Un CRM trata datos de forma continua y organizada, pero eso no basta: el artículo 48 de la LOPDP exige que el control se requiera por el volumen, la naturaleza, el alcance o las finalidades del tratamiento. Conviene dejar ese análisis por escrito.

El tratamiento a gran escala de categorías especiales se evalúa con los factores que defina la autoridad (artículo 54). Si trata datos de salud, biométricos o de menores, revise nuestra guía sobre tratamiento de datos a gran escala y su riesgo legal.

¿Qué sectores obligó la SPDP en la Resolución 0028-R?

El artículo 10 de la Resolución 0028-R obliga a designar DPD a “los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual,” a 14 actividades, “aun cuando no persiguieren fin de lucro”. Si su empresa realiza habitualmente una de ellas, la pregunta ya no es si debe tener DPD, sino si está bien designado y registrado.

En telecomunicaciones, el texto del numeral 10.12 es breve: “Las personas jurídicas de derecho privado que prestaren servicios de telecomunicaciones;”. La obligación recae en quien presta el servicio, no en la empresa que solo lo contrata.

¿Una empresa de software está obligada por el numeral 10.13?

No automáticamente. Lo determinante es que su empresa tenga por objeto, o se dedique de forma habitual, a ofrecer o prestar a terceros esos servicios y que, al prestarlos, trate datos personales como responsable o encargado; usar software, o desarrollarlo para uso propio, no basta.

El numeral 10.13 dice: “Las personas jurídicas de derecho privado que ofertaren o prestaren servicios de video vigilancia masiva, de geolocalización o de tecnologías de la información, inclusive las dedicadas al desarrollo, implementación o despliegue de inteligencia artificial”.

Esta lectura une el numeral con el encabezado del artículo 10, que habla de responsables o encargados que se dedican habitualmente a la actividad. Es un análisis de la norma, no un criterio publicado por la SPDP.

Ejemplo hipotético de empresa de software no obligada por este numeral: una compañía de Cuenca desarrolla software de control de riego, lo instala en los equipos del cliente y no accede después a datos de personas. Solo trata los datos de su personal y de sus contactos comerciales.

Ejemplo hipotético de empresa de software obligada: una compañía de Quito vende por suscripción un sistema de agendamiento en la nube para consultorios y aloja los datos de miles de pacientes. Presta habitualmente un servicio de tecnologías de la información y trata esos datos como encargada.

Que el numeral 10.13 no aplique no cierra el análisis. La misma empresa puede quedar obligada por otro numeral o por el artículo 48 de la LOPDP; profundice en nuestra guía de LOPDP para empresas de tecnología.

¿Cómo saber si su empresa está obligada? Árbol de decisión

Responda en orden y deténgase en el primer resultado.

1. ¿Forma parte del sector público (artículo 225 de la Constitución)? Sí: obligado (art. 48.1 LOPDP). No: pase a la 2.
2. ¿Tiene por objeto o realiza de forma habitual alguna actividad de la tabla, aunque no tenga fin de lucro? Sí: obligado (art. 10, Resolución 0028-R). Si es tecnológica, aplique el análisis del numeral 10.13. No: pase a la 3.
3. ¿Trata categorías especiales (salud, biométricos, menores, discapacidad)? Sí, a gran escala según el artículo 54 del Reglamento General: obligado (art. 48.3 LOPDP). Sí, de forma ocasional o en bajo volumen: revisar. No: pase a la 4.
4. ¿Hace seguimiento continuo y organizado de personas (perfiles, scoring, geolocalización, monitoreo) que, por su volumen, naturaleza, alcance o finalidades, requiere ese control? Sí: obligado (art. 48.2 LOPDP). Solo de forma accesoria: revisar y documentar. No: pase a la 5.
5. ¿Pertenece a un grupo empresarial con otra compañía obligada? Sí: revisar; el grupo puede designar un único DPD (artículo 50 del Reglamento General), pero cada compañía responde por su propia obligación. No: pase a la 6.
6. ¿Es una empresa extranjera sin domicilio en Ecuador que trata datos de personas en el país? Sí: revisar con las preguntas 2 a 4; el artículo 4.2 de la Resolución 0028-R regula su nombramiento. No: pase a la 7.
7. Si respondió “no” a todo: no obligado. Deje constancia escrita; la designación voluntaria sigue siendo posible.

¿Qué criterios ha publicado la SPDP en sus consultas?

La SPDP publica las consultas que absuelve; la propia autoridad las califica como opinión técnica sin efectos jurídicos generales.

El registro de actividades no obliga por sí solo a tener DPD. En el Oficio SPDP-IRD-2026-0064-O, la SPDP señaló que la designación “constituye una obligación autónoma e independiente”. El registro de actividades se exige con cien o más trabajadores e incluye el contacto del DPD cuando exista; vea la guía de registro de actividades de tratamiento.

Las cooperativas de ahorro y crédito deben tener DPD. En el Oficio SPDP-IRD-2025-0036-O, la SPDP respondió que sí, por ser parte del sector financiero popular y solidario.

¿Qué pasa con los grupos empresariales y las empresas extranjeras?

La norma resuelve ambos casos: el grupo puede compartir delegado, y la empresa extranjera obligada lo designa identificando a su matriz.

Grupos empresariales. El artículo 50 del Reglamento General dispone que “Los grupos empresariales podrán designar a un único delegado de protección de datos personales”, “en la medida en que pueda ejecutar sus actividades y sin que esto genere conflicto de intereses”. Es una facultad, no una obligación del grupo: cada compañía obligada sigue necesitando su propio nombramiento y registro.

Responsables no domiciliados. El artículo 4.2 de la Resolución 0028-R prevé que, cuando el responsable sea extranjero sin domicilio en Ecuador, el nombramiento haga constar “el número de identificación fiscal o tributaria”, la dirección y los contactos de la matriz. Esa norma regula el contenido del nombramiento, pero no crea la obligación: la empresa extranjera debe designar DPD cuando su actividad encaja en el artículo 10 o en el artículo 48.

¿Quién puede ser DPD y quién no?

Según el artículo 55 del Reglamento General, debe ser mayor de edad, estar en goce de derechos políticos, tener título de tercer nivel en Derecho, Sistemas de Información, Comunicación o Tecnologías y cinco años de experiencia profesional.

No pueden serlo (artículo 56 del Reglamento General y artículos 15 y 16 de la Resolución 0028-R):

• Miembros de los órganos de administración y control, socios o accionistas.
• Cónyuges o parientes cercanos de administradores, directores o comisarios.
• Oficiales de seguridad de la información, oficiales de cumplimiento y apoderados especiales.
• Quien tenga un conflicto de intereses, que debe declarar antes de aceptar (artículo 17).

Desde el 1 de enero de 2029 se exigirá además aprobar el Programa Profesionalizante del artículo 11 de la Resolución 0028-R (disposición transitoria séptima).

¿Le conviene un DPD interno o uno externo?

Ambos son válidos. El artículo 49 del Reglamento General admite relación de dependencia o prestación de servicios, y el artículo 12 de la Resolución 0028-R permite contratar el servicio con personas jurídicas domiciliadas en Ecuador.

TempoLegal ha asumido más de 63 delegaciones de DPD. En nuestra práctica, antes de firmar el nombramiento entregamos un análisis escrito de por qué la empresa está obligada.

El DPD asesora y supervisa (artículo 49 de la LOPDP); no implementa las medidas ni representa a la empresa ante la SPDP (artículo 15 de la Resolución 0028-R). Lea cómo elegir un DPD externo en Ecuador y las funciones del delegado de protección de datos en la empresa.

¿Cómo se registra el DPD en el SISPDP paso a paso?

El registro se hace en línea en el Sistema Nacional de Registros de Datos Personales (SISPDP) y no tiene costo. Según la ficha oficial en gob.ec, aplica a personas jurídicas públicas o privadas, nacionales o extranjeras.

1. Nombramiento con los elementos del artículo 4 de la Resolución 0028-R: fecha, razón social y RUC (o identificación fiscal de la matriz), representante legal, delegado, funciones, firmas y aceptación.
2. Declaración de conflictos firmada por el delegado antes de aceptar (artículo 17).
3. Firma electrónica para registrar en línea; con firma manuscrita, el trámite es presencial (artículo 5).
4. Anexos: nombramiento del representante legal y certificado de RUC.
5. Formulario en el SISPDP, desde www.spdp.gob.ec, opción “Delegado de Protección de Datos (DPD)”.
6. Archivo de la respuesta de la SPDP junto al nombramiento.

El informe de rendición de cuentas 2025 de la SPDP reporta, en su sección sobre el registro del DPD, 11.734 registros exitosos en 2025: 10.586 privados y 1.148 públicos.

¿Cómo se combinan el plazo de 15 días y la ventana de noviembre y diciembre de 2025?

Son dos reglas distintas: la ventana fue transitoria para poner al día al sector privado, y los quince días son la regla permanente para cada nueva designación con firma electrónica.

El artículo 5 de la Resolución 0028-R fija el registro “dentro del término de quince (15) días posteriores a la fecha de designación del delegado”. Según el artículo 159 del Código Orgánico Administrativo, los términos excluyen sábados, domingos y feriados: son quince días hábiles.

Si su empresa nunca designó DPD estando obligada, el problema no es el registro tardío, sino la falta de designación, exigible para las actividades del artículo 10 desde el 30 de julio de 2025.

¿Qué arriesga su empresa si no designa o registra tarde al DPD?

No designar al delegado cuando corresponde es una infracción grave, tipificada en el artículo 68, numeral 12, de la LOPDP. Para entidades privadas, el artículo 72 prevé una multa de entre el 0,7 % y el 1 % del volumen de negocios del ejercicio económico anterior.

El registro tardío tampoco es neutro: la Resolución 0028-R lo califica como incumplimiento de una medida de seguridad jurídica, y el artículo 68, numeral 1, sanciona como grave no implementarlas. Vea el cálculo en la guía de multas por incumplir la LOPDP.

Ejemplo práctico: una cadena de gimnasios con app y huella dactilar

Ejemplo hipotético: una compañía de Quito opera seis gimnasios, controla el ingreso con huella dactilar y registra datos de salud. Otra compañía del grupo presta a la operadora y a dos gimnasios de terceros una app de reservas en la nube que aloja los datos de los usuarios.

La operadora debe revisar la pregunta 3: trata biométricos y salud de forma continua en seis sedes, y la escala se mide con el artículo 54. La compañía de la app es obligada en la pregunta 2 (numeral 10.13): ofrece habitualmente a terceros un servicio de TI y trata los datos como encargada.

El grupo puede nombrar a la misma persona (artículo 50 del Reglamento General), sin conflicto de intereses, con un nombramiento y un registro por cada compañía obligada.

Checklist: ¿su DPD está en regla?

☐ La conclusión del árbol de decisión consta por escrito, firmada por el representante legal.

☐ Si la empresa es tecnológica, el análisis explica si ofrece servicios de TI a terceros y si trata datos al prestarlos.

☐ El candidato cumple el artículo 55 y no tiene los impedimentos del artículo 56 del Reglamento General ni de los artículos 15 y 16 de la Resolución 0028-R.

☐ El nombramiento contiene todos los elementos del artículo 4 de la Resolución 0028-R.

☐ El registro en el SISPDP se hizo dentro de quince días hábiles y el comprobante está archivado.

☐ El delegado firmó un acuerdo de confidencialidad (artículo 57 del Reglamento General).

☐ El contacto del DPD consta en el registro de actividades, si la empresa tiene cien o más trabajadores.

☐ El DPD tiene acceso a la información, recursos y relación directa con la alta dirección (artículo 50 de la LOPDP).

☐ En un grupo empresarial, cada compañía obligada tiene su propio nombramiento y registro.

Qué debería hacer su empresa ahora

1. Aplique el árbol de decisión y deje constancia escrita del resultado; recomendamos hacerlo antes del 31 de octubre de 2026 (fecha operativa, no plazo legal).
2. Si el resultado fue “obligado”, defina si el DPD será interno o externo.
3. Prepare el nombramiento, la aceptación y la declaración de conflictos con firma electrónica.
4. Regístrelo en el SISPDP dentro de quince días hábiles desde la designación (plazo legal) y archive el comprobante.
5. Si ya tiene DPD, confirme que se registró a tiempo y que no acumula cargos incompatibles.
6. Si el resultado fue “revisar”, pida un análisis específico antes de registrar.

Fuentes oficiales

• LOPDP, Registro Oficial Quinto Suplemento 459, 26 de mayo de 2021 (texto de la SOT)
• Reglamento General a la LOPDP, Registro Oficial Suplemento 435, 13 de noviembre de 2023 (texto de COSEDE)
• SPDP, Resolución SPDP-SPD-2025-0028-R, Reglamento del Delegado de Protección de Datos Personales, 30 de julio de 2025
• SPDP, consultas absueltas 2026 (Oficio SPDP-IRD-2026-0064-O)
• SPDP, consultas absueltas 2025 (Oficios SPDP-IRD-2025-0036-O y SPDP-IRD-2025-0089-O)
• ec, Registro del Delegado de Protección de Datos (DPD)
• SPDP, Informe de rendición de cuentas 2025, abril de 2026
• SPDP, Resolución RES-SPDP-ICS-PASN-2025-0003 (cita el art. 72 LOPDP)
• Código Orgánico Administrativo, artículos 158 y 159

Si su resultado fue “obligado” o “revisar”, TempoLegal puede confirmar su caso y dejar el registro en regla. Solicitar un diagnóstico inicial, sin costo y con respuesta el mismo día hábil, o escríbanos por WhatsApp.