La Superintendencia de Protección de Datos Personales (SPDP) publicó los Oficios No. SPDP-IRD-2026-0235-O; SPDP-IRD-2026-0260-O; SPDP-IRD-2026-0283-O, SPDP-IRD-2026-0275-O y SPDP-IRD-2026-0299-O, mediante los cuales absolvió consultas sobre la designación obligatoria del Delegado de Protección de Datos Personales (DPDP) en varios ámbitos específicos del sector privado:
- Conjuntos residenciales;
- Laboratorio clínicos y centros de diagnóstico;
- Empresas que prestan servicios de tecnologías de la información.
- Empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada.
- Personas jurídicas de derecho público o privado que distribuyen, comercializan y/o suministran servicios públicos en virtud de un permiso otorgado por la entidad competente, aun cuando dicho título habilitante no sea una concesión ni una alianza público-privada.
Consulta (Conjuntos Residenciales)
¿De conformidad con el numeral 10.9, del artículo 10 de la Resolución No. SPDP-2025-0028-R, la obligación de designar un Delegado de Protección de Datos Personales recae únicamente y es suficiente, sobre la persona jurídica de derecho privado o fideicomiso que desarrolla de forma habitual la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales; o, recae, también, y de forma directa sobre los administrados, entiéndase como urbanizaciones, conjuntos residenciales privados o propiedades horizontales?
Pronunciamiento de la Consulta
La obligación de designar un DPDP recae directamente sobre las personas jurídicas de seguridad privada, personas jurídicas de derecho privado o fideicomisos que se dediquen de forma habitual a la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales.
Consulta (Laboratorio Clínicos y Centros de Diagnóstico)
¿El tratamiento de datos personales sensibles relativos a la salud realizado por compañías o establecimientos de diagnóstico, tales como laboratorios clínicos o centros de análisis, que se limitan a la emisión de resultados sin gestionar historias clínicas, se considera tratamiento a gran escala y configura la obligación de designar un DPDP?
Pronunciamiento de la Consulta
Sí, el tratamiento de datos personales sensibles relativos a la salud realizado por compañías o establecimientos de diagnóstico está comprendido de forma directa y obligatoria dentro del supuesto de tratamiento de datos personales a gran escala. La ausencia de gestión de historias clínicas no exime a la entidad, toda vez que procesa datos sensibles de salud humana dentro del Sistema Nacional de Salud.
Por lo tanto, al catalogarse como tratamiento a gran escala de categorías especiales de datos, se configura de forma obligatoria e ineludible la obligación de designar un delegado de protección de datos personales.
Consulta (Empresas que Prestan Servicios de Tecnologías de la Información)
¿La obligación de designar un Delegado de Protección de Datos Personales, prevista en el art. 10.13 de la Resolución No. SPDP-SPD-2025-0028-R, aplicable a personas jurídicas de derecho privado que oferten o presten servicios de tecnologías de la información, se limita exclusivamente a aquellas entidades cuya actividad principal implique el tratamiento de datos personales como parte inherente de sus servicios tecnológicos, o también alcanza a empresas cuya actividad principal sea únicamente la oferta, consultoría o asesoramiento en transformación digital y de procesos, aunque no realicen un tratamiento sistematizado de datos personales?
Pronunciamiento de la Consulta
La obligación de designar un DPDP puede alcanzar a aquellas entidades que tengan por objeto o se dediquen de manera habitual a la oferta de consultoría, asesoramiento o prestación de servicios relacionados con tecnologías de la información, siempre que, en el desarrollo de tales actividades, actúen como responsables o encargados del tratamiento y efectivamente realicen tratamientos de datos personales en cualquiera de las etapas de su ciclo de vida. Por el contrario, si una entidad, aun dedicándose habitualmente a actividades de transformación digital, consultoría tecnológica o asesoramiento de procesos, no realiza tratamiento alguno de datos personales, la normativa de protección de datos personales no le resultará aplicable y, en consecuencia, no se configurará la obligación de designar un Delegado de Protección de Datos Personales derivada del referido numeral.
Consulta
¿La obligación de designar un DPDP prevista aplica a empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada?
Pronunciamiento de la Consulta
No. Las empresas privadas que presten servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada, no están comprendidas automáticamente en la obligación del referido numeral, únicamente por prestar servicios a entidades públicas.
Corresponde precisar que la obligación de designar un DPDP debe analizarse según los demás supuestos y criterios previstos en la normativa vigente.
Consulta
¿Debe entenderse que esta obligación también resulta aplicable a las personas jurídicas de derecho público o privado que distribuyen, comercializan y/o suministran servicios públicos en virtud de un permiso otorgado por la entidad competente, aun cuando dicho título habilitante no sea una concesión ni una alianza público-privada?
Pronunciamiento de la Consulta
No. Las personas jurídicas que presten tales servicios en virtud de un permiso otorgado por la autoridad competente no se encuentran bajo esta obligación por el solo hecho de contar con ese título habilitante. Corresponderá a cada responsable del tratamiento verificar si concurre alguna de las demás causales de designación obligatoria de DPDP.
¿Como Podemos Ayudar?
ERB – TIAG International, ofrece amplia variedad de servicios de Outsourcing centrados en nuestra propia competencia como Firma en las áreas de Finanzas, Auditoría, Contabilidad e Impuestos – Consúltenos.
Acerca de ERB – TIAG International
ERB se refiere a EsRoBross; Firma de responsabilidad limitada, que presta servicios profesionales en las áreas de auditoría, impuestos y asesoramiento a empresas de capital privado, empresas públicas globales, empresarios, personas de alto patrimonio como asesores de confianza y organizaciones sin fines de lucro. ERB es miembro de TIAG International. Durante más de 20 años, ERB ha recomendado estrategias que dan a nuestros clientes una ventaja competitiva y oportunidades de crecimiento. Nuestra propuesta de valor es ofrecer a los clientes un modelo operativo práctico, con profesionales altamente involucrados en la prestación de servicios al cliente. Por favor visite nuestro sitio web para nuestra lista completa de servicios: www.erb.com.ec
ERB: Globally Connected, Locally Respected
Importante: Este TOP Memo, no es ni podrá ser usado como asesoría u opinión, en vista de que solo se trata de un documento informativo.
Mi aporte de hoy: Henry Escalante – ERB – TIAG International
Protección de Datos Personales:
En relación con lo dispuesto en la Ley Orgánica de Protección de Datos, aplicable al caso, le informamos que sus datos de contacto se encuentran almacenados en nuestro banco de datos y se encuentran bajo administración de EsRoBross. Sus datos de contacto se utilizarán únicamente para enviarle información que consideramos de su interés en temas que desarrolla la Firma, tales como: de consultoría empresarial, legales, tributarios, laborales, contables, auditoría, tecnología, entre otros, a menos que usted indique lo contrario, y no serán compartidos con terceras partes. Si usted no desea recibir más información de nuestra Firma puede «cancelar la suscripción» al abrir cualquiera de los correos electrónicos enviados.