La Superintendencia de Protección de Datos Personales (SPDP) emitió el Oficio No. SPDP-IRD-2025-0277-O, mediante el cual absuelve la consulta relacionada con la interpretación y alcance del art. 12[i] de la Resolución No. SPDP-SPD-2025-0028-R cuyo punto principal es regular las funciones del Delegado de Protección de Datos Personales (DPDP).

Puntos Claves

Consulta

Solicitamos a su autoridad inteligencia sobre la aplicación del artículo 12 de la Resolución No. SPDP-SPD-2025-0028-R y si el mismo debe entenderse como si las personas jurídicas cuyo objeto social esté relacionado con servicios jurídicos o servicios relacionados con sistemas de la información, de comunicación, o tecnologías, pueden brindar el servicio de delegado de protección de datos, mediante personas naturales que tengan relación de dependencia o no con ellas.

Pronunciamiento

La función del DPDP se encuentra reservada de manera exclusiva a personas naturales, en atención a la naturaleza personalísima de sus funciones, a los requisitos profesionales exigidos por la normativa vigente. En consecuencia, una persona jurídica no puede ejercer directamente la función de DPD ni asumir las atribuciones que la normativa asigna a esta figura.

No obstante, el art. 12 habilita expresamente a las personas jurídicas de derecho privado domiciliadas en la República del Ecuador a prestar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales, sin que dicha habilitación se encuentre condicionada al objeto social, al sector económico o al giro de negocio de la entidad prestadora. En este marco, dichas personas jurídicas pueden brindar servicio de DPDP a través de personas naturales que mantengan o no una relación de dependencia con ellas, siempre que dichas personas que funjan como DPDP sean personas naturales y cumplan con las funciones y obligaciones que establece la normativa de protección de datos personales para dicha figura.

Frente a la SPDP y los titulares de datos personales, el DPDP es plenamente responsable de su actuar y responderá de manera personal en caso de incumplimiento en instancias civiles, penales y administrativas según corresponda y, en ningún caso la persona natural, dependiente o no vinculada a una persona jurídica, que haya optado por prestar sus servicios como DPD puede eximirse de responsabilidad alegando que actuó en representación de la persona jurídica para la que quien trabaja.

Nota

Este pronunciamiento constituye una opinión técnica. No tiene carácter vinculante ni limita el ejercicio de las facultades de supervisión, control y sanción atribuidas a la SPDP.

[i] Art. 12.- Incluso si prestare sus servicios bajo relación de dependencia, el delegado deberá mantener total independencia e imparcialidad en el ejercicio de sus funciones. No obstante, los responsables o los encargados del tratamiento podrán contar con el servicio de delegados mediante la suscripción de contratos de prestación de servicios técnicos especializados, así como contratar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales con personas jurídicas de derecho privado domiciliadas en la República del Ecuador.