La Superintendencia de Protección de Datos Personales (SPDP) publicó los Oficios No. SPDP-IRD-2026-0235-O; SPDP-IRD-2026-0260-O; y, SPDP-IRD-2026-0283-O, mediante los cuales absolvió consultas sobre la designación obligatoria del Delegado de Protección de Datos Personales (DPDP) en tres ámbitos específicos del sector privado: conjuntos residenciales; laboratorio clínicos y centros de diagnóstico; y, empresas que prestan servicios de tecnologías de la información.
Puntos Claves
De conformidad con el numeral 10.9 del artículo 10 de la Resolución No. SPDP-2025-0028-R, ¿la obligación de designar un Delegado de Protección de Datos Personales recae únicamente y es suficiente, sobre la persona jurídica de derecho privado o fideicomiso que desarrolla de forma habitual la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales; o, recae, también, y de forma directa sobre los administrados, entiéndase como urbanizaciones, conjuntos residenciales privados o propiedades horizontales?”
La obligación de designar un DPDP recae directamente sobre las personas jurídicas de seguridad privada, personas jurídicas de derecho privado o fideicomisos que se dediquen de forma habitual a la actividad de administrar urbanizaciones, conjuntos residenciales privados o propiedades horizontales.
¿El tratamiento de datos personales sensibles relativos a la salud realizado por compañías o establecimientos de diagnóstico, tales como laboratorios clínicos o centros de análisis, que se limitan a la emisión de resultados sin gestionar historias clínicas, se considera tratamiento a gran escala y configura la obligación de designar un DPDP?
Sí, el tratamiento de datos personales sensibles relativos a la salud realizado por compañías o establecimientos de diagnóstico está comprendido de forma directa y obligatoria dentro del supuesto de tratamiento de datos personales a gran escala. La ausencia de gestión de historias clínicas no exime a la entidad, toda vez que procesa datos sensibles de salud humana dentro del Sistema Nacional de Salud.
Por lo tanto, al catalogarse como tratamiento a gran escala de categorías especiales de datos, se configura de forma obligatoria e ineludible la obligación de designar un delegado de protección de datos personales.
¿La obligación de designar un Delegado de Protección de Datos Personales, prevista en el art. 10.13 de la Resolución No. SPDP-SPD-2025-0028-R, aplicable a personas jurídicas de derecho privado que oferten o presten servicios de tecnologías de la información, se limita exclusivamente a aquellas entidades cuya actividad principal implique el tratamiento de datos personales como parte inherente de sus servicios tecnológicos, o también alcanza a empresas cuya actividad principal sea únicamente la oferta, consultoría o asesoramiento en transformación digital y de procesos, aunque no realicen un tratamiento sistematizado de datos personales?
La obligación de designar un DPDP puede alcanzar a aquellas entidades que tengan por objeto o se dediquen de manera habitual a la oferta de consultoría, asesoramiento o prestación de servicios relacionados con tecnologías de la información, siempre que, en el desarrollo de tales actividades, actúen como responsables o encargados del tratamiento y efectivamente realicen tratamientos de datos personales en cualquiera de las etapas de su ciclo de vida. Por el contrario, si una entidad, aún dedicándose habitualmente a actividades de transformación digital, consultoría tecnológica o asesoramiento de procesos, no realiza tratamiento alguno de datos personales, la normativa de protección de datos personales no le resultará aplicable y, en consecuencia, no se configurará la obligación de designar un Delegado de Protección de Datos Personales derivada del referido numeral.
Nota
Estos pronunciamientos no tienen carácter vinculante ni genera efectos jurídicos generales, pues constituye una opinión técnica sobre la normativa en protección de datos. Su aplicación es de exclusiva responsabilidad de las consultantes.