La Superintendencia de Protección de Datos Personales (SPDP) publicó los Oficios No. SPDP-IRD-2026-0275-O y SPDP-IRD-2026-0299-O, mediante los cuales absolvió consultas sobre obligación de designar un Delegado de Protección de Datos Personales (DPDP) en la prestación de servicios vinculados al sector público, cuando no exista concesión ni alianza público-privada.

El numeral 14 del artículo 10 de la Resolución No. SPDP-SPD-2025-0028-R, Reglamento del Delegado de Protección de Datos Personales, establece la obligación de designar un DPDP a las personas jurídicas de derecho público o privado que fueren concesionarias de servicios públicos, así como a las alianzas público-privadas que distribuyeren, comercializaren y/o suministraren servicios públicos, considerando aquello, se formularon las siguientes consultas:

Puntos Claves

¿La obligación de designar un DPDP prevista aplica a empresas privadas que prestan servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada?

No. Las empresas privadas que presten servicios de transporte, almacenamiento y distribución de mercancías relacionados con buques de carga y aeronaves de cabotaje nacional a entidades del sector público, sin que medie concesión o alianza público-privada, no están comprendidas automáticamente en la obligación del referido numeral, únicamente por prestar servicios a entidades públicas.

Corresponde precisar que la obligación de designar un DPDP debe analizarse según los demás supuestos y criterios previstos en la normativa vigente.

¿Debe entenderse que esta obligación también resulta aplicable a las personas jurídicas de derecho público o privado que distribuyen, comercializan y/o suministran servicios públicos en virtud de un permiso otorgado por la entidad competente, aun cuando dicho título habilitante no sea una concesión ni una alianza público-privada?

No. Las personas jurídicas que presten tales servicios en virtud de un permiso otorgado por la autoridad competente no se encuentran bajo esta obligación por el solo hecho de contar con ese título habilitante. Corresponderá a cada responsable del tratamiento verificar si concurre alguna de las demás causales de designación obligatoria de DPDP.

Nota

Estos pronunciamientos no tienen carácter vinculante ni generan efectos jurídicos generales, pues constituyen una opinión técnica sobre la normativa en protección de datos personales. Su aplicación es de exclusiva responsabilidad de las consultantes.