La Superintendencia de Protección de Datos Personales, mediante Oficio N.° SPDP-IRD-2025-0180-O, absolvió una consulta sobre si es obligatoria la designación de un Delegado de Protección de Datos Personales cuando las empresas u organizaciones tratan información de niños, niñas y adolescentes únicamente para cumplir con obligaciones legales, como las previstas en el Código del Trabajo y en la normativa tributaria. El pronunciamiento aclara en qué casos corresponde designar un Delegado de Protección de Datos Personales y en cuáles no aplica esta obligación.

Puntos Claves

Consulta.-

¿Debe entenderse, conforme al numeral 3 del artículo 10 del Reglamento del Delegado de Protección de Datos Personales[1], que la designación de un Delegado de Protección de Datos Personales es obligatoria para todos los responsables o encargados que traten datos personales de niños, niñas y adolescentes exclusivamente en cumplimiento de obligaciones legales previstas en el Código del Trabajo[2] y en la normativa tributaria[3], incluso cuando dicho tratamiento se limite estrictamente a dichas finalidades?

Pronunciamiento.-

La Superintendencia determinó que la obligación de designar un Delegado de Protección de Datos Personales dependerá de las causales previstas en el artículo 48 de la Ley Orgánica de Protección de Datos Personales[4] y en el artículo 10 del Reglamento de los Delegados de Protección de Datos. Es decir, será obligatorio nombrar un Delegado de Protección de Datos solo si el responsable o encargado del tratamiento de datos:

• Tiene por objeto o se dedica de manera habitual al tratamiento de datos personales en los casos previstos por la norma,
• Se encuentra dentro de las causales específicas señaladas en la Ley Orgánica de Protección de Datos Personales.

De este modo, si el tratamiento de datos personales de niños, niñas y adolescentes se realiza únicamente para cumplir con obligaciones legales laborales o tributarias, no es obligatorio designar un DPD, pues no se cumple la condición de tener como objeto o actividad habitual ese tipo de tratamiento.

Sin embargo, si la misma entidad incurre en alguna de las demás causales del artículo 48 de la LOPDP o cumple con los numerales del artículo 10 del Reglamento, sí deberá designar un DPD.

Nota: La Superintendencia aclaró que este pronunciamiento constituye una opinión técnica, sin carácter vinculante ni efectos jurídicos generales. Además, no limita las facultades de supervisión, control y sanción que el organismo puede ejercer.

 

[1] “Art. 10.- Además de lo establecido en la LOPDP y el RGLOPDP, estarán obligados a designar delegados los responsables o los encargados del tratamiento que tuvieren por objeto o que se dedicaren, de forma habitual, a las siguientes actividades aun cuando no persiguieren fin de lucro:

(…)

10.3. Toda actividad que conllevare el tratamiento datos personales de categorías especiales relacionadas con menores de edad;”

[2] “Art. 147.- Registro especial que deben llevar quienes ocupen a adolescentes.- Todo establecimiento que ocupe a adolescentes que han cumplido quince años y menores de dieciocho años, deberá llevar un registro especial,(…).”

[3] “Art. 96.- Deberes formales.- Son deberes formales de los contribuyentes o responsables:

1. Cuando lo exijan las leyes, ordenanzas, reglamentos o las disposiciones de la respectiva autoridad de la administración tributaria:
2. Inscribirse en los registros pertinentes, proporcionando los datos necesarios relativos a su actividad; y, comunicar oportunamente los cambios que se operen; (…)”

[4] “Art. 48.- Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:

• Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
• Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
• Cuando se refiera al tratamiento a gran escala de categorías especiales de datos, de conformidad con lo establecido en el reglamento de esta Ley; y,
• Cuando el tratamiento no se refiera a datos relacionados con la seguridad nacional y defensa del Estado que adolezcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia.(…).”