Lo que la SPDP ya respondió, ordenado por tema
Las consultas absueltas y las resoluciones de la Superintendencia de Protección de Datos Personales del Ecuador, en un solo lugar. Busque por tema, palabra o número de oficio y lea cada documento en la fuente oficial.
- Consultas absueltas
- Resoluciones
- Marco normativo
- Proyectos normativos
- Guías
- Circulares
- Preguntas frecuentes
- Programas aprobados para DPD
- Procesos sancionatorios
- Sistema SISPDP
Consultas absueltas
Respuestas de la SPDP a preguntas de empresas, instituciones y personas sobre cómo aplicar la LOPDP. Cada consulta tiene un resumen nuestro de una línea; el texto válido es el oficio publicado por la SPDP.
Entrega de datos por privados a la Fiscalía: la exclusión penal no los cubre; su comunicación requiere base de licitud y requisitos de transferencia.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Autenticación biométrica en entidades públicas: invocar una obligación legal no basta; debe probarse necesidad estricta, falta de alternativas, EIPD previa y salvaguardas de interoperabilidad.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Asistencia biométrica de servidores públicos: la competencia legal no basta como base de licitud; se exige necesidad estricta, análisis de riesgos y EIPD.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Responsables o encargados extranjeros sujetos a la LOPDP deben designar DPD si cumplen el art. 48, independientemente del apoderado especial, que no lo sustituye.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Datos compartidos dentro de un grupo empresarial: si la receptora fija fines propios, hay transferencia; si solo presta un servicio, hay encargo.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Biometría y metodología de gran escala (MTGE): es gran escala de forma directa, sin ponderar volumen; los datos de salud y menores se puntúan por tratamiento, sin excepción laboral.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Volumen de negocio para multas: corresponde a los ingresos totales del último ejercicio, sin limitarse a lo facturado en Ecuador, también para no domiciliados.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)DPD en telecomunicaciones: el num. 10.12 alcanza solo a personas jurídicas con título de ARCOTEL; una persona natural registra su DPD con datos propios.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Encargado ubicado fuera de Ecuador: la relación sigue siendo encargo y no transferencia internacional, pues prima la naturaleza jurídica sobre la ubicación.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Obligación de DPD para servicios públicos prestados por permiso, sin concesión ni APP: no es automática; deben revisarse otras causales legales.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)DPD para empresas de servicios tecnológicos: la obligación aplica también a consultoras TIC si efectivamente tratan datos personales; sin tratamiento, no procede.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Empresas de transporte que contratan con el Estado sin concesión ni APP no quedan obligadas automáticamente a designar DPD por la causal de concesiones.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Laboratorios clínicos que solo emiten resultados realizan tratamiento de datos de salud a gran escala y, por tanto, deben designar y registrar un DPD.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)GAD parroquiales: el uso de datos de fuentes públicas debe ser compatible con su finalidad original, y compartirlos con asociaciones exige base legal y proporcionalidad.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)DPD en propiedad horizontal: la obligación recae en la persona jurídica o fideicomiso que administra habitualmente, no directamente en las urbanizaciones o conjuntos administrados.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Metodología de gran escala (MTGE): se calcula por cada tratamiento sin consolidar puntajes; los datos sensibles no implican gran escala automática; biometría y geolocalización son causales independientes.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Obligación de DPD por prestar servicios públicos: alcanza solo a concesionarios y APP, no a privados habilitados por otras figuras; se analiza caso por caso.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Encargados: se identifican por no decidir fines ni medios; el contrato escrito es obligatorio y toda nueva finalidad exige base de licitud propia.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Registro de actividades de tratamiento y designación de DPD son obligaciones independientes: el RAT no exige DPD, aunque, si existe, sus datos deben constar.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Deber de informar al recabar consentimiento: deben entregarse todos los contenidos aplicables del art. 12 LOPDP; solo los numerales 6 y 9 son condicionales.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Control permanente, sistematizado y gran escala: el tratamiento recurrente de datos identificativos no obliga por sí solo a designar DPD; se evalúa caso por caso.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Videovigilancia en entidades públicas: puede basarse en competencias legales de custodia de bienes, con letreros informativos por capas, ubicación justificada y plazos documentados.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)El DPD no debe custodiar contraseñas de bases de datos institucionales, porque es una tarea operativa que compromete su independencia y genera conflicto de interés.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Las personas jurídicas pueden prestar el servicio de DPD mediante personas naturales, pero el cargo y su responsabilidad personal recaen siempre en una persona natural.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Programa Profesionalizante del DPD: es obligatorio aun con maestrías o certificaciones, también para DPD extranjeros; la experiencia exigida es profesional en áreas habilitantes.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Huellas e imagen facial en notarías: son datos biométricos sensibles; una resolución no basta como base de licitud y se exige análisis de riesgos.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)El Programa Profesionalizante no sustituye el título de tercer nivel exigido al DPD; ambos requisitos son concurrentes y los cursos de educación continua no equivalen.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)La causal de DPD para telecomunicaciones del art. 10.12 aplica solo a personas jurídicas privadas que poseen título habilitante otorgado por ARCOTEL.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Responsable extranjero sin encargados ni corresponsables: no debe presentar acuerdo de encargo o corresponsabilidad, aunque debe cumplir las demás obligaciones de la resolución.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Oficiales de cumplimiento, de seguridad de la información o apoderados especiales no pueden ejercer como DPD, aunque hayan sido designados antes del Reglamento del DPD.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Tratar datos de menores solo por obligaciones laborales o tributarias no obliga, por sí mismo, a designar DPD; podrían aplicar otras causales.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Con bases distintas al consentimiento no se exige aceptar expresamente la política de protección de datos, aunque debe existir y comunicarse claramente.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Control biométrico de asistencia con consentimiento explícito: solo es viable tras test de proporcionalidad, análisis de riesgos no alto o crítico, EIPD y alternativas reales.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Ratifica que el art. 34 rige para encargados formalizados y el art. 35 reconduce a encargado al tercero que presta servicios con acceso a datos.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Arts. 34 y 35 LOPDP: el tercero que presta servicios con acceso a datos es encargado; si usa datos para fines propios, responde como responsable.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Aseguradoras que reciben datos de pacientes desde establecimientos de salud no son encargadas sino destinatarias, y responsables cuando los usan para sus fines.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)DPD en el sector público: lo designa la máxima autoridad bajo modalidades de la LOSEP y puede ejercer otras funciones si conserva su independencia.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Biometría como último recurso para asistencia laboral; el trabajador accede a sus documentos sin justificar, y el motivo de salida solo se rectifica por sentencia.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Las cooperativas de ahorro y crédito deben tener DPD ya designado, sin esperar requerimiento de la SPDP, por tratar datos crediticios a gran escala.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Registro biométrico de asistencia laboral: resulta desproporcionado, el consentimiento del trabajador no sería libre y ninguna otra causal del art. 26 lo habilita.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Las notarías individualmente no deben designar DPD; la SPDP no se pronunció sobre si corresponde al Consejo de la Judicatura por falta de regulación.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Trazabilidad de tarjetas de implantes médicos: son datos de salud; requieren consentimiento informado, un listado cerrado de datos, análisis de riesgos y conservación limitada.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Copias notariales a terceros: el notario debe entregarlas conforme a la Ley Notarial con causa legitimadora; no se exige contrato con el titular.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Exigir el código dactilar junto a la cédula para nombramientos de representantes legales ante la SCVS es desproporcionado y vulnera la minimización de datos.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Verificación de la designación de DPD: la SPDP indicó que aún no existía procedimiento, aunque la obligación del art. 47 num. 13 debe cumplirse.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)Reconocimiento por buenas prácticas de la disposición transitoria tercera: la SPDP indicó que el procedimiento aún no estaba regulado y no lo detalló.
Leer el pronunciamiento en spdp.gob.ec (se abre en otra pestaña)
Ninguna consulta coincide. Pruebe con otra palabra o quite el filtro de tema.
Resoluciones de la SPDP
Las normas y reglamentos que la SPDP ha emitido para aplicar la LOPDP. Cada enlace abre el documento firmado en spdp.gob.ec. Las resoluciones internas de la institución, como planes y comités, están en la página oficial de resoluciones.
Guías, modelos y circulares
Material de apoyo publicado por la SPDP para aplicar la ley en la práctica.
- Guía de gestión de riesgos y evaluación de impacto del tratamiento de datos personalesGuía, 2025
- Guía de protección de datos personales desde el diseño y por defectoGuía, 2025
- Modelos para calcular el monto de las multas administrativas (MPRIV-1 y MPUB-1)Modelos
- Circular: disposición de información sobre delegados de protección de datos personalesCircular, 10 de diciembre de 2024
- Plan Nacional de Protección de Datos PersonalesPlan, 2025
Sobre esta biblioteca. Los documentos pertenecen a la Superintendencia de Protección de Datos Personales y se consultan en spdp.gob.ec. Los resúmenes son de 593INNOVA, sirven para orientarse y no reemplazan el texto oficial. La propia SPDP señala que sus respuestas a consultas son criterios técnicos no vinculantes.
Actualizada al 24 de octubre de 2026. ¿Encontró una consulta o resolución que falta? Escríbanos a info@593innova.com.