El delegado de protección de datos en Ecuador: asesoramiento con influencia, independencia y capacidad organizacional

Claves para construir una ruta ecuatoriana sin reproducir ni rechazar acríticamente la experiencia comparada

Introducción

La consolidación del delegado de protección de datos personales en Ecuador está abriendo un debate necesario sobre su posición, sus competencias y su capacidad para contribuir efectivamente al cumplimiento.

Algunos profesionales ecuatorianos han planteado que la configuración del DPD como asesor y supervisor responde a la recepción del modelo europeo —y, más específicamente, del esquema impulsado por la Agencia Española de Protección de Datos—, pero que esa posición no encaja plenamente en organizaciones que todavía deben construir desde sus fundamentos un sistema de protección de datos personales.

La preocupación merece atención. En una organización con escasa madurez, sin inventario de tratamientos, responsabilidades asignadas, análisis de riesgos o procedimientos operativos, el DPD puede encontrarse ante una expectativa difícilmente sostenible: crear el sistema, impulsar su ejecución, controlar sus resultados y responder por sus deficiencias.

Reconocer esta realidad no obliga, sin embargo, a aceptar una explicación causal única. Tampoco permite concluir que el asesoramiento sea una función inadecuada, que la experiencia europea impida comprender las organizaciones o que los sistemas de gestión reduzcan el cumplimiento a una lista de verificación.

La cuestión central es más compleja:

¿Cómo puede el DPD contribuir intensamente a construir el cumplimiento sin sustituir al responsable del tratamiento ni perder la independencia necesaria para supervisarlo?

La efectividad del delegado depende de la interacción entre cuatro elementos:

• su competencia profesional;
• la capacidad organizacional de la entidad;
• una distribución clara de responsabilidades;
• y la existencia de garantías materiales de independencia.

1. Alcance y método del análisis

El trabajo se inscribe en una metodología dogmático-jurídica, apoyada en el análisis institucional y en una comparación funcional limitada.

El componente dogmático permite interpretar sistemáticamente la Ley Orgánica de Protección de Datos Personales, su Reglamento General, la Resolución SPDP-SPD-2025-0028-R y las consultas atendidas por la Superintendencia de Protección de Datos Personales.

El análisis institucional examina las condiciones organizacionales necesarias para que las funciones atribuidas al DPD puedan ejercerse efectivamente. La comparación funcional contrasta determinados problemas y soluciones desarrollados en el RGPD, la legislación española, las directrices europeas, el Esquema AEPD-DPD y las recomendaciones publicadas por la AEPD en julio de 2026 para la Administración General del Estado.

España se utiliza como referencia porque algunos profesionales ecuatorianos han atribuido al denominado “modelo AEPD” una influencia determinante sobre la comprensión local del cargo. La selección no implica considerar la experiencia española como modelo único, superior o representativo de toda Europa.

El artículo tampoco pretende establecer empíricamente una causa única de las dificultades que puedan estar experimentando los delegados en Ecuador. Para ello serían necesarios estudios sistemáticos sobre perfiles, experiencia, recursos, posición jerárquica, conflictos de interés, posibles represalias y niveles de madurez organizacional.

La norma permite determinar qué funciones corresponden al delegado, pero no demuestra por sí sola cómo se ejercen en la práctica. Una certificación puede acreditar determinados conocimientos, pero no necesariamente experiencia organizacional. Una experiencia profesional puede ser verdadera y relevante sin que su explicación resulte generalizable a todas las entidades ecuatorianas.

2. Ecuador no partió de un vacío jurídico absoluto

La aprobación de la LOPDP en 2021 no supuso el nacimiento del derecho a la protección de datos personales en Ecuador.

La Constitución de 2008 ya reconocía en su artículo 66.19:

“El derecho a la protección de datos de carácter personal”.

Ese reconocimiento incluye el acceso y la decisión sobre la información personal y exige autorización del titular o mandato legal para su recolección, archivo, procesamiento, distribución o difusión. La Constitución también contempla la acción de hábeas data como garantía para conocer, acceder, actualizar, rectificar, eliminar o anular información personal. (Asamblea Nacional del Ecuador)

Antes de la LOPDP, la Corte Constitucional había relacionado la protección de datos con la autodeterminación informativa, la intimidad, la imagen, la honra y el buen nombre. En la sentencia 2064-14-EP/21 examinó el tratamiento no autorizado de fotografías íntimas y declaró la vulneración de varios de esos derechos. (Sacc)

Por tanto, Ecuador no carecía de antecedentes jurídicos. Existía una protección constitucional, jurisdiccional y sectorial que puede describirse como fragmentada, porque todavía no se había articulado un sistema integral de responsabilidad proactiva, obligaciones preventivas, gobernanza organizacional y supervisión administrativa especializada.

La juventud del sistema actual puede explicar algunas dificultades de implantación. No convierte, sin embargo, al DPD en responsable de todas las tareas necesarias para construirlo.

3. La naturaleza asesora y supervisora del DPD procede del derecho ecuatoriano

La configuración del delegado como figura de asesoramiento y supervisión no ha sido introducida exclusivamente por la experiencia española.

El artículo 4 de la LOPDP define al DPD como la persona natural encargada de informar al responsable o al encargado sobre sus obligaciones, velar o supervisar el cumplimiento normativo, cooperar con la autoridad y servir como punto de contacto.

El artículo 49 concreta sus funciones. Entre ellas se encuentra:

“Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación”.

La elección de los verbos es relevante. La Ley diferencia el asesoramiento sobre estas actividades de la supervisión posterior de su aplicación. También atribuye al DPD funciones generales de información, asesoramiento, supervisión y cooperación con la SPDP. (finanzaspopulares.gob.ec)

El artículo 50 exige que la participación del delegado sea apropiada y oportuna. Obliga a facilitarle acceso a las operaciones de tratamiento y los recursos necesarios, impide destituirlo o sancionarlo por el correcto ejercicio de sus funciones y le reconoce relación directa con el nivel ejecutivo y decisorio más alto. (finanzaspopulares.gob.ec)

El artículo 48 del Reglamento General refuerza esta caracterización al presentar al DPD como una figura que asesora, vela y supervisa independientemente el cumplimiento de las obligaciones atribuibles al responsable y al encargado. (Ministerio de Telecomunicaciones)

Por consiguiente, el carácter asesor y supervisor del DPD no es una deformación introducida informalmente por la AEPD. Es una opción normativa adoptada por el legislador ecuatoriano y desarrollada por la propia autoridad nacional.

Esto no significa que la forma concreta de ejercer el asesoramiento deba copiar mecánicamente una práctica extranjera. Significa que una ruta ecuatoriana debe partir de su propio derecho: el DPD informa, asesora, supervisa, coopera y actúa como punto de contacto independiente.

4. Asesorar no significa observar pasivamente

El término “asesor” puede interpretarse de manera excesivamente débil. Puede sugerir que el delegado espera a que la organización haya adoptado sus decisiones, revisa documentos y formula opiniones sin capacidad real para influir sobre los tratamientos.

Ese no debería ser el modelo.

La participación apropiada y oportuna exige que el DPD intervenga cuando las alternativas todavía pueden evaluarse. Su consulta no debería producirse únicamente cuando la organización pretende documentar una decisión ya irreversible.

Para asesorar sobre un tratamiento, el delegado necesita comprender:

• la finalidad perseguida;
• el modelo de negocio o la función pública afectada;
• el proceso operativo;
• los sistemas y tecnologías empleados;
• las categorías de datos;
• los flujos de información;
• los terceros participantes;
• los riesgos para las personas;
• y las consecuencias de las alternativas disponibles.

La función puede definirse como un asesoramiento cualificado, preventivo e independiente, dotado de capacidad de influencia institucional, pero carente de poder ejecutivo para sustituir las decisiones del responsable.

El DPD no debería limitarse a identificar artículos de una ley. Debe traducir sus exigencias a escenarios organizacionales, formular recomendaciones viables, plantear alternativas, priorizar riesgos y explicar las consecuencias jurídicas y operativas de las decisiones.

Asesorar no equivale a aprobar. Supervisar no equivale a ejecutar. Influir no equivale a decidir.

5. Las obligaciones de implantación permanecen en el responsable

La LOPDP no atribuye al delegado la construcción completa del sistema de cumplimiento.

El artículo 47 asigna al responsable obligaciones como:

• aplicar medidas administrativas, técnicas, físicas, organizativas y jurídicas;
• implantar políticas de protección de datos;
• utilizar metodologías de análisis y gestión de riesgos;
• evaluar la eficacia de las medidas;
• prevenir y mitigar vulneraciones;
• establecer la protección de datos desde el diseño y por defecto;
• mantener los registros exigidos;
• y designar al DPD cuando corresponda. (finanzaspopulares.gob.ec)

Estas obligaciones permanecen en la organización después de la designación. El responsable no deja de ser responsable porque cuente con una figura especializada que le asesore y supervise.

La consulta atendida mediante el Oficio N.º SPDP-IRD-2026-0064-O resulta ilustrativa. Se preguntó a la SPDP si era necesario designar un delegado para cumplir la obligación de mantener el Registro de Actividades de Tratamiento prevista en el Reglamento General.

La autoridad concluyó que la designación del DPD y el mantenimiento del RAT son:

“obligaciones independientes”.

También aclaró que las tareas encomendadas al delegado solo serán válidas cuando no generen conflictos de interés ni afecten a su independencia funcional. La respuesta tiene naturaleza técnica y no vinculante, pero constituye un criterio institucional relevante sobre la separación de obligaciones. (SPDP Ecuador)

La enseñanza trasciende el supuesto concreto. El DPD puede orientar los criterios para elaborar el RAT, revisar su coherencia, advertir carencias y supervisar su actualización. La responsabilidad de identificar, documentar y mantener correctamente los tratamientos permanece en la organización.

6. Saber construir un sistema no equivale a ser su propietario

Un DPD competente debe saber cómo se construye, opera y evalúa un sistema de protección de datos.

Debe conocer gobierno, procesos, gestión de riesgos, evaluaciones de impacto, protección desde el diseño, ejercicio de derechos, vulneraciones, encargados, seguridad, auditoría, métricas, formación y mejora continua.

Sin estas competencias difícilmente podrá asesorar o supervisar con rigor.

Pero conocer una actividad no significa asumir la titularidad ejecutiva de todas las decisiones relacionadas con ella.

La Resolución SPDP-SPD-2025-0028-R permite que responsables y encargados contraten servicios especializados de soporte, asesoría, implementación o consultoría. La regulación no niega la necesidad de disponer de capacidades de implantación; exige diferenciarlas de la función independiente del delegado.

El artículo 13 de la Resolución atribuye al DPD funciones de asesoramiento o supervisión sobre riesgos, evaluaciones de impacto, medidas de seguridad, ejercicio de derechos, vulneraciones, RAT y cumplimiento general. También establece que no será responsable de las decisiones finales del responsable o encargado cuando pueda demostrar una actuación diligente.

El artículo 15 le impide:

“implementar en la organización, de forma directa”

las obligaciones que corresponden al responsable y:

“ejecutar, de manera directa, la gestión de riesgos o las evaluaciones de impacto”.

Puede, en cambio, formular observaciones y orientaciones no vinculantes y supervisar la forma en que esas actividades son realizadas. Tampoco puede decidir las finalidades o los medios del tratamiento ni ejercer simultáneamente cargos que comprometan su imparcialidad.

La norma no le impide comprender, orientar o cuestionar estas actividades. Le impide apropiarse de las responsabilidades que después debe evaluar independientemente.

Traducción operativa de la distribución normativa

La siguiente matriz traduce operativamente esta distribución. No reproduce literalmente una disposición, sino que muestra cómo puede organizarse la separación de funciones:

Esta separación no reduce la influencia del delegado. Evita que deba supervisar decisiones que él mismo adoptó y controles cuya implantación dirigió como propietario.

7. Un supuesto práctico: influir sin sustituir

Imaginemos que una organización pretende implantar un sistema de reconocimiento facial para controlar el acceso a sus instalaciones.

El área operativa identifica la necesidad. El equipo tecnológico analiza las soluciones disponibles. Las áreas jurídica y de seguridad estudian los requisitos y controles. La dirección decide si el proyecto responde a los objetivos de la organización y asigna recursos.

El DPD debería participar desde el inicio. Podría:

• cuestionar si el reconocimiento facial es realmente necesario;
• analizar si existen alternativas menos intrusivas;
• advertir sobre la naturaleza sensible del dato biométrico;
• examinar la base de legitimación;
• recomendar una evaluación de impacto;
• asesorar sobre su metodología;
• comprobar si se han identificado adecuadamente los riesgos;
• proponer salvaguardas;
• y supervisar posteriormente su aplicación.

Su intervención puede modificar sustancialmente el proyecto. Incluso puede llevarle a recomendar que no se ejecute si no supera los análisis de necesidad y proporcionalidad.

Sin embargo, la decisión sobre la finalidad, la selección del sistema y la aceptación del riesgo residual no corresponde al delegado.

La LOPDP define los datos biométricos como aquellos relativos a características físicas, fisiológicas o conductuales que permiten o confirman la identificación única de una persona. Su tratamiento requiere un examen particularmente riguroso de legitimación, necesidad, proporcionalidad y riesgos. (finanzaspopulares.gob.ec)

Corresponde al responsable decidir sobre el proyecto, realizar la evaluación necesaria y adoptar las medidas. El DPD asesora sobre su procedencia, metodología, alcance, riesgos y salvaguardas, y supervisa la aplicación de las decisiones adoptadas.

El ejemplo demuestra que el delegado puede condicionar profundamente la configuración del tratamiento sin convertirse en quien determina su finalidad, selecciona el medio tecnológico o acepta el riesgo.

8. La experiencia europea confirma la separación entre responsabilidad y participación

El RGPD configura al DPD como una función de información, asesoramiento, supervisión, cooperación con la autoridad y atención al riesgo.

Su artículo 38 exige que el delegado:

“participará de forma adecuada y en tiempo oportuno”.

También establece que:

“no reciba ninguna instrucción”

respecto del ejercicio de sus funciones, que disponga de los recursos necesarios y que reporte directamente al máximo nivel jerárquico del responsable o encargado. (BOE)

La LOPDGDD desarrolla su posición y cualificación. Su artículo 36 reconoce que puede:

“inspeccionar los procedimientos […] y emitir recomendaciones”.

También exige garantizar su independencia, evitar conflictos de interés y facilitarle acceso a los datos y procesos. (BOE)

Estas disposiciones no presentan al DPD como un revisor documental periférico. Le reconocen acceso, capacidad inspectora, comunicación con la dirección y una posición activa dentro del sistema de cumplimiento.

Al mismo tiempo, tampoco le atribuyen la responsabilidad general por las decisiones del responsable.

Las Directrices WP243 rev.01 explican que la supervisión implica recopilar información, analizar la conformidad de los tratamientos, informar, asesorar y emitir recomendaciones. En relación con las evaluaciones de impacto, corresponde al responsable realizarlas, mientras que el DPD debe asesorar sobre su necesidad, metodología, medidas y correcta ejecución. (Agencia Española de Protección de Datos)

9. La aportación reciente de la AEPD: responsabilidad jurídica y participación técnica

Las recomendaciones publicadas por la AEPD el 14 de julio de 2026 para la Administración General del Estado aportan una precisión especialmente relevante.

El documento afirma:

“La responsabilidad del cumplimiento corresponde siempre al responsable del tratamiento”.

La designación del DPD no transfiere esa responsabilidad. Incorpora una figura especializada que informa, asesora, supervisa, anticipa riesgos y facilita el cumplimiento. Su eficacia depende también de los órganos directivos, las unidades responsables de los tratamientos y el conjunto de la organización.

La AEPD formula además una distinción central entre:

“la responsabilidad jurídica sobre las decisiones y la participación técnica en su preparación”.

Corresponde al responsable aprobar el RAT, asumir los análisis de riesgos y las evaluaciones de impacto y adoptar las decisiones finales. La participación intensa del DPD en la elaboración, revisión y mejora de estos instrumentos no altera esta distribución.

Esta posición permite superar dos extremos:

• considerar que el DPD solo puede observar y formular opiniones abstractas;
• entender que debe asumir todas las tareas porque la organización todavía carece de una estructura madura.

La intervención intensa no equivale a apropiación funcional.

Las recomendaciones también destacan que la posición orgánica del DPD condiciona su capacidad para asesorar, supervisar, integrarse en los procesos decisorios y coordinarse con otras unidades. La AEPD propone estabilidad, visibilidad en el organigrama, estructuras de apoyo y colaboración con perfiles jurídicos, tecnológicos, de seguridad y gestión de riesgos.

Aunque el documento se dirige a la Administración General del Estado española y no puede trasladarse automáticamente a Ecuador, ofrece una referencia comparada reciente sobre la evolución desde una visión centrada exclusivamente en el profesional hacia una comprensión institucional de la función.

10. Qué representa —y qué no representa— el Esquema AEPD-DPD

La expresión “modelo AEPD” puede referirse a realidades diferentes:

• el RGPD;
• la LOPDGDD;
• las directrices europeas;
• las guías de la AEPD;
• el Esquema de Certificación;
• los programas formativos que utilizan su temario;
• o la manera en que determinadas organizaciones trasladan sus contenidos a la práctica.

El Esquema AEPD-DPD no se limita al conocimiento jurídico ni a la revisión documental. Incluye responsabilidad proactiva, gestión de riesgos, privacidad desde el diseño, evaluaciones de impacto, seguridad, auditoría, procedimientos, formación y gestión de incidentes. Su finalidad es certificar determinados conocimientos y cualificaciones profesionales mediante entidades acreditadas. (Agencia Española de Protección de Datos)

No obstante, una certificación no demuestra por sí sola que la persona haya dirigido proyectos complejos, gestionado resistencias internas, negociado recursos con la dirección, trabajado en un sector determinado o desarrollado la madurez necesaria para sostener una posición independiente.

La certificación constituye una evidencia valiosa de las competencias evaluadas dentro de su alcance, pero no una presunción absoluta de idoneidad para cualquier organización o contexto nacional.

La conclusión debe ser equilibrada:

El Esquema AEPD-DPD puede aportar una base estructurada de conocimientos y una referencia profesional útil, pero no sustituye la experiencia, el conocimiento sectorial, las habilidades organizacionales ni la adaptación al derecho ecuatoriano.

El problema no reside en estudiar o utilizar una referencia internacional. Aparece cuando se presenta como una solución completa y autosuficiente.

11. La experiencia europea tampoco ofrece un modelo completamente resuelto

Una trayectoria regulatoria más prolongada no significa que las organizaciones europeas hayan resuelto definitivamente la posición del DPD.

Durante 2023, veinticinco autoridades de control del Espacio Económico Europeo participaron en una actuación coordinada sobre su designación y posición. El informe del EDPB identificó dificultades relacionadas con recursos insuficientes, formación, conocimientos especializados y conflictos de interés. También formuló recomendaciones dirigidas a responsables, encargados, delegados y autoridades.

Estos resultados no pueden trasladarse automáticamente a Ecuador. Sí permiten descartar dos simplificaciones:

• que las dificultades del DPD sean exclusivas de sistemas jurídicos recientes;
• y que una historia normativa prolongada convierta automáticamente al delegado en una figura efectiva.

La experiencia comparada debe servir para aprender de problemas comunes, no para establecer jerarquías entre culturas regulatorias.

12. Los sistemas ISO no son checklists

También merece una respuesta formal la afirmación de que los sistemas de gestión voluntarios —y, de manera implícita, las normas ISO— han generado una cultura en la que el cumplimiento se reduce a una lista de verificación.

Esta interpretación no describe correctamente su arquitectura ni su principio de funcionamiento.

Una checklist es una herramienta auxiliar. Puede ayudar a ordenar una revisión, recordar preguntas, homogeneizar criterios o verificar evidencias.

Por sí sola, no:

• establece políticas;
• asigna responsabilidades;
• identifica riesgos;
• integra controles en los procesos;
• evalúa su eficacia;
• ni produce mejora continua.

Un sistema de gestión exige conectar todos esos elementos.

ISO/IEC 27701:2025 establece requisitos y orientación para implantar, mantener y mejorar continuamente un sistema de gestión de privacidad de la información. Su segunda edición se configura como una norma autónoma de sistema de gestión, utilizable independientemente. (ISO)

Esto exige comprender el contexto, establecer liderazgo y responsabilidades, planificar objetivos, gestionar riesgos, proporcionar recursos y competencias, operar procesos, evaluar el desempeño, corregir desviaciones y mejorar.

Un ecosistema que supera ampliamente la comprobación documental

La contribución de ISO a la privacidad no se limita a una norma ni a la comprobación formal de requisitos. ISO/IEC 27701:2025 proporciona la estructura del sistema de gestión; ISO/IEC 29100, 29101, 29134, 29151, 29184 y 29190 desarrollan el marco de privacidad, su arquitectura, las evaluaciones de impacto, los controles de protección de la información personal, los avisos y el consentimiento y la evaluación de capacidades. A ello se añaden ISO/IEC 27555, 27556, 27557 y 27559, relativas a la eliminación de información personal, la gestión de preferencias, el riesgo organizacional de privacidad y la desidentificación. La familia ISO/IEC 27000 aporta marcos para la seguridad, el gobierno, la gestión de riesgos y la respuesta ante incidentes, mientras que la serie ISO 24495 contribuye al desarrollo de comunicaciones comprensibles y utilizables. (ISO)

Este conjunto aborda la privacidad como un problema de gobierno, responsabilidad, arquitectura, riesgos, procesos, controles, comunicación y mejora continua.

Reducirlo a una checklist supone confundir una herramienta de verificación con el sistema organizacional que debe producir decisiones, asignar responsabilidades, ejecutar medidas y evaluar su eficacia.

ISO/IEC 27556:2022 resulta especialmente ilustrativa porque proporciona un marco centrado en las preferencias de privacidad de las personas. Respetarlas exige recogerlas, representarlas, actualizarlas y trasladarlas a los sistemas y procesos afectados. No basta con comprobar que existe un formulario o una casilla de consentimiento. (ISO)

ISO/IEC 27557:2022 aplica ISO 31000:2018 a la gestión organizacional del riesgo de privacidad. Permite integrar los impactos que el tratamiento puede causar a las personas y las consecuencias que estos impactos o los eventos de privacidad pueden producir para la organización dentro de su gestión general de riesgos. (ISO)

Una lista puede preguntar si existe una evaluación de riesgos. Un sistema de gestión debe determinar:

• qué consecuencias puede producir el tratamiento;
• quién es propietario del riesgo;
• con qué criterios se evalúa;
• qué medidas se adoptan;
• quién las ejecuta;
• y cómo se supervisa su evolución.

Cuando una implantación ISO se limita a redactar documentos o marcar casillas, no está manifestando el principio de funcionamiento del estándar. Está realizando una implantación superficial, desconectada de la operación, del riesgo y de la mejora.

La misma degradación puede producirse fuera de ISO:

• una ley puede reducirse a una lista de artículos;
• un RAT, a una hoja de cálculo desactualizada;
• una EIPD, a un formulario;
• una política, a un documento que nadie aplica;
• y una certificación profesional, a una acumulación de horas formativas.

El problema no es la checklist como instrumento. Es confundir el instrumento con el sistema.

ISO no convierte la privacidad en una checklist. Una implantación deficiente puede convertir cualquier marco —legal, técnico o de certificación— en una checklist.

13. Lenguaje claro como componente de la protección de datos

La transparencia no se satisface mediante la mera entrega de información. Requiere que el titular pueda localizarla, comprenderla y utilizarla para adoptar decisiones o ejercer sus derechos.

ISO 24495-1:2023 establece principios y orientaciones generales para desarrollar documentos en lenguaje claro. ISO 24495-2:2025 aplica esos principios a la comunicación jurídica y pretende facilitar que las personas comprendan la información legal y puedan ejercer sus derechos y obligaciones. ISO 24495-3:2026 extiende el enfoque a la comunicación sobre materias científicas destinada a públicos con diferentes niveles de conocimiento. (ISO)

Estas normas pueden aportar criterios útiles para:

• avisos y políticas de privacidad;
• cláusulas informativas;
• formularios de consentimiento;
• comunicaciones sobre vulneraciones;
• respuestas al ejercicio de derechos;
• explicaciones sobre decisiones automatizadas;
• información dirigida a niñas, niños y adolescentes;
• y tratamientos relacionados con salud, genética, inteligencia artificial o investigación.

El DPD puede supervisar que la información sea jurídicamente suficiente, pero también accesible, comprensible, estructurada, utilizable y coherente con el tratamiento real.

El lenguaje claro no elimina la precisión jurídica. Permite comunicarla de forma que las personas comprendan qué se hace con sus datos, qué consecuencias puede producir el tratamiento y cómo ejercer sus derechos.

14. Capacidad organizacional: una condición de la responsabilidad proactiva

El debate suele concentrarse en determinar si el DPD está suficientemente preparado. La pregunta es necesaria, pero incompleta.

También debe analizarse la capacidad organizacional.

Puede entenderse como una capacidad institucional distribuida para:

• asignar autoridad y responsabilidades;
• proporcionar recursos;
• integrar la privacidad en los procesos;
• generar información fiable sobre los tratamientos;
• identificar y gestionar riesgos;
• adoptar decisiones;
• ejecutar controles;
• responder a las recomendaciones del DPD;
• corregir desviaciones;
• y aprender de incidentes, auditorías y cambios.

Esta capacidad no reside exclusivamente en el delegado, en la asesoría jurídica o en el área de seguridad. Surge de la interacción entre el órgano de gobierno, la alta dirección, los propietarios de procesos, las áreas operativas y tecnológicas, las funciones de control y las personas que tratan datos en su actividad cotidiana.

Constituye una condición para trasladar el principio de responsabilidad proactiva desde la norma hasta la operación.

Un DPD altamente cualificado no puede compensar indefinidamente una organización que no identifica propietarios, no entrega información, no asigna recursos, no adopta decisiones o no ejecuta las medidas recomendadas.

La protección de datos no es una cualidad individual del delegado. Es una capacidad institucional.

Por ello, cuando una organización afirma que el DPD debe crearlo todo porque no existe nada, también debe responder:

¿Qué estructura, responsables, recursos y equipos ha establecido la organización para cumplir sus propias obligaciones?

El DPD puede impulsar, cuestionar y supervisar esa capacidad. No puede sustituirla.

15. Cultura de cumplimiento: de la declaración a las conductas observables

La cultura de cumplimiento no debe convertirse en una expresión abstracta.

Puede observarse cuando:

• la dirección incorpora la protección de datos a sus decisiones;
• el DPD participa en fases tempranas;
• las áreas entregan información completa;
• las recomendaciones discrepantes son escuchadas;
• las decisiones contrarias a su criterio se motivan;
• los propietarios de procesos asumen sus responsabilidades;
• se asignan recursos proporcionales al riesgo;
• se corrigen desviaciones;
• y no se penaliza a quien comunica un riesgo o incumplimiento.

Las recomendaciones de la AEPD de 2026 vinculan la eficacia del cumplimiento con el compromiso de los órganos directivos, las unidades responsables y el conjunto de la organización. También promueven una integración preventiva de la protección de datos en proyectos, procedimientos, contratación y transformación digital.

Crear cultura tampoco significa asumir que la experiencia europea debe reproducirse sin adaptación.

No existe una única cultura organizacional ecuatoriana. No funcionan de la misma forma una institución pública, una entidad financiera, un hospital, una universidad, una empresa familiar, una multinacional o una pequeña organización local.

La adaptación debe considerar el tamaño, el sector, la estructura jerárquica, los recursos, el modelo de negocio, la exposición al riesgo y la naturaleza de los tratamientos. Pero no puede utilizarse para debilitar garantías expresamente establecidas por la LOPDP.

16. Independencia formal e independencia efectiva

La independencia no se garantiza únicamente mediante una declaración normativa.

Requiere:

• acceso real a la información;
• tiempo suficiente;
• recursos técnicos, humanos y financieros;
• interlocución directa con la alta dirección;
• ausencia de conflictos de interés;
• estabilidad;
• documentación de las recomendaciones;
• capacidad para elevar discrepancias;
• y protección frente a represalias.

La Resolución SPDP-SPD-2025-0028-R prohíbe que el DPD reciba instrucciones sobre el ejercicio de sus funciones o sufra represalias por su actuación técnica y autónoma. También permite que denuncie ante la SPDP hechos que menoscaben su independencia.

El artículo 22 exige mecanismos institucionales de control sobre:

• el contacto con el máximo nivel ejecutivo;
• los recursos disponibles;
• las observaciones y recomendaciones emitidas;
• y los informes sobre el nivel de cumplimiento.

La evaluación debe tener carácter institucional, no jerárquico, y no puede convertirse en un mecanismo de presión sobre el delegado.

La obligación de disponer de recursos no cercena la independencia. Pretende hacerla materialmente posible.

Existe, no obstante, una vulnerabilidad cuando el presupuesto, la continuidad contractual, la evaluación profesional y el acceso del delegado dependen exclusivamente de las personas cuyas decisiones debe supervisar.

Por ello, la independencia efectiva debería reforzarse mediante:

• un mandato formal;
• una línea directa de reporte;
• informes periódicos al órgano de gobierno;
• criterios objetivos para evaluar el desempeño;
• documentación de discrepancias;
• garantías contractuales o laborales;
• y mecanismos eficaces de denuncia e investigación.

Desde una perspectiva de gobierno, conviene distinguir entre:

1. las áreas que poseen y gestionan procesos y riesgos;
2. las funciones que asesoran, supervisan y desafían su actuación;
3. y la auditoría interna, cuando exista, que proporciona aseguramiento independiente.

El DPD puede ejercer una función especializada de asesoramiento y supervisión próxima a una segunda línea, sin asumir la propiedad de los tratamientos ni sustituir el aseguramiento que corresponde a auditoría.

17. No existe evidencia suficiente para atribuir las dificultades a una causa única

Las dificultades que afronta la figura del DPD en Ecuador pueden responder a una combinación de factores:

• juventud del marco institucional;
• desconocimiento de la distribución de responsabilidades;
• selección inadecuada de perfiles;
• formación excesivamente teórica;
• falta de experiencia organizacional;
• importación no contextualizada de modelos;
• concentración de funciones;
• escasez de recursos;
• conflictos de interés;
• débil implicación directiva;
• formalismo documental;
• y temor a represalias.

La influencia del modelo europeo o del esquema AEPD puede ser uno de los elementos que deban examinarse, especialmente cuando sus contenidos se trasladan automáticamente o se presentan como garantía completa de competencia.

Pero la información disponible no permite concluir que sea la causa principal de las disfunciones.

Tampoco existe fundamento para afirmar que los sistemas ISO conducen, por su naturaleza, a un cumplimiento basado en checklists. Sí puede afirmarse que cualquier marco será aplicado superficialmente cuando falten liderazgo, competencia, integración operativa y evaluación de eficacia.

La explicación más prudente es multifactorial: Ecuador está construyendo simultáneamente una profesión, una autoridad de control, una práctica organizacional y una cultura de derechos.

18. Hacia una ruta ecuatoriana de madurez

Ecuador necesita desarrollar una práctica propia. Pero una ruta propia no exige romper simbólicamente con la experiencia europea ni con los estándares internacionales de gestión.

Exige seleccionarlos, contrastarlos y adaptarlos.

Primacía del derecho ecuatoriano

La Constitución, la LOPDP, su Reglamento General, las resoluciones de la SPDP y la jurisprudencia nacional constituyen la matriz principal.

Las fuentes comparadas orientan. No sustituyen el derecho aplicable.

Competencia profesional amplia

El DPD necesita conocimientos normativos, pero también comprensión de procesos, riesgos, tecnologías, seguridad, gobierno, comunicación y comportamiento organizacional.

Evaluación más allá de la certificación

La selección debería valorar conjuntamente formación, experiencia, conocimiento sectorial, independencia, capacidad analítica, comunicación y criterio profesional.

Separación funcional

La organización debe identificar quién decide, quién implementa, quién acepta el riesgo, quién asesora, quién supervisa y quién audita.

Participación temprana

El delegado debe intervenir cuando todavía sea posible modificar el proyecto, no únicamente cuando se pretenda documentar una decisión.

Gobierno desde la dirección

La protección de datos debe formar parte del sistema de decisiones de la organización y no quedar encapsulada en la oficina del DPD.

Garantías verificables de independencia

Los recursos, el acceso, la estabilidad, la ausencia de represalias y los mecanismos de escalamiento deben poder demostrarse.

Producción de evidencia ecuatoriana

Es necesario estudiar los perfiles, la experiencia, los recursos, la posición jerárquica, los conflictos de interés, las posibles represalias y los resultados de la actuación de los delegados.

Sin evidencia, el debate seguirá dependiendo excesivamente de experiencias individuales y afirmaciones difíciles de generalizar.

Conclusión: una función de influencia institucional

El debate ecuatoriano no debería obligar a elegir entre un DPD asesor y un DPD capaz de transformar la organización.

Un asesoramiento cualificado, temprano e independiente puede modificar profundamente las decisiones sin apropiarse de ellas.

El delegado debe comprender cómo se diseña, implanta y mejora un sistema de protección de datos. Debe ser capaz de cuestionarlo, orientar sus decisiones y supervisar su eficacia.

Pero no debe sustituir al responsable, decidir las finalidades del tratamiento, aceptar sus riesgos ni evaluar como supervisor aquello que ejecutó como propietario.

La efectividad del DPD tampoco depende solo de sus conocimientos. Requiere una organización capaz de asignar responsabilidades, proporcionar recursos, ejecutar controles, atender recomendaciones y proteger su independencia.

Ecuador necesita una práctica propia, construida desde la Constitución, la LOPDP y los criterios de la SPDP. La experiencia europea y los estándares internacionales pueden aportar conocimiento, pero deben utilizarse críticamente: ni como plantillas automáticas ni como referencias que deban rechazarse por su procedencia.

El DPD no es el sustituto del responsable ni un observador pasivo. Es una función de influencia institucional que ayuda a que la organización decida mejor, cumpla de manera demostrable y proteja efectivamente a las personas.

Bibliografía y fuentes oficiales

1. Normativa y fuentes ecuatorianas

ASAMBLEA NACIONAL DEL ECUADOR. Constitución de la República del Ecuador. Registro Oficial n.º 449, 20 de octubre de 2008, especialmente artículos 66.19 y 92. (Asamblea Nacional del Ecuador)

ECUADOR. Ley Orgánica de Protección de Datos Personales. Quinto Suplemento del Registro Oficial n.º 459, 26 de mayo de 2021, especialmente artículos 4 y 47 a 50. (Ministerio de Telecomunicaciones)

PRESIDENCIA DE LA REPÚBLICA DEL ECUADOR. Decreto Ejecutivo n.º 904, Reglamento General a la Ley Orgánica de Protección de Datos Personales. Suplemento del Registro Oficial n.º 435, 13 de noviembre de 2023. (Ministerio de Telecomunicaciones)

SUPERINTENDENCIA DE PROTECCIÓN DE DATOS PERSONALES. Resolución n.º SPDP-SPD-2025-0028-R, Reglamento del delegado de protección de datos personales, 30 de julio de 2025. (SPDP Ecuador)

SUPERINTENDENCIA DE PROTECCIÓN DE DATOS PERSONALES. Oficio n.º SPDP-IRD-2026-0064-O. Consulta no vinculante sobre la relación entre la designación del DPD y la obligación de mantener el Registro de Actividades de Tratamiento. (SPDP Ecuador)

CORTE CONSTITUCIONAL DEL ECUADOR. Sentencia n.º 2064-14-EP/21, 27 de enero de 2021. Protección de datos personales, autodeterminación informativa, intimidad, imagen, honra y buen nombre. (Sacc)

2. Normativa y fuentes europeas y españolas

UNIÓN EUROPEA. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, Reglamento general de protección de datos, especialmente artículos 37 a 39. (BOE)

ESPAÑA. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, especialmente artículos 34 a 37. (BOE)

GRUPO DE TRABAJO DEL ARTÍCULO 29. Directrices sobre los delegados de protección de datos (DPD), WP243 rev.01, adoptadas el 13 de diciembre de 2016 y revisadas el 5 de abril de 2017. (Agencia Española de Protección de Datos)

AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. Esquema de certificación de delegados de protección de datos. Esquema AEPD-DPD, versión 1.4. (Agencia Española de Protección de Datos)

AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. Certificación de Delegado de Protección de Datos. Información institucional sobre el Esquema AEPD-DPD. (Agencia Española de Protección de Datos)

AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. Recomendaciones para fortalecer el cumplimiento de la normativa de protección de datos en la Administración General del Estado, 14 de julio de 2026. (Agencia Española de Protección de Datos)

COMITÉ EUROPEO DE PROTECCIÓN DE DATOS. 2023 Coordinated Enforcement Action: Designation and Position of Data Protection Officers, adoptado el 16 de enero de 2024. (Junta Europea de Protección de Datos)

3. Estándares ISO citados

ISO/IEC 27701:2025. Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance. Segunda edición. (ISO)

ISO/IEC 29100:2024. Information technology — Security techniques — Privacy framework. Segunda edición. (ISO)

ISO/IEC 29101:2018. Information technology — Security techniques — Privacy architecture framework. Segunda edición. (ISO)

ISO/IEC 29134:2023. Information technology — Security techniques — Guidelines for privacy impact assessment. Segunda edición. (ISO)

ISO/IEC 29151:2017. Information technology — Security techniques — Code of practice for personally identifiable information protection. Primera edición. En julio de 2026, la segunda edición figuraba oficialmente en fase de publicación. (ISO)

ISO/IEC 29184:2020. Information technology — Online privacy notices and consent. Primera edición. (ISO)

ISO/IEC 29190:2015. Information technology — Security techniques — Privacy capability assessment model. Primera edición. (ISO)

ISO/IEC 27555:2021. Information security, cybersecurity and privacy protection — Guidelines on personally identifiable information deletion. Primera edición. (ISO)

ISO/IEC 27556:2022. Information security, cybersecurity and privacy protection — User-centric privacy preferences management framework. Primera edición. (ISO)

ISO/IEC 27557:2022. Information security, cybersecurity and privacy protection — Application of ISO 31000:2018 for organizational privacy risk management. Primera edición. (ISO)

ISO/IEC 27559:2022. Information security, cybersecurity and privacy protection — Privacy enhancing data de-identification framework. Primera edición. (ISO)

ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection — Information security management systems — Requirements. Tercera edición. (ISO)

ISO/IEC 27002:2022. Information security, cybersecurity and privacy protection — Information security controls. Tercera edición. (ISO)

ISO/IEC 27005:2022. Information security, cybersecurity and privacy protection — Guidance on managing information security risks. Cuarta edición. (ISO)

ISO/IEC 27014:2020. Information security, cybersecurity and privacy protection — Governance of information security. Segunda edición. (ISO)

ISO/IEC 27018:2025. Information security, cybersecurity and privacy protection — Guidelines for protection of personally identifiable information in public clouds acting as PII processors. Tercera edición. (ISO)

ISO/IEC 27035-1:2023. Information technology — Information security incident management — Part 1: Principles and process. Segunda edición. (ISO)

ISO. ISO/IEC 27000 family — Information security management. Portal oficial de la familia de normas de gestión de seguridad de la información. (ISO)

ISO 24495-1:2023. Plain language — Part 1: Governing principles and guidelines. Primera edición. (ISO)

ISO 24495-2:2025. Plain language — Part 2: Legal communication. Primera edición. (ISO)

ISO 24495-3:2026. Plain language — Part 3: Science writing. Primera edición. (ISO)