El tratamiento a gran escala no se determina solo por el número de empleados o clientes. La Resolución SPDP-SPD-2026-0005-R es una norma aprobada que establece criterios, un modelo de puntuación y supuestos de calificación directa. La organización debe evaluar cada tratamiento y conservar evidencia del resultado.
Primero compruebe si existe calificación directa
Antes de calcular puntos, revise el artículo 14 de la resolución y los supuestos del Reglamento. La norma incluye, entre otros, tratamientos relativos a salud y otras categorías especiales; biometría y geolocalización; vigilancia sistemática de espacios de acceso público; ciertos perfilamientos con consecuencias jurídicas o para derechos; información crediticia estructural; tratamiento sistemático de menores en entornos institucionales; flujos sistemáticos de datos y servicios de mensajería courier.
La calificación directa no exige alcanzar una cifra de titulares. Por eso una huella usada para control de acceso requiere revisar esta vía antes de concluir que hay pocos trabajadores. Deben identificarse las operaciones concretas y el supuesto que se aplica, evitando equiparar una fotografía ordinaria con todo tratamiento biométrico.
Cómo funciona el Modelo Técnico de Gran Escala
Si el caso se evalúa mediante el Modelo Técnico de Gran Escala (MTGE), se suman seis variables. El resultado igual o superior a seis puntos califica como gran escala. Los parámetros se aplican por tratamiento y deben justificarse, no sustituirse por una estimación general de toda la empresa.
| Variable | Puntuación oficial |
|---|---|
| Titulares en doce meses | 0–1.000: 1; 1.001–10.000: 2; 10.001–100.000: 3; 101.000 o más: 4. |
| Tipos de datos por titular | Hasta 10: 0,5; 11–30: 1; 31–100: 2; 101 o más: 3. |
| Categorías | Solo básicas: 0,5; una especial: 2; más de una especial, grupos vulnerables o naturaleza penal/infracciones: 3. |
| Frecuencia | Puntual: 0,5; periódica o recurrente: 1; continua o en tiempo real: 2. |
| Permanencia | Ocasional: 0,5; temporal: 1; prolongada: 2. |
| Alcance geográfico | Local: 1; nacional: 2; global o transfronterizo: 3. |
Dos ejemplos de cálculo
Ejemplos hipotéticos, para mostrar la operación del modelo: un tratamiento local y puntual de 500 adultos, hasta diez datos básicos por persona y permanencia ocasional suma 1 + 0,5 + 0,5 + 0,5 + 0,5 + 1 = 4 puntos. Si no concurre un supuesto directo, queda por debajo del umbral.
Un tratamiento local y periódico de 5.000 adultos, con veinte datos básicos por persona y permanencia temporal suma 2 + 1 + 0,5 + 1 + 1 + 1 = 6,5 puntos. Si estas características reflejan realmente la operación, alcanza el umbral. El resultado cambia cuando cambian los hechos: conservar datos durante más tiempo o ampliar el territorio exige revisar las variables.
Qué obligaciones activa la clasificación
- Evaluación de impacto de protección de datos previa al tratamiento.
- Designación obligatoria de Delegado de Protección de Datos (DPD).
- Incorporación del tratamiento y del resultado verificable en el Registro de Actividades de Tratamiento (RAT).
- Medidas reforzadas de responsabilidad proactiva, seguridad y supervisión.
La gestión de riesgos, implementación y decisiones son responsabilidades de la organización y de los equipos que las ejecutan. El DPD orienta y supervisa con independencia. Consulte implementación y DPD para separar esos trabajos.
Qué evidencia conservar y cuándo revisar
Guarde la descripción del tratamiento, fuente de cifras, justificación de categorías y duración, cálculo, fecha y responsable de la revisión. La norma exige actualizar el RAT al menos una vez al año o ante cambios relevantes, conservar trazabilidad del modelo e informes anuales de cumplimiento por un mínimo de cinco años.
Para encargados, las obligaciones de esta norma se delimitan por las operaciones sobre las que tienen acceso, visibilidad o control efectivo; no supone una exención general. El período transitorio de noventa días previsto en la resolución para determinadas designaciones no es una prórroga indefinida ni reinicia al evaluar la empresa. La guía de nombramiento de DPD permite completar el trámite cuando corresponda.
Fuentes oficiales
- Norma de tratamiento a gran escala, Resolución 2026-0005-R
- Reglamento General de la LOPDP
- Reglamento del Delegado de Protección de Datos, Resolución 2025-0028-R
Revisión normativa: 12 de octubre de 2026.