Implementar la protección de datos y designar un Delegado de Protección de Datos (DPD) resuelven necesidades distintas. La implementación organiza el trabajo de la empresa; el delegado asesora y supervisa de forma independiente. Cuando la designación es obligatoria, debe abordarse desde el inicio: no hay que esperar a terminar los documentos para nombrarlo.
Qué resuelve cada servicio
| Trabajo | Resultado esperado | Quién lo ejecuta |
|---|---|---|
| Implementación | Inventario de tratamientos, bases legales, avisos, contratos, controles y procedimientos que realmente se aplican. | La organización, su personal o los profesionales contratados para ejecutar el proyecto. |
| Delegado de Protección de Datos | Asesoramiento, observaciones, supervisión del cumplimiento y contacto con la autoridad y los titulares. | La persona natural designada, con recursos e independencia. |
| Auditoría | Comprobación del funcionamiento de los controles, evidencias y brechas. | El equipo evaluador definido para el alcance de la revisión. |
El Registro de Actividades de Tratamiento (RAT) describe para qué se usan los datos, quiénes intervienen y cómo se protegen. Es una herramienta de trabajo, no una lista de clientes. Tenerlo redactado no demuestra, por sí solo, que las prácticas de la organización sean adecuadas.
Cuándo corresponde designar un DPD
Revise los supuestos de la LOPDP, su Reglamento y la normativa de la SPDP: sector público, tratamientos que requieren control permanente, categorías especiales a gran escala y actividades específicas. Entre los sectores enumerados están educación, seguros y determinados actores de salud. La obligación no se decide únicamente por el número de empleados.
- Identifique qué actividad realiza la organización y qué datos trata.
- Compruebe los supuestos sectoriales y de gran escala, incluidos los de calificación directa.
- Si corresponde, designe y registre al delegado mientras organiza la adecuación.
- Si no es obligatorio, valore una designación voluntaria según los riesgos y la capacidad de supervisión interna.
La guía de nombramiento del DPD en Ecuador desarrolla los requisitos y el registro. La modalidad externa puede ser útil cuando falta un perfil interno independiente o cuando se necesita supervisión especializada; no cambia los supuestos de obligatoriedad.
Cómo evitar que el delegado supervise su propio trabajo
El artículo 15 de la Resolución 2025-0028-R prohíbe al DPD implementar directamente la normativa, ejecutar la gestión de riesgos o las evaluaciones de impacto, decidir fines y medios o acumular funciones que comprometan su independencia. Puede orientar y formular observaciones, pero la ejecución y las decisiones corresponden a la organización y a quienes tengan asignadas esas tareas.
Si una propuesta incluye implementación y DPD, pida identificar las personas que intervendrán, sus responsabilidades y cómo se evitarán conflictos. Un único contrato comercial no elimina esta separación funcional.
Ejemplo: un colegio que comienza su adecuación
Supuesto hipotético: un colegio necesita revisar matrícula, fotografías y una plataforma educativa. Designa al DPD porque su actividad está comprendida en la norma, y encarga a otro equipo ejecutar avisos, contratos y controles. Rectoría aprueba las decisiones; el delegado revisa riesgos, recomienda ajustes y supervisa los resultados. Ambos trabajos avanzan de forma coordinada.
Antes de contratar, compare entregables, responsables, fechas, acceso a información y seguimiento de observaciones. La pregunta útil es qué trabajo necesita ejecutar la organización y qué supervisión debe mantener, no cuál de los dos servicios sustituye al otro.
Fuentes oficiales
- Ley Orgánica de Protección de Datos Personales
- Reglamento General de la LOPDP
- Reglamento del Delegado de Protección de Datos, Resolución 2025-0028-R
- Norma de tratamiento a gran escala, Resolución 2026-0005-R
Revisión normativa: 12 de octubre de 2026.