El delegado de protección de datos vigila la seguridad, no la ejecuta

Imagina que tu empresa nombró un delegado de protección de datos y, para no duplicar cargos, le asignó también la responsabilidad de administrar los controles técnicos de seguridad de la información, incluyendo firewalls, backups y gestión de accesos, lo cual suena eficiente, pero si tu empresa opera en Ecuador, esa decisión podría estar incumpliendo la normativa desde el día uno.

El problema: dos funciones que parecen compatibles, pero no lo son

En Ecuador, la Superintendencia de Protección de Datos Personales (SPDP) expidió en julio de 2025 el Reglamento del Delegado de Protección de Datos Personales (Resolución SPDP-SPD-2025-0028-R), el cual regula quién puede ejercer este cargo y qué puede o no hacer al mismo tiempo, revelando el detalle que muchas organizaciones pasan por alto: el delegado tiene la obligación de supervisar las medidas de seguridad de la información, pero no puede ser, de forma simultánea, el oficial de seguridad de la información ni el oficial de cumplimiento de la organización. Dicho de otra forma, debe vigilar el trabajo, pero no puede ser quien lo hace, y si una empresa junta ambos roles en una sola persona, no se trata de un simple detalle administrativo, sino de un conflicto de interés que el propio reglamento busca evitar.

Por qué existe esta separación

La razón detrás de esta regla es sencilla, pues si la misma persona diseña, implementa y administra las medidas de seguridad, y además es quien debe supervisar de forma independiente si esas medidas son adecuadas, pierde la objetividad necesaria para hacer bien su trabajo, ya que el delegado terminaría evaluando su propia gestión, lo que anula el sentido de tener una figura de supervisión. Este principio no es exclusivo de Ecuador, dado que si trabajas con inventarios de controles de seguridad basados en normas como ISO 27001, seguramente ya conoces la lógica de que quien ejecuta un control y quien lo revisa deben ser personas distintas, pero lo que cambia en Ecuador es que ahora esa separación está escrita expresamente en la norma que regula al delegado, con consecuencias legales concretas si no se respeta

Qué sí le corresponde al delegado

Es importante no irse al otro extremo y pensar que el delegado no tiene nada que ver con la seguridad de la información, pues todo lo contrario, entre sus funciones expresas está supervisar las medidas de seguridad, participar en el análisis de riesgos y en las evaluaciones de impacto, y asistir en la gestión de vulneraciones de seguridad cuando ocurren. Esto significa que, si tu empresa cuenta con un inventario de controles de seguridad, por ejemplo, uno que documente qué controles existen, quién es responsable de cada uno y con qué frecuencia se revisan, el delegado debe tener acceso a ese inventario y debe poder cuestionarlo, hacerle seguimiento y señalar si algo no se está cumpliendo, siendo lo que no puede hacer el ser la persona que aparece como responsable de ejecutar esos mismos controles.

Dónde suele fallar esto en la práctica

El error más común no es tan obvio como nombrar a la misma persona con dos cargos, sino que aparece de formas más sutiles, como cuando un gerente de TI asume también el rol de delegado porque «conoce bien los sistemas», cuando el oficial de cumplimiento de la organización se convierte en delegado sin renunciar a sus funciones anteriores, o cuando el delegado, con buena intención, termina interviniendo directamente en la configuración de controles técnicos porque nadie más lo hace y «hay que resolver rápido». En cualquiera de estos casos, la organización queda expuesta, ya que si la SPDP revisa el nombramiento del delegado y encuentra que existe un conflicto de interés no declarado, esto puede derivar en observaciones o sanciones, además de dejar en entredicho la validez misma de las decisiones que el delegado haya tomado sobre seguridad.

Pasos prácticos para corregir esta situación en tu empresa

Si al leer esto reconoces que tu delegado también ejerce funciones de seguridad de la información o de cumplimiento, esto es lo que conviene revisar:

1. Verifica el organigrama real, no solo el formal: a veces el conflicto no está en el nombramiento oficial, sino en las funciones que la persona ejerce día a día.
2. Separa la ejecución de la supervisión: la persona que administra los controles técnicos no debería ser quien firma el reporte que evalúa si esos controles funcionan.
3. Documenta la independencia del delegado: el reglamento exige que el delegado pueda ejercer sus funciones sin conflictos de interés, así que vale la pena dejar constancia de cómo se garantiza esto en la práctica.
4. Declara cualquier conflicto antes de aceptar el cargo: si la persona que sería delegado ya ocupa un rol de seguridad o cumplimiento, ese conflicto debe declararse y resolverse antes del nombramiento, no después.

El punto clave

El delegado de protección de datos en Ecuador tiene una función de vigilancia sobre las medidas de seguridad de la información, no de ejecución, por lo que confundir estos dos papeles, algo que suele pasar quitándole importancia por razones de eficiencia o costos, es precisamente lo que el reglamento busca prevenir, demostrando que separar quién revisa de quién ejecuta no es solo una buena práctica de gestión, sino un requisito normativo con consecuencias reales que te permiten demostrarle a la SPDP, si en algún momento audita a tu organización, que la independencia del delegado no fue un formalismo en el papel, sino una decisión real de cómo se organizó el trabajo.

Evalúe la estructura actual de su empresa y garantice la independencia del Delegado de Protección de Datos conforme a la normativa de la SPDP. En Data Protected le ayudamos a diagnosticar y prevenir conflictos de interés en su modelo de cumplimiento. Conversar con un especialista.