RESUMEN
La Superintendencia de Protección de Datos Personales expidió la Resolución No. SPDP-SPD-2026-0005-R, que establece la norma general para identificar y regular el tratamiento de datos personales a gran escala. La disposición es obligatoria para responsables y encargados que tengan acceso, visibilidad o control efectivo sobre los datos, incluso cuando el tratamiento se realice fuera del Ecuador si aplica el criterio de territorialidad.
La norma crea el Modelo Técnico de Gran Escala (MTGE), un sistema de puntuación que evalúa seis variables: número de titulares, volumen de datos, categorías de datos (incluidos datos sensibles), frecuencia, permanencia y alcance geográfico. Si el puntaje es igual o superior a 6 puntos, el tratamiento se considera a gran escala y activa obligaciones adicionales.
Existen además casos de calificación directa, sin necesidad de aplicar el modelo, como: tratamientos de datos de salud o sensibles, perfilamiento automatizado con efectos jurídicos, videovigilancia sistemática, datos biométricos y geolocalización, sistemas de información crediticia, tratamiento de datos de niños, niñas y adolescentes, transferencias sistemáticas de datos y servicios de mensajería courier.
Los responsables que realicen tratamiento a gran escala deberán, entre otras obligaciones, designar un Delegado de Protección de Datos, realizar evaluaciones de impacto, mantener actualizado el Registro de Actividades de Tratamiento (RAT), aplicar medidas reforzadas de seguridad y someterse a auditorías al menos una vez al año, conservando los informes por cinco años.
La norma entró en vigencia el 25 de febrero de 2026 y concede un plazo de 90 días para que quienes identifiquen que realizan tratamientos a gran escala designen y registren su Delegado ante la SPDP.
FUENTE
Para conocer más, puedes descargar el decreto haciendo clic AQUÍ
Resolución Nº SPDP-SPD-2026-0005-R
