Ecuador, cómo saber si su empresa trata datos personales a gran escala con el modelo de seis variables

Saber si una empresa trata datos personales a gran escala fue durante años una pregunta escurridiza en Ecuador, porque la expresión aparecía en la normativa y nadie decía dónde empezaba. Desde el 25 de febrero de 2026 hay una cuenta para responderla. La Superintendencia de Protección de Datos Personales la fijó en la Resolución SPDP-SPD-2026-0005-R, Norma General sobre el Tratamiento de Datos Personales a Gran Escala, firmada el 2 de febrero y publicada en el Registro Oficial Suplemento N° 231, con vigencia desde su publicación.

La cuenta importa porque su resultado decide si hace falta una evaluación de impacto, un delegado de protección de datos y un régimen de medidas reforzadas. Veamos cómo se hace.

A quién alcanza

La norma obliga a todos los responsables que realicen tratamientos a gran escala, y también a los encargados que tengan acceso, visibilidad o control efectivo de los datos, según su artículo 2. Alcanza a lo que se trata dentro de Ecuador y a lo que se trata fuera cuando aplican los criterios de territorialidad de la Ley Orgánica de Protección de Datos Personales y su reglamento.

Hay un detalle de método que conviene fijar antes de sumar. La calificación se hace por tratamiento, no por empresa. Una misma organización puede tener la nómina por debajo del umbral y el programa de fidelización por encima, y cada uno se anota así en el registro de actividades de tratamiento.

La cuenta, variable por variable

El artículo 7 crea el Modelo Técnico de Gran Escala, que la norma abrevia MTGE, y lo define como la suma de seis variables. El artículo 8 fija los puntajes, y el artículo 10 dice que el tratamiento es de gran escala cuando el total es igual o superior a 6 puntos.

El número de titulares se cuenta sobre doce meses, una sola vez por persona, y vale 1 punto hasta 1.000 titulares, 2 entre 1.001 y 10.000, 3 entre 10.001 y 100.000, y 4 desde 101.000. El volumen se mide en tipos de datos por titular, con 0,5 puntos hasta 10, 1 entre 11 y 30, 2 entre 31 y 100, y 3 desde 101. Las categorías valen 0,5 si solo hay datos básicos, 2 si hay una categoría especial, y 3 si hay más de una, o datos de grupos vulnerables, o datos penales.

Las otras tres variables miden el tiempo y el espacio. La frecuencia vale 0,5 si el tratamiento es puntual, 1 si es periódico y 2 si es continuo o en tiempo real. La permanencia vale 0,5 si es ocasional, 1 si dura menos de tres años y 2 si dura tres años o más. Y el alcance geográfico vale 1 si es local, dentro de una provincia, cantón o ciudad, 2 si es nacional y 3 si es global o transfronterizo.

Pongamos dos casos inventados para ver la cuenta funcionando. Una cadena de tiendas con un programa de fidelización de 40.000 socios en varias provincias, que guarda quince tipos de datos básicos de cada uno, los actualiza con cada compra y los conserva por más de tres años, suma 3 por titulares, 1 por volumen, 0,5 por categorías, 2 por frecuencia, 2 por permanencia y 2 por alcance. Son 10,5 puntos, y el tratamiento es de gran escala.

Una ferretería de barrio con 800 clientes, ocho datos básicos de cada uno, una actualización mensual, una conservación de dos años y clientes de una sola ciudad suma 1, 0,5, 0,5, 1, 1 y 1. Son 5 puntos, y queda por debajo. El propio artículo 11 explica que el umbral se calibró para que los tratamientos de magnitud baja no lo alcancen en condiciones ordinarias.

La cuenta funciona como la línea de carga pintada en el casco de un barco. Cada variable sube un poco el agua, y el capitán no decide dónde está la línea, solo mira si la carga la cubrió. Cuando la cubre, el barco sigue navegando, pero con otras reglas a bordo.

Lo que se califica sin hacer la cuenta

El artículo 14 enumera tratamientos que son de gran escala de manera directa y obligatoria, sin aplicar el modelo y además de los que el reglamento general ya predeterminaba. Están los tratamientos de salud y de otras categorías especiales, la evaluación sistemática de personas mediante perfilamiento cuando produce efectos jurídicos, la videovigilancia sistemática de espacios de acceso público, todo tratamiento de datos biométricos y de geolocalización, la información crediticia o financiera, los datos de niñas, niños y adolescentes en entornos dirigidos a ellos, las transferencias sistemáticas y la mensajería acelerada o courier.

Para muchas empresas la puerta de entrada no será la suma sino esta lista. Un reloj de asistencia con huella ya basta, y lo que eso implica lo repasamos al explicar la norma de la SPDP sobre datos biométricos.

Lo que obliga la calificación

El artículo 12 dice que el resultado del modelo es vinculante para cuatro efectos. Obliga a una evaluación de impacto previa, a designar un delegado de protección de datos, a incorporar el tratamiento en el registro de actividades y a activar las medidas reforzadas de la propia norma.

Esas medidas son concretas. El registro de actividades tiene que actualizarse al menos una vez al año, y la empresa debe conservar la evidencia del cálculo y la fecha de la última actualización (artículo 6). Hay que aplicar privacidad desde el diseño y por defecto (artículo 16), someterse a una auditoría interna o externa al menos cada doce meses y guardar su informe cinco años (artículo 17), y elaborar informes anuales de cumplimiento que también se conservan cinco años (artículo 18). El mismo artículo 18 pide identificar los tratamientos a gran escala en la política de privacidad, con sus finalidades y los derechos de los titulares, que es el punto de partida para responder bien una solicitud de derechos.

El plazo de 90 días ya venció

La disposición transitoria dio noventa días, contados desde la vigencia de la norma, para que quienes descubrieran que tratan datos a gran escala designaran a su delegado y lo registraran en la SPDP. Contados desde el 25 de febrero, esos noventa días ya vencieron, cualquiera sea la forma de computarlos. La misma disposición excluye del plazo a quienes ya estaban obligados a designarlo por los casos predeterminados del artículo 4 del reglamento general, que nunca tuvieron ese margen.

Si su empresa todavía no hizo la cuenta, lo razonable es hacerla ahora, designar y registrar al delegado si corresponde, y dejar fechado el cálculo. El artículo 6 advierte que no actualizar el registro de actividades se sanciona conforme al régimen de la ley orgánica. Si su organización opera también en otros países de la región, conviene saber que la autoridad no se organiza igual en todos, como mostramos al comparar quién fiscaliza la protección de datos en Chile, México, Colombia y España.

Tres detalles del texto que conviene mirar

Al leer el texto oficial encontramos tres puntos que, a nuestro juicio, merecen cautela. El primero está en los tramos de titulares. El numeral 8.1.3 llega hasta 100.000 y el 8.1.4 empieza en 101.000, de modo que un tratamiento con, por ejemplo, 100.500 titulares no cae en ninguno. Pareciera un error de transcripción, y lo prudente es asignarle el tramo superior.

El segundo está en el alcance geográfico. El numeral 3.5 define el alcance transfronterizo como el tratamiento realizado «en un país, en una organización internacional, en una persona jurídica o en un territorio económico internacional», una redacción que no deja claro en qué se distingue del alcance nacional. El numeral 8.6.3 le asigna 3 puntos junto con el global. Ante la duda, conviene documentar el criterio usado.

El tercero es menor. El artículo 14 tiene dos numerales 14.5, uno para la información crediticia y otro para los datos de niñas, niños y adolescentes. No cambia el fondo, pero conviene citarlos por su contenido además de por su número. El artículo 10, por lo demás, permite a la SPDP ajustar el umbral mediante resolución técnica motivada, así que la cuenta de hoy puede no ser la de mañana.

Ninguno de estos detalles quita valor a la norma. Por primera vez la pregunta tiene un método, y el método deja huella en el registro de actividades. Revise dónde va su carga respecto de la línea, porque el capitán que no la mira no navega más liviano, solo navega sin saberlo.

En Normatic AI dejamos fechado cada cálculo y cada revisión del registro de actividades, para que la evidencia que pide el artículo 6 esté lista cuando la SPDP la solicite.

Este artículo describe el marco normativo vigente al momento de su publicación y no constituye asesoría legal. Para decisiones concretas sobre su organización, consulte con un profesional.