La Superintendencia de Protección de Datos Personales (SPDP) ha establecido una metodología para determinar cuándo un tratamiento de datos alcanza una dimensión que exige mayor atención. Sin embargo, el cambio más relevante no reside únicamente en fijar un umbral numérico, sino en promover que las organizaciones comiencen a medir el impacto de sus operaciones antes de que el crecimiento se convierta en un riesgo.
Una empresa puede iniciar con cien clientes. Más adelante, mil. Luego, cien mil. En el camino, puede incorporar una aplicación, sumar nuevos proveedores, automatizar procesos, adoptar inteligencia artificial o expandir sus operaciones a distintas ciudades y países. A medida que el negocio crece, también lo hacen los datos que maneja.
Llega un momento en el que la cantidad, la naturaleza, la frecuencia y el alcance de la información que una organización procesa comienzan a modificar el nivel de responsabilidad que implica ese tratamiento.
Con el propósito de dar mayor claridad sobre este punto, el 25 de febrero de 2026 se publicó en el Registro Oficial la Resolución N.º SPDP-SPD-2026-0005-R, mediante la cual la SPDP expidió la Norma General sobre el Tratamiento de Datos Personales a Gran Escala.
Esta norma responde a una pregunta que, hasta ahora, resultaba difícil de contestar con precisión: ¿En qué momento un tratamiento de datos deja de tener una escala ordinaria y comienza a requerir una gestión reforzada?
«Gran escala» no equivale simplemente a tener una base de datos grande
A primera vista, podría suponerse que la respuesta depende únicamente del número de personas incluidas en una base de datos. Sin embargo, la realidad es más compleja.
El Reglamento General a la Ley Orgánica de Protección de Datos Personales (LOPDP) ya contemplaba factores como el número de titulares, el volumen y la variedad de la información, la duración del tratamiento y su alcance geográfico. La nueva regulación desarrolla estos criterios e incorpora un mecanismo más concreto para evaluarlos.
Esto resulta relevante porque dos empresas con un número similar de usuarios pueden generar niveles de riesgo completamente distintos. No es lo mismo almacenar un nombre y un correo electrónico que procesar datos biométricos. Tampoco es equivalente realizar un tratamiento ocasional que uno permanente, ni operar en una sola localidad que gestionar información de titulares distribuidos internacionalmente.
En consecuencia, la escala de un tratamiento no debe entenderse únicamente desde la cantidad de datos, sino desde el contexto en el que estos se procesan.
Un método concreto para medir la escala
La resolución introduce el Modelo Técnico de Gran Escala (MTGE), un instrumento técnico-jurídico que permite evaluar cada tratamiento a partir de seis variables:
- Número de titulares. ¿Cuántas personas están involucradas en el tratamiento?
- Volumen de datos personales. ¿Qué cantidad de información se procesa sobre ellas?
- Categorías de datos personales. ¿Qué tipo de información se utiliza y qué nivel de sensibilidad tiene?
- Frecuencia del tratamiento. ¿Con qué regularidad se procesan esos datos?
- Permanencia. ¿Durante cuánto tiempo se mantiene el tratamiento?
- Alcance geográfico. ¿La operación es local, nacional, transfronteriza o global?
El modelo asigna una valoración a cada una de estas variables y genera una puntuación acumulada. Cuando el resultado es igual o superior a seis puntos, el tratamiento se considera de gran escala conforme al MTGE.
La SPDP establece, además, que esta evaluación debe realizarse de manera individual para cada tratamiento y que su resultado debe quedar documentado de forma expresa y verificable en el Registro de Actividades de Tratamiento.
Este enfoque modifica un aspecto importante de la conversación regulatoria: la organización ya no necesita esperar a que la autoridad determine que su operación alcanzó una dimensión relevante. Puede medirlo de manera anticipada.
El puntaje no es el único criterio
Aquí aparece uno de los elementos más importantes de la regulación: no todos los tratamientos requieren pasar por la fórmula del MTGE.
La resolución establece también determinados supuestos que se consideran, de forma directa y obligatoria, tratamientos a gran escala, sin necesidad de aplicar el modelo. Esto resulta particularmente relevante en contextos donde la naturaleza de los datos puede implicar un nivel elevado de riesgo. La propia SPDP ha señalado, por ejemplo, que ciertos tratamientos de datos sensibles relacionados con la salud pueden quedar comprendidos directamente dentro de estas categorías.
Por esta razón, la primera pregunta que debe plantearse una organización no es únicamente «¿llegamos a seis puntos?», sino también «¿la naturaleza de este tratamiento ya nos ubica dentro de una categoría que exige una gestión reforzada?».
Lo importante no es el número seis
El umbral numérico es, probablemente, el elemento más fácil de recordar de la resolución. No obstante, desde una perspectiva estratégica, existe una discusión mucho más relevante detrás de esa cifra.
Las organizaciones están comenzando a necesitar métricas propias para comprender el impacto de su capacidad de procesamiento de datos, ya que el riesgo no crece únicamente cuando aumenta el tamaño de una base de datos. También puede incrementarse cuando una empresa:
- incorpora información más sensible,
- automatiza decisiones,
- aumenta la frecuencia de monitoreo,
- integra nuevas fuentes de información,
- adopta inteligencia artificial,
- expande su operación geográfica, o
- conecta sistemas que antes funcionaban de manera independiente.
La pregunta relevante deja de ser «¿cuántos datos tenemos?» y pasa a ser «¿qué capacidad tenemos para utilizarlos y qué impacto puede generar esa capacidad sobre las personas?».
Escalar el negocio también implica escalar la gobernanza
Una organización que crece suele fortalecer, de manera natural, su infraestructura financiera, tecnológica y operativa. La gestión de datos personales debería seguir el mismo camino.
Una base de datos que hace tres años podía administrarse mediante procesos relativamente simples puede convertirse, con el crecimiento de la empresa, en una infraestructura crítica que exige nuevos controles, nuevas responsabilidades y una gestión de riesgos más sofisticada.
Por ello, el MTGE puede resultar útil más allá de la calificación regulatoria: obliga a analizar el tratamiento desde distintas dimensiones y a identificar el momento en que su complejidad comienza a crecer. En otras palabras, permite que la gobernanza de datos evolucione junto con el negocio, en lugar de tener que alcanzarlo después.
¿Qué deberían revisar hoy las organizaciones?
El primer paso consiste en identificar los principales tratamientos de datos personales de la organización, no necesariamente sus bases de datos, sino sus tratamientos como tales.
Una misma organización puede tener procesos muy distintos entre sí: gestión de clientes, videovigilancia, recursos humanos, geolocalización, biometría, programas de fidelización, análisis de comportamiento o sistemas automatizados. Cada uno de estos procesos puede tener una escala y un nivel de riesgo diferente.
A partir de ese mapeo, la organización debe determinar si alguno de esos tratamientos se encuentra directamente comprendido en los supuestos establecidos por la normativa, o si corresponde aplicar el MTGE. Cuando el modelo sea aplicable, será necesario evaluar sus seis variables, documentar el resultado obtenido y mantenerlo actualizado ante cualquier cambio relevante en el tratamiento.
Finalmente, si un tratamiento alcanza la categoría de gran escala, será necesario revisar qué obligaciones adicionales se activan en función de la LOPDP, su Reglamento y las características específicas de la operación.
Medir antes de reaccionar
La Resolución N.º SPDP-SPD-2026-0005-R aporta un elemento importante al ecosistema ecuatoriano de protección de datos: una metodología concreta para traducir el concepto de «gran escala» en criterios observables y verificables.
Su utilidad, sin embargo, puede ir más allá del simple cumplimiento normativo. La norma introduce una práctica que probablemente adquirirá cada vez mayor relevancia en una economía basada en datos: medir la dimensión y el impacto de los sistemas de información antes de que su crecimiento convierta el riesgo en un problema.
Las organizaciones que comprendan esta lógica no esperarán a alcanzar un determinado tamaño para empezar a gobernar sus datos. Por el contrario, construirán estructuras capaces de crecer junto con ellos, entendiendo que, a medida que aumenta su capacidad para recopilar, conectar, analizar y utilizar información, también aumenta la responsabilidad que acompaña a esa capacidad.
Cuando los datos escalan, la gobernanza también debe hacerlo.