El tratamiento intensivo de datos personales se ha convertido en una actividad central para hospitales, bancos, aseguradoras, instituciones educativas, plataformas digitales, empresas de telecomunicaciones y entidades públicas. La magnitud de una base de datos, sin embargo, no constituye el único factor capaz de generar riesgos. También deben considerarse la sensibilidad de la información, la continuidad del monitoreo, la extensión territorial y los efectos que el tratamiento puede producir sobre los derechos de las personas.
En Ecuador, la Ley Orgánica de Protección de Datos Personales y su Reglamento General incorporaron principios como proporcionalidad, seguridad, privacidad desde el diseño y responsabilidad proactiva. Aunque el Reglamento definió algunos criterios para reconocer los tratamientos a gran escala, no estableció inicialmente un umbral cuantitativo uniforme.
La Resolución N.º SPDP-SPD-2026-0005-R intenta reducir esta indeterminación mediante el MTGE. La norma combina una calificación directa para determinadas actividades con un sistema de puntuación aplicable a los tratamientos restantes. El documento de base caracteriza este cambio como el tránsito desde un cumplimiento reactivo hacia una gobernanza proactiva, debido a que obliga a las organizaciones a identificar, documentar y revisar permanentemente sus operaciones de datos.
Debe precisarse que el MTGE no clasifica los datos personales de manera aislada, sino las actividades de tratamiento. Una misma organización puede desarrollar varios tratamientos con resultados distintos. Además, la expresión normativa es «calificación directa obligatoria» y no «clasificación automática», término que podría confundirse con decisiones automatizadas o sistemas de inteligencia artificial.
La regulación contemporánea de protección de datos adopta un enfoque basado en riesgos. Esto significa que las medidas organizacionales deben intensificarse cuando aumentan la probabilidad o la gravedad de una afectación. Sin embargo, el riesgo no sustituye a los derechos. Un tratamiento no se vuelve lícito simplemente porque obtenga una puntuación reducida, ni se convierte automáticamente en ilícito por alcanzar un valor elevado.
El principio de responsabilidad proactiva exige que responsables y encargados no solo cumplan la normativa, sino que puedan demostrar sus decisiones. Para ello deben identificar los tratamientos, evaluar los riesgos, establecer medidas de seguridad y conservar evidencia documental. Instrumentos como el Registro de Actividades de Tratamiento, las evaluaciones de impacto y las auditorías constituyen mecanismos centrales de esa responsabilidad.
El concepto ecuatoriano de gran escala guarda relación con las Directrices sobre delegados de protección de datos del Grupo de Trabajo del Artículo 29, que consideran el número de titulares, el volumen de información, la duración y el alcance geográfico. El modelo ecuatoriano incorpora además la frecuencia y las categorías de datos, transformando criterios cualitativos en variables puntuables.
Por ello, el sistema combina dos dimensiones. La primera es la magnitud operacional, determinada por el volumen, la duración y la extensión del tratamiento. La segunda es el riesgo inherente, presente en operaciones que involucran biometría, salud, geolocalización, menores, vigilancia sistemática o decisiones con efectos relevantes sobre las personas.
El MTGE utiliza una fórmula aditiva compuesta por seis variables:
P = titulares + volumen + categorías + frecuencia + permanencia + alcance geográfico.
Cuando el resultado es igual o superior a seis puntos, el tratamiento es calificado como de gran escala. El cálculo debe realizarse individualmente para cada actividad y conservarse de forma verificable en el RAT.
El número de titulares puede aportar entre uno y cuatro puntos; el volumen de datos por persona, entre 0,5 y tres; las categorías de información, entre 0,5 y tres; la frecuencia, entre 0,5 y dos; la permanencia, entre 0,5 y dos; y el alcance geográfico, entre uno y tres. Esta estructura demuestra que no solo las bases con cientos de miles de personas pueden alcanzar el umbral. Un tratamiento con pocos titulares también puede ser calificado cuando es continuo, prolongado, transfronterizo o utiliza categorías especiales.
La segunda vía es la calificación directa obligatoria. Esta comprende, entre otros, determinados tratamientos de datos de salud, biométricos y de geolocalización; videovigilancia sistemática en espacios públicos; sistemas de información crediticia; evaluaciones basadas en perfilamiento; tratamiento sistemático de datos de niños, niñas y adolescentes; transferencias sistemáticas y ciertas operaciones de mensajería o courier. En estos casos no se requiere aplicar la fórmula, pues la norma presume que la naturaleza del tratamiento justifica directamente una protección reforzada.
La calificación activa obligaciones como la incorporación detallada del tratamiento en el RAT, la evaluación de impacto, la designación del delegado de protección de datos cuando corresponda, las medidas reforzadas de seguridad, la privacidad desde el diseño y la elaboración de informes de cumplimiento. También se exigen auditorías periódicas y la conservación de la documentación que permita demostrar las decisiones adoptadas.
La aplicación individualizada tiene importantes efectos organizacionales. Una universidad, por ejemplo, puede administrar información académica, datos laborales, videovigilancia y proyectos de investigación. Cada tratamiento debe examinarse por separado, ya que algunos podrían estar sujetos a calificación directa, otros superar el umbral del MTGE y otros permanecer por debajo. Esta granularidad obliga a conocer con precisión los flujos de información, los proveedores involucrados, los periodos de conservación y las responsabilidades internas.
La principal ventaja del MTGE es que mejora la previsibilidad. Conceptos como «gran cantidad de datos» o «elevado número de titulares» dejan de depender exclusivamente de interpretaciones abiertas. La fórmula facilita la comparación entre tratamientos y permite conservar evidencia objetiva de la clasificación realizada.
No obstante, el modelo presenta limitaciones. Su estructura permite que puntuaciones elevadas en una variable compensen valores reducidos en otras. Así, tratamientos materialmente diferentes pueden obtener el mismo resultado, pese a que sus riesgos, finalidades y capacidades de mitigación no sean equivalentes. El puntaje identifica la entrada a un régimen reforzado, pero no determina cuáles son las medidas concretas más adecuadas.
La amplitud de algunos supuestos de calificación directa también plantea interrogantes de proporcionalidad. La expresión «todo tratamiento de datos biométricos», por ejemplo, puede incluir tanto un sistema nacional de reconocimiento facial como un control de acceso limitado. Ambos deben ser protegidos, pero no necesariamente demandan idénticas medidas técnicas y organizacionales.
Por estas razones, el MTGE no debe aplicarse como una calculadora automática. Determinar qué constituye un tratamiento independiente, cuántos titulares únicos intervienen o cuál es el alcance real de una operación requiere valoración jurídica. La puntuación debe complementarse con análisis de riesgo, evaluaciones de impacto y medidas proporcionales al contexto.
El MTGE representa un avance importante en la regulación ecuatoriana porque aporta criterios verificables para determinar cuándo un tratamiento debe considerarse de gran escala. Su sistema dual permite atender tanto la magnitud operacional como el riesgo inherente de actividades particularmente sensibles.
Su principal efecto no consiste únicamente en generar una puntuación, sino en transformar la gobernanza organizacional. Las entidades deben identificar sus tratamientos, actualizar el RAT, documentar sus decisiones, revisar sus medidas de seguridad y vincular la protección de datos con el diseño de productos, servicios y procesos.
Sin embargo, obtener menos de seis puntos no significa que un tratamiento sea automáticamente lícito o seguro. Del mismo modo, superar el umbral no demuestra la existencia de una infracción, sino que activa salvaguardas reforzadas. El MTGE funciona como una regla regulatoria de clasificación, no como una evaluación completa de licitud o proporcionalidad.
En definitiva, el valor del modelo dependerá de que su aplicación combine medición cuantitativa, interpretación jurídica y responsabilidad proactiva. Utilizado de forma reflexiva, puede fortalecer la transparencia, anticipar riesgos y consolidar una cultura de protección de datos centrada en los derechos de las personas.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial.
Presidencia de la República del Ecuador. (2023). Reglamento General de la Ley Orgánica de Protección de Datos Personales. Registro Oficial.
Superintendencia de Protección de Datos Personales. (2026). Resolución N.º SPDP-SPD-2026-0005-R: Norma General sobre el Tratamiento de Datos Personales a Gran Escala. Registro Oficial.
Agencia Española de Protección de Datos. (2021). Gestión del riesgo y evaluación de impacto en tratamientos de datos personales. AEPD.
Grupo de Trabajo del Artículo 29. (2017). Directrices sobre los delegados de protección de datos, WP243 rev.01.Comisión Europea.
Gellert, R. (2020). The Risk-Based Approach to Data Protection. Oxford University Press.