La Superintendencia de Protección de Datos Personales (SPDP) expidió la Resolución número SPDP‑SPD‑2026‑0005‑R, mediante la cual se aprueba la Norma General sobre el Tratamiento de Datos Personales a Gran Escala.
Esta resolución desarrolla y precisa criterios técnicos y jurídicos para identificar cuándo un tratamiento de datos personales debe calificarse como “gran escala” e introduce un modelo obligatorio de evaluación para su determinación a la par de obligaciones reforzadas para responsables y encargados.
La resolución introduce el Modelo Técnico de Gran Escala (MTGE), un instrumento técnico jurídico de aplicación obligatoria para determinar si un tratamiento califica como de gran escala.
El MTGE evalúa seis variables, a las que se asigna un puntaje:
- Número de titulares.
- Volumen de datos personales tratados.
- Categorías de datos (incluidas categorías especiales/sensibles y datos de grupos vulnerables).
- Frecuencia del tratamiento.
- Permanencia del tratamiento.
- Alcance geográfico.
Cuando el puntaje acumulado sea igual o superior a 6, el tratamiento se considera a gran escala, lo que activa obligaciones adicionales para el responsable o encargado.
Casos de calificación directa (sin aplicar el MTGE)
Adicionalmente, la resolución también prevé supuestos de calificación automática, que se consideran tratamiento a gran escala por su propia naturaleza, sin necesidad de aplicar el MTGE. Entre otros, se incluyen:
- Tratamientos relativos a salud o categorías especiales de datos personales.
- Perfilamiento o evaluación automatizada sistemática con efectos jurídicos o impacto significativo en derechos y libertades.
- Videovigilancia u observación sistemática en zonas de acceso público.
- Tratamiento de datos biométricos y/o geolocalización de forma sistemática.
- Tratamientos dirigidos o que involucren a niñas, niños y adolescentes de forma sistemática o masiva.
- Transferencias o comunicaciones sistemáticas (incluidas transfronterizas) de datos personales.
Cuando un tratamiento es calificado como a gran escala, los responsables y encargados deben, entre otras obligaciones:
- Designar un Delegado de Protección de Datos Personales (DPD) y cumplir con su registro ante la SPDP, cuando corresponda.
- Mantener actualizado el Registro de Actividades de Tratamiento (RAT), identificando y documentando los tratamientos a gran escala.
- Realizar, cuando aplique, Evaluaciones de Impacto del tratamiento (EIPD) y documentar las medidas de mitigación de riesgos.
- Aplicar medidas reforzadas de seguridad y de privacidad desde el diseño y por defecto.
- Implementar auditorías internas o externas periódicas (por ejemplo, con periodicidad anual, según lineamientos de la norma) y conservar evidencia e informes.
- Ajustar políticas de privacidad y avisos informativos para transparentar la existencia de tratamientos a gran escala, bases de legitimación, finalidades, categorías y transferencias.
Plazo transitorio para designación y registro del DPD
También establece que los responsables y encargados que, tras aplicar los criterios de la resolución y el MTGE, identifiquen que realizan tratamientos a gran escala, cuentan con un plazo de noventa (90) días desde la vigencia de la resolución para:
- Designar a su Delegado de Protección de Datos Personales, y
- Gestionar su registro ante la SPDP.
Por lo tanto, los responsables y encargados que se encuentren dentro del ámbito de esta resolución tendrán plazo hasta el 26 de mayo de 2026 para designar y registrar a su Delegado de Protección de Datos Personales ante la SPDP.
Recuerda, en AVL, podemos acompañarte en la evaluación de tus tratamientos, incluyendo la determinación si califican como de gran escala y brindarte soporte integral en el proceso de designación, registro del DPD, etc.
Fuente: Resolución Nro. SPDP‑SPD‑2026‑0005‑R
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL.