La Resolución Nº SPDP-SPDP-2024-0017-R en preguntas y respuestas. Diagrama del proceso.

La Superintendencia de Protección de Datos Personales del Ecuador acabó de dictar el 30 de octubre de 2024 la novel normativa Nº SPDP-SPDP-2024-0017-R (Se ha publicado el jueves 3 de octubre de 2024 en el Registro Oficial Nº 657) por la cual establece el Plan Regulatorio Institucional (PRI). He querido probar un formato de preguntas y respuestas en cuanto a que la disposición requiere, a mi criterio, una explicación de términos no comunes para el público, y en aras de ser pedagógico me animo a seguir un formato que recuerdo con respecto al Código Civil.

1. ¿Quién es el destinatario de esta norma?

Es un Reglamento Interno, por lo tanto, dirigido para normar la actividad de los procesos y los servidores que los conforman con miras a generar productos de la organización, según la escala de competencias y funciones. Es decir, se trata de una reglamentación que va muy de la mano con el estatuto orgánico por procesos institucional.

2. ¿Qué entidades y roles tienen un papel estelar en la norma?

• SPDP: Órgano regulador encargado de proteger los datos personales.
• Superintendente: Máxima autoridad de la SPDP.
• Delegado: Funcionario autorizado para gestionar procesos específicos.
• IGRPDP: Intendencia General de Regulación de Protección de Datos Personales.
• Unidades Administrativas: Departamentos internos de la SPDP.

3. ¿Qué es el Plan de Regulación Integral?

El Plan Regulatorio Institucional (PRI) es un documento de la estructura de la SPDP que establece los lineamientos y procedimientos para la elaboración y aprobación de acciones regulatorias por parte de la Superintendencia de Protección de Datos Personales.

4. ¿Cuál es el objetivo del PRI?

Su objetivo es ejecutar un mecanismo estandarizado por el cual se identifican, seleccionan y aprueban un conjunto de acciones regulatorias definidas por sus procesos medulares para todo el año fiscal, en función de las necesidades detectadas en el ámbito de la regulación de la protección de datos personales.

5. ¿Qué es una acción regulatoria?

En el contexto del documento, una "acción regulatoria" se refiere a las medidas o disposiciones que la Superintendencia de Protección de Datos Personales (SPDP) proyecta, elabora, presenta o emite con el fin de normar y regular el tratamiento de datos personales. Estas acciones buscan garantizar el derecho fundamental a la protección de datos y se estructuran dentro del Plan Regulatorio Institucional (PRI).

6. ¿Qué ejemplos de acciones regulatorias pueden darse?

Las acciones regulatorias pueden incluir:

• La creación de nuevas normativas o regulaciones secundarias.
• La implementación de políticas específicas para la protección de datos.
• La adaptación de normativas existentes a nuevos avances tecnológicos o prácticas en protección de datos.
• La gestión de problemáticas específicas que han sido identificadas en el ámbito de la regulación de datos personales.

¿Cómo se da el procedimiento interno de aprobación de acciones regulatorias?

7. ¿Por dónde empieza?

La intendencia General de Regulación de Protección de Datos (IGRPDP) tiene un papel estelar. Como su nombre lo indica, es el proceso que tiene bajo su responsabilidad la generación normativa de la entidad.

8. ¿Quién lo impulsa?

La Intendencia General de Regulación de Protección de Datos Personales (IGRPDP) debe iniciar el proceso de elaboración del PRI cada año, comenzando el primer día laborable del mes de febrero.

9. ¿Qué se solicita a cada área?

Se deben elaborar informes técnicos que establezcan la regulación que debe ser considerada dentro del PRI, de conformidad con la necesidad de expedir normativa secundaria en cada área.

10. ¿Qué son las necesidades institucionales?

Se refiere a una necesidad o requisito particular que una organización, ya sea del sector público o privado, reconoce como esencial para cumplir sus objetivos y llevar a cabo su misión. En esencia, son los elementos que la institución requiere para operar eficazmente, crecer y mantenerse relevante en su entorno. Estas necesidades pueden ser de carácter tangible (como recursos financieros, infraestructura o personal) o intangible (como reconocimiento social, mejora de su imagen o desarrollo de capacidades).

11. ¿Qué tipos de necesidades existen al interior de la Institución?

El Reglamento no lo dice (ni debe decirlo), porque eso es terreno de la ciencia administrativa y no materia de normativa, mas se infiere de la misma cuando se hace referencia a que, previamente, debe realizarse un análisis FODA o PESTEL para determinar la prioridad que las acciones regulatorias deben tener. Y eso se produce dentro de un marco de la inteligencia del manejo de recursos.

12. ¿Qué casos podrían presentarse?

Por ejemplo, si un área o proceso determina que para su mejor proceder, la mejor administración de los sujetos regulados se requiere contar con un canal de denuncia interno o con una reglamentación que desarrolle, digamos, el interés legítimo para un mejor entendimiento de la ciudadanía, se establecerá como necesidad, se verá su importancia para la gestión inmediata y, de ser así, se generará un proyecto de respuesta avalada técnicamente que pasará a la aprobación del Intendente de Regulación. Y así con cualquier "problema" similar. Entonces, podemos decir que una necesidad institucional es "

13. ¿El Intendente sólo depende del área técnica y del proceso para generar regulación para el PRI?:

No, siendo el responsable del área puede asumir la facultad de forma directa vía ejercicio directo Por eso, el reglamento también faculta al Superintendente para aprobar y expedir normas internas, resoluciones y manuales relevantes para el funcionamiento de la autoridad. Es decir, el responsable puede AVOCAR las facultades delegadas a los estamentos inferiores y generar el producto de forma directa.

13. ¿Qué debe contener el PRI?

El PRI debe incluir información general de la entidad, así como detalles sobre la necesidad de emitir normativa secundaria, prioridades y metas a alcanzar.

14. Publicación y Comunicación: Una vez aprobado, el PRI debe ser publicado y divulgado adecuadamente para garantizar su cumplimiento y conocimiento, con una fase de transparencia desde cada mes de agosto,en donde la sociedad civil podrá ejercitar su derecho de participación en la elaboración de las regulaciones a través de observaciones.

¿Afecta este Reglamento a empresas o personas?

A mi modo de ver, NO DE FORMA DIRECTA. Indirectamente sí, porque cada proceso, según su especialidad, debe aprehender las necesidades internas en ofrecer un servicio/generar un producto alineado con la misión institucional.

Diagrama de flujo del proceso