Nueva Norma General sobre Tratamiento de Datos Personales a Gran Escala

¿Tu organización trata datos a gran escala? Guía práctica para aplicar el nuevo modelo técnico (MTGE) y actualizar el Registro de Actividades de Tratamiento (RAT)

EL 2 de febrero de 2026, la Superintendencia de Protección de Datos Personales expidió la Norma General sobre el Tratamiento de Datos Personales a Gran Escala, mediante Resolución N.º SPDP-SPD-2026-0005-R. Esta normativa desarrolla y complementa lo previsto en la Ley Orgánica de Protección de Datos Personales (LOPDP) y en el Reglamento General (RGLOPDP), al establecer criterios técnicos objetivos para determinar

cuándo un tratamiento debe considerarse “a gran escala” y qué obligaciones reforzadas se activan en tales casos.

La Resolución transforma el concepto de modelo técnico verificable, con efectos jurídicos automáticos en materia de protección de datos personales.

¿Qué exigía ya la LOPDP sobre “gran escala”?

Antes de esta Resolución, la LOPDP ya vinculaba el tratamiento a gran escala con obligaciones reforzadas, entre ellas:

• Evaluación de Impacto obligatoria (art. 42 LOPDP): cuando exista tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales, o cuando haya observación sistemática a gran escala de zonas de acceso público.

• Delegado de Protección de Datos (DPO) obligatorio (art. 48 LOPDP): en casos de tratamiento a gran escala de categorías especiales de datos.

Por su parte, el RGLOPDP definía el tratamiento a gran escala en términos generales (número de titulares, volumen de datos, duración y alcance geográfico) e incluía ciertos supuestos predeterminados (hospitales, aseguradoras, bancos, telecomunicaciones, geolocalización, publicidad comportamental, entre otros). Sin embargo, no existía una fórmula objetiva para establecer cuándo un tratamiento alcanzaba efectivamente el umbral de “gran escala”, lo que generaba incertidumbre regulatoria.

¿Qué incorpora la nueva Norma General?

Con esta regulación, el concepto de “tratamiento a gran escala” deja de depender únicamente de una valoración interpretativa y pasa a determinarse mediante un Modelo Técnico obligatorio de cálculo (MTGE).

En ese sentido, la Norma:

• Introduce un sistema de puntuación verificable, con umbral objetivo de seis (6) puntos.

• Establece supuestos de calificación directa obligatoria, sin necesidad de aplicar el modelo.

• Activa automáticamente obligaciones reforzadas cuando se supera el umbral.

• Impone deberes específicos de documentación, auditoría y actualización periódica.

Nuevo Modelo Técnico de Gran Escala (MTGE)

El MTGE, conforme la Norma, es un sistema de puntuación basado en seis variables:

3.1. Número de titulares (medido en 12 meses).3.2. Volumen de datos.3.3. Categorías de datos (incluye datos sensibles).3.4. Frecuencia del tratamiento.3.5. Permanencia del tratamiento.3.6. Alcance geográfico.

Cada variable otorga puntos. Si el puntaje total es igual o superior a 6 puntos, el tratamiento se considera a gran escala.

Este resultado debe constar expresamente en el Registro de Actividades de Tratamiento (RAT).

Casos de calificación directa (sin necesidad de cálculo)

La Norma también prevé supuestos que se consideran gran escala automáticamente, sin aplicar el MTGE, entre ellos:

• Tratamientos de salud, datos de categoría especial y datos sensibles.

• Evaluación sistemática de aspectos personales, basada en tratamientos automatizados, con efectos jurídicos o afectación a derechos y libertades de las personas.

• Observación, vigilancia o monitoreo sistemático en espacios públicos.

• Tratamiento de datos biométricos.

• Geolocalización.

• Sistemas de información crediticia, financiera o evaluación de riesgo económico.

• Tratamiento sistemático de datos de niños, niñas y adolescentes.

• Transferencias sistemáticas estructurales de datos personales.

• Servicios de mensajería acelerada, expresa o courier.

Es importante señalar que, cuando un tratamiento es calificado como realizado a gran escala, se activan automáticamente obligaciones reforzadas de cumplimiento, detalladas en la Norma.

Plazo para adecuación

La Norma establece que quienes identifiquen que realizan tratamientos a gran escala disponen de 90 días para designar y registrar a su Delegado de Protección de Datos.

Este plazo no aplica a quienes ya estaban obligados previamente por el RGLOPDP.

Recomendaciones inmediatas

Recomendamos, de manera inmediata:

• Evaluar, mediante la aplicación del MTGE, si los tratamientos actuales califican como realizados a gran escala.

• En caso afirmativo, cumplir con las obligaciones reforzadas previstas en la normativa, tales como la realización previa de una Evaluación de Impacto, la designación obligatoria de un DPO, la actualización del RAT y la implementación de medidas reforzadas de responsabilidad proactiva.

• Actualizar el Registro de Actividades de Tratamiento (RAT) incorporando la calificación correspondiente.

• Implementar auditorías periódicas y conservar evidencia de cumplimiento.

• Ajustar las políticas de privacidad, identificando expresamente los tratamientos realizados a gran escala.

Para cualquier consulta o acompañamiento en la aplicación del MTGE y en el cumplimiento de la Norma, nuestro equipo se encuentra a su disposición para brindar asesoría especializada y apoyo en la implementación de estas nuevas obligaciones regulatorias: info@lmzabogados.com