LEY DE PROTECCION DE DATOS PERSONALES - PARTE III

Autor: Mario Ernesto Castillo Guzmán (Auditor y abogado)

Más de alguna persona pensará que la Ley de protección de datos personales (LPDP) es nueva, siendo necesario aclarar que esta data del mes de noviembre de 2024, es decir que entró en vigencia casi 2 años atrás, otra cosa es que los sujetos obligados a ella no le hayan dado la importancia debida.

En lo que podemos coincidir es que no ha existido una divulgación adecuada de su contenido, y como en la ley no se fijaron los lineamientos para el nombramiento del delegado de protección de datos personales (DPDP), los sujetos obligados (entre ellos los empresarios) se han hecho los desentendidos de esta obligación.

El fin de semana pasado circuló en las redes sociales que la Agencia de Ciberseguridad del Estado (ACE), había emitido un comunicado por medio del cual dejó en suspenso el plazo fatal para notificar el nombramiento del DPDP de los sujetos obligados a esta ley: 16 de septiembre de 2026.

¿Qué significa esta suspensión? Es la oportunidad de los sujetos obligados para que uno de sus trabajadores puedan capacitarlo en esta ley, con el objetivo de nombrarlo como DPDP.

En la LPDP se logran identificar a tres sujetos, que es conveniente tener claro quiénes son:

El titular: es la persona natural de la cual se tratan (obtienen) los datos personales.

El responsable: es la entidad que capta los datos, por ejemplo, una persona natural o jurídica, pública o privada; entre los ejemplos fáciles de identificar se pueden mencionar a los empresarios en general cualquiera que sea su actividad, instituciones sin fines de lucro, etc.

El delegado: es la persona natural o jurídica que es nombrada por la autoridad máxima del responsable, pudiendo ser interno o externo, no importando que sea una persona natural o una persona jurídica.

Un aspecto que la ley no deja muy claro cuando se tratan datos personales es ¿De cuáles sujetos estamos hablando?

• Clientes, 
• Proveedores, 
• Acreedores, y 
• Trabajadores.

Todos estos sujetos deben ser personas naturales ¿Entonces la LPDP no se les aplica a estos sujetos cuando son personas jurídicas? Correcto, no se les aplica.

¿La información personal de los socios o accionistas podría ser sujeta de esta ley? En los Webinar que he tenido la oportunidad de ver sobre la LPDP, los expositores no han tocado este tema, siendo una consulta que habría que hacerle a la ACE.

Cuando el legislador habla de datos ¿A qué se refiere? A la información obtenida en forma física, biométrica, imágenes o digitales (PDF) de una persona natural, existiendo dos clases de datos: 

• Los genéricos, y 
• Los sensibles.

Los datos genéricos comprenden: el nombre, número del documento único de identidad, teléfono de contacto, correo electrónico, nacionalidad, fotografías y dirección entre otros.

Datos sensibles: son los que afectan la esfera más íntima de la persona, por ejemplo: creencias y convicciones religiosas, origen étnico, afiliación o ideologías políticas, afiliación sindical, preferencias sexuales, salud física y mental, información biométrica, genética, situación moral y familiar, hábitos personales y otras informaciones intimas de similar naturaleza.

Si una entidad obtiene datos de alguna de las personas antes citadas, esta se vuelve un sujeto obligado y por ende ESTÁ OBLIGADA A NOMBRAR UN DPDP, no importando a qué se dedique, monto de sus ingresos, cantidad de establecimientos que tenga, número de trabajadores, si es con fines de lucro o no, etc.

Una vez que se ha determinado que “x” entidad está obligada a nombrar un DPDP, viene la evaluación del perfil del candidato, siendo el primer filtro que estableció el legislador, es que este cargo no lo puede desempeñar cualquier persona, sino solo un profesional universitario graduado, preferentemente que sea abogado.

¿Por qué el legislador se inclinó por un abogado? Porque esta área tiene una alta relación con la interpretación de las normas jurídicas.

¿Se puede nombrar como DPDP a un profesional que no sea abogado? Si, pero para ello tiene que cumplir ciertos requisitos que se encuentran en el Art. 5 de los lineamientos para el DPDP, en particular el literal c).

“Perfil del Delegado

Art. 5.- Para ser designado Delegado se requiere, como mínimo:

c) Acreditar experiencia profesional y/o laboral en una o varias de las siguientes materias: protección de datos personales, procedimientos administrativos de naturaleza jurídica, cumplimiento normativo, gestión de riesgos, tecnologías de la información, seguridad de la información o ciberseguridad”.

COMENTARIOS:

Lo anterior se aclara porque si la persona que se quiere nombrar como DPDP cumple el requisito de ser un profesional graduado, pero no cumple con el literal c), esa persona no puede ser nombrada en ese cargo.

¿Qué pasa si a pesar de esta limitante legal, se nombra a alguien que no cumple el requisito de idoneidad? Consideramos que esto equivaldría a una falsedad ideológica (Art. 284 Código penal), porque la ley le obliga al responsable a evaluar previamente el perfil de la persona que quiere nombrar como DPDP, según el Art. 18 de los lineamientos para el DPDP:

“Evaluación del perfil del Delegado

Art. 18.- Corresponde al responsable la obligación de verificar que la persona propuesta como Delegado cumpla con el perfil requerido y posea la competencia necesaria para el adecuado desempeño del cargo.

Esta verificación se realizará previamente al nombramiento o contratación y contemplará el cumplimiento de los requisitos de idoneidad, capacidad y experiencia.

Asimismo, el responsable tendrá que asegurarse que dichos requisitos se mantengan vigentes durante todo el período del ejercicio de sus funciones, realizando verificaciones al menos una vez cada tres años; para tal efecto, solicitará al Delegado la presentación de los atestados que acrediten haber recibido las capacitaciones o las certificaciones de programas de actualización en materia de protección de datos o solvencias que respalden su idoneidad.”

COMENTARIOS:

El  actual contexto en que se encuentra esta ley, origina la siguiente duda ¿Cuántas personas cumplen con el requisito de idoneidad que se menciona en los lineamientos para el DPDP? Hoy por hoy, son muy pocos los profesionales que dominan este tema como debe ser.

El querer implementar con todo la LPDP tal como está redactada no lo considero viable actualmente, primero hay que capacitar al elemento humano en los conocimientos técnicos y legales que debe tener para ser nombrado como DPDP.

El sector donde será más difícil implementar la LPDP es la microempresa (que son la mayoría de empresas en El Salvador), la cual no está preparada técnica ni financieramente para cumplir con esta ley, esperando que los diputados eliminen para ellas el requisito ser profesional y el de idoneidad para sus DPDP, y sustituir estos requisitos por una certificación a presentar posterior al nombramiento del DPDP.

 

LEY DE PROTECCION DE DATOS PERSONALES - PARTE II

Autor: Mario Ernesto Castillo Guzmán (Auditor y abogado)

Sobre esta ley muy poco se ha hablado, siendo la duda más generalizada entre los empresarios ¿Tengo la obligación de nombrar un delegado de protección de datos personales? para lo cual es necesario leer el Art. 3 de la LEY DE PROTECCION DE DATOS PERSONALES (LPDP):

“Exclusiones

Art.3. Quedan excluidos de la aplicación de la presente ley:

a) El tratamiento de datos de historial crediticios que realicen los sujetos obligados en los supuestos de la Ley de Regulación de los Servicios de Información sobre el Historial de Créditos de las personas. Sin embargo, esta exclusión no aplicará a los integrantes del Sistema Financiero y demás supervisados por la Superintendencia del Sistema Financiero, sobre aquella información que no sea relativa al historial crediticio de sus usuarios.

b) El tratamiento de datos personales destinados exclusivamente a actividades en el marco de la vida familiar o doméstica, mientras no tengan como propósito una divulgación o utilización comercial.

c) El tratamiento de datos personales u actividades que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado, prevención, investigación, detección y represión del delito, todo en observancia al debido proceso y respeto a los Derechos Humanos.

d) Cualquier tratamiento de los datos personales realizados en los registros públicos, así como en el registro del estado familiar de las alcaldías, en los procedimientos establecidos en la ley Transitoria del Registro del Estado Familiar y de los Regímenes Patrimoniales del Matrimonio. Se Excluye además todos los tratamientos de datos personales efectuados en aplicación de la Ley Especial Reguladora de la Emisión del Documento Único de Identidad, Ley de Emisión del Documento Único de Identidad en el Exterior, Ley del Nombre de la Persona Natural por el Registro del Estado Familiar de las Personas Naturales.”

COMENTARIO

Si la actividad de un empresario (natural o jurídico), no está dentro de las que se detallan en este artículo, esto hace que nazca el hecho generador para ser considerado como un UN SUJETO OBLIGADO a esta ley, no importando a qué se dedique, cantidad de trabajadores, monto de ventas, etc.

Por otra parte, el 11 de agosto de 2026 la Agencia de Ciberseguridad del Estado (ACE), publicó en el Diario Oficial los “Lineamientos para el “Delegado de protección de datos personales”, la cual entró en vigencia el 19 de agosto de este año, y en su artículo 40 hay un periodo de gracia de 20 días hábiles, para notificar formalmente a la ACE el nombramiento del delegado:

“Disposición transitoria

Art. 40.- Los nombramientos de Delegados efectuados con anterioridad a la entrada en vigencia de los presentes lineamientos y que no cumplan con los requisitos establecidos en los mismos, se tendrán por válidos.

No obstante, lo anterior, deberán someterse y aprobar el programa de certificación que emitirá la Agencia.

Mientras no se encuentre habilitada la plataforma informática del registro de Delegados, las comunicaciones de nombramiento, modificación o cesación se realizarán mediante oficio, escrito o correo institucional dirigido a la Dirección de Protección de Datos Personales de la ACE, dentro de los veinte días hábiles de la entrada en vigencia de estos lineamientos.”

19/08/2026 + 20 días hábiles = 16/09/2026 

Esta información se encuentra en el sitio Web de la ACE, https://ace.gob.sv/, sin embargo el pasado 13 de septiembre de 2026 apareció en esta página Web un comunicado por medio del cual quedó suspendido hasta nuevo aviso el plazo para notificar el nombramiento del DPDP. 

COMENTARIOS:

¿Ustedes lograron despejar que la entidad para la cual trabajan es o no un sujeto obligado a la LPDP?, si ya comprobaron que la LPDP se les aplica ¿Ya nombraron al delegado de protección de datos personales en su empresa? ¿Ya informaron tal nombramiento a la ACE?

LEY DE PROTECCION DE DATOS PERSONALES - PARTE I

Autor: Mario Ernesto Castillo Guzmán (Auditor y abogado)

El 15 de noviembre de 2024 se publicó en el Diario Oficial la LEY DE PROTECCION DE DATOS PERSONALES (LPDP), la cual hasta donde nos recordamos se promovió por una filtración de datos de un servidor público que circulaba en las redes sociales de que ganaba mensualmente US$ 40,000.00

En esa misma fecha se publicó en el Diario oficial la ley de CIBERSEGURIDAD Y SEGURIDAD DE LA INFORMACION, de la cual se puede comentar que ya está en vigencia, sin embargo, solo se transcribe su Art. 7:

"Creación de la agencia

Art. 7.- Crease la Agencia de ciberseguridad del Estado, que en lo sucesivo se denominará “ACE” o la” Agencia”, como una dependencia del Estado, de Derecho Público, con carácter técnico, con personalidad jurídica y patrimonio propio, de duración indefinida, con autonomía administrativa y financiera.

La ACE tendrá su domicilio en la capital de la República y estará facultada para establecer oficinas en cualquier lugar del territorio nacional."

Para tener un conocimiento general de la LPDP se van a transcribir algunos de sus artículos:

“Objeto

Art. 1.- La presente ley tiene por objeto establecer la regulación para la protección de los datos personales, determinando los requisitos esenciales para realizar el tratamiento legitimo e informado de éstos y el marco normativo que debe seguirse en su recolección, uso procesamiento, almacenamiento y otras actividades relacionadas a ellos; todo en aras de garantizar el derecho a la intimidad y a la autodeterminación informativa de las personas naturales.”

“Ámbito de aplicación

Art. 2.- esta ley se aplicará a toda persona natural o jurídica, de carácter público o privado, que lleve a cabo actividades relativas o conexas al tratamiento de datos personales, ya sea de manera manual, parcial o totalmente automatizado o a través de terceros. Se entenderán incluidos incluso aquellos sujetos que realicen las referidas actividades sin cumplir con los requisitos y limites dispuestos en la presente ley.

Los órganos de Estado, sus dependencia, loas institución oficiales autónomas, las autoridades municipales y cualquier otra entidad u organismo, independientemente de su forma, naturaleza o situación jurídica, mediante las cuales se administren recursos públicos, bienes del Estado o ejecuten actos de la administración pública en general, así como los servidores públicos y personas que laboren en ellas, dentro o fuera del territorio de la República, estarán sujetos especialmente a las disposiciones que se establecen en el titulo III de la presente ley.”

“Definiciones

Art. 4.- Para los efectos de esta ley o disposiciones jurídicas relacionadas se entenderá por:

i) Derechos ARCO-POL: derechos personalísimos e independientes de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación, por medio de los cuales el titular de los datos personas les puede ejercer el control sobre el tratamiento de estos. 

j) Encargado de tratamiento (Encargado): persona natural o jurídica, pública o privada, que sola o en conjunto con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento.

t) Tratamiento de datos: cualquier operación o conjunto de operaciones efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos personales. Estas se relacionan con la obtención, uso, registro organización, conservación, difusión, almacenamiento, posesión, acceso, manejo y divulgación de datos personales.

"Delegado de protección de datos personales

Art. 15.- Los sujetos obligados por la presente ley deberán de nombrar un delegado de protección de datos personales, en adelante delegado, quien se encargará de gestionar y tramitar las solicitudes para el ejercicio de los derechos ARCO-POL."

"De la recopilación y tratamiento de datos personales en poder de los sujetos obligados

Art. 61.- A partir de la entrada en vigencia de la presente ley, los sujetos obligados deberán adoptar las medidas de protección de datos personales que establezca la ACE para aquellos datos personales obtenidos previo a la entrada en vigencia de la misma.

Asimismo, tendrán un plazo de seis meses contados a partir de la vigencia de la presente ley para establecer mecanismos para que los titulares de datos personales ejercen sus derechos en el marco de la protección de datos personales."

COMENTARIOS

Con fecha 11 de agosto de 2026 la ACE publicó en el Diario Oficial LOS LINEAMIENTOS PARA EL DELEGADO DE PROTECCION DE DATOS PERSONASLES (LPDP), los cuales entraron en vigencia el pasado 19 de agosto de ese año, existiendo un periodo de gracia de 20 días, hasta el 16 de septiembre de 2026.

"Sujetos obligados

Art. 3.- Las disposiciones contenidas en los presentes lineamientos, serán de obligatorio cumplimiento para el Delegado, el encargado y el responsable; este último, en su calidad de sujeto obligado, ya sea como persona natural o jurídica, de carácter público o privado, conforme a lo dispuesto en el artículo 2 de la LPDP." 

"Perfil del Delegado

Art. 5.- Para ser designado Delegado se requiere, como mínimo:

a) Contar con un grado universitario, de preferencia profesionales graduados en Ciencias Jurídicas.

b)   Ser mayor de 21 años.

c) Acreditar experiencia profesional y/o laboral en una o varias de las siguientes materias: protección de datos personales, procedimientos administrativos de naturaleza jurídica, cumplimiento normativo, gestión de riesgos, tecnologías de la información, seguridad de la información o ciberseguridad.

d) No haber sido condenado, mediante sentencia firme, por la comisión de delitos dolosos, especialmente aquellos relacionados con el uso indebido de la información, la seguridad de los datos, la administración pública, la fe pública o cualquier otro que, por su naturaleza, comprometa la integridad, independencia y responsabilidad exigida al cargo. Tampoco haber sido sancionado, mediante resolución firme, por infracciones a la LPDP. Adicionalmente, para los Delegados del sector público se requiere no haber sido sancionado por infracciones a la Ley de Ética Gubernamental en los cinco años anteriores al nombramiento.

e) Someterse y aprobar el "Programa de Certificación de Delegados de Protección de Datos Personales" que la Agencia desarrolle e imple-mente. Este requisito se exigirá a partir de la entrada en vigencia del referido programa, debiendo los Delegados ya nombrados cumplirlo en el plazo y condiciones que la Agencia establezca mediante disposición administrativa."

"Del nombramiento

Art. 6.- El nombramiento del Delegado, se realizará de manera formal.

En el caso que los responsables sean instituciones públicas, dicho nombramiento constará en acuerdo, acta o resolución administrativa debida-mente motivada por la máxima autoridad correspondiente.

Asimismo, dicho nombramiento podrá recaer en el Oficial de Información de la institución respectiva. No obstante, aun cuando sea designado bajo esta figura estará sujeto al cumplimiento del literal e), del artículo anterior, debiendo someterse y aprobar obligatoriamente el "Programa de Certificación de Delegados de Protección de Datos Personales" cuando entre en vigencia.

Cuando el responsable sea una persona jurídica del sector privado, el nombramiento del Delegado deberá constar en acuerdo o acta emitida por el Administrador Único, Junta Directiva, Consejo Directivo, Consejo de Administración, o según se le denomine a la máxima autoridad que corresponda.

Tratándose de personas naturales que tengan la calidad de responsable, el nombramiento deberá constar en acta, con firma manuscrita debidamente legalizada por notario o firma electrónica certificada.

Para efectos de acreditación del Delegado, el responsable entregará a éste, certificación del acuerdo, punto de acta, resolución administrativa o acta del nombramiento realizado."

COMENTARIO:

Para saber si a una entidad (persona natural o jurídica) se le aplica o no la LPDP, se recomienda leer su Art. 3, ya que en este se establece LOS UNICOS SUJETOS EXCLUIDOS a esta ley, y si no aparece expresamente ahí la actividad de la entidad, entonces a esa entidad si se le aplica el contenido de la LPDP, es decir que se vuelve un SUJETO OBLIGADO a su cumplimiento.

Hablando con objetividad ¿Estarán los sujetos obligados de esta ley, a implementar en el corto plazo todo lo que esta solicita según su contenido? NO, y por eso debe de haber un compas de espera de parte de la ACE, ya que hasta ahora se ven en las redes sociales diferentes capacitaciones que se están promoviendo de la LPDP.