LEY DE PROTECCION DE DATOS PERSONALES - PARTE I

Autor: Mario Ernesto Castillo Guzmán (Auditor y abogado)

El 15 de noviembre de 2024 se publicó en el Diario Oficial la LEY DE PROTECCION DE DATOS PERSONALES, la cual hasta donde nos recordamos se promovió por una filtración de datos de un servidor público que circulaba en las redes sociales de que ganaba mensualmente US$ 40,000.00

En esa misma fecha se publicó en el Diario oficial la ley de CIBERSEGURIDAD Y SEGURIDAD DE LA INFORMACION, de la cual se puede comentar que ya está en vigencia, sin embargo, solo se transcribe su Art. 7:

"Creación de la agencia

Art. 7.- Crease la Agencia de ciberseguridad del Estado, que en lo sucesivo se denominará “ACE” o la” Agencia”, como una dependencia del Estado, de Derecho Público, con carácter técnico, con personalidad jurídica y patrimonio propio, de duración indefinida, con autonomía administrativa y financiera.

La ACE tendrá su domicilio en la capital de la República y estará facultada para establecer oficinas en cualquier lugar del territorio nacional."

Para tener un conocimiento general de la LEY DE PROTECCION DE DATOS PERSONALES se van a transcribir algunos de sus artículos:

“Objeto

Art. 1.- La presente ley tiene por objeto establecer la regulación para la protección de los datos personales, determinando los requisitos esenciales para realizar el tratamiento legitimo e informado de éstos y el marco normativo que debe seguirse en su recolección, uso procesamiento, almacenamiento y otras actividades relacionadas a ellos; todo en aras de garantizar el derecho a la intimidad y a la autodeterminación informativa de las personas naturales.”

“Ámbito de aplicación

Art. 2.- esta ley se aplicará a toda persona natural o jurídica, de carácter público o privado, que lleve a cabo actividades relativas o conexas al tratamiento de datos personales, ya sea de manera manual, parcial o totalmente automatizado o a través de terceros. Se entenderán incluidos incluso aquellos sujetos que realicen las referidas actividades sin cumplir con los requisitos y limites dispuestos en la presente ley.

Los órganos de Estado, sus dependencia, loas institución oficiales autónomas, las autoridades municipales y cualquier otra entidad u organismo, independientemente de su forma, naturaleza o situación jurídica, mediante las cuales se administren recursos públicos, bienes del Estado o ejecuten actos de la administración pública en general, así como los servidores públicos y personas que laboren en ellas, dentro o fuera del territorio de la República, estarán sujetos especialmente a las disposiciones que se establecen en el titulo III de la presente ley.”

“Definiciones

Art. 4.- Para los efectos de esta ley o disposiciones jurídicas relacionadas se entenderá por:

i) Derechos ARCO-POL: derechos personalísimos e independientes de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación, por medio de los cuales el titular de los datos personas les puede ejercer el control sobre el tratamiento de estos. 

j) Encargado de tratamiento (Encargado): persona natural o jurídica, pública o privada, que sola o en conjunto con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento.

t) Tratamiento de datos: cualquier operación o conjunto de operaciones efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos personales. Estas se relacionan con la obtención, uso, registro organización, conservación, difusión, almacenamiento, posesión, acceso, manejo y divulgación de datos personales.

 "Delegado de protección de datos personales

Art. 15.- Los sujetos obligados por la presente ley deberán de nombrar un delegado de protección de datos personales, en adelante delegado, quien se encargará de gestionar y tramitar las solicitudes para el ejercicio de los derechos ARCO-POL."

"De la recopilación y tratamiento de datos personales en poder de los sujetos obligados

Art. 61.- A partir de la entrada en vigencia de la presente ley, los sujetos obligados deberán adoptar las medidas de protección de datos personales que establezca la ACE para aquellos datos personales obtenidos previo a la entrada en vigencia de la misma.

Asimismo, tendrán un plazo de seis meses contados a partir de la vigencia de la presente ley para establecer mecanismos para que los titulares de datos personales ejercen sus derechos en el marco de la protección de datos personales."

Con fecha 11 de agosto de 2026 la ACE publicó en el Diario Oficial LOS LINEAMIENTOS PARA EL DELEGADO DE PROTECCION DE DATOS PERSONASLES (LPDP), los cuales entraron en vigencia el 19 de agosto de ese año, existiendo un periodo de gracia de 20 días, hasta el 16 de septiembre de 2026.

"Sujetos obligados

Art. 3.- Las disposiciones contenidas en los presentes lineamientos, serán de obligatorio cumplimiento para el Delegado, el encargado y el responsable; este último, en su calidad de sujeto obligado, ya sea como persona natural o jurídica, de carácter público o privado, conforme a lo dispuesto en el artículo 2 de la LPDP." 

"Perfil del Delegado

Art. 5.- Para ser designado Delegado se requiere, como mínimo:

a) Contar con un grado universitario, de preferencia profesionales graduados en Ciencias Jurídicas.

b)   Ser mayor de 21 años.

c) Acreditar experiencia profesional y/o laboral en una o varias de las siguientes materias: protección de datos personales, procedimientos administrativos de naturaleza jurídica, cumplimiento normativo, gestión de riesgos, tecnologías de la información, seguridad de la información o ciberseguridad.

d) No haber sido condenado, mediante sentencia firme, por la comisión de delitos dolosos, especialmente aquellos relacionados con el uso indebido de la información, la seguridad de los datos, la administración pública, la fe pública o cualquier otro que, por su naturaleza, comprometa la integridad, independencia y responsabilidad exigida al cargo. Tampoco haber sido sancionado, mediante resolución firme, por infracciones a la LPDP. Adicionalmente, para los Delegados del sector público se requiere no haber sido sancionado por infracciones a la Ley de Ética Gubernamental en los cinco años anteriores al nombramiento.

e) Someterse y aprobar el "Programa de Certificación de Delegados de Protección de Datos Personales" que la Agencia desarrolle e imple-mente. Este requisito se exigirá a partir de la entrada en vigencia del referido programa, debiendo los Delegados ya nombrados cumplirlo en el plazo y condiciones que la Agencia establezca mediante disposición administrativa."

 "Del nombramiento

Art. 6.- El nombramiento del Delegado, se realizará de manera formal.

En el caso que los responsables sean instituciones públicas, dicho nombramiento constará en acuerdo, acta o resolución administrativa debida-mente motivada por la máxima autoridad correspondiente.

Asimismo, dicho nombramiento podrá recaer en el Oficial de Información de la institución respectiva. No obstante, aun cuando sea designado bajo esta figura estará sujeto al cumplimiento del literal e), del artículo anterior, debiendo someterse y aprobar obligatoriamente el "Programa de Certificación de Delegados de Protección de Datos Personales" cuando entre en vigencia.

Cuando el responsable sea una persona jurídica del sector privado, el nombramiento del Delegado deberá constar en acuerdo o acta emitida por el Administrador Único, Junta Directiva, Consejo Directivo, Consejo de Administración, o según se le denomine a la máxima autoridad que corresponda.

Tratándose de personas naturales que tengan la calidad de responsable, el nombramiento deberá constar en acta, con firma manuscrita debidamente legalizada por notario o firma electrónica certificada.

Para efectos de acreditación del Delegado, el responsable entregará a éste, certificación del acuerdo, punto de acta, resolución administrativa o acta del nombramiento realizado."

COMENTARIO:

Para saber si una entidad (persona natural o jurídica) es sujeto obligado a la LPDP, se recomienda leer su Art. 3, ya que este se refiere a los sujetos excluidos, y si no aparece expresamente ahí la actividad de la entidad, entonces está obligada al cumplimiento de esta ley.