LEY DE PROTECCION DE DATOS PERSONALES - PARTE II

Autor: Mario Ernesto Castillo Guzmán (Auditor y abogado)

Sobre esta ley muy poco se ha hablado, siendo la duda más generalizada entre los empresarios ¿Tengo la obligación de nombrar un delegado de protección de datos personales? para lo cual es necesario leer el Art. 3 de la LEY DE PROTECCION DE DATOS PERSONALES (LPDP):

“Exclusiones

Art.3. Quedan excluidos de la aplicación de la presente ley:

a) El tratamiento de datos de historial crediticios que realicen los sujetos obligados en los supuestos de la Ley de Regulación de los Servicios de Información sobre el Historial de Créditos de las personas. Sin embargo, esta exclusión no aplicará a los integrantes del Sistema Financiero y demás supervisados por la Superintendencia del Sistema Financiero, sobre aquella información que no sea relativa al historial crediticio de sus usuarios.

b) El tratamiento de datos personales destinados exclusivamente a actividades en el marco de la vida familiar o doméstica, mientras no tengan como propósito una divulgación o utilización comercial.

c) El tratamiento de datos personales u actividades que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado, prevención, investigación, detección y represión del delito, todo en observancia al debido proceso y respeto a los Derechos Humanos.

d) Cualquier tratamiento de los datos personales realizados en los registros públicos, así como en el registro del estado familiar de las alcaldías, en los procedimientos establecidos en la ley Transitoria del Registro del Estado Familiar y de los Regímenes Patrimoniales del Matrimonio. Se Excluye además todos los tratamientos de datos personales efectuados en aplicación de la Ley Especial Reguladora de la Emisión del Documento Único de Identidad, Ley de Emisión del Documento Único de Identidad en el Exterior, Ley del Nombre de la Persona Natural por el Registro del Estado Familiar de las Personas Naturales.”

COMENTARIO

Si la actividad de un empresario (natural o jurídico), no está dentro de las que se detallan en este artículo, esto hace que nazca el hecho generador para ser considerado como un UN SUJETO OBLIGADO a esta ley, no importando a qué se dedique, cantidad de trabajadores, monto de ventas, etc.

Por otra parte, el 11 de agosto de 2026 la Agencia de Ciberseguridad del Estado (ACE), publicó en el Diario Oficial los “Lineamientos para el “Delegado de protección de datos personales”, la cual entró en vigencia el 19 de agosto de este año, y en su artículo 40 hay un periodo de gracia de 20 días hábiles, para notificar formalmente a la ACE el nombramiento del delegado:

“Disposición transitoria

Art. 40.- Los nombramientos de Delegados efectuados con anterioridad a la entrada en vigencia de los presentes lineamientos y que no cumplan con los requisitos establecidos en los mismos, se tendrán por válidos.

No obstante, lo anterior, deberán someterse y aprobar el programa de certificación que emitirá la Agencia.

Mientras no se encuentre habilitada la plataforma informática del registro de Delegados, las comunicaciones de nombramiento, modificación o cesación se realizarán mediante oficio, escrito o correo institucional dirigido a la Dirección de Protección de Datos Personales de la ACE, dentro de los veinte días hábiles de la entrada en vigencia de estos lineamientos.”

19/08/2026 + 20 días hábiles = 16/09/2026 

Esta información se encuentra en el sitio Web de la ACE, https://ace.gob.sv/, sin embargo el pasado 13 de septiembre de 2026 apareció en esta página Web un comunicado por medio del cual quedó suspendido hasta nuevo aviso el plazo para notificar el nombramiento del DPDP. 

COMENTARIOS:

¿Ustedes lograron despejar que la entidad para la cual trabajan es o no un sujeto obligado a la LPDP?, si ya comprobaron que la LPDP se les aplica ¿Ya nombraron al delegado de protección de datos personales en su empresa? ¿Ya informaron tal nombramiento a la ACE?