Autor: Mario Ernesto Castillo Guzmán (Auditor y abogado)
Más de alguna
persona pensará que la Ley de protección de datos personales (LPDP) es nueva, siendo
necesario aclarar que esta data del mes de noviembre de 2024, es decir que entró
en vigencia casi 2 años atrás, otra cosa es que los sujetos obligados a ella no
le hayan dado la importancia debida.
En lo que podemos coincidir es que no ha existido una divulgación adecuada de su contenido, y como en la ley no se fijaron los lineamientos para el nombramiento del delegado de protección de datos personales (DPDP), los sujetos obligados (entre ellos los empresarios) se han hecho los desentendidos de esta obligación.
El fin de semana pasado circuló en las redes sociales que la Agencia de Ciberseguridad del Estado (ACE), había emitido un comunicado por medio del cual dejó en suspenso el plazo fatal para notificar el nombramiento del DPDP de los sujetos obligados a esta ley: 16 de septiembre de 2026.
En la LPDP se logran identificar a tres sujetos, que es conveniente tener claro quiénes son:
El titular: es la persona natural de la cual se tratan (obtienen) los datos personales.
El responsable: es la entidad que capta los datos, por ejemplo, una persona natural o jurídica, pública o privada; entre los ejemplos fáciles de identificar se pueden mencionar a los empresarios en general cualquiera que sea su actividad, instituciones sin fines de lucro, etc.
El delegado: es la persona natural o jurídica que es nombrada por la autoridad máxima del responsable, pudiendo ser interno o externo, no importando que sea una persona natural o una persona jurídica.
Un aspecto que la ley no deja muy claro cuando se tratan datos personales es ¿De cuáles sujetos estamos hablando?
- Clientes,
- Proveedores,
- Acreedores y
- Trabajadores.
¿La información personal de los socios o accionistas podría ser sujeta de esta ley? En los Webinar que he visto sobre la LPDP, los expositores no han tocado este tema, siendo una consulta que habría que hacerle a la ACE.
Cuando el legislador habla de datos ¿A qué se refiere? A la información obtenida en forma física, biométrica, imágenes o digitales (PDF) de una persona natural, existiendo dos clases de datos: los genéricos y los sensibles.
Los datos genéricos comprenden: el nombre,
número del documento único de identidad, teléfono de contacto, correo
electrónico, nacionalidad, fotografías y dirección entre otros.
Datos sensibles: son los que afectan la esfera más íntima de la persona, por ejemplo: creencias y convicciones religiosas, origen étnico, afiliación o ideologías políticas, afiliación sindical, preferencias sexuales, salud física y mental, información biométrica, genética, situación moral y familiar, hábitos personales y otras informaciones intimas de similar naturaleza.
Si una entidad obtiene datos de alguna de las personas antes citadas, esta se vuelve un sujeto obligado y por ende ESTÁ OBLIGADA A NOMBRAR UN DPDP, no importando a qué se dedique, monto de sus ingresos, cantidad de establecimientos que tenga, número de trabajadores, si es con fines de lucro o no, etc.
Una vez que se ha determinado que “x” entidad está obligada a nombrar un DPDP, viene la evaluación del perfil del candidato, siendo el primer filtro que estableció el legislador, es que este cargo no lo puede desempeñar cualquier persona, sino solo un profesional universitario graduado, preferentemente que sea abogado.
¿Por qué el legislador se inclinó por un abogado? Porque esta área
tiene una alta relación con la interpretación de las normas jurídicas.
¿Se puede nombrar como DPDP a un profesional que no sea abogado? Si, pero para ello tiene que cumplir ciertos requisitos que se encuentran en el Art. 5 de los lineamientos para el DPDP, en particular el literal c).
“Perfil del Delegado
Art. 5.- Para ser designado Delegado se requiere, como mínimo:
c) Acreditar experiencia profesional y/o laboral en una o varias de
las siguientes materias: protección de datos personales, procedimientos
administrativos de naturaleza jurídica, cumplimiento normativo, gestión de
riesgos, tecnologías de la información, seguridad de la información o
ciberseguridad”.
COMENTARIOS:
Lo anterior se aclara porque si la persona que se quiere nombrar
como DPDP cumple el requisito de ser un profesional graduado, pero no cumple
con el literal c), esa persona no puede ser nombrada en ese cargo.
¿Qué pasa si a pesar de esta limitante legal, se nombra a alguien que no cumple el requisito de idoneidad? Consideramos que esto equivaldría a una falsedad ideológica (Art. 284 Código penal), porque la ley le obliga al responsable a evaluar previamente el perfil de la persona que quiere nombrar como DPDP, según el Art. 18 de los lineamientos para el DPDP:
“Evaluación del perfil del Delegado
Art. 18.- Corresponde al responsable la obligación de verificar que la persona propuesta como Delegado cumpla con el
perfil requerido y posea la competencia
necesaria para el adecuado desempeño del cargo.
Esta verificación se realizará previamente
al nombramiento o contratación y contemplará el cumplimiento de los requisitos
de idoneidad, capacidad y experiencia.
Asimismo, el responsable tendrá que
asegurarse que dichos requisitos se mantengan vigentes durante todo el período
del ejercicio de sus funciones, realizando verificaciones al menos una vez cada
tres años; para tal efecto, solicitará al Delegado la presentación de los
atestados que acrediten haber recibido las capacitaciones o las certificaciones
de programas de actualización en materia de protección de datos o solvencias
que respalden su idoneidad.”
COMENTARIOS:
El actual contexto en que se encuentra esta ley, origina la siguiente duda ¿Cuántas personas cumplen con el requisito de idoneidad que se menciona en los lineamientos para el DPDP? Hoy por hoy, son muy pocos los profesionales que dominan este tema como debe ser.
El querer implementar con todo la LPDP tal como está redactada no lo considero viable actualmente, primero hay que capacitar al elemento humano en los conocimientos técnicos y legales que debe tener para ser nombrado como DPDP.
El sector donde será más difícil implementar la LPDP es la microempresa (que son la mayoría de empresas en El Salvador), la cual no está preparada técnica ni financieramente para cumplir con esta ley, esperando que los diputados eliminen para ellas el requisito ser profesional y el de idoneidad para sus DPDP, y sustituir estos requisitos por una certificación a presentar posterior al nombramiento del DPDP.
No hay comentarios:
Publicar un comentario