Por Redacción ContraPunto
La Agencia de Ciberseguridad del Estado (ACE) ha establecido nuevas disposiciones para que las instituciones públicas y privadas que manejan datos personales cumplan con la obligación de designar un Delegado de Protección de Datos Personales (DPD), una figura contemplada en la Ley para la Protección de Datos Personales.
La obligación de contar con un delegado está establecida en el artículo 15 de la Ley para la Protección de Datos Personales, aprobada mediante el Decreto Legislativo 144. La normativa señala que los sujetos obligados deben designar a una persona encargada de gestionar y tramitar las solicitudes relacionadas con los derechos de los titulares sobre sus datos personales.
Sin embargo, los procedimientos específicos para el nombramiento, perfil, funcionamiento y registro del delegado fueron desarrollados posteriormente por la ACE mediante los Lineamientos para el Delegado de Protección de Datos Personales, publicados en el Diario Oficial en agosto de 2026. Estos lineamientos establecen las condiciones que deberán cumplir los responsables del tratamiento de datos y regulan la comunicación del nombramiento ante la Agencia.
Uno de los principales cambios es que el nombramiento del delegado debe ser comunicado a la ACE para su registro. De acuerdo con los lineamientos, el responsable del tratamiento debe informar el nombramiento a la Dirección de Protección de Datos Personales dentro del plazo establecido.
Mientras la plataforma electrónica del Registro de Delegados no se encuentre habilitada, la ACE estableció un mecanismo transitorio mediante comunicación escrita u otros medios institucionales. El plazo transitorio es de 20 días hábiles contados desde la entrada en vigor de los lineamientos, cuyo vencimiento se ha situado en el 16 de septiembre de 2026.
Esto significa que las organizaciones que todavía no han formalizado el nombramiento deben actuar antes de que concluya dicho periodo para evitar quedar fuera del proceso de cumplimiento.
La obligación alcanza a personas naturales y jurídicas, públicas o privadas, que tengan la calidad de responsables del tratamiento de datos personales bajo la Ley para la Protección de Datos Personales.
El delegado tendrá entre sus funciones recibir y tramitar solicitudes relacionadas con los derechos ARCO-POL, orientar a los responsables y titulares de los datos, asesorar a las diferentes áreas de la organización y promover mecanismos internos para garantizar una adecuada gestión de la información personal.
Los lineamientos también establecen requisitos para quienes desempeñen esta función y contemplan mecanismos de certificación y supervisión por parte de la ACE.
La puesta en marcha de este registro representa un paso adicional en la aplicación de la Ley para la Protección de Datos Personales en El Salvador. Hasta ahora, la legislación establecía la obligación general de contar con un delegado, pero no había desarrollado con el mismo nivel de detalle aspectos como su perfil, designación y registro.
Con las nuevas disposiciones, la protección de los datos personales deja de ser únicamente una obligación general y pasa a incorporar procedimientos específicos de cumplimiento, supervisión y eventual responsabilidad administrativa.
Para empresas, instituciones públicas y demás sujetos obligados, el desafío inmediato es formalizar correctamente la designación, comunicarla a la ACE y garantizar que el delegado pueda ejercer sus funciones con independencia y recursos suficientes.
El objetivo declarado de este marco regulatorio es fortalecer el control que las personas tienen sobre su información personal y establecer responsabilidades concretas para quienes recopilan, almacenan, procesan o transfieren esos datos.