La reforma elimina el nombramiento obligatorio de esta figura, pero mantiene las responsabilidades de las empresas en materia de protección de datos personales.
La Asamblea Legislativa de El Salvador aprobó una reforma a la Ley para la Protección de Datos Personales que elimina la obligación de las empresas privadas de nombrar un delegado de protección de datos personales.
La modificación fue aprobada el 17 de septiembre de 2026 con 57 votos y busca otorgar mayor flexibilidad a las empresas y organizaciones privadas para determinar internamente la forma en que atenderán sus responsabilidades relacionadas con el tratamiento de información personal.
Sin embargo, la eliminación del delegado obligatorio no significa que las empresas queden exentas del cumplimiento de la ley. Las personas naturales y jurídicas privadas que recopilen, almacenen, utilicen, compartan o procesen datos personales continuarán siendo sujetos obligados.
¿Qué cambia para las empresas privadas?
Antes de la reforma, la ley exigía que los sujetos obligados nombraran un delegado de protección de datos personales, quien debía supervisar el cumplimiento de la normativa y atender las solicitudes presentadas por los titulares de los datos.
Con las modificaciones aprobadas, las empresas privadas ya no estarán obligadas a incorporar formalmente esta figura dentro de su estructura ni a comunicar su nombramiento ante la Agencia de Ciberseguridad del Estado.
Las funciones relacionadas con la atención de los titulares de datos serán asumidas directamente por cada empresa u organización, que tendrá libertad para establecer el área, procedimiento o persona responsable de gestionarlas
Por tanto, la reforma elimina una obligación organizativa específica, pero no elimina la responsabilidad empresarial por el tratamiento de datos personales.
Las obligaciones de protección de datos se mantienen
Las empresas deberán continuar atendiendo las solicitudes vinculadas con los derechos ARCO-POL:
- Acceso.
- Rectificación.
- Cancelación.
- Oposición.
- Portabilidad.
- Olvido.
- Limitación del tratamiento.
Estas solicitudes deberán presentarse directamente ante la empresa, institución u organización que posea o utilice los datos personales.
El sujeto obligado contará con un plazo de 20 días hábiles para emitir una respuesta. Este período podrá ampliarse por otros 20 días hábiles cuando existan razones justificadas y se emita una resolución motivada.
Cuando una solicitud presente omisiones o requiera información adicional, la empresa podrá realizar una prevención por una sola vez y el titular dispondrá de 10 días hábiles para subsanarla.
La reforma también establece que, cuando una persona solicite la rectificación de sus datos, deberá dejarse constancia de que la información se encuentra en proceso de corrección. Si los datos ya fueron compartidos con terceros, estos deberán ser informados sobre su corrección, actualización o eliminación dentro de los cinco días hábiles siguientes a la determinación de que la solicitud es procedente.
Asimismo, las solicitudes mediante las cuales una persona retire su consentimiento para el tratamiento de sus datos deberán atenderse dentro de un plazo de cinco días hábiles.
El cumplimiento ahora recae directamente en cada empresa
Aunque ya no será obligatorio nombrar un delegado, las empresas continuarán sujetas a las disposiciones, controles y posibles sanciones contempladas en la Ley para la Protección de Datos Personales.
Esto implica que deberán contar con mecanismos internos que les permitan:
- Recibir y registrar solicitudes de los titulares.
- Responder dentro de los plazos legales.
- Identificar qué datos personales recopilan y con qué finalidad.
- Mantener medidas de seguridad para proteger la información.
- Controlar el acceso, utilización y transferencia de datos.
- Documentar las actuaciones realizadas para demostrar el cumplimiento de la normativa.
En términos prácticos, cada empresa deberá definir quién asumirá estas funciones y cuál será el canal habilitado para que clientes, empleados, proveedores y demás titulares puedan ejercer sus derechos.
Aunque la designación formal de un delegado dejará de ser obligatoria, puede seguir siendo conveniente para empresas que administran grandes volúmenes de información, datos sensibles o actividades que implican mayores riesgos.
El sector público deberá conservar al delegado
La reforma mantiene expresamente la obligación de las instituciones públicas de nombrar un delegado de protección de datos personales.
Esta función podrá ser ejercida por el mismo oficial de información de la institución, con el objetivo de aprovechar las estructuras administrativas existentes.
También se establece que el presidente de la República nombrará al Director de Protección de Datos Personales de la Agencia de Ciberseguridad del Estado por un período de tres años.
Este funcionario conocerá los procedimientos administrativos sancionadores y mantendrá la facultad de imponer las sanciones establecidas en la ley.
¿La reforma ya se encuentra vigente?
La reforma fue aprobada por la Asamblea Legislativa, pero su aprobación no significa que haya entrado inmediatamente en vigor.
El decreto deberá publicarse en el Diario Oficial y entrará en vigencia ocho días después de esa publicación. Por ello, las empresas deben mantenerse atentas a la publicación oficial para determinar la fecha exacta a partir de la cual serán aplicables las modificaciones.
¿Qué deben hacer ahora las empresas?
La reforma representa una reducción de cargas administrativas, especialmente para las micro, pequeñas y medianas empresas. No obstante, también implica que la responsabilidad de organizar el cumplimiento recaerá directamente en cada entidad.
Las empresas deberían aprovechar este cambio para revisar sus procesos internos, políticas de privacidad, mecanismos de consentimiento, contratos, medidas de seguridad y procedimientos para atender solicitudes relacionadas con datos personales.
En Legal Spot acompañamos a empresas y organizaciones en la implementación de la Ley para la Protección de Datos Personales, incluyendo la revisión de procesos, elaboración de políticas y documentos, capacitación y diseño de mecanismos internos de cumplimiento.
La protección de datos continúa siendo una responsabilidad legal de las empresas. Lo que cambia es la forma en que podrán organizarse para cumplirla.
