Por Dra. Jenniffer Mejía | Socia Mayora & Mayora El Salvador.
Se informa que el día 17 de septiembre de 2026, por mayoría calificada fue aprobada por la Asamblea Legislativa la reforma a la Ley para la Protección de Datos Personales, cuyo objetivo es modificar determinados mecanismos de organización y gestión relacionados con el cumplimiento de dicha normativa.
Entre los cambios más relevantes se encuentran los siguientes:
- Eliminación de la obligación de nombrar un Delegado de Protección de Datos Personales para el sector privado: Se deroga elartículo 15 de la Ley para la Protección de Datos Personales, eliminando la obligación general que actualmente tenían las empresas privadas de designar un Delegado de Protección de Datos Personales. En el caso de las instituciones públicas, se mantendrá expresamente la obligación de tener un delegado de protección de datos.
- Traslado de responsabilidades a la empresa de manera global: Se establece que las funciones relacionadas con la recepción, gestión y atención de los derechos ARCO-POL pasarán a ser responsabilidad directa del sujeto obligado. Para efectos de la Ley para la Protección de Datos Personales, se entiende por sujeto obligado toda empresa, entidad o persona natural que realice actividades de tratamiento de datos personales y que, por tanto, se encuentre sujeta al cumplimiento de las obligaciones previstas en dicha normativa. En consecuencia, las solicitudes de Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación deberán dirigirse directamente al responsable del tratamiento de los datos personales y no a un Delegado de Protección de Datos.
- Fortalecimiento de mecanismos internos: Se incorpora la obligación de que los sujetos obligados establezcan lineamientos y mecanismos internos que permitan gestionar de forma eficiente las solicitudes relacionadas con los derechos ARCO-POL, fortaleciendo así sus procesos internos de cumplimiento.
Es importante destacar que la eliminación de la obligación de nombrar un Delegado de Protección de Datos Personales no implica la eliminación de las obligaciones previstas en la Ley para la Protección de Datos Personales. Las empresas, entidades y personas naturales que realicen tratamiento de datos personales continuarán siendo sujetos obligados y deberán cumplir con todas las obligaciones que la ley establece.
En ese sentido, la reforma supone un cambio en la forma de gestionar el cumplimiento de la normativa, trasladando una mayor responsabilidad directamente al sujeto obligado. Es decir, aunque ya no exista la obligación legal de designar un Delegado de Protección de Datos Personales en el sector privado, cada organización o persona obligada deberá implementar y mantener sus propios mecanismos, procedimientos y controles internos para garantizar el cumplimiento de la ley.
En la práctica, esto representa un modelo de mayor autorregulación, en el que el sujeto obligado asume directamente la responsabilidad de atender los derechos ARCO-POL, adoptar medidas de seguridad, gestionar los consentimientos correspondientes, mantener actualizados sus avisos de privacidad y cumplir con los demás deberes previstos en la normativa. Por lo tanto, la eliminación de la figura obligatoria del Delegado no reduce las responsabilidades legales existentes ni exime del riesgo de sanciones ante eventuales incumplimientos.
Se recomienda que las organizaciones designen internamente a una persona responsable de coordinar y supervisar los aspectos relacionados con la protección de datos personales, aun cuando la ley ya no exija formalmente el nombramiento de un Delegado de Protección de Datos Personales para el sector privado. Lo anterior resulta aconsejable debido a que las obligaciones previstas en la Ley continúan vigentes y seguirán siendo exigibles a los sujetos obligados. La reforma no elimina el deber de atender solicitudes ARCO-POL, implementar medidas de seguridad, mantener avisos de privacidad, gestionar consentimientos, resguardar la confidencialidad de los datos ni atender requerimientos de la autoridad competente.
Hasta la fecha, la iniciativa de reforma ha sido aprobada por el órgano legislativo; sin embargo, aún se encuentra pendiente la culminación del respectivo proceso de formación de ley. Una vez completado dicho procedimiento y aprobado el correspondiente decreto, este entrará en vigor ocho días después de su publicación en el Diario Oficial.
