ACE deja sin efecto el plazo del Delegado de Protección de Datos en El Salvador: ¿qué deben hacer las empresas?
Actualizado el 12 de septiembre de 2026: análisis del nuevo aviso de la Agencia de Ciberseguridad del Estado, la Ley para la Protección de Datos Personales y los lineamientos publicados en el Diario Oficial n.º 146, Tomo 452.
ACE deja sin efecto el plazo del Delegado: esta es la decisión oficial que cambia el calendario de cumplimiento para empresas e instituciones en El Salvador.
La ACE dejó sin efecto la fecha límite que había establecido para el nombramiento del Delegado de Protección de Datos Personales. Respecto de ese plazo, la Agencia indicó que por ahora no es necesario realizar ninguna acción y que comunicará oportunamente cualquier nueva disposición. Esto no significa que la Ley haya sido suspendida ni que la figura del Delegado haya desaparecido. Al 12 de septiembre de 2026 no se ha anunciado una fecha sustituta.
El aviso cambia la urgencia del calendario, pero no autoriza a concluir que todo el régimen de protección de datos quedó cancelado. El artículo 15 de la Ley continúa estableciendo el nombramiento del Delegado y la ACE mantiene publicados tanto la Ley como los lineamientos que desarrollan el perfil, la independencia, el registro y las funciones del cargo.
La decisión práctica correcta tampoco es correr para cumplir el antiguo 16 de septiembre ni abandonar el proyecto. En esta guía explicamos qué dejó sin efecto la ACE, qué sigue vigente y qué debe hacer una empresa según el punto en el que se encontraba. Para estudiar la figura completa —obligados, exclusiones, requisitos, conflictos de interés y funciones— puede consultar nuestra guía del Delegado de Protección de Datos en El Salvador.
¿Qué comunicó exactamente la ACE sobre el plazo del Delegado?
La Agencia de Ciberseguridad del Estado difundió un aviso con tres mensajes concretos:
- Queda sin efecto la fecha límite establecida para el nombramiento del Delegado de Protección de Datos Personales.
- No es necesario realizar ninguna acción al respecto por el momento.
- Cualquier nueva disposición o indicación será comunicada oportunamente por los medios oficiales.
El comunicado tampoco expone las razones del cambio. Por eso no sería responsable atribuirlo a falta de personal certificado, volumen de trámites, ajustes de plataforma o una futura reforma: cualquiera de esas explicaciones sería especulación mientras la ACE no la confirme.
ACE deja sin efecto el plazo del Delegado: ¿se suspendió la obligación de nombrarlo?
No puede afirmarse eso a partir del aviso. Hay que separar la fecha operativa de la obligación contenida en la Ley. El comunicado habla de la fecha límite; no dice que la Asamblea Legislativa haya derogado el artículo 15 ni que la ACE haya dejado sin efecto la totalidad de los lineamientos.
El artículo 15 de la Ley para la Protección de Datos Personales continúa señalando que los sujetos obligados deberán nombrar un Delegado. El artículo 16 mantiene sus atribuciones, entre ellas recibir y tramitar solicitudes ARCO-POL, orientar al responsable, proponer procedimientos internos, asesorar y capacitar al personal.
Los Lineamientos para el Delegado de Protección de Datos Personales también continúan publicados por la ACE. Su artículo 40 había previsto que, mientras no estuviera habilitada la plataforma informática del Registro de Delegados, las comunicaciones de nombramiento, modificación o cesación se realizarían por oficio, escrito o correo institucional dentro de veinte días hábiles desde la entrada en vigor de los lineamientos.
| Tema | Situación al 12 de septiembre de 2026 |
|---|---|
| Fecha del 16 de septiembre | Quedó sin efecto conforme al nuevo aviso de la ACE. |
| Nueva fecha límite | No fue indicada en el aviso. |
| Acción exigida por el antiguo plazo | La ACE indicó que por el momento no es necesario realizar ninguna acción al respecto. |
| Artículo 15 de la Ley | Continúa formando parte de la Ley para la Protección de Datos Personales. |
| Lineamientos del Delegado | Continúan publicados en el portal normativo de la ACE. |
| Resto del cumplimiento de datos personales | No fue suspendido por el aviso sobre la fecha. |
¿Qué obligaciones de protección de datos siguen vigentes?
El cambio de fecha no debe confundirse con una pausa general de la Ley. Las empresas siguen manejando datos de clientes, empleados, proveedores, usuarios, pacientes o estudiantes y, por tanto, deben continuar revisando las reglas aplicables a esos tratamientos.
- Principios del tratamiento: exactitud, lealtad, consentimiento y finalidad, minimización, transparencia, seguridad, licitud, temporalidad y responsabilidad demostrada.
- Avisos y políticas de privacidad: la persona debe saber quién utiliza sus datos, para qué, durante cuánto tiempo y cómo puede ejercer sus derechos.
- Derechos ARCO-POL: deben existir mecanismos reales para acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación.
- Seguridad de la información: controles de acceso, confidencialidad, respaldos, gestión de proveedores y respuesta ante incidentes.
- Vulneraciones de seguridad: la Ley mantiene el deber de notificar determinados incidentes a la ACE, la Fiscalía y los titulares afectados dentro del plazo legal de 72 horas.
- Contratos con encargados: deben delimitarse las responsabilidades cuando terceros procesan planillas, bases de clientes, expedientes, almacenamiento en nube u otra información personal.
¿Siguen existiendo multas?
Sí. El aviso no derogó el régimen sancionador. La Ley clasifica infracciones leves, graves y muy graves, con multas de uno a diez, de once a veinticinco y de veintiséis a cuarenta salarios mínimos mensuales vigentes del sector comercio, respectivamente.
Eso no significa que la ausencia de una gestión asociada al plazo dejado sin efecto produzca automáticamente una multa. La sanción requiere identificar la conducta, su clasificación y el procedimiento correspondiente. Tampoco significa que exista una amnistía general para incumplimientos distintos del plazo.
¿Qué debe hacer su empresa después del aviso de la ACE?
La respuesta depende de lo que la empresa ya había hecho. El comunicado no debe aplicarse de forma idéntica a todos los expedientes.
| Situación de la empresa | Acción prudente |
|---|---|
| No había iniciado el proceso | No actuar únicamente por la antigua fecha, pero identificar los datos que trata, revisar el alcance de la Ley y preparar la evaluación del candidato. |
| Ya había seleccionado un candidato | Conservar su currículum, título, evidencia de experiencia y análisis de independencia. Esperar instrucciones para cualquier actuación que dependa del plazo eliminado. |
| Ya emitió el nombramiento interno | Conservar acta o acuerdo, aceptación, declaración de conflicto y demás respaldo. El aviso no dice que los nombramientos anteriores hayan sido anulados. |
| Ya envió documentación a la ACE | Guardar el correo, anexos, acuse o comprobante. No duplicar automáticamente la gestión sin una nueva instrucción oficial. |
| Estaba por enviar el expediente | Detener la presentación motivada exclusivamente por el antiguo vencimiento, revisar el aviso y monitorear el canal oficial de la ACE. |
| Tiene solicitudes ARCO-POL o incidentes activos | Continuar atendiéndolos dentro de los plazos legales. El nuevo aviso no suspende esos procedimientos. |
Plan práctico mientras la ACE publica nuevas indicaciones
No es necesario mantener a toda la organización en modo de emergencia, pero sí conviene aprovechar el tiempo para ordenar el expediente. Así, cuando la ACE defina una nueva ruta, la empresa no comenzará desde cero.
- Archive el comunicado y la evidencia de la fecha.
Conserve la imagen, el enlace o la publicación oficial que utilizó para tomar la decisión de pausar la presentación. - Identifique los tratamientos de datos.
Liste clientes, empleados, proveedores, videovigilancia, formularios, cookies, expedientes, sistemas y terceros que procesan información. - Confirme el alcance de la Ley y las exclusiones.
No suponga que una empresa pequeña está exenta. Las exclusiones del artículo 3 se analizan por tratamiento y no por tamaño o facturación. - Evalúe posibles candidatos.
Revise grado universitario, experiencia, independencia, disponibilidad y conflictos con cargos que deciden o ejecutan el tratamiento. - Prepare los documentos como borrador.
Acuerdo o acta, aceptación, declaración jurada, contrato si es externo y evidencia del perfil pueden adelantarse sin afirmar una fecha de presentación que ya no está vigente. - Revise el cumplimiento operativo.
Aviso de privacidad, canal ARCO-POL, seguridad, contratos, conservación y respuesta ante incidentes requieren trabajo aunque el calendario del Delegado cambie. - Monitoree solamente fuentes oficiales.
Revise el portal de la ACE, sus secciones de políticas y normativas y formularios.
Cinco errores que deben evitarse
- Decir que “se suspendió la Ley”. El comunicado no contiene esa afirmación.
- Seguir publicando el 16 de septiembre como fecha vigente. Esa información quedó desactualizada.
- Inventar una nueva fecha. La ACE todavía no anunció un vencimiento sustituto en el aviso analizado.
- Destruir el expediente preparado. Los documentos y análisis pueden seguir siendo útiles cuando se defina el nuevo procedimiento.
- Abandonar las demás obligaciones. La privacidad, la seguridad, los derechos ARCO-POL y la gestión de incidentes no dependen únicamente del registro del Delegado.
Contaxtern puede encargarse del análisis y dejar listo el proceso
El cambio de la ACE no elimina el trabajo técnico; cambia su calendario. En Contaxtern podemos ayudar a que la empresa utilice esta pausa para identificar riesgos, ordenar documentación y evitar decisiones apresuradas o contradictorias.
¿Qué podemos hacer por su empresa?
- Analizar si la Ley aplica y documentar cualquier exclusión relevante.
- Preparar el inventario de datos, sistemas, responsables, encargados y proveedores.
- Comparar un Delegado interno con un servicio externo.
- Evaluar perfil, experiencia, independencia e incompatibilidades.
- Preparar acta o acuerdo, aceptación, declaración y expediente de respaldo.
- Revisar avisos de privacidad y procedimientos ARCO-POL.
- Monitorear la nueva disposición de la ACE y adaptar la presentación cuando corresponda.
- Proponer y coordinar un Delegado externo idóneo cuando la empresa no tenga un perfil independiente.
No enviaremos documentación basándonos en una fecha que la ACE ya dejó sin efecto. Primero revisamos el estado real del expediente y después actuamos conforme al canal y calendario que comunique la autoridad.
Este acompañamiento puede integrarse con nuestros servicios legales y corporativos, auditoría de cumplimiento, documentación de controles y soporte continuo para empresas salvadoreñas.
Preguntas frecuentes sobre el nuevo aviso de la ACE
¿La ACE eliminó el Delegado de Protección de Datos?
No. El aviso deja sin efecto una fecha límite. El artículo 15 de la Ley, que contiene la obligación de nombrar al Delegado, continúa publicado y el comunicado no anuncia su derogación.
¿El 16 de septiembre de 2026 todavía es la fecha límite?
No. La ACE indicó que la fecha límite establecida para el nombramiento quedó sin efecto. Las empresas y asesores deben dejar de presentarla como un vencimiento vigente.
¿Cuál es la nueva fecha para nombrar al Delegado?
Al 12 de septiembre de 2026 no se ha comunicado una fecha sustituta en el aviso analizado. La ACE indicó que cualquier nueva disposición será informada oportunamente.
¿Debo enviar ahora el nombramiento al correo de la ACE?
El aviso señala que, respecto del plazo dejado sin efecto, no es necesario realizar ninguna acción por el momento. No conviene enviar o duplicar documentación únicamente por la antigua fecha; revise cualquier instrucción individual y espere el canal oficial actualizado.
¿Qué pasa si ya envié los documentos?
Conserve el correo enviado, los anexos y cualquier acuse. El comunicado no ordena repetir, retirar ni anular lo presentado. Espere una indicación de la ACE o analice cualquier respuesta individual que reciba.
¿Qué pasa si la empresa ya nombró internamente al Delegado?
El aviso no dice que los nombramientos anteriores queden anulados. Conserve el acta, la aceptación, la declaración de conflicto, el contrato si existe y la documentación del perfil.
¿Una empresa debe seguir preparando el expediente?
Puede hacerlo sin actuar por la antigua fecha. Preparar inventarios, revisar candidatos, documentar independencia y corregir avisos de privacidad reduce el trabajo cuando la ACE publique el nuevo mecanismo.
¿Las solicitudes ARCO-POL también quedaron suspendidas?
No. El aviso se refiere a la fecha límite del nombramiento. Los derechos de los titulares y los plazos legales para atender sus solicitudes no fueron suspendidos por ese comunicado.
¿La empresa puede recibir una multa por no cumplir el antiguo 16 de septiembre?
No debe afirmarse una sanción automática vinculada a una fecha que la autoridad dejó sin efecto. Sin embargo, la Ley mantiene infracciones y multas para otros incumplimientos; cada conducta debe analizarse dentro del procedimiento correspondiente.
¿Contaxtern puede proporcionar un Delegado externo?
Sí. Podemos evaluar el caso, estructurar el expediente, proponer un perfil idóneo de nuestro equipo o red profesional y coordinar un servicio externo sujeto a los requisitos e incompatibilidades aplicables.
Conclusión: se detuvo el reloj, no el cumplimiento
La ACE deja sin efecto el plazo del Delegado de Protección de Datos, pero no anunció la desaparición de la obligación legal. La consecuencia inmediata es clara: el 16 de septiembre ya no debe tratarse como fecha vigente y no se debe realizar una gestión únicamente para cumplir ese antiguo vencimiento.
La decisión prudente es conservar lo preparado, continuar con las medidas de protección que no dependen del plazo y esperar la nueva instrucción oficial. Cuando la ACE comunique el mecanismo sustituto, esta entrada será actualizada para explicar la fecha, los documentos y el procedimiento aplicable.
Fuentes oficiales y referencias consultadas
- Ley para la Protección de Datos Personales, Decreto Legislativo n.º 144.
- Lineamientos para el Delegado de Protección de Datos Personales, publicados en el Diario Oficial n.º 146, Tomo 452, del 11 de agosto de 2026.
- Portal de Políticas y Normativas de la Agencia de Ciberseguridad del Estado.
- Formularios y servicios oficiales de la ACE.
- Cobertura del cambio de plazo publicada el 12 de septiembre de 2026.
Criterio de actualización: este artículo distingue entre el contenido expreso del aviso, las normas que continúan publicadas y las recomendaciones prudenciales de preparación. Se actualizará cuando la ACE comunique una nueva fecha, plataforma o procedimiento.
Kevin Vásquez
Boletín de Contaxtern
Reciba nuevas guías y alertas tributarias
Contenido práctico sobre impuestos, contabilidad, planillas y cambios que afectan a empresas y profesionales en El Salvador.
¿Tiene un caso específico que resolver?
Deje que los expertos de Contaxtern evalúen su situación contable, fiscal o corporativa.
Contactar a un ContadorArtículos Relacionados
Legal y Corporativo
Abrir empresa desde el extranjero: 8 pasos en El Salvador
Cómo constituir y controlar una empresa salvadoreña desde otro país: NIT, poderes, firmas, banco, costos…
Legal y Corporativo
Crear empresa como extranjero: 9 pasos en El Salvador
Requisitos para extranjeros que viven o quieren establecerse en El Salvador: SAS y S.A., NIT,…
Legal y Corporativo
Reforma a la Ley de Protección de Datos Personales: 7…
El Decreto 659 ya aparece en el Diario Oficial. Explicamos su vigencia, quién debe nombrar…
