Reforma al Delegado de Protección de Datos en El Salvador: ¿qué cambia para las empresas?
Actualizado el 17 de septiembre de 2026: análisis del proyecto aprobado por la Asamblea Legislativa, el texto de la Ley para la Protección de Datos Personales vigente y la situación de su publicación en el Diario Oficial.
La reforma al Delegado de Protección de Datos en El Salvador fue aprobada. La noticia principal es cierta, pero necesita una explicación precisa: las empresas privadas dejarán de tener la obligación legal expresa de nombrar ese cargo cuando el decreto entre en vigencia; no por ello quedan fuera de la Ley ni desaparecen sus deberes sobre datos personales.
La diferencia es importante. La reforma elimina una estructura obligatoria para las empresas privadas, pero coloca la responsabilidad operativa directamente sobre la persona natural o jurídica que trata los datos. Si un cliente pide acceso, rectificación, cancelación, oposición, portabilidad, olvido o limitación, la empresa ya no podrá esperar a que exista un Delegado: deberá tener un canal, responsables internos, controles y evidencia de la respuesta.
¿Qué aprobó la Asamblea sobre el Delegado de Protección de Datos?
Con 57 votos a favor, la Asamblea Legislativa aprobó con dispensa de trámites una reforma a la Ley para la Protección de Datos Personales. El texto deroga los artículos 15 y 17, modifica la forma de tramitar los derechos ARCO-POL, conserva el Delegado para las instituciones públicas y reorganiza la autoridad encargada de los procedimientos sancionadores dentro de la Agencia de Ciberseguridad del Estado (ACE).
Antes de la reforma, el artículo 15 decía que todos los sujetos obligados debían nombrar un Delegado de Protección de Datos Personales para gestionar las solicitudes ARCO-POL. Como el artículo 2 incluye a personas naturales y jurídicas, públicas y privadas, la obligación alcanzaba en términos generales a empresas, profesionales, organizaciones e instituciones que trataran datos personales.
El nuevo decreto no reemplaza toda la Ley. Actúa sobre artículos concretos y conserva la definición amplia de sujeto obligado. El mensaje correcto para una empresa privada es este:
- Se elimina la obligación general de tener un cargo llamado Delegado una vez que la reforma entre en vigor.
- No se elimina la obligación de proteger los datos personales.
- No se suspenden los derechos ARCO-POL.
- No desaparecen los plazos, las medidas de seguridad ni el régimen sancionador.
- La empresa deberá organizarse internamente para cumplir las funciones que antes se canalizaban mediante el Delegado.
¿Desde cuándo ya no será obligatorio nombrar al Delegado?
No desde el momento de la votación. El artículo 14 del decreto establece que la reforma entrará en vigencia ocho días después de su publicación en el Diario Oficial. Para calcular correctamente la fecha deben ocurrir y verificarse estos pasos:
- Aprobación legislativa.
Ocurrió el 17 de septiembre de 2026. - Sanción y publicación del decreto.
Debe localizarse la edición del Diario Oficial con el número del decreto, fecha, tomo y número de Diario. - Transcurso del plazo de ocho días.
La entrada en vigor se calcula a partir de la publicación, según la cláusula expresa del decreto. - Aplicación del texto reformado.
Solo entonces quedan vigentes las reformas y las derogatorias de los artículos 15 y 17.
Mientras no se identifique la publicación, es más exacto decir “la reforma fue aprobada y está pendiente de entrar en vigencia” que afirmar que ya está vigente. Esta entrada será actualizada con la fecha exacta cuando el Diario Oficial publique el decreto.
12 de noviembre de 2024: la Asamblea emite la Ley para la Protección de Datos Personales mediante Decreto Legislativo n.º 144.
15 de noviembre de 2024: la Ley se publica en el Diario Oficial n.º 219, Tomo 445.
11 de agosto de 2026: se publican los Lineamientos para el Delegado de Protección de Datos Personales.
12 de septiembre de 2026: la ACE deja sin efecto la fecha límite que había fijado para el nombramiento.
16 de septiembre de 2026: la ACE confirma públicamente que, bajo la Ley aún vigente ese día, la obligación legal continuaba.
17 de septiembre de 2026: la Asamblea aprueba la reforma que elimina la obligación para el sector privado una vez que el decreto entre en vigor.
¿Quién debe nombrar Delegado después de la reforma?
| Tipo de sujeto | ¿Debe nombrar Delegado? | ¿Sigue obligado a cumplir la Ley? |
|---|---|---|
| Empresa privada | No por mandato general de los artículos 15 y 17, una vez vigente la reforma. | Sí. Debe atender ARCO-POL y cumplir las demás obligaciones directamente. |
| Persona natural que trata datos en una actividad alcanzada por la Ley | No por mandato general, una vez vigente la reforma. | Sí, salvo que el tratamiento encaje en una exclusión legal concreta. |
| Asociación, fundación u organización privada | No por mandato general, una vez vigente la reforma. | Sí, si trata datos personales dentro del ámbito de la Ley. |
| Institución pública | Sí. El nuevo artículo 47 ordena nombrarlo. | Sí. El Delegado podrá ser la misma persona que ejerza como Oficial de Información. |
| Empresa que decide conservar un Delegado voluntario | Puede hacerlo como medida de gobierno interno o contractual. | Sí. El nombramiento voluntario no sustituye la responsabilidad del sujeto obligado. |
La reforma no establece umbrales por número de empleados, facturación, sector o volumen de datos para las empresas privadas. Su enfoque es distinto: elimina la obligación general del cargo y permite que cada sujeto obligado organice el cumplimiento conforme a su estructura interna. Eso puede significar asignar funciones a administración, legal, tecnología, recursos humanos o a un proveedor especializado, siempre que el sistema realmente funcione.
Reforma al Delegado de Protección de Datos: cambios artículo por artículo
El proyecto contiene catorce artículos. La siguiente tabla traduce los cambios más importantes a lenguaje empresarial.
| Reforma | Qué cambia | Impacto práctico |
|---|---|---|
| Art. 2 de la Ley | Reafirma que la Ley aplica a personas naturales y jurídicas, públicas y privadas, incluso cuando tratan datos mediante terceros. | Contratar una plataforma, nube, contador, call center o proveedor no saca a la empresa del ámbito de la Ley. |
| Art. 16 | Las obligaciones para tramitar ARCO-POL pasan del Delegado a los sujetos obligados; se ajustan los literales b) y d) y se deroga el literal e). | La empresa debe orientar a sus dependencias y proveedores y emitir lineamientos internos para atender solicitudes. |
| Art. 18 | La solicitud se presenta ante el sujeto obligado. Si falta información, solo puede prevenir una vez y el titular tiene diez días hábiles para subsanar. | Se necesita un canal único y personal entrenado para no perder el control del expediente. |
| Art. 19 | Si quien recibe la solicitud no es competente o se pide un derecho distinto, debe informarlo y devolverla en cinco días hábiles. | La recepción debe poder clasificar correctamente cada petición. |
| Art. 20 | La respuesta se entrega en veinte días hábiles, prorrogables por causa justificada hasta por otros veinte. | La prórroga no es automática; debe justificarse y documentarse. |
| Art. 21 | Durante una rectificación debe dejarse constancia; si los datos fueron transferidos, debe avisarse a los receptores dentro de cinco días hábiles. | Se vuelve indispensable saber a qué proveedores o terceros se entregó la información. |
| Art. 22 | Una denegación debe ser motivada y notificarse dentro de tres días hábiles desde la decisión, por el medio elegido por el titular y con su respaldo. | No basta responder “no procede”; debe existir fundamento y expediente. |
| Art. 24 literal f) | El aviso de privacidad debe indicar los medios o mecanismos para presentar solicitudes ARCO-POL. | Hay que revisar formularios, contratos, sitios web y avisos físicos. |
| Art. 30 | La revocación del consentimiento debe procesarse en cinco días hábiles. Si un encargado trata los datos, debe ser informado dentro de cinco días desde la resolución. | La empresa necesita conexión operativa con sus proveedores de datos. |
| Art. 47 | Las instituciones públicas nombrarán Delegado y este podrá ser el mismo Oficial de Información. | La obligación formal se conserva expresamente para el sector público. |
| Art. 51 | El presidente nombrará por tres años al Director de Protección de Datos Personales dentro de la ACE. | Ese funcionario conocerá los procedimientos sancionadores y podrá delegar su instrucción, pero no la imposición de la sanción. |
| Derogatoria | Se eliminan los artículos 15 y 17. | Desaparece la obligación general de nombrar Delegado y la obligación de dependencias, empleados y proveedores de atender peticiones canalizadas por esa figura. |
| Vigencia | Ocho días después de la publicación en el Diario Oficial. | La fecha exacta debe calcularse con el Diario, no con el día de aprobación. |
¿Quién atenderá los derechos ARCO-POL y cuáles son los plazos?
La respuesta es directa: los atenderá el sujeto obligado. En una empresa privada, la administración deberá definir qué área o persona ejecuta el proceso. El titular no debería necesitar conocer el organigrama; debe encontrar un canal claro en el aviso de privacidad y recibir una respuesta completa dentro del plazo.
ARCO-POL reúne los derechos de Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación. La reforma conserva su protección y precisa varios tiempos:
| Actuación | Plazo previsto | Qué debe documentar la empresa |
|---|---|---|
| Subsanar una solicitud incompleta | 10 días hábiles para el titular, luego de una única prevención. | Recepción, prevención, notificación y fecha de vencimiento. |
| Declararse incompetente o advertir que se pide otro derecho | 5 días hábiles desde la recepción. | Análisis, comunicación al titular y devolución. |
| Responder la solicitud ARCO-POL | 20 días hábiles. | Búsqueda, validación, decisión y constancia de entrega. |
| Prórroga de la respuesta | Hasta 20 días hábiles adicionales por causa justificada. | Motivo real de la prórroga y comunicación correspondiente. |
| Notificar rectificación, actualización o eliminación a terceros receptores | 5 días hábiles desde la procedencia. | Lista de destinatarios, aviso enviado y confirmación. |
| Notificar una denegación motivada | 3 días hábiles desde la decisión. | Resolución, razones, pruebas y medio elegido por el titular. |
| Ejecutar la revocación del consentimiento | 5 días hábiles desde la recepción. | Solicitud, resolución, cambios realizados y aviso al encargado. |
¿Qué obligaciones siguen vigentes para las empresas privadas?
La reforma se concentra en la figura del Delegado y en el trámite de derechos. No borra el resto de la Ley. Entre las obligaciones que una empresa debe seguir evaluando se encuentran:
- Definir una base legítima para cada tratamiento y obtener consentimiento cuando sea necesario.
- Informar de forma clara qué datos se recopilan, para qué se usan, con quién se comparten, durante cuánto tiempo se conservan y cómo ejercer ARCO-POL.
- Aplicar minimización y finalidad: recopilar solo lo necesario y no reutilizar la información para fines incompatibles.
- Mantener exactitud y actualización de expedientes de clientes, personal, proveedores y usuarios.
- Adoptar medidas de seguridad administrativas, físicas y técnicas según el riesgo.
- Controlar a encargados y proveedores que procesan datos en nombre de la empresa.
- Responder incidentes y vulneraciones dentro de los plazos y canales aplicables.
- Conservar evidencia del cumplimiento bajo el principio de responsabilidad demostrada.
- Atender solicitudes ARCO-POL con gratuidad, trazabilidad y dentro de los plazos.
También permanece el régimen de infracciones y sanciones. La reforma no contiene una amnistía ni elimina la facultad sancionadora. De hecho, el nuevo artículo 51 identifica al Director de Protección de Datos Personales como el funcionario que conocerá los procedimientos administrativos para imponer las sanciones previstas por la Ley.
¿Una micro o pequeña empresa queda exenta?
No por su tamaño. El nuevo artículo 2 no crea una exención por ingresos, cantidad de empleados o forma societaria. Una tienda, profesional independiente, SAS o sociedad anónima puede ser sujeto obligado si trata datos personales dentro del ámbito de la Ley.
Las exclusiones deben revisarse con el artículo 3 y con el tratamiento concreto, no con una idea general de “empresa pequeña”. Por ejemplo, la Ley contiene exclusiones para determinadas actividades domésticas o personales y para información regulada por normas especiales; esas exclusiones no convierten automáticamente en exenta toda la operación de una empresa.
¿Qué pasa si la empresa ya nombró o contrató un Delegado?
La reforma no dice que los nombramientos anteriores se anulen automáticamente. La respuesta depende de cómo se documentó la relación y de si la empresa quiere conservar la función como medida voluntaria.
| Situación | Qué conviene revisar |
|---|---|
| Nombramiento interno sin cambio salarial | Acta, funciones, dependencia jerárquica y decisión de mantenerlo, modificarlo o sustituirlo por un responsable de privacidad. |
| Contrato de servicios externo | Objeto, plazo, terminación, honorarios, entregables y si el servicio incluye cumplimiento más amplio que el nombramiento. |
| Documentación enviada a la ACE | Conservar correo, acuse y anexos; esperar criterio oficial sobre registros y lineamientos después de la vigencia. |
| Delegado ya operativo | Puede continuar voluntariamente si genera valor, pero la responsabilidad legal permanece en el sujeto obligado. |
| Cargo creado exclusivamente por la obligación legal | No eliminarlo antes de verificar la entrada en vigor y revisar efectos laborales, corporativos y contractuales. |
Una empresa con alto volumen de clientes, datos sensibles, expedientes médicos, perfiles financieros, geolocalización o monitoreo sistemático puede decidir conservar un especialista aunque ya no exista el mandato general. La ventaja es concentrar conocimiento y control; la desventaja es el costo. La reforma permite decidir con base en riesgo y estructura, no por una imposición uniforme.
¿Qué pasa con los lineamientos de la ACE sobre el Delegado?
Los Lineamientos para el Delegado de Protección de Datos Personales fueron publicados en agosto de 2026 sobre la base de los artículos 15, 16 y 17 entonces vigentes. Posteriormente, la ACE dejó sin efecto el plazo del 16 de septiembre; ahora la Asamblea aprobó derogar los artículos 15 y 17 y reformar el 16.
La consecuencia práctica es que la ACE deberá armonizar su normativa secundaria y sus instrucciones con el nuevo texto legal. Sin una publicación oficial de ajuste, no es prudente afirmar que cada artículo de los lineamientos queda automáticamente derogado ni que todos continúan aplicándose igual al sector privado. Debe revisarse qué disposiciones dependen de la obligación eliminada, cuáles pueden seguir siendo relevantes para el sector público y qué criterio emite la autoridad.
Qué debe hacer una empresa ahora: plan de siete pasos
- Verifique la vigencia.
Localice el decreto en el Diario Oficial y calcule los ocho días. No tome decisiones irreversibles basadas únicamente en titulares de prensa. - Designe un responsable operativo, aunque no lo llame Delegado.
Alguien debe recibir solicitudes, coordinar áreas, controlar fechas y reportar riesgos. Puede ser personal interno o apoyo externo. - Publique un canal ARCO-POL.
Inclúyalo en el aviso de privacidad, web, contratos y puntos de atención. Defina un correo o formulario que sea revisado de manera continua. - Apruebe un procedimiento interno.
Documente recepción, identidad, clasificación, prevención, búsqueda, decisión, prórroga, respuesta y archivo. - Mapee datos y terceros.
Identifique qué información posee, dónde está, quién accede, a quién se transfirió y cuánto tiempo se conserva. - Actualice avisos, contratos y capacitación.
Quite referencias obsoletas al Delegado cuando corresponda e instruya a recepción, ventas, recursos humanos, sistemas y proveedores. - Conserve evidencia.
Mantenga registro de solicitudes, decisiones, comunicaciones, controles, incidentes y revisiones. La responsabilidad demostrada exige poder probar lo que se hizo.
Contaxtern puede encargarse del proceso completo
La reforma reduce una carga formal, pero vuelve más importante que el cumplimiento funcione dentro de la empresa. Podemos implementar y documentar la ruta completa sin venderle un cargo que ya no sea obligatorio.
- Análisis de alcance y exclusiones aplicables a sus tratamientos.
- Inventario de datos, sistemas, áreas y proveedores.
- Canal, formulario y procedimiento para derechos ARCO-POL.
- Avisos y políticas de privacidad para web, clientes y empleados.
- Contratos y anexos con encargados del tratamiento.
- Matriz de plazos, responsables y evidencia.
- Capacitación a las áreas que reciben o procesan solicitudes.
- Coordinador externo de privacidad o Delegado voluntario cuando el riesgo lo justifique.
- Monitoreo de la publicación del decreto y de los nuevos criterios de la ACE.
Este acompañamiento puede integrarse con nuestros servicios legales y corporativos para empresas en El Salvador. Si quiere comprender el régimen anterior y la evolución de la obligación, consulte también nuestras guías sobre el Delegado de Protección de Datos y sobre la decisión de la ACE que dejó sin efecto el plazo original.
Preguntas frecuentes sobre la reforma al Delegado de Protección de Datos
¿Las empresas privadas ya no deben nombrar Delegado de Protección de Datos?
La reforma aprobada elimina la obligación general mediante la derogatoria de los artículos 15 y 17. El cambio producirá efectos cuando el decreto entre en vigor, ocho días después de su publicación en el Diario Oficial. Hasta identificar esa publicación, debe hablarse de una reforma aprobada y pendiente de vigencia.
¿Se derogó la Ley para la Protección de Datos Personales?
No. Se reforman artículos concretos y se eliminan dos disposiciones. La Ley, sus principios, los derechos ARCO-POL, las medidas de seguridad y el régimen de infracciones continúan.
¿Una empresa privada deja de ser sujeto obligado?
No. El nuevo artículo 2 mantiene dentro del ámbito a personas naturales y jurídicas públicas o privadas que realizan actividades relativas o conexas al tratamiento de datos personales, incluso a través de terceros.
¿Quién debe atender ahora las solicitudes ARCO-POL?
El sujeto obligado. Cada empresa deberá definir internamente quién recibe, tramita y responde, pero la responsabilidad frente al titular recae en la organización.
¿Cuál es el plazo para responder una solicitud ARCO-POL?
La reforma fija veinte días hábiles y permite una prórroga por causas justificadas que no exceda otros veinte días hábiles. La extensión no debe tratarse como automática.
¿Las instituciones públicas deben conservar al Delegado?
Sí. El nuevo artículo 47 dispone que las instituciones públicas nombrarán un Delegado de Protección de Datos Personales y permite que sea la misma persona que ejerza como Oficial de Información.
¿Qué ocurre con el 16 de septiembre de 2026?
La ACE ya había dejado sin efecto esa fecha antes de la reforma. No debe seguir presentándose como un vencimiento vigente. La nueva referencia temporal es la publicación del decreto de reforma y los ocho días posteriores.
¿Qué hago si ya nombré al Delegado?
No asuma que el nombramiento se anula solo. Revise el acta, contrato, relación laboral y funciones. Puede conservar la figura voluntariamente, transformarla en coordinación de privacidad o finalizarla conforme a las reglas contractuales después de verificar la vigencia.
¿Las empresas pequeñas están exentas de la Ley?
No por el simple hecho de ser pequeñas. La reforma no crea umbrales de ventas, empleados o volumen de datos. Las exclusiones se analizan según el artículo 3 y el tratamiento específico.
¿Los lineamientos del Delegado quedaron sin efecto?
La reforma exige que la ACE armonice sus lineamientos con la Ley modificada. Hasta que exista una publicación oficial, debe evitarse una conclusión absoluta: algunas reglas pierden su fundamento para el sector privado, mientras otras pueden seguir siendo relevantes para instituciones públicas o como buenas prácticas.
¿Todavía puede haber multas?
Sí. El régimen sancionador no fue eliminado. Incumplir avisos de privacidad, seguridad, consentimiento, derechos ARCO-POL u otras obligaciones puede seguir generando responsabilidad conforme a la Ley y al procedimiento aplicable.
¿Puedo mantener un Delegado externo de forma voluntaria?
Sí. La reforma elimina el mandato general para privados, no prohíbe asignar voluntariamente la función. Puede ser conveniente cuando el volumen, sensibilidad o riesgo del tratamiento lo justifica.
Conclusión: se elimina el cargo obligatorio, no la responsabilidad
La reforma al Delegado de Protección de Datos en El Salvador corrige una obligación uniforme que había alcanzado a todos los sujetos obligados y permite a las empresas privadas decidir cómo organizarse. Pero la flexibilidad trae una exigencia muy concreta: la empresa ya no puede trasladar el problema a un nombramiento formal; debe construir un sistema que responda.
Para el sector privado, el resultado será menos papeleo de designación y más responsabilidad directa. Para el sector público, el Delegado continúa y podrá coincidir con el Oficial de Información. Para ambos, los derechos de las personas, los plazos y el control de la ACE permanecen.
La fecha que falta es la del Diario Oficial. Cuando se publique el decreto, deberá contarse el plazo de ocho días y revisar cualquier instrucción que la ACE emita sobre registros, lineamientos y transición. Hasta entonces, la forma más responsable de comunicarlo es: reforma aprobada, obligaciones sustantivas intactas y entrada en vigor pendiente de publicación.
Fuentes oficiales y referencias consultadas
- Proyecto oficial de reformas a la Ley para la Protección de Datos Personales, Asamblea Legislativa.
- Piezas de correspondencia de la sesión plenaria, Asamblea Legislativa.
- Ley para la Protección de Datos Personales, Decreto Legislativo n.º 144, Diario Oficial n.º 219, Tomo 445.
- Agencia de Ciberseguridad del Estado.
- Cobertura de la aprobación legislativa y votación del 17 de septiembre de 2026.
- Cobertura sobre el efecto de la reforma para empresas privadas.
Criterio de actualización: se distingue entre el texto aprobado, la Ley actualmente publicada y las recomendaciones operativas. La fecha de entrada en vigor y cualquier ajuste de la ACE deben actualizarse con el decreto publicado en el Diario Oficial.
Kevin Vásquez
Boletín de Contaxtern
Reciba nuevas guías y alertas tributarias
Contenido práctico sobre impuestos, contabilidad, planillas y cambios que afectan a empresas y profesionales en El Salvador.
¿Tiene un caso específico que resolver?
Deje que los expertos de Contaxtern evalúen su situación contable, fiscal o corporativa.
Contactar a un ContadorArtículos Relacionados
Legal y Corporativo
Abrir empresa desde el extranjero: 8 pasos en El Salvador
Cómo constituir y controlar una empresa salvadoreña desde otro país: NIT, poderes, firmas, banco, costos…
Legal y Corporativo
Crear empresa como extranjero: 9 pasos en El Salvador
Requisitos para extranjeros que viven o quieren establecerse en El Salvador: SAS y S.A., NIT,…
Legal y Corporativo
Reforma a la Ley de Protección de Datos Personales: 7…
El Decreto 659 ya aparece en el Diario Oficial. Explicamos su vigencia, quién debe nombrar…
