Reforma a la Ley de Protección de Datos Personales: 7 claves tras su publicación
Análisis del Decreto Legislativo n.º 659, publicado en el Diario Oficial n.º 173, Tomo 452, del 18 de septiembre de 2026.
La reforma a la Ley de Protección de Datos Personales ya está publicada en El Salvador. Si vio una noticia reciente y se pregunta si su empresa todavía necesita un delegado, la respuesta requiere separar dos cosas: el nombramiento de ese cargo y el cumplimiento de la Ley. La reforma modifica el primero; no elimina el segundo.
Respuesta corta: el Decreto 659 deroga los artículos 15 y 17 y elimina la obligación general de nombrar delegado para el sector privado. Las instituciones públicas sí deben nombrarlo conforme al artículo 47 reformado. Las empresas y profesionales que tratan datos personales siguen sujetos a la Ley y deben atender directamente los derechos ARCO-POL.
La edición del Diario Oficial lleva fecha 18 de septiembre de 2026. El artículo 14 establece que el decreto entra en vigencia ocho días después de su publicación: tomando esa fecha oficial, corresponde al 26 de septiembre de 2026. La fecha en que alguien comparte el PDF en redes sociales no inicia un plazo nuevo.
Esto tiene una consecuencia práctica: una empresa puede dejar de necesitar un nombramiento obligatorio y, al mismo tiempo, seguir necesitando canales de atención, controles de acceso, avisos de privacidad y un procedimiento para responder solicitudes. No tener delegado no equivale a no tener responsabilidades.
Reforma a la Ley de Protección de Datos Personales: publicación y vigencia
La reforma fue emitida el 17 de septiembre de 2026 y aparece en las páginas 6 a 10 del Diario Oficial del día siguiente. El ejemplar contiene el número definitivo del decreto, su cláusula de vigencia y la orden de publicación de Casa Presidencial del 18 de septiembre. Por tanto, ya no corresponde describir ese documento como un proyecto sin número.
- Aprobación: 17 de septiembre de 2026.
- Publicación: Diario Oficial n.º 173, Tomo 452, de 18 de septiembre de 2026.
- Vigencia: ocho días después de la publicación; 26 de septiembre tomando la fecha de la edición oficial.
La cláusula no dice ocho días hábiles. Tampoco establece que el cómputo comience cuando una persona encuentra el archivo en internet. Son fechas distintas: aprobación, publicación y circulación de la noticia. Para una actuación administrativa o judicial que dependa de acreditar formalmente la publicación, debe obtenerse la constancia o ejemplar con el valor probatorio correspondiente; el PDF consultado lleva la marca de consulta del Diario Oficial.
Puede consultar la ficha del Decreto Legislativo 659 en la Asamblea y localizar la edición por fecha en el Diario Oficial. Si una ficha web conserva un aviso de publicación pendiente, debe contrastarse con el decreto efectivamente publicado, no usar ese aviso desactualizado para afirmar que continúa siendo un proyecto.
¿Quién debe nombrar delegado de protección de datos después de la reforma?
La diferencia central está entre el sector privado y las instituciones públicas. El artículo 13 del decreto deroga los artículos 15 y 17 de la Ley; el artículo 10 reforma el artículo 47 y conserva expresamente el nombramiento para instituciones públicas.
| Situación | Nombramiento de delegado | Protección de datos |
|---|---|---|
| Empresa, SAS o sociedad privada | Se elimina el mandato general que provenía del artículo 15. | Sigue cumpliendo la Ley respecto de tratamientos comprendidos en su ámbito. |
| Profesional o comerciante persona natural | No queda sujeto al antiguo mandato general por el solo hecho de tratar datos. | Su actividad puede quedar comprendida; debe revisar los tratamientos y las exclusiones legales. |
| Institución pública | Debe nombrarlo conforme al artículo 47. Puede ser el mismo Oficial de Información. | Mantiene sus obligaciones, incluido el régimen específico del sector público. |
| Organización privada que lo conserva voluntariamente | Puede mantener una función interna de privacidad, sin presentarla como obligación general del artículo derogado. | La organización continúa siendo responsable de cumplir. |
La reforma no crea un umbral de ventas, activos, empleados o clientes para determinar quién debe nombrar delegado. Tampoco ordena que las empresas privadas contraten uno externo. Si un contrato, una relación internacional o una norma sectorial exige una función adicional, ese requisito debe analizarse por separado y citar su fundamento.
Para conocer el contexto de la aprobación, consulte nuestro análisis de la reforma al delegado de protección de datos en El Salvador. Esta entrada se concentra en la publicación y en cómo aplicar el texto definitivo.
¿Mi empresa sigue obligada si ya no necesita delegado?
Sí, cuando realiza tratamientos comprendidos en la Ley. El artículo 2 reformado mantiene el alcance sobre personas naturales y jurídicas, públicas o privadas, que realizan actividades relativas o conexas al tratamiento de datos personales. Incluye operaciones manuales, parcialmente o totalmente automatizadas y realizadas mediante terceros.
No hace falta tener una aplicación sofisticada. Una clínica con expedientes, un negocio con datos de clientes, una empresa con nómina o un profesional que recibe documentos de personas pueden realizar tratamientos de datos. Esos ejemplos orientan la revisión; no sustituyen el análisis de la actividad y de la información concreta.
El uso de un proveedor tampoco borra las responsabilidades propias. Si una empresa entrega información a un despacho para procesar la nómina, necesita definir finalidades, accesos y responsabilidades. El proveedor puede actuar como encargado en determinadas operaciones, mientras la empresa conserva decisiones y deberes como responsable. El artículo 16 reformado también exige orientar a dependencias y proveedores sobre el ejercicio de los derechos.
¿Hay exclusiones?
El Decreto 659 no deroga ni reforma el artículo 3. Sus exclusiones se refieren a tratamientos específicos: historial crediticio bajo su ley especial, con límites para otras informaciones del sector financiero; actividades exclusivamente familiares o domésticas sin divulgación o utilización comercial; actividades de seguridad, defensa y persecución del delito en los términos legales; y determinados tratamientos de registros públicos, estado familiar y documentos de identidad.
No son una exención general para todas las operaciones de una empresa. Una agenda familiar y una base comercial de clientes no reciben el mismo tratamiento. Para evaluar una exclusión, revise el artículo 3 de la Ley y el propósito real de la operación.
Derechos ARCO-POL: quién responde y cuáles son los plazos
El cambio operativo es directo: las solicitudes se presentan ante el sujeto obligado que corresponda. La empresa necesita una ruta interna para recibirlas, verificar requisitos, localizar información, decidir y comunicar la respuesta. No puede dejar el trámite sin atender porque ya no tiene delegado.
ARCO-POL comprende acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación. Cada derecho tiene condiciones propias; solicitarlo no implica que cualquier petición deba aceptarse sin evaluación.
| Actuación | Plazo | Referencia y precisión |
|---|---|---|
| Responder una solicitud ARCO-POL | 20 días hábiles | Artículo 20 reformado. Prórroga por causas justificadas de hasta otros 20 días hábiles; no automática. |
| Subsanar requisitos o aportar información adicional | 10 días hábiles | Artículo 18. Plazo del solicitante, desde el día siguiente a la notificación de una prevención que se realiza una sola vez. |
| Informar que no corresponde atender la petición y devolverla | 5 días hábiles posteriores a la recepción | Artículo 19. Debe comunicarse al titular, no simplemente ignorarse. |
| Comunicar una denegatoria motivada | 3 días hábiles desde la adopción de la decisión | Artículo 22. No es un plazo general de tres días para resolver todas las solicitudes. |
| Notificar rectificación, actualización o eliminación a receptores de datos | 5 días hábiles posteriores a determinar la procedencia | Artículo 21, cuando existió comunicación o transferencia. |
| Proceder conforme a la revocación del consentimiento | 5 días hábiles desde la recepción | Artículo 30. Si existe encargado, debe informársele la resolución dentro de cinco días hábiles desde su emisión, para ejecución inmediata. |
Durante una rectificación debe dejarse constancia del proceso cuando terceros soliciten acceso a la información. En solicitudes de acceso, debe atenderse la modalidad elegida por el titular, salvo imposibilidad física o jurídica; en ese caso corresponde ofrecer alternativas y justificar la actuación.
Ejemplo práctico: si un cliente solicita corregir su dirección, no basta con cambiar un archivo local cuando esa información ya se comunicó a otros receptores. Debe identificarse dónde está el dato, determinar la procedencia, documentar la corrección y realizar las comunicaciones aplicables. Los plazos de respuesta, subsanación y notificación son diferentes: no deben sumarse mecánicamente para justificar una demora.
¿Siguen vigentes las políticas de la ACE y las sanciones?
La reforma a la Ley de Protección de Datos Personales no contiene una derogatoria general de las políticas de la ACE ni elimina el régimen sancionador. La Agencia continúa publicando la Ley, las políticas y la normativa del procedimiento sancionador en su sección oficial de políticas y normativas.
Sin embargo, hay que leer los instrumentos anteriores conforme a la Ley reformada. Algunas políticas remiten a la figura del delegado y a artículos ahora derogados. Su permanencia en una página web no convierte esas referencias en una obligación general restablecida para el sector privado. Deben distinguirse las medidas compatibles que permanecen aplicables de los apartados que requieren interpretación o actualización.
El decreto también reforma el artículo 51: el Director de Protección de Datos Personales dentro de la ACE conoce los procedimientos para imponer sanciones. Puede delegar la instrucción y sustanciación, pero no la imposición de la sanción, en los términos del artículo. Ese Director de la ACE no es el delegado de una empresa.
La consecuencia para el negocio es sencilla: desaparecer el cargo obligatorio no vuelve lícito un tratamiento indebido. La reforma no concede una amnistía general ni una autorización para omitir solicitudes. Las eventuales infracciones deben evaluarse según la conducta, la Ley y el procedimiento aplicable, no anunciarse como una multa automática por cualquier error.
7 acciones para adaptar su empresa al Decreto 659
- Identifique los datos y sus usos. Revise clientes, empleados, proveedores personas naturales, formularios, expedientes, videovigilancia y plataformas. Anote qué recibe, para qué lo utiliza y quién puede acceder.
- Defina quién coordina las respuestas. Asigne tareas y suplencias. Puede ser una función interna de privacidad; no necesita presentar esa organización como un delegado legalmente obligatorio para toda empresa privada.
- Habilite un canal real. Establezca cómo se presentan solicitudes y dónde se registran. El artículo 24 reformado exige incluir los medios o mecanismos ARCO-POL en el aviso de privacidad.
- Actualice su procedimiento. Prepare controles de recepción, identidad, requisitos, prevención, plazos, prórrogas justificadas, decisiones y comunicaciones. Evite pedir documentos excesivos o entregar datos sin verificar al solicitante.
- Coordine con los proveedores. Revise los accesos del despacho contable, del sistema de nómina, del almacenamiento y de otros encargados. Determine cómo localizarán y corregirán información cuando exista una solicitud.
- Revise seguridad y conservación. Mantenga accesos por función, resguardo físico y digital, copias de seguridad y una ruta de respuesta a incidentes ajustada a las normas aplicables. Documente las razones y plazos de conservación.
- Capacite y pruebe el proceso. Simule una solicitud: ¿la recibe la persona correcta?, ¿se registra la fecha?, ¿se encuentra la información?, ¿queda evidencia de la respuesta? La documentación debe funcionar en la operación cotidiana.
Estas siete acciones son una propuesta práctica de organización de Contaxtern, no una lista oficial de siete pasos emitida por la ACE. Adaptarlas al tamaño y riesgo de su negocio resulta más útil que copiar un manual que nadie utiliza.
En la nómina y los expedientes contables, el cumplimiento de privacidad debe coordinarse con los deberes de conservación que correspondan. Retirar un consentimiento para publicidad no equivale a ordenar la destrucción de todos los registros necesarios para obligaciones legales o contratos. Cada finalidad debe evaluarse por separado.
Adapte su negocio sin contratar obligaciones que ya no existen
En Contaxtern le ayudamos a revisar el alcance de la reforma, ordenar los datos utilizados en sus procesos administrativos y contables, definir canales de atención y preparar la documentación de cumplimiento según su operación.
Podemos acompañar el diagnóstico, los avisos de privacidad, los procedimientos ARCO-POL, la coordinación con proveedores y la organización de responsables internos. Cuando una situación requiera revisión jurídica o técnica especializada, se delimita esa intervención desde el inicio. El servicio se propone según las necesidades reales del negocio, no bajo la afirmación de que toda empresa privada debe comprar un nombramiento de delegado.
Preguntas sobre la reforma a la Ley de Protección de Datos Personales
¿La noticia de octubre significa que la reforma empieza a regir en octubre?
No por el solo hecho de compartirse ese mes. La edición consultada tiene fecha 18 de septiembre de 2026 y la cláusula establece ocho días después de la publicación. Debe distinguirse la circulación del PDF de la fecha oficial.
¿Una SAS pequeña tiene que proteger los datos de sus clientes?
La forma societaria y el tamaño no crean por sí solos una exclusión. Si trata datos dentro del ámbito de la Ley, debe cumplir los deberes aplicables, aunque ya no exista el mandato general del antiguo artículo 15.
¿Puedo conservar al delegado que ya nombré?
Puede conservar una función interna o un servicio voluntario. Revise contratos, acuerdos y responsabilidades antes de cambiarlo. El decreto no ordena despedir personal, terminar contratos ni retirar automáticamente nombramientos anteriores.
¿Hay que pedir a la ACE que cancele mi nombramiento anterior?
El Decreto 659 no establece un trámite general de cancelación para empresas privadas. No debe inventarse ese procedimiento. Si ya presentó documentación y necesita conocer el tratamiento administrativo de su expediente, consulte directamente a la ACE.
¿Las instituciones públicas pueden usar al Oficial de Información como delegado?
Sí. El artículo 47 reformado permite que sea la misma persona. La institución debe organizar sus funciones para atender las solicitudes y demás obligaciones que correspondan.
¿El aviso de privacidad puede quedarse igual?
Debe revisarse. El artículo 24, literal f), exige indicar los medios o mecanismos para presentar solicitudes ARCO-POL. También conviene corregir las referencias a artículos derogados y comprobar que el canal descrito realmente funciona.
¿La empresa puede rechazar una solicitud sin explicar por qué?
No basta una negativa informal. El artículo 22 requiere una resolución motivada y su comunicación dentro del plazo señalado, con la documentación pertinente. Primero debe verificarse que exista un supuesto legal de denegatoria.
¿Delegar la nómina en mi contador me libera del cumplimiento?
No. La contratación de un tercero no elimina las responsabilidades que correspondan a cada parte. Conviene acordar accesos, finalidad, conservación y colaboración para atender derechos e incidentes.
¿La reforma elimina las multas de protección de datos?
No. El decreto mantiene el marco sancionador y modifica la autoridad competente dentro de la ACE. La evaluación de una infracción y la imposición de una sanción requieren el fundamento y procedimiento correspondientes.
Fuentes para consultar la reforma y la Ley
- Decreto Legislativo 659: ejemplar del Diario Oficial n.º 173, Tomo 452, 18 de septiembre de 2026, páginas 6 a 10. El análisis se realizó sobre la reproducción de esa edición. Consulte el archivo del Diario Oficial y la ficha legislativa.
- Ley para la Protección de Datos Personales, Decreto 144: texto original que debe leerse junto con las modificaciones del Decreto 659.
- Políticas y normativa publicadas por la ACE: revise su compatibilidad con la Ley reformada y las actualizaciones oficiales.
Se distinguen en esta entrada las disposiciones del decreto, su lectura junto con la Ley y las recomendaciones prácticas de implementación. Para decisiones sobre un expediente o una situación particular, corresponde revisar sus hechos y documentos.
Kevin Vásquez
Boletín de Contaxtern
Reciba nuevas guías y alertas tributarias
Contenido práctico sobre impuestos, contabilidad, planillas y cambios que afectan a empresas y profesionales en El Salvador.
¿Tiene un caso específico que resolver?
Deje que los expertos de Contaxtern evalúen su situación contable, fiscal o corporativa.
Contactar a un ContadorArtículos Relacionados
Legal y Corporativo
Abrir empresa desde el extranjero: 8 pasos en El Salvador
Cómo constituir y controlar una empresa salvadoreña desde otro país: NIT, poderes, firmas, banco, costos…
Legal y Corporativo
Crear empresa como extranjero: 9 pasos en El Salvador
Requisitos para extranjeros que viven o quieren establecerse en El Salvador: SAS y S.A., NIT,…
Legal y Corporativo
Reforma al Delegado de Protección de Datos en El Salvador:…
Actualizado el 17 de septiembre de 2026: análisis del proyecto aprobado por la Asamblea Legislativa,…
