Sin delegado de protección de datos: qué cambió con la reforma y qué sigue obligado a hacer tu empresa

Si en los últimos meses leíste que tu empresa necesitaba nombrar un Delegado de Protección de Datos, y quizá hasta registrarlo ante la Agencia de Ciberseguridad del Estado (ACE), es normal que ahora tengas dudas. El marco cambió. Para la empresa privada, esa figura ya no es obligatoria.

Eso no significa que la Ley para la Protección de Datos Personales haya dejado de aplicarte. Significa que ahora tú decides cómo organizarte para cumplirla. Aquí te explicamos qué cambió, qué sigue igual y qué conviene tener en orden si tienes una pyme, una clínica o un comercio.

Qué cambió con el delegado de protección de datos

El 17 de septiembre de 2026, la Asamblea Legislativa reformó la Ley para la Protección de Datos Personales. Según la nota oficial, las personas podrán presentar sus solicitudes sobre sus datos directamente ante la empresa u organización que los tiene, en lugar de pasar por un delegado. Para las instituciones públicas, la obligación de tener un delegado se mantiene, y ese cargo lo puede ocupar el mismo Oficial de Información.

Medios y despachos salvadoreños coinciden en la lectura para el sector privado: la reforma elimina la obligación legal de las empresas de designar un delegado, y sus funciones pasan a la propia empresa.

Si tu empresa ya tiene a alguien en ese rol, no tienes que despedirlo ni desmontar nada. Puedes mantener a esa persona como responsable interno de privacidad, aunque ya no sea un requisito. Solo revisa tus avisos de privacidad y formularios: según García & Bodán, el aviso ya no tiene que incluir los datos de contacto del delegado.

Lo que no cambió: tu empresa sigue respondiendo por los datos

La reforma cambió el mecanismo, no el fondo. La misma nota de la Asamblea aclara que la ACE mantiene la supervisión, el control y la inspección, y que se crea el cargo de Director de Protección de Datos Personales para conocer los procedimientos sancionadores.

En la práctica, tu negocio trata datos personales todos los días: nombres y teléfonos de clientes, DUI en facturas, planillas del personal, expedientes de pacientes, grabaciones de cámaras. Todo eso sigue bajo la ley.

La diferencia es que antes había una figura a la que "delegar" el tema. Ahora la responsabilidad es de la empresa, y conviene que alguien dentro la tenga clara.

Seis cosas que sí conviene tener en orden

No necesitas un departamento legal para empezar. Estos seis puntos cubren lo esencial y se pueden trabajar poco a poco.

1. Saber qué datos recoges y para qué

Todo empieza con un inventario. Haz una tabla sencilla con cuatro columnas: qué datos recoges, para qué los usas, dónde se guardan y quién tiene acceso.

Vas a descubrir cosas. Formularios que piden más de lo necesario. Hojas de cálculo con datos de clientes que nadie usa desde hace años. Un grupo de WhatsApp donde circulan fotos de documentos. El inventario te dice qué proteger y qué puedes dejar de guardar.

2. Informar y pedir consentimiento cuando corresponda

Las personas tienen derecho a saber quién usa sus datos y para qué. Eso se resuelve con un aviso de privacidad claro en tu sitio web, tus formularios y, si aplica, en recepción.

Cuando la ley lo exige, también necesitas el consentimiento de la persona, sobre todo para datos sensibles como los de salud o para usos que no son evidentes, como enviar publicidad. Y si alguien retira su consentimiento, la reforma fija un plazo de cinco días hábiles para atender esa solicitud.

3. Proteger los datos con medidas de seguridad

Aquí la protección de datos se cruza con la seguridad de la información. Lo básico:

• Un usuario por persona, sin contraseñas compartidas.
• Acceso solo a lo que cada puesto necesita.
• Equipos y programas actualizados.
• Respaldos que alguien ya probó restaurar.
• Quitar accesos el mismo día que alguien deja la empresa.

La ley pide medidas de seguridad adecuadas al tipo de datos que manejas. Una clínica con expedientes necesita más cuidado que un comercio que solo guarda nombres y teléfonos.

4. Atender las solicitudes de las personas

Con la reforma, las solicitudes llegan directamente a tu empresa. Las personas pueden pedir acceso a sus datos, corregirlos, eliminarlos, oponerse a ciertos usos o limitarlos, entre otros derechos conocidos como ARCO-POL.

Define tres cosas: por dónde entra una solicitud (un correo, un formulario), quién la revisa y cómo se registra la fecha. La ley fija plazos en días hábiles para responder, y la reforma también pide avisar a quienes recibieron los datos cuando se corrigen o eliminan.

5. Poner por escrito lo que hacen tus proveedores

Tu sistema de facturación, tu servicio de correo, el contador externo o la plataforma de citas tratan datos por cuenta tuya. Tu empresa sigue respondiendo por esos datos aunque estén en manos de otro.

Pide un contrato o acuerdo que diga qué datos tratan, para qué, con qué medidas los protegen, si usan subcontratistas y qué pasa con la información cuando termina el servicio. Si un proveedor no puede responder esas preguntas, tómalo en cuenta al renovar.

6. Tener un plan para una filtración

Una laptop robada, un correo enviado al destinatario equivocado o un ataque de ransomware pueden exponer datos personales. No es momento de improvisar.

Escribe un procedimiento corto: quién decide, a quién se llama, cómo se contiene el problema y cómo se documenta lo que pasó. Revisa con tu asesor legal si la ley te obliga a notificar a la autoridad o a las personas afectadas, y en qué plazo.

¿Y la Ley de Ciberseguridad y Seguridad de la Información?

Es otra ley, con otro alcance. En términos generales, se enfoca en la seguridad de los sistemas y en la gestión de incidentes, con obligaciones más marcadas para ciertos sectores e infraestructura considerada crítica. Para una pyme privada, lo práctico es que muchas medidas del punto 3 sirven para las dos: proteger bien tus sistemas es también proteger los datos de tus clientes.

Por dónde empezar esta semana

Si todo esto te parece mucho, reduce el primer paso:

1. Arma el inventario de datos, aunque sea incompleto.
2. Revisa tu aviso de privacidad y quita los datos del delegado si ya no aplican.
3. Define un correo para recibir solicitudes y a una persona que las atienda.
4. Haz una lista de proveedores que tocan datos personales.

Con eso ya tienes una base. Lo demás se construye sobre ella.

Cómo te podemos ayudar

En SITCON Digital ya no ofrecemos "delegado como servicio" para la empresa privada, porque la figura dejó de ser obligatoria. Lo que hacemos es ayudarte a adecuar tus procesos a la Ley para la Protección de Datos Personales: inventario de datos, avisos, procedimientos para atender solicitudes y revisión de proveedores. Y como venimos de la ciberseguridad, te damos apoyo técnico en la parte de seguridad de la información: accesos, respaldos y respuesta ante incidentes.

No te vamos a prometer un sello ni una certificación. Te ayudamos a entender dónde estás y a ordenar lo que falta. Si quieres conversarlo, escríbenos.

Preguntas frecuentes

¿Mi empresa tiene que nombrar un delegado de protección de datos?

Según la reforma aprobada por la Asamblea Legislativa en septiembre de 2026, la empresa privada ya no tiene la obligación general de nombrar un delegado; la obligación se mantiene para las instituciones públicas. Si ya tienes a alguien en ese rol, puedes conservarlo como responsable interno. Confirma con tu asesor legal la vigencia de la reforma y si hay algo particular en tu caso.

Si ya no necesito un delegado, ¿puedo olvidarme de la ley?

No. La reforma cambió quién atiende las solicitudes, no las obligaciones de fondo. Tu empresa sigue respondiendo por los datos personales que recoge: debe informar, protegerlos, atender a las personas que pregunten por su información y responder por lo que hacen sus proveedores. Lo que cambia es que tú decides cómo organizarte para cumplir.

¿Qué hago si un cliente me pide borrar sus datos?

Registra la solicitud con la fecha en que llegó, confirma que quien la hace es el titular de los datos y revisa si hay una razón legal para conservar parte de la información, por ejemplo documentos tributarios. Luego responde por escrito, dentro de los plazos que marca la ley, explicando qué borraste y qué no, y por qué.

¿Por dónde empiezo si nunca hemos hecho nada sobre protección de datos?

Empieza por el inventario: una tabla sencilla con qué datos recoges, para qué los usas, dónde se guardan y quién tiene acceso. Con eso a la vista es mucho más fácil ver qué avisos faltan, qué accesos sobran y qué proveedores necesitan un contrato. No hace falta resolverlo todo en una semana.