Protección de datos y cumplimiento empresarial
Protección de datos en El Salvador: ¿qué empresas están obligadas?
La reforma aprobada en septiembre de 2026, el papel del delegado y las medidas que una empresa debe revisar para atender los derechos de las personas.
Una empresa puede tratar datos personales aunque sus clientes sean otras empresas: expedientes laborales, currículos, contactos comerciales o registros de acceso también contienen información sobre personas. El debate sobre el delegado de protección de datos no sustituye la revisión de cómo se recoge, utiliza, conserva y comparte esa información.
La reforma aprobada el 17 de septiembre exige actualizar el análisis. La decisión práctica es identificar quién recibe las solicitudes, quién responde y con qué controles cuenta la empresa, verificando primero el texto publicado y su fecha de aplicación.
Qué empresas deben revisar su cumplimiento
La Ley para la Protección de Datos Personales alcanza a personas naturales y jurídicas que realizan actividades de tratamiento. Su ámbito y las exclusiones deben analizarse según los artículos 2 y 3; el tamaño reducido de una empresa no constituye por sí solo una exención general.Ley para la Protección de Datos Personales — Decreto 144.
Una revisión útil comienza por identificar información de trabajadores, clientes, proveedores y visitantes. Debe separar los tratamientos sujetos al régimen general de aquellos que requieren un análisis especial y determinar qué entidad decide para qué y cómo se utilizan los datos.
Qué se aprobó y qué falta verificar
La Asamblea Legislativa aprobó el Decreto 659 el 17 de septiembre de 2026. Al consultar su ficha oficial el 23 de septiembre, esta aún lo señalaba como pendiente de publicación material en el Diario Oficial y de entrada en vigencia.Decreto 659 — ficha oficial y estado de publicación.
Aprobación legislativa, publicación y entrada en vigencia son hitos distintos. Antes de aplicar una modificación a un caso concreto, debe revisarse el decreto publicado, su disposición de vigencia y las reglas que resulten aplicables durante la transición.
La ausencia de una edición en el archivo digital no demuestra que no exista publicación en papel. La Imprenta Nacional indica que las fechas no disponibles en línea pueden consultarse en sus ediciones físicas.Diario Oficial — archivo de publicaciones, Imprenta Nacional — consulta de ediciones físicas.
La reforma aprobada y el delegado
Según la explicación oficial de la Asamblea, la reforma aprobada permitirá dirigir las solicitudes directamente a la entidad que tiene o utiliza los datos. Mantendría expresamente la obligación de contar con delegado en instituciones públicas, así como las facultades de supervisión, control e inspección de la ACE.Asamblea Legislativa — reforma aprobada el 17 de septiembre.
Para una empresa privada, esto obliga a revisar su procedimiento y la asignación de responsabilidades. La eventual modificación del requisito de contar con un delegado no equivale a eliminar los deberes sobre tratamiento de datos ni permite dejar sin atención las solicitudes.
El comunicado legislativo orienta sobre el cambio aprobado, pero no sustituye el texto publicado. Antes de modificar un nombramiento o contrato vigente, conviene comprobar el alcance preciso de la reforma, su entrada en vigencia y las instrucciones aplicables de la autoridad.
Cómo preparar la atención de solicitudes
La Asamblea informó de plazos específicos de cinco días hábiles para atender retiros de consentimiento y para comunicar a terceros correcciones, actualizaciones o eliminaciones. En este último caso, el cómputo se vincula a la determinación de procedencia de la solicitud; no comienza automáticamente con toda petición. Son cambios anunciados en el contexto de la reforma aprobada, cuya aplicación debe cotejarse con el decreto publicado.Asamblea Legislativa — reforma aprobada el 17 de septiembre.
Conviene preparar un procedimiento que pueda adaptarse al texto finalmente publicado. Su utilidad depende de que recepción, verificación de identidad, búsqueda de información, decisión y respuesta tengan responsables y evidencias.
- Definir un canal de recepción que se revise y un responsable operativo con suplencia.
- Registrar fecha de recepción, petición, actuaciones y comunicaciones.
- Verificar identidad y representación sin recopilar información desproporcionada.
- Calcular cada plazo según la norma aplicable; no trasladar automáticamente reglas anteriores.
- Documentar la respuesta, su fundamento y su entrega; restringir el acceso al expediente.
Revisar el fondo del cumplimiento
El análisis debe abarcar la base que permite utilizar los datos, la información ofrecida a sus titulares y las medidas organizativas y de seguridad. Las políticas de la ACE contemplan, entre otros aspectos, registros de tratamiento, controles de acceso, capacitación y gestión de terceros.Ley para la Protección de Datos Personales — Decreto 144, Políticas de actuación y manejo de datos personales — ACE.
Como medida de gestión, recomendamos ordenar las tareas por riesgo y por responsable. Un documento genérico que no coincide con los sistemas, contratos o prácticas de la empresa difícilmente ayuda a resolver una solicitud o un incidente.
- Identificar qué datos se manejan, con qué finalidad, dónde se almacenan y durante cuánto tiempo.
- Revisar avisos, contratos con proveedores, accesos y transferencias según la operación concreta.
- Comprobar cómo se atienden incidentes, se preservan evidencias y se coordinan las áreas.
- Mantener un registro de las decisiones adoptadas y de los cambios normativos verificados.
Qué cambia en esta actualización
La versión anterior explicaba el aviso referido al 16 de septiembre y el nombramiento del delegado. Esta actualización sustituye esa orientación por el análisis de la reforma aprobada y la verificación de su aplicación. No presenta el plazo anterior como una convocatoria vigente ni anuncia una nueva fecha sin respaldo oficial.
El primer paso para una empresa es una revisión delimitada: régimen aplicable, estado de la reforma, responsables internos, canal de solicitudes y medidas pendientes. Así puede decidir qué mantener, qué adaptar y qué confirmar antes de actuar.
Para revisar el efecto de la reforma en su empresa, comparta un contexto general y no confidencial con juan.uceda@compassabogados.com.
Fuentes y recursos consultados
- 1. Ley para la Protección de Datos Personales — Decreto 144 ↗
- 2. Decreto 659 — ficha oficial y estado de publicación ↗
- 3. Asamblea Legislativa — reforma aprobada el 17 de septiembre ↗
- 4. Políticas de actuación y manejo de datos personales — ACE ↗
- 5. Diario Oficial — archivo de publicaciones ↗
- 6. Imprenta Nacional — consulta de ediciones físicas ↗
- 7. Agencia de Ciberseguridad del Estado ↗
Información general actualizada al 23 de septiembre de 2026. El estado de publicación corresponde a la ficha oficial consultada en esa fecha y no certifica la inexistencia de una edición física posterior. La aplicación requiere verificar el decreto publicado, su vigencia y las circunstancias del caso.