Protección de datos en El Salvador: ¿qué empresas están obligadas?

La Ley para la Protección de Datos Personales se aplica a personas naturales y jurídicas que realizan actividades relativas al tratamiento de datos personales, incluso en papel o mediante terceros. No establece una exclusión general por ser microempresa, tener pocos trabajadores o facturar por debajo de determinado monto.LPDP, artículo 2.

La regla es esta: toda empresa que trate datos personales queda comprendida, salvo los tratamientos expresamente excluidos por la ley.

En la práctica, una tienda que conserva nombres y direcciones para entregar pedidos, un consultorio que administra expedientes o una distribuidora que lleva registros de personal tienen motivos concretos para revisar su cumplimiento. Las políticas de la ACE alcanzan a las entidades privadas que recopilan, almacenan, procesan o transfieren información personal.Políticas de actuación, artículo 2.

Las exclusiones son específicas. Por ejemplo, determinados tratamientos de historial crediticio se rigen por su legislación especial; eso no excluye a los bancos respecto de toda la información que manejan. Tampoco debe confundirse un negocio familiar con una actividad exclusivamente doméstica, sin finalidad comercial.LPDP, artículo 3.

La ley está vigente desde el 23 de noviembre de 2024. No comienza a aplicarse en septiembre de 2026.LPDP, artículo 64.

Lo que la Agencia de Ciberseguridad del Estado ha anunciado para el 16 de septiembre de 2026 es la fecha límite para comunicar los nombramientos de delegado de protección de datos personales que estén pendientes. Según el aviso oficial, quienes ya notificaron el nombramiento no necesitan repetir esa actuación.Aviso de la ACE.

La distinción importa: comunicar el nombramiento cumple una actuación concreta, pero no acredita por sí solo que la empresa haya atendido sus demás obligaciones.

El delegado debe contar con un nombramiento formal, el perfil requerido y condiciones para trabajar con independencia. La obligación no está reservada a grandes empresas y puede atenderse mediante un delegado interno o externo. Por eso, antes de asignar la función al gerente, al responsable de informática o al asesor habitual, deben revisarse sus otras responsabilidades y los posibles conflictos de interés.Lineamientos del delegado, artículos 3, 5–6, 13 y 26–28.

Un buen punto de partida es seguir el recorrido de la información: cómo llega, dónde se guarda, quién puede consultarla y a quién se entrega. Esa revisión permite detectar problemas que no se resuelven únicamente con un documento publicado en el sitio web.

Las políticas de la ACE contemplan registros de actividades de tratamiento, evaluaciones de impacto en privacidad, capacitación y auditorías. También incluyen controles de acceso, cifrado, respaldos y acuerdos con terceros que manejan datos. Son aspectos que requieren coordinación entre administración, recursos humanos, tecnología y asesoría legal.Políticas de actuación, artículos 4–8.

A esa revisión se suman los avisos de privacidad y el fundamento que permite utilizar la información. No todos los tratamientos dependen del consentimiento, pero contar con otra base jurídica tampoco elimina las demás obligaciones.LPDP, artículos 5 y 24.

La empresa necesita, además, un procedimiento que funcione cuando alguien solicita ejercer sus derechos. El plazo ordinario de respuesta es de 20 días hábiles, con posibilidad de prórroga justificada de hasta otros 20. Un correo que nadie revisa o una solicitud que circula entre departamentos sin responsable puede convertirse en un problema de cumplimiento.Lineamientos del delegado, artículos 32–34.

Las multas pueden alcanzar 40 salarios mínimos mensuales del sector comercio por una infracción muy grave. Con la tarifa de US$408.80, ese máximo equivale a US$16,352.LPDP, artículo 57, Tarifa salarial oficial.

La multa máxima no se impone automáticamente. La normativa exige valorar, entre otros aspectos, el daño, la duración de la conducta, la intención o negligencia y la capacidad económica. También contempla medidas provisionales y la publicación de resoluciones sancionadoras en versiones públicas.Normativa sancionadora, artículos 35–38, 43 y 46.

Para una empresa, la exposición también puede traducirse en tiempo dedicado a responder requerimientos, corregir procesos y explicar a clientes o trabajadores qué ocurrió con su información.

Nuestra recomendación es comenzar con una revisión delimitada: identificar los tratamientos existentes, comprobar el nombramiento del delegado y ordenar las medidas pendientes por responsables y fechas. Así podrá distinguirse qué está resuelto, qué necesita ajustes y qué requiere atención inmediata.