Entran en vigor las multas por infracción de datos en El Salvador, calculadas según la gravedad y capacidad económica

Desde el 19 de agosto está vigente en El Salvador la Normativa para el Desarrollo del Procedimiento Administrativo Sancionador en el ámbito de la Ley para la Protección de Datos Personales. El reglamento detalla el proceso para investigar, sancionar y resolver infracciones bajo la competencia de la Agencia de Ciberseguridad del Estado (ACE).

La normativa desarrolla el procedimiento administrativo sancionador previsto en el artículo 53 de la Ley para la Protección de Datos Personales, en concordancia con la Ley de Procedimientos Administrativos. La autoridad encargada de aplicarlo es la ACE, a través del director de Protección de Datos Personales, que lleva adelante las investigaciones y la instrucción de los expedientes.

El procedimiento sancionador se tramitará de forma principal mediante el procedimiento simplificado contemplado en la Ley de Procedimientos Administrativos y de modo excepcional por la vía ordinaria. Durante el proceso se garantizan los derechos de audiencia, defensa y debido proceso, junto con los principios de legalidad, tipicidad y proporcionalidad.

Diligencias preliminares de investigación

Antes de iniciar formalmente un procedimiento, la ACE puede realizar diligencias preliminares para verificar indicios de infracción e identificar a posibles responsables. Estas diligencias pueden iniciarse de oficio, por denuncia, por solicitud tras un incidente de seguridad o de forma preventiva.

La agencia tiene facultades para requerir informes, realizar inspecciones, entrevistas, análisis documentales o periciales, y registrar todas las actuaciones por escrito, audio o video. El plazo máximo para estas diligencias es de 90 días hábiles, prorrogables si existe justificación.

La denuncia debe contener identificación del denunciante, relación sucinta de hechos, identificación de presuntos responsables, petición precisa y firma, y puede presentarse presencialmente o por medios tecnológicos. Una vez admitida, la autoridad notifica al presunto infractor y le otorga cinco días hábiles para ejercer su derecho de defensa y presentar pruebas de descargo.

Alegatos finales, resolución y recursos

En la vía ordinaria, tras la etapa de alegatos finales, la resolución debe dictarse en un plazo de 15 días hábiles desde la recepción del expediente instruido. La decisión resolverá todas las cuestiones planteadas y podrá imponer sanciones, corregir situaciones vulneradas y ordenar medidas correctivas.

Si la infracción involucra datos personales sensibles, se considerará una circunstancia de especial protección jurídica para graduar la sanción. Los recursos administrativos, reconsideración, apelación y revisión, solo proceden en la vía ordinaria. En el procedimiento simplificado, solo queda habilitada la vía contencioso-administrativa.

Si la conducta constituye delito, la ACE debe informar a la Fiscalía General de la República en un plazo de 72 horas.

Medidas provisionales

En escenarios de urgencia o riesgo, la agencia puede dictar medidas provisionales antes o durante el procedimiento, siempre sujetas a confirmación, modificación o revocación en etapas posteriores.

Infracciones, sanciones y prescripción

Las infracciones se clasifican en leves, graves y muy graves conforme a los artículos 56, 57 y 59 de la Ley para la Protección de Datos Personales. Las sanciones consisten principalmente en multas, cuya graduación considera la gravedad del daño, efecto disuasivo, duración, intencionalidad, naturaleza de los datos y capacidad económica del infractor.

El pago debe efectuarse en la Colecturía Central o en sedes regionales del Ministerio de Hacienda dentro de los 15 días hábiles desde la notificación. Si no se realiza el pago, la Fiscalía General iniciará el cobro por la vía ejecutiva.

Todas las resoluciones sancionatorias finales serán publicadas en el sitio web de la ACE en versión pública, con disociación o anonimización de los datos personales involucrados. Tanto las infracciones como las sanciones prescriben en un plazo de cinco años.