El Salvador: La Asamblea Legislativa elimina la obligación del delegado de protección de datos para las empresas

La Asamblea Legislativa de El Salvador aprobó una reforma a la Ley para la Protección de Datos Personales que elimina la obligación para las empresas de nombrar a un delegado especializado en la materia.

Durante la sesión plenaria ordinaria, el parlamento aprobó la iniciativa enviada por el Poder Ejecutivo con 57 votos a favor y uno en contra, tras otorgar una dispensa de trámites a la propuesta que presentó la bancada del partido Nuevas Ideas.

El proyecto ingresó a la sede parlamentaria en San Salvador con la firma del ministro de Seguridad Pública y Justicia, Héctor Gustavo Villatoro, a partir de instrucciones directas del presidente de la República.

La modificación normativa busca flexibilizar la gestión organizativa de las instituciones públicas y privadas que tratan datos de los ciudadanos, sin alterar las garantías constitucionales de intimidad y autodeterminación informativa de las personas naturales.

El cambio principal aprobado por los diputados radica en la supresión del carácter obligatorio del delegado de protección de datos para el sector privado. A través de este ajuste, la Asamblea Legislativa derogó los artículos 15 y 17 de la legislación, disposiciones que exigían a comercios y corporaciones contar con un especialista dedicado de forma exclusiva a supervisar el tratamiento de la información personal.

El diputado Walter Coto, integrante de la bancada de Nuevas Ideas, explicó en el pleno que la ley mantiene vigentes sus principios rectores y que la medida no representa un margen de impunidad. “La ley sigue manteniendo todos sus estándares y todos sus principios”, afirmó el legislador, quien subrayó que no va a ser ninguna barra abierta para nadie para incumplir la ley.

Coto destacó que la exigencia de un delegado generaba incertidumbre técnica y costos financieros elevados para los pequeños, micro y medianos empresarios. Si bien las empresas pueden mantener dicha figura de manera optativa dentro de sus organigramas, la legislación ya no establece la obligación legal ni sanciones por no contratar a un profesional dedicado a ese cargo.

Los plazos de respuesta y los trámites de derechos ARCOPOL sufren ajustes en la normativa

La reforma también reestructura los procedimientos administrativos que deben seguir los ciudadanos para hacer valer sus derechos sobre la información personal. Las entidades públicas y privadas mantendrán la obligación de gestionar las solicitudes relativas a los derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación, conocidos bajo el acrónimo de derechos ARCOPOL.

De acuerdo con el articulado modificado, la entidad que reciba una petición dispondrá de un plazo de 20 días hábiles para entregar una respuesta al titular de la información. Este periodo podrá extenderse por un lapso idéntico de 20 días hábiles adicionales, siempre que existan causas justificadas para la prórroga y se emita una resolución debidamente motivada.

En los casos donde la solicitud no cumpla con los requisitos o requiera información adicional, la institución o empresa formulará una prevención por una sola ocasión. El ciudadano contará con un término de 10 días hábiles para subsanar las omisiones.

Si el usuario no responde en ese lapso, la autoridad archivará el escrito, aunque el interesado conservará el derecho de presentar un nuevo trámite. Asimismo, si la entidad receptora advierte que no es la competente para resolver el caso, devolverá la petición dentro de los cinco días hábiles posteriores a la recepción.

El Ejecutivo designará al director responsable de los procedimientos en la agencia de ciberseguridad

En el ámbito del sector público, el decreto establece que los organismos estatales deberán nombrar a un delegado de protección de datos personales. Para optimizar las estructuras existentes, la normativa autoriza que dicha responsabilidad recaiga en el mismo oficial de información que labora en la institución correspondiente, evitando la creación de nuevas plazas.

Por otra parte, la modificación ajusta el funcionamiento de la Agencia de Ciberseguridad y Seguridad de la Información (ACE). El presidente de la República nombrará a un director de protección de datos personales por un periodo de tres años. Este funcionario tramitará los procedimientos administrativos e impondrá las sanciones previstas en la ley.

A su vez, podrá delegar la instrucción y sustanciación de los expedientes en personal de la institución, aunque la facultad sancionadora continuará bajo su atribución exclusiva. El decreto legislativo entrará en vigencia ocho días después de su publicación en el Diario Oficial de El Salvador.