El 20 de agosto de 2026 marca un nuevo paso en la implementación de la Ley para la Protección de Datos Personales (LPDP) en El Salvador, con la entrada en vigencia de los Lineamientos para el Delegado de Protección de Datos Personales, publicados por la Agencia de Ciberseguridad del Estado (ACE) en el Diario Oficial del 11 de agosto de 2026.
La nueva regulación desarrolla aspectos esenciales sobre el perfil, nombramiento, certificación y funciones del Delegado de Protección de Datos Personales (DPD), así como las obligaciones que corresponden a los responsables y encargados del tratamiento de datos.
¿Quién puede ser Delegado de Protección de Datos Personales?
Los lineamientos establecen requisitos mínimos para ejercer el cargo, entre ellos:
Contar con grado universitario, preferentemente en Ciencias Jurídicas.Ser mayor de 21 años.Acreditar experiencia en áreas relacionadas con protección de datos personales, procedimientos administrativos de naturaleza jurídica, cumplimiento normativo, gestión de riesgos, tecnologías de la información, seguridad de la información o ciberseguridad.Aprobar el Programa de Certificación de Delegados que implemente la ACE.Ejercer sus funciones sin situaciones que comprometan su independencia o generen conflictos de interés.
Una de las novedades más relevantes es que el Delegado podrá ser interno o externo. Incluso podrá contratarse a una persona jurídica especializada para ejercer esta función, siempre que cumpla los requisitos establecidos. También se contempla la designación de Delegados extranjeros y de un mismo Delegado para determinadas sociedades o entidades vinculadas.
¿Cuáles serán sus principales funciones?
El DPD tendrá un papel activo dentro del sistema de cumplimiento de la organización. Entre sus responsabilidades se encuentran:
Gestionar las solicitudes relacionadas con los derechos ARCO-POL.Informar al responsable, cuando sea necesario y al menos dos veces al año, sobre el desarrollo de sus funciones y la gestión del tratamiento de datos personales.Publicar el Aviso de Privacidad, previa autorización del responsable y conforme a la normativa aplicable. Actuar como enlace institucional con la ACE.Mantener la confidencialidad de la información a la que tenga acceso.Ejercer sus funciones con autonomía e independencia funcional.El nombramiento debe formalizarse y comunicarse
En el caso de personas jurídicas, el nombramiento deberá constar en un acuerdo o acta emitida por la autoridad correspondiente de la organización.
Como regla general, el responsable deberá notificar al Delegado su nombramiento dentro de los tres días hábiles siguientes y comunicarlo a la ACE dentro de un plazo máximo de quince días hábiles contados a partir del día siguiente del nombramiento.
Mientras la plataforma informática del Registro de Delegados no se encuentre habilitada, los lineamientos establecen un régimen transitorio para realizar las comunicaciones de nombramiento, modificación o cesación mediante oficio, escrito o correo institucional dirigido a la Dirección de Protección de Datos Personales de la ACE, dentro de los veinte días hábiles previstos en dicha disposición.
¿Qué significa esto para las empresas?
La figura del Delegado adquiere ahora una regulación mucho más concreta. Su designación ya no debe abordarse únicamente como una formalidad, sino como parte de la estructura de gobernanza y cumplimiento en materia de protección de datos personales.
Las organizaciones deberán revisar quién puede asumir esta función, documentar adecuadamente su nombramiento y garantizar que el Delegado disponga de la independencia y los recursos necesarios para ejercer sus atribuciones.
En Atypical Group seguimos de cerca la evolución de la normativa de protección de datos personales para acompañar a las empresas en la implementación de sus obligaciones de cumplimiento.
