Delegado de Protección de Datos · El Salvador
Cumplimiento que protege datos, decisiones y confianza.
Servicio de DPD externo para convertir la Ley para la Protección de Datos Personales en una operación clara: gobierno de datos, derechos ARCO-POL, privacidad, incidentes, formación y supervisión continua.
Atención desde San Miguel para organizaciones de la zona oriental, San Salvador y el resto del país, mediante coordinación presencial y remota.
Respuesta directa
01¿Qué es un Delegado de Protección de Datos?
Es la figura independiente que ayuda a una organización a aplicar la ley en su actividad diaria. Gestiona y resuelve solicitudes ARCO-POL, asesora al responsable, propone procedimientos, capacita al personal, documenta recomendaciones y mantiene el enlace institucional con la Agencia de Ciberseguridad del Estado.
- Puede ser interno o contratarse como servicio profesional externo.
- Debe participar desde el inicio de nuevos tratamientos, productos o servicios.
- Requiere acceso oportuno a la información y comunicación con la alta dirección.
- Supervisa y recomienda con independencia; la organización conserva sus decisiones.
Ámbito de aplicación
¿Quién debe nombrar un DPD en El Salvador?
El artículo 15 de la LPDP ordena a los sujetos obligados nombrar un delegado. En términos generales, la ley comprende a personas naturales y jurídicas, públicas o privadas, que realizan tratamiento de datos personales, con las exclusiones previstas en su artículo 3.
El análisis no depende únicamente del tamaño de la entidad. Importa qué datos recopila, para qué los utiliza, dónde se almacenan, quién puede acceder y con qué terceros se comparten.
Salud
Clínicas, laboratorios, consultorios, farmacias y profesionales con expedientes, diagnósticos o resultados.
Educación
Colegios, universidades, academias y centros que administran datos de estudiantes, familias y personal.
Comercio
Tiendas, membresías, plataformas y negocios con bases de clientes, facturación, fidelización o mercadeo.
Servicios profesionales
Despachos, consultorías y oficinas que conservan identidades, expedientes e información confidencial.
Asociaciones y condominios
Entidades con registros de miembros, visitantes, videovigilancia, accesos o comunicaciones internas.
Negocios digitales
Sitios web, aplicaciones y proveedores que recopilan información mediante formularios, cookies, cuentas o nube.
Cobertura: base en San Miguel, atención principal en San Miguel, Usulután, La Unión y San Salvador, y coordinación para el resto del país según las necesidades de cada organización.
Gobernanza
Independencia y responsabilidades claras
El DPD orienta, supervisa y documenta. La organización decide las finalidades y los medios del tratamiento, implementa las medidas y proporciona los recursos necesarios.
Asesora, supervisa y deja evidencia
Gestiona ARCO-POL, revisa riesgos, propone procedimientos, forma al personal, documenta recomendaciones y mantiene el enlace institucional con la ACE.
Decide, implementa y aporta recursos
Define para qué y cómo se utilizan los datos, facilita información al DPD, adopta las medidas aprobadas y coordina su ejecución con el personal o los proveedores.
Servicio DPD externo
Un sistema de cumplimiento, no una carpeta olvidada
El alcance se diseña después de conocer las sedes, los procesos, los sistemas, el volumen de información, los datos sensibles y los terceros que participan.
Nombramiento, independencia y mapa de responsabilidades
Preparación del expediente, revisión del encaje organizativo, definición del canal del DPD y reglas para involucrarlo oportunamente en decisiones que afectan datos personales.
- 01Documentación de nombramiento y aceptación.
- 02Declaración y gestión de conflictos de interés.
- 03Matriz de funciones, escalamiento y reportes.
- 04Inventario inicial de tratamientos y responsables internos.
Solicitudes ARCO-POL con control de identidad y plazos
Diseño del canal, formularios, registro de casos, validación de identidad, búsqueda interna, análisis jurídico, resolución y entrega segura de la respuesta.
- 01Procedimiento y formularios para cada derecho.
- 02Registro trazable de solicitudes y vencimientos.
- 03Modelos de prevención, prórroga y resolución.
- 04Coordinación con áreas custodias de la información.
Información clara, licitud y control del ciclo de vida
Revisión de finalidades, bases legales, consentimiento, minimización, conservación, avisos de privacidad, proveedores y transferencias, con atención reforzada a datos sensibles.
- 01Política y avisos de privacidad por canal.
- 02Matriz de finalidades y bases de legitimación.
- 03Criterios de retención y eliminación segura.
- 04Cláusulas para encargados y otros terceros.
Decisiones ordenadas cuando cada hora importa
Protocolo jurídico de vulneraciones, registro de hechos, evaluación de afectación, coordinación con el equipo técnico y preparación de las notificaciones exigibles.
- 01Ruta de escalamiento y comité de respuesta.
- 02Registro cronológico del incidente y evidencias.
- 03Modelos de comunicación a autoridades y titulares.
- 04Revisión posterior y plan de medidas correctivas.
Evidencia de seguimiento para la alta dirección
Capacitación, revisión de nuevos tratamientos, seguimiento de recomendaciones, indicadores e informes que permitan a la organización conocer avances y decisiones pendientes.
- 01Plan anual de trabajo y capacitación.
- 02Revisión de proyectos antes de su puesta en marcha.
- 03Registro de recomendaciones y respuesta del responsable.
- 04Informes periódicos a la alta dirección.
Derechos de las personas
ARCO-POL: siete derechos, un procedimiento verificable
La organización necesita un canal funcional y una ruta interna capaz de localizar la información, evaluar la solicitud, decidir conforme a derecho y responder de forma segura.
Por causas justificadas, el plazo puede ampliarse hasta por otros veinte días hábiles. La prórroga debe motivarse y notificarse dentro del plazo ordinario.
Ruta inicial de referencia
Los primeros 90 días
Una implementación por etapas permite atender primero los riesgos urgentes y construir un expediente que conserve decisiones, entregables y evidencia desde el comienzo.
Formalización
Nombramiento, contrato, independencia, canal del DPD y controles inmediatos.
Diagnóstico
Entrevistas, inventario, mapa de flujos y plan de adecuación priorizado.
Procedimientos
Privacidad, consentimiento, ARCO-POL, incidentes, retención y terceros.
Validación
Capacitación, simulación, primer informe y calendario de seguimiento.
La secuencia se adapta si existe una vulneración, una solicitud ARCO-POL, un requerimiento o un riesgo que requiera atención prioritaria.
Vulneraciones de datos
La respuesta comienza antes del incidente
Roles definidos, registros y modelos de comunicación permiten actuar con criterio cuando se descubre una pérdida, acceso indebido, alteración o divulgación.
Activar y preservar
Registrar la hora de conocimiento, contener el evento y conservar información útil para el análisis técnico y jurídico.
Evaluar la afectación
Identificar datos, titulares, sistemas, alcance probable, consecuencias y medidas aplicadas.
Notificar
Coordinar las comunicaciones a la ACE, la Fiscalía General de la República y los titulares afectados conforme al artículo 25 de la LPDP.
Corregir y documentar
Dar seguimiento a medidas, decisiones y aprendizajes para reducir la probabilidad de repetición.
Responsabilidad demostrada
Cumplir también significa poder demostrarlo
La ACE puede iniciar diligencias de oficio, por denuncia, aviso, incidente o verificación preventiva. Un expediente ordenado permite explicar las decisiones, las recomendaciones y las medidas ejecutadas.
El procedimiento sancionador reconoce audiencia, defensa, debido proceso y los principios de legalidad, tipicidad, proporcionalidad y responsabilidad.
Infracciones leves
La ley establece el rango aplicable según la clasificación de la conducta.
Infracciones graves
Incluyen supuestos vinculados con derechos, finalidad y seguridad.
Infracciones muy graves
Comprenden las conductas de mayor afectación previstas por la LPDP.
Dirección profesional
Ángel Antonio Amaya Ayala
Abogado y Notario, Máster en Ciberdelincuencia y fundador de IurisCaeli. Su práctica conecta protección de datos, delitos informáticos, evidencia digital y ciberseguridad para traducir la norma en procedimientos que una organización pueda aplicar, supervisar y documentar.
Desde IurisCaeli acompaña a organizaciones que necesitan ordenar su cumplimiento, preparar la designación de un DPD externo y convertir la ley en una práctica de trabajo sostenible.
Preguntas frecuentes
DPD externo y protección de datos en El Salvador
Respuestas breves basadas en la LPDP, los Lineamientos para el Delegado de Protección de Datos y la normativa sancionadora de la ACE.
¿Sigue vigente el 16 de septiembre de 2026 como fecha límite?
No. La ACE dejó sin efecto esa fecha y comunicará oportunamente las nuevas indicaciones para informar el nombramiento. La modificación corresponde al calendario de comunicación; la obligación legal de nombrar un DPD continúa vigente.
¿Se puede avanzar mientras la ACE anuncia las nuevas indicaciones?
Sí. La organización puede identificar tratamientos y riesgos, ordenar responsabilidades, preparar procedimientos, revisar su documentación y estructurar el expediente del DPD. La comunicación formal se realizará conforme al canal y a las instrucciones que la ACE establezca.
¿El Delegado de Protección de Datos puede ser externo?
Sí. El artículo 13 de los Lineamientos permite que el DPD sea interno o externo. La modalidad externa se formaliza mediante un contrato de prestación de servicios profesionales y debe preservar la idoneidad, capacidad, accesibilidad e independencia exigibles.
¿Puede un mismo DPD atender a varias entidades?
Puede recibir varios nombramientos cuando conserva independencia, capacidad y accesibilidad efectiva para cada entidad. La figura de un delegado común del artículo 16 se aplica a grupos de sociedades o entidades con relaciones jurídicas o económicas que la justifiquen. Cada responsable mantiene separados sus expedientes, canales y solicitudes.
¿Qué plazo existe para responder una solicitud ARCO-POL?
La respuesta debe entregarse dentro de veinte días hábiles. Por causas justificadas, el plazo puede prorrogarse hasta por otros veinte días hábiles; la decisión debe motivarse y notificarse dentro del plazo ordinario.
¿Qué ocurre cuando se vulneran datos personales?
El responsable debe notificar a la ACE, a la Fiscalía General de la República y a los titulares afectados dentro de un máximo de 72 horas desde que tuvo conocimiento. También debe investigar, contener y documentar el incidente y sus medidas correctivas.
¿El DPD configura redes, equipos o sistemas?
El DPD identifica riesgos, recomienda controles y supervisa su seguimiento. La organización y su personal o proveedor técnico implementan medidas como accesos, cifrado, copias, actualizaciones y configuraciones. Ambos frentes deben coordinarse sin confundir responsabilidades.
¿Cuándo será exigible la certificación prevista en los Lineamientos?
El requisito de certificación será exigible cuando la ACE ponga en vigencia el programa correspondiente y establezca sus condiciones de aplicación. La organización debe seguir las comunicaciones oficiales para adecuar su expediente cuando corresponda.
Fuentes normativas principales
Última revisión:
Conversemos sobre el DPD externo de su organización
Cuéntenos el tipo de entidad, sus sedes y los datos que trata. La consulta permitirá identificar el punto de partida y definir un alcance adecuado a su operación.