Anatomía de un cargo nuevo - Delegado de Protección de Datos

El 20 de agosto de 2026 entraron en vigencia los Lineamientos para el Delegado de Protección de Datos Personales, emitidos por la Agencia de Ciberseguridad del Estado y publicados en el Diario Oficial número 146, tomo 452, del 11 de agosto de 2026. Un día antes, el 19 de agosto, había entrado en vigencia la normativa que desarrolla el procedimiento administrativo sancionador de la Ley para la Protección de Datos Personales.

El orden de esas dos fechas dice más de lo que parece. Primero el país aprendió cómo se sanciona. Al día siguiente supo quién va a tener que responder.

Lo novedoso de los Lineamientos no es la obligación de nombrar a alguien: eso ya lo ordenaba el artículo 15 de la Ley desde 2024. Lo novedoso es que, en cuarenta y dos artículos, la Agencia levantó una figura profesional entera. Perfil de ingreso, edad mínima, incompatibilidades, régimen de responsabilidad personal, deber anual de formación, credencial, registro público consultable por cualquier ciudadano y un examen con nota mínima de siete sobre diez. Es, en la práctica, el diseño de una profesión nueva. Lo que todavía no existe es la manera de titularse en ella.

Primero, quién sí puede

El artículo 5 fija un perfil mínimo que sorprende por lo concreto. Grado universitario, de preferencia en Ciencias Jurídicas. Mayor de veintiún años. Experiencia acreditable en al menos una de seis materias: protección de datos, procedimientos administrativos, cumplimiento normativo, gestión de riesgos, tecnologías y seguridad de la información o ciberseguridad. Y un requisito de honorabilidad que va más allá del antecedente penal común: no haber sido condenado por delitos dolosos vinculados al uso indebido de información, a la seguridad de los datos, a la administración pública o a la fe pública, ni haber sido sancionado por infracciones a la propia Ley. En el sector público se suma la Ley de Ética Gubernamental, con una mirada retrospectiva de cinco años.

Vale detenerse en la edad. Un país que no suele poner pisos etarios a los cargos privados decidió ponerle uno a este. Es una señal de cómo lee la Agencia el puesto: no como una tarea administrativa delegable hacia abajo, sino como un cargo de criterio.

Después, quién no puede: la regla que descabeza el organigrama

Aquí está el giro que más va a incomodar a las empresas salvadoreñas. El artículo 28 declara en conflicto de intereses a quien ocupe un cargo que le permita determinar los fines y medios del tratamiento de datos, o que implique funciones de dirección, decisión o supervisión sobre las áreas responsables. Y lo aterriza sin ambigüedad para el sector privado: gerentes, subgerentes, jefes, coordinadores o cualquier puesto ejecutivo, de dirección o de máxima autoridad.

La persona que su empresa habría nombrado por reflejo, el gerente de TI, el jefe de cumplimiento, el gerente legal, es precisamente la que la norma excluye.

El propio artículo abre después una válvula: sí podrá designarse a alguien con cargo de dirección, gerencia, jefatura o coordinación siempre que sus funciones estén limitadas exclusivamente a las atribuciones del Delegado y cuente con un equipo técnico de apoyo directo. Es una excepción que merece lectura fina, porque si las funciones del gerente quedan limitadas exclusivamente a las del Delegado, entonces ya dejó de ser gerente de otra cosa. La salida existe, pero es más estrecha de lo que parece a primera vista, y en ella se van a jugar muchas de las primeras discusiones con la Agencia.

Un cargo con escudo y con expediente

Los Lineamientos hacen algo poco común en el derecho salvadoreño: le dan al Delegado herramientas para protegerse de su propio patrono.

El artículo 23 le reconoce autonomía e independencia funcional y lo faculta para poner en conocimiento de la Agencia cualquier hecho atribuible al responsable que pudiera constituir una infracción o menoscabar esa independencia. El artículo 25 prohíbe al responsable impartir instrucciones, directas o indirectas, sobre el criterio técnico, jurídico o procedimental que el Delegado deba adoptar. El artículo 30 le permite dejar constancia expresa cuando sus recomendaciones no sean acatadas, a fin de acreditar que su rol técnico se ejerció y que la responsabilidad corresponde al responsable.

Y el artículo 24 cierra el círculo: el Delegado no responde por las decisiones finales que ejecute el responsable, siempre que pueda demostrar que actuó con diligencia. Si no puede demostrarlo, responde administrativa, civil y penalmente.

Ese "siempre que pueda demostrar" convierte la memoria escrita en el activo profesional más valioso del cargo. El Delegado que no documenta sus recomendaciones no tiene escudo. El que documenta construye, al mismo tiempo, su defensa y el expediente de su empleador. A eso se agrega un deber que sobrevive a la relación laboral: la confidencialidad subsiste durante cinco años después de haber cesado en el cargo, según el artículo 36.

Un cargo que puede no ser una persona

El artículo 13 permite designar al Delegado de forma interna, dentro de la planilla, o externa, mediante contrato de prestación de servicios profesionales. Y el artículo 14 va más lejos: el Delegado puede ser una persona jurídica.

No es una salida fácil. La firma designada debe acreditar experiencia comprobable en el servicio, integrar un equipo multidisciplinario con al menos un profesional en ciencias jurídicas y un experto en ciberseguridad, sistemas informáticos o gestión de riesgos, contar con estructura interna para gestionar derechos ARCO-POL dentro de plazo y no estar inhabilitada para contratar con la Administración Pública. Además debe designar expresamente a la persona natural que atenderá las solicitudes, quien a su vez debe cumplir el perfil del artículo 5.

El artículo 16 habilita el Delegado común para grupos de sociedades o entidades vinculadas, y el 17 admite lo contrario: nombrar más de uno, e incluso Delegados sustitutos, en función del volumen de solicitudes, la complejidad de la organización y el nivel de riesgo. La figura, en otras palabras, escala en ambas direcciones.

Un cargo con vitrina

Lo que termina de separar a esta figura de cualquier otro cargo interno es su exposición pública. El nombramiento se comunica a la Dirección de Protección de Datos Personales dentro de los cinco días hábiles siguientes. La Agencia lleva un Registro Público de Delegados, emite una credencial de inscripción dentro de quince días hábiles y mantiene una lista accesible a la ciudadanía en su portal web.

El artículo 12 agrega una advertencia que conviene subrayar: la inscripción no constituye por sí misma la validación automática de la idoneidad para el ejercicio del cargo. La Agencia puede verificar el cumplimiento antes o en cualquier momento posterior. Estar en la lista no es estar aprobado.

Lo que todavía está en blanco

Aquí es donde el análisis honesto tiene que reconocer los vacíos, porque son varios y son grandes.

La licencia que aún no existe. El artículo 5 literal e) exige someterse y aprobar el Programa de Certificación de Delegados de Protección de Datos Personales, y el artículo 21 lo eleva a condición de validez del nombramiento. Pero el mismo literal aclara que el requisito se exigirá a partir de la entrada en vigencia del referido programa, en el plazo y condiciones que la Agencia establezca. Hoy hay un cargo obligatorio cuya acreditación obligatoria todavía no se puede rendir.

El registro que aún no está habilitado. El artículo 40 lo admite: mientras la plataforma informática no esté disponible, las comunicaciones se harán por oficio, escrito o correo institucional.

El umbral que nadie fijó. El modelo europeo reserva la obligación de designar delegado para supuestos determinados. La norma salvadoreña no distingue por tamaño, sector ni volumen de tratamiento: el deber alcanza a todo sujeto obligado del artículo 2 de la Ley. Una sociedad de tres empleados y un banco quedan, en el texto, bajo la misma exigencia.

La vinculación que no se definió. El artículo 16 permite un Delegado común entre sociedades del mismo grupo o con relaciones jurídicas o económicas que lo justifiquen, sin decir quién califica esa vinculación ni con qué criterio.

El reloj salvadoreño. El artículo 15 exige que el Delegado extranjero desarrolle sus funciones conforme al horario y calendarización de El Salvador. Para las estructuras regionales de servicios compartidos, eso no es un detalle administrativo, es un rediseño operativo.

El reloj que ya corre

Mientras esas definiciones llegan, los plazos no esperan. La disposición transitoria concede veinte días hábiles desde la entrada en vigencia para comunicar nombramientos, modificaciones o cesaciones a la Dirección de Protección de Datos Personales. Contados desde el 20 de agosto de 2026, esa ventana se cierra a mediados de septiembre.

Y una vez nombrado el Delegado, la organización entra en un régimen de plazos cortos: tres días hábiles para notificarle su nombramiento, cinco para comunicarlo a la Agencia, diez para actualizar cualquier modificación, diez para sustituirlo ante renuncia o cese, veinte días hábiles para responder cada solicitud de derechos ARCO-POL y una verificación de idoneidad al menos cada tres años.

Los nombramientos anteriores a los Lineamientos se tienen por válidos. Pero deben someterse y aprobar el programa de certificación cuando exista.

Lo que esto significa para su empresa

La lectura práctica es contraintuitiva. Lo que hoy expone a una organización salvadoreña no es haber elegido mal al Delegado: es no haber empezado el análisis. Definir si el cargo será interno o externo, mapear quién de la estructura queda inhabilitado por el artículo 28, redactar el acuerdo de nombramiento con los diez elementos del artículo 7, levantar la declaración jurada de conflicto de intereses y dejar lista la comunicación a la Agencia son decisiones que se toman hoy, con la norma incompleta, porque el plazo corre igual.

La certificación llegará. El registro se habilitará. Las zonas grises se irán cerrando con criterio administrativo, resolución por resolución, y las primeras versiones públicas de sanciones que publique la Agencia en su sitio web, conforme al artículo 46 de la normativa sancionadora, van a enseñar más sobre el alcance real de esta figura que cualquier análisis previo.

Mientras tanto, la posición defendible no es esperar. Es documentar.

Powered by: