La Asamblea Legislativa de El Salvador aprobó una serie de reformas a la Ley para la Protección de Datos Personales enfocadas en la forma en que las organizaciones deben gestionar el cumplimiento de sus obligaciones en la materia, sobre todo con la figura del Delegado de Protección de Datos Personales (DPD) y la atención de las solicitudes de derechos ARCO-POL.
El principal cambio para el sector privado es la eliminación de la obligación general de contar con un DPD. Sin embargo, esto no elimina las obligaciones de las empresas frente a los titulares de los datos ni la responsabilidad de establecer mecanismos internos para atender sus derechos.
Derogan obligatoriedad de empresas de nombrar delegados de protección de datos personales
La reforma deroga el artículo 15 de la ley, que establecía que todos los sujetos obligados debían nombrar un DPD para gestionar y tramitar las solicitudes relacionadas con los derechos ARCO-POL. También se deroga el artículo 17, relativo al deber de asistencia al delegado.
Esto significa que las empresas privadas ya no estarán sujetas, bajo esta disposición, a una obligación general de mantener formalmente esta figura. La eliminación del DPD no significa que desaparezcan las obligaciones de cumplimiento.
La reforma traslada expresamente al sujeto obligado diversas responsabilidades que anteriormente estaban vinculadas al DPD, incluyendo la asistencia y orientación a sus departamentos o proveedores y el establecimiento de mecanismos internos para gestionar las solicitudes de derechos ARCO-POL.
Por ello, las empresas deberán contar con procesos claros para recibir, analizar y responder solicitudes de los titulares de datos, aun cuando decidan no mantener un DPD formal.
Se mantienen los derechos ARCO-POL y sus plazos
Las reformas mantienen las obligaciones relacionadas con el ejercicio de los derechos de los titulares de datos personales. Entre otros aspectos:
- Las solicitudes deben presentarse ante el sujeto obligado correspondiente.
- El plazo para responder las solicitudes ARCO-POL es de 20 días hábiles, prorrogable por otros 20 días hábiles cuando existan razones justificadas.
- Las solicitudes incompletas pueden ser prevenidas una sola vez y el titular cuenta con 10 días hábiles para subsanarlas.
- Las decisiones de denegación deben estar debidamente motivadas y comunicarse al titular dentro de los plazos establecidos por la Ley.
- En materia de revocación del consentimiento, el sujeto obligado mantiene un plazo de 5 días hábiles para actuar.
Cambian las obligaciones relacionadas con el aviso de privacidad
La reforma también modifica el contenido del aviso de privacidad. En particular, ya no se exige incluir el nombre o información de contacto del delegado de protección de datos dentro de los elementos señalados para dicho aviso.
El literal correspondiente pasa a requerir la indicación de los medios o mecanismos para presentar solicitudes de derechos ARCO-POL.
Las empresas que actualmente identifican a un delegado en sus avisos de privacidad, formularios, sitios web u otros documentos deberán revisar estos materiales para determinar si requieren actualización.
¿Qué ocurre con las instituciones públicas?
La reforma establece una diferencia importante para el sector público.
Aunque se elimina la obligación general prevista anteriormente, las instituciones públicas deberán nombrar un DPD, quien podrá ser el mismo Oficial de Información de la institución. Asimismo, se elimina de los avisos dirigidos a los usuarios la obligación de incluir la información de contacto del delegado.
¿Qué sigue ahora?
Las reformas reducen una exigencia formal para el sector privado, pero no reduce la necesidad de contar con una estructura efectiva de cumplimiento.
Las empresas que ya cuentan con un delegado pueden aprovechar este cambio para revisar si mantienen esa estructura, la modifican o asignan internamente las funciones de protección de datos a otra área o responsable. Lo importante será asegurar que la organización pueda cumplir con las obligaciones vigentes.
Las organizaciones que aún se encuentran implementando sus programas de protección de datos deberán considerar estas modificaciones al definir su estructura de cumplimiento, políticas internas y canales para la atención de titulares.
