Ley de Protección de Datos Personales en El Salvador: cómo demostrar la seguridad

La Asamblea Legislativa aprobó el D.L. 144 el 12 de noviembre de 2024, el mismo día que la Ley de Ciberseguridad. Después la reformó el D.L. 659. Lea siempre el texto consolidado publicado en jurisprudencia.gob.sv, que ya incorpora esa reforma. Las copias que circulan en otros sitios pueden estar desactualizadas.

El cambio más visible está en el delegado de protección de datos. En el texto vigente, el Art. 15, que lo regulaba, y el Art. 17 aparecen como "DEROGADO". El Art. 24 f), dentro del aviso de privacidad, ya no pide el nombre del delegado. Ahora pide la "Indicación de los medios o mecanismos para presentar las solicitudes de derechos ARCO-POL". Muchos resúmenes de 2025 todavía hablan del delegado como obligación general. No pudimos abrir el D.L. 659 por separado, así que esta guía cita el texto consolidado y no los detalles de la reforma.

El Art. 2 es amplio: la ley se aplica "a toda persona natural o jurídica, de carácter público o privado, que lleve a cabo actividades relativas o conexas al tratamiento de datos personales, ya sea de manera manual, parcial o totalmente automatizado o a través de terceros". Las entidades públicas quedan sujetas además al Título III.

Las exclusiones del Art. 3 son pocas. Una toca de cerca al sector financiero: queda fuera el historial crediticio que se trata bajo la ley de historial de crédito, pero esa exclusión "no aplicara a los integrantes del Sistema Financiero y demás supervisados por la Superintendencia del Sistema Financiero, sobre aquella información que no sea relativa al historial crediticio". Un banco o una aseguradora responde por el resto de los datos de sus clientes.

El Art. 33 agrega a los proveedores. Si usted subcontrata un servicio que accede a datos personales, ese proveedor queda sometido a la ley y a los lineamientos que usted y la ACE fijen. Por eso los centros de llamadas, los procesadores de pagos y las empresas de software que trabajan para bancos salvadoreños reciben cada vez más preguntas sobre su seguridad.

La ley define las medidas de seguridad como "políticas, acciones o procedimientos de control o grupo de controles" que protejan los datos "de accesos no autorizados", con confidencialidad, integridad y disponibilidad (Art. 4 n). El principio de seguridad del Art. 5 f) agrega que hay que "detectar desviaciones de información, intencionales o no".

Las obligaciones concretas están en los Arts. 34 y 36. El responsable debe implementar las medidas de seguridad y aplicar "los mecanismos tecnológicos, regulatorios y procedimentales" que sostengan esas características. La regla vale también para el encargado del tratamiento. Las medidas mínimas las dicta la ACE (Arts. 35 y 50 i), y el Art. 60 le dio tres meses para emitirlas, más tres meses para que los obligados se adecuen. Revise en ace.gob.sv qué políticas están vigentes.

El Art. 7 e) le da al titular el derecho a conocer "las medidas y mecanismos de protección y seguridad que el responsable ha tomado y mantiene activas". Mantener activas es la parte difícil de demostrar. Conviene tener a mano:

• Un inventario de las bases de datos con datos personales, sus respaldos y sitios de contingencia.
• Los controles de acceso de cada sistema y quién los revisa.
• Los resultados de las pruebas técnicas, con fecha, alcance y correcciones verificadas.
• El registro de vulneraciones que pide el Art. 25.
• Los contratos con los encargados que tratan datos por cuenta suya.

El Art. 25 trata cualquier daño, pérdida, alteración, acceso ilegítimo o uso no autorizado de datos personales, aunque sea accidental. El responsable debe notificarlo a la ACE, a la Fiscalía General de la República y a los titulares afectados en un plazo máximo de 72 horas desde que lo conoce. En ese mismo plazo debe iniciar una revisión exhaustiva para medir la afectación y definir las medidas correctivas.

La notificación a la ACE incluye la naturaleza del incidente, los datos comprometidos, las acciones inmediatas, recomendaciones para los titulares y los medios para pedir más información. Además, cada vulneración que ponga en riesgo los datos se documenta con fecha, motivo, hechos, efectos y medidas correctivas, y ese registro queda a disposición de la autoridad.

Setenta y dos horas es poco tiempo para descubrir por dónde entró alguien. Un pentest hecho antes del incidente le dice qué caminos existen y cuáles ya cerró. Después del incidente, una prueba de los sistemas corregidos documenta que las "medidas correctivas" del Art. 25 funcionan.

La definición del Art. 4 n) habla de accesos no autorizados. Eso es justo lo que un pentest busca en las aplicaciones que guardan datos de personas. En la práctica revisamos si un cliente puede ver los datos de otro cambiando un número en la solicitud, si una API devuelve más campos de los que la pantalla muestra, si hay respaldos o paneles de administración expuestos a internet, y si un usuario con pocos permisos puede llegar a funciones de otro rol.

Cada hallazgo de Toukan se confirma a mano y dice qué sistema, qué rol y qué datos quedaron expuestos. Así su equipo legal puede estimar el alcance real de un problema sin adivinar. La verificación de las correcciones va incluida, dentro de 90 días, y deja constancia de que el control ya funciona.

Para definir el alcance, empiece por los sistemas que su aviso de privacidad menciona y por los que operan sus encargados (Art. 24 h). Lo que un pentest no demuestra es que el consentimiento, el aviso o la atención de derechos ARCO-POL estén bien hechos. Eso requiere revisión legal.

El Art. 57 fija las multas en salarios mínimos mensuales vigentes del sector comercio. El procedimiento sancionador es el de la Ley de Ciberseguridad (Art. 53), y la ACE puede ordenar además las medidas necesarias para corregir la situación (Art. 58). Las sanciones no eximen de responsabilidad civil o penal.

Entre las infracciones que tocan la seguridad están no implementar las medidas o controles técnicos que establezca la ACE y no cumplir las medidas de seguridad de sus políticas de actuación, ambas graves (Art. 56 b, numerales 5 y 7). Omitir el aviso de una vulneración es leve (Art. 56 a, numeral 3).

Una entidad supervisada ya tiene una obligación de privacidad en la NRP-23. Su Art. 28 pide medidas que aseguren la protección y confidencialidad de la información bajo su responsabilidad, "como datos personales". Con la nueva ley, el mismo banco responde ante la Superintendencia por su sistema de gestión de seguridad y ante la ACE por los datos personales.

Una sola prueba puede servir a los dos, si el alcance incluye los sistemas con datos de clientes: banca en línea, app móvil, APIs y el portal de atención. El informe de Toukan lo firma la persona que acordó el alcance y dirigió la prueba. Los precios parten de USD 3,000 por alcance definido, y del contrato firmado al informe pasan de 2 a 4 semanas. Firmamos un NDA antes de recibir información.