El pasado 11 de agosto de 2026, la Agencia de Ciberseguridad del Estado (ACE) formaliz贸, mediante publicaci贸n en el Diario Oficial, la emisi贸n de dos instrumentos esenciales para la implementaci贸n de la Ley para la Protecci贸n de Datos Personales (LPDP): los Lineamientos para el Delegado de Protecci贸n de Datos Personales (DPD) y la Normativa para el Desarrollo del Procedimiento Administrativo Sancionador.
Ambos instrumentos entraron en vigencia el 19 de agosto de 2026. A partir de esa fecha, la ACE otorg贸 a los sujetos obligados un plazo de veinte (20) d铆as h谩biles para ajustar sus procesos a las nuevas disposiciones y gestionar la acreditaci贸n de su Delegado de Protecci贸n de Datos Personales, tr谩mite que deber谩 realizarse a trav茅s del correo electr贸nico dpdatos@ace.gob.sv. El plazo para cumplir con esta obligaci贸n vence el 16 de septiembre de 2026.
Los lineamientos desarrollan los requisitos aplicables al DPD, incluyendo su perfil t茅cnico, r茅gimen de incompatibilidades y procedimiento de registro. Asimismo, permiten que esta funci贸n sea desempe帽ada de manera interna o externa, individualmente o mediante la designaci贸n de un delegado com煤n para grupos empresariales.
Entre sus principales responsabilidades se encuentran: la gesti贸n independiente de los derechos ARCO-POL, la supervisi贸n de los avisos de privacidad y el desarrollo de programas de capacitaci贸n en materia de protecci贸n de datos personales.
Por su parte, la Normativa para el Desarrollo del Procedimiento Administrativo Sancionador establece las reglas que deber谩 aplicar la Direcci贸n de Protecci贸n de Datos Personales de la ACE para investigar y determinar infracciones, as铆 como para imponer las sanciones correspondientes. La normativa adopta el procedimiento simplificado como v铆a ordinaria, reservando el procedimiento ordinario para aquellos asuntos que presenten mayor complejidad t茅cnica. Tambi茅n fija un plazo m谩ximo de noventa (90) d铆as h谩biles para las diligencias preliminares de investigaci贸n y autoriza la adopci贸n de medidas provisionales cuando existan riesgos graves.
Cabe destacar que la normativa incorpora criterios para la graduaci贸n de las multas, al considerar factores como la capacidad econ贸mica del infractor, el grado de intencionalidad y la naturaleza o sensibilidad de los datos personales afectados. Todo ello dentro de un marco que reconoce las garant铆as del debido proceso y la presunci贸n de inocencia, adem谩s de prever mecanismos de ejecuci贸n coactiva en caso de incumplimiento de las sanciones impuestas.
Recomendamos a las organizaciones tomar en cuenta las disposiciones anteriores y adecuar sus procesos internos para el debido cumplimiento antes del plazo que se avecina. En caso de dudas, podemos asesorarles.
Se adjuntan los instrumentos publicados para su descarga y consulta: