El Salvador ¡Tu Información Personal NUNCA Volverá a Ser la Misma!

¿Alguna vez te has detenido a pensar qué ocurre con tu nombre, dirección, fotografías, historial clínico o datos financieros después de hacer clic en “aceptar términos y condiciones”? Ese gesto que parece inofensivo puede tener más repercusiones de las que imaginas. Pero a partir de ahora, en El Salvador, todo eso está a punto de cambiar radicalmente. Una nueva legislación llega para marcar un antes y un después en la protección de tu información personal.

Una Revolución en Privacidad: La Nueva Ley de Protección de Datos Personales (Decreto N.º 144)

El Salvador ha dado un paso sin precedentes con la aprobación de la “Ley para la Protección de Datos Personales”, contenida en el Decreto Legislativo N.º 144, publicada el 15 de noviembre de 2024. Esta norma no es solo un marco legal más, sino una afirmación contundente de que “la persona humana es el origen y fin de la actividad del Estado”, reconociendo como inviolables los derechos a la intimidad, el honor, la imagen propia y la autodeterminación informativa.

Su propósito es claro: establecer las reglas del juego para que el tratamiento de tus datos personales se realice con legitimidad, transparencia y respeto por tus derechos fundamentales. Esta ley representa una conquista ciudadana en la era digital.

Tus Nuevos Superpoderes Digitales: Derechos ARCO-POL 

La normativa introduce un conjunto de derechos individuales que empoderan al titular de los datos, conocidos como ARCO-POL, cuyas siglas representan:

• Acceso: Puedes saber si una empresa, institución o individuo está utilizando tus datos y, además, solicitar una copia comprensible de los mismos.

• Rectificación: Si detectas errores, datos desactualizados o información incorrecta, tienes derecho a que se corrijan.

• Cancelación (Supresión): Puedes solicitar la eliminación de tus datos cuando ya no son necesarios, si revocas tu consentimiento o si fueron tratados de manera ilícita. Esto incluye el emblemático “derecho al olvido”.

• Oposición: Puedes rechazar que tus datos sean utilizados, especialmente en actividades como publicidad o marketing directo.

• Portabilidad: Tienes derecho a recibir tus datos en un formato estructurado y legible para transferirlos a otra entidad si así lo decides.

• Limitación del Tratamiento: Puedes solicitar que tus datos no sean procesados temporalmente en ciertas circunstancias (por ejemplo, mientras se verifica su veracidad).

• Post-mortem: Incluso después del fallecimiento, tus herederos podrán ejercer estos derechos en tu nombre.

El Consentimiento Ya No es Opcional: Es Obligatorio y Expreso 

Uno de los pilares de esta nueva ley es el consentimiento. Ya no bastan las casillas ocultas o las cláusulas interminables. La norma exige que el consentimiento sea:

• Libre, específico e informado: Debes saber exactamente qué datos se recogen y con qué propósito.

• Expreso e individualizado: Nada de formularios genéricos. Cada tratamiento debe contar con tu aprobación clara.

• Revocable: Puedes retirar tu consentimiento en cualquier momento, sin obstáculos ni costos.

Para datos sensibles —como salud, origen étnico, orientación sexual, convicciones religiosas o datos biométricos— la protección es aún mayor: el consentimiento debe constar por escrito, firmado o validado con un medio equivalente, y su otorgamiento debe ser voluntario y explícito.

¿Eres Empresa, Institución Pública o Emprendedor? Prepárate para Cambiar las Reglas del Juego 

Toda persona natural o jurídica —pública o privada— que recolecte, almacene o procese datos personales está obligada a cumplir con esta normativa. Eso implica:

• Designación de un Delegado de Protección de Datos: Cada organización deberá contar con una persona responsable de gestionar las solicitudes ARCO-POL y garantizar el cumplimiento de la ley.

• Aviso de Privacidad Obligatorio: Antes de recabar datos, deberá proporcionarse información clara, accesible y comprensible sobre el tratamiento, la finalidad, el responsable, los derechos del titular y la utilización de tecnologías como cookies.

• Seguridad y Notificación de Incidentes: En caso de una brecha de seguridad —como robo, filtración o pérdida de datos—, deberá informarse a la Agencia de Ciberseguridad del Estado (ACE), a la Fiscalía General de la República y a los titulares afectados en un plazo no mayor a 72 horas.

• Finalidad Limitada y Transparencia: Los datos sólo podrán ser utilizados para los fines para los que fueron recabados. No se permite el tratamiento posterior con otros propósitos sin tu consentimiento.

• Transferencias Internacionales Reguladas: Si los datos se transfieren a otro país, este debe contar con niveles de protección equivalentes o superiores a los exigidos por la ley salvadoreña.

Sanciones Reales: Si No Cumples, Hay Castigo

La ley no se queda en buenas intenciones. La Agencia de Ciberseguridad del Estado (ACE) será la autoridad encargada de fiscalizar y sancionar su cumplimiento. Las sanciones están categorizadas y sus multas se calculan en salarios mínimos mensuales del sector comercio:

• Infracciones Leves: No informar sobre los derechos ARCO-POL o no publicar el aviso de privacidad. Multa: entre 1 y 10 salarios mínimos.

• Infracciones Graves: No atender en tiempo las solicitudes de los titulares, tratar datos sin finalidad legítima, no contar con medidas de seguridad adecuadas. Multa: entre 11 y 25 salarios mínimos.

• Infracciones Muy Graves: Comercializar datos sin consentimiento, transferir datos a países sin garantías adecuadas, recabar datos sensibles sin autorización. Multa: entre 26 y 40 salarios mínimos.

Además, se podrán ordenar medidas correctivas y, de ser necesario, abrir procesos civiles o penales.

¿Por Qué Todo Esto Debería Importarte? 

Porque esta ley te pone en el centro. En un mundo donde los datos personales se han convertido en la nueva moneda del siglo XXI, recuperar el control sobre tu información no es un lujo: es un derecho.

• Mayor Control: Tú decides quién accede a tu información y con qué propósito.

• Más Seguridad: Disminuye el riesgo de fraudes, robo de identidad, discriminación y manipulación.

• Transparencia Total: Se pone fin al tratamiento oculto o abusivo de tus datos por parte de entidades públicas o privadas.

• Modernización Institucional: Se obligará a empresas y organismos públicos a profesionalizar el tratamiento de datos, beneficiando a todos.

El Salvador en la Vanguardia Digital: Comienza la Era de la Privacidad 

Este nuevo marco normativo marca el inicio de una cultura de protección de datos en El Salvador. El reto está en implementarlo con responsabilidad, tanto para las instituciones, que deben adaptar sus procesos, como para los ciudadanos, que deben conocer y ejercer sus derechos.

El decreto entró en vigencia ocho días después de su publicación en el Diario Oficial (15 de noviembre de 2024). Sin embargo, muchas disposiciones se aplicarán de manera progresiva conforme la ACE emita las políticas y lineamientos específicos. Por ello, tanto ciudadanos como organizaciones deben prepararse desde ya.