Políticas de Actuación y Manejo de Datos Personales en El Salvador: Guía Detallada de Cumplimiento Empresarial
El Salvador fortalece su marco regulatorio en materia de protección de datos personales con la entrada en vigor de las Políticas de Actuación y Manejo de Datos Personales, emitidas por la Agencia de Ciberseguridad del Estado (ACE).
Estas políticas desarrollan los principios de la Ley para la Protección de Datos Personales (LPDP) y establecen lineamientos obligatorios que deben ser adoptados por empresas privadas, instituciones públicas, ONGs, universidades, prestadores de servicios tecnológicos y cualquier entidad que recolecte, procese o almacene datos personales.
1. Alcance y obligatoriedad
Las políticas son de cumplimiento inmediato y general, aplicando a todo tipo de tratamiento de datos personales:
- Datos básicos: nombre, dirección, correo, teléfono.
- Datos sensibles: información médica, biométrica, financiera, religiosa, política.
- Datos en soportes físicos y digitales, incluyendo sistemas en la nube, aplicaciones y videovigilancia.
La ACE podrá auditar, requerir información, imponer sanciones y ordenar medidas correctivas en caso de incumplimiento.
2. Principios rectores
Toda organización debe implementar sus políticas internas conforme a los principios de la LPDP:
- Consentimiento informado: ningún tratamiento sin autorización clara del titular.
- Finalidad específica: los datos solo pueden usarse para el propósito para el cual fueron recolectados.
- Minimización: no recolectar más información de la estrictamente necesaria.
- Seguridad: obligación de aplicar medidas técnicas, físicas y organizativas de resguardo.
- Transparencia: los titulares deben conocer cómo y para qué se usan sus datos.
3. Obligaciones empresariales
Las Políticas de Actuación detallan obligaciones concretas que toda entidad debe cumplir:
a) Gestión organizativa
- Elaborar manuales y protocolos internos de protección de datos.
- Crear un registro de actividades de tratamiento.
- Realizar evaluaciones de impacto en privacidad cuando se manejen datos sensibles o de alto riesgo.
- Nombrar un Delegado de Protección de Datos (DPO) en organizaciones con tratamiento sistemático, masivo o de datos sensibles.
b) Medidas técnicas
- Cifrado de datos en tránsito y en reposo.
- Autenticación de usuarios (contraseñas robustas, doble factor).
- Copias de seguridad periódicas y pruebas de restauración.
- Pruebas de penetración y controles de seguridad perimetral.
c) Medidas físicas
- Control de acceso a instalaciones y servidores.
- Almacenamiento seguro de documentos físicos.
- Sistemas de videovigilancia bajo normativa.
- Destrucción segura de soportes y dispositivos.
d) Transferencias de datos
- Contratos de confidencialidad y cláusulas específicas con terceros encargados.
- Transmisión cifrada en cualquier comunicación.
- Notificación a la ACE y a los titulares de incidentes o brechas de seguridad en un máximo de 72 horas.
4.Supervisión y sanciones
La ACE establece que las organizaciones deben:
- Realizar auditorías internas periódicas.
- Actualizar políticas conforme a cambios normativos.
- Documentar evidencias de cumplimiento.
El incumplimiento se clasifica en:
- Infracciones leves: incumplimientos formales.
- Infracciones graves: omisión de protocolos, falta de notificación de incidentes.
- Infracciones muy graves: tratamiento sin consentimiento, transferencia ilícita, filtraciones masivas.
Las sanciones pueden alcanzar multas millonarias, suspensión de operaciones o responsabilidad penal en casos extremos.
5. Implicaciones estratégicas para empresas
Más allá de la obligación legal, cumplir con estas políticas implica:
- Reducir riesgos legales y financieros.
- Fortalecer la confianza de clientes, empleados y aliados estratégicos.
- Abrir oportunidades comerciales internacionales, al alinearse con estándares internacionales como GDPR y ISO 27001.
6. Cómo Lexincorp puede apoyar a tu organización
En Lexincorp acompañamos a empresas de todos los sectores en la implementación de estas políticas mediante:
✔ Diagnósticos de cumplimiento con la LPDP y las Políticas de Actuación.
✔ Redacción y adecuación de manuales, protocolos internos y contratos con terceros.
✔ Capacitación a equipos en protección de datos y ciberseguridad.
✔ Asesoría en designación y funciones del DPO.
✔ Representación en auditorías, inspecciones o procesos sancionatorios.
Cumplir ya no es opcional. Cumplir es estratégico.
Contáctanos en info@lexincorp.com
