El 11 de agosto de 2026 se publicaron en el Diario Oficial los “Lineamientos para el Delegado de Protección de Datos Personales”, emitidos por la Agencia de Ciberseguridad del Estado (ACE), autoridad competente en materia de protección de datos personales. Dichos lineamientos entraron en vigencia ocho días después de su publicación, es decir, el 20 de agosto de 2026.
El artículo 15 de la Ley para la Protección de Datos Personales (LPDP) establece la obligación de los sujetos obligados de nombrar un Delegado de Protección de Datos Personales. En virtud de ello, la ACE emitió estos lineamientos con el fin de desarrollar lo relativo al perfil, nombramiento, certificación y facultades del Delegado, delimitando y acreditando las actuaciones que, conforme a derecho, le corresponden.
¿Quiénes son los sujetos obligados?
De conformidad con la LPDP, son sujetos obligados toda persona natural o jurídica, de carácter público o privado, que lleve a cabo actividades relativas o conexas al tratamiento de datos personales, ya sea de manera manual, parcial o totalmente automatizada, o a través de terceros.
Perfil del Delegado de Protección de Datos Personales
Según los lineamientos, para ser designado Delegado se requiere, como mínimo:
- Contar con grado universitario, de preferencia en Ciencias Jurídicas.
- Ser mayor de 21 años.
- Acreditar experiencia profesional o laboral en protección de datos personales, gestión de riesgos, cumplimiento normativo o ciberseguridad.
- No haber sido condenado, mediante sentencia firme, por delitos dolosos; ni haber sido sancionado, mediante resolución firme, por infracciones a la LPDP.
- Someterse y aprobar el “Programa de Certificación de Delegados de Protección de Datos Personales” que emita la ACE.
Formalidades del nombramiento del Delegado
- Tratándose de personas jurídicas, el nombramiento debe constar en acta de Junta Directiva, del Administrador Único o de la máxima autoridad que corresponda.
- Tratándose de personas naturales, el nombramiento debe constar en acta con firma legalizada por notario o con firma electrónica certificada.
- El nombramiento debe incluir los datos del Delegado, la fecha de inicio de sus funciones y sus atribuciones.
- El nombramiento debe notificarse al Delegado dentro de los 3 días hábiles siguientes a su designación.
- Previo a aceptar el cargo, el Delegado debe suscribir una declaración jurada sobre la existencia o no de conflictos de interés.
Registro del Delegado ante la ACE
Todo nombramiento de Delegado debe ser comunicado por el responsable a la Dirección de Protección de Datos Personales de la ACE, dentro de un plazo máximo de 15 días hábiles contados a partir del día siguiente de su nombramiento. Cualquier modificación a la información del Delegado debe reportarse dentro de un plazo máximo de 10 días hábiles.
Mientras la plataforma del Registro de Delegados no esté habilitada, esta comunicación deberá realizarse por oficio, escrito o correo institucional dirigido a la Dirección de Protección de Datos Personales de la ACE, dentro de los 20 días hábiles siguientes a la entrada en vigencia de los lineamientos, es decir, a más tardar el día 16 de septiembre de 2026.
Modalidades del Delegado
- Puede ser interno o externo.
- Puede ser persona natural o jurídica.
- Puede designarse un Delegado extranjero.
- Los grupos de sociedades vinculadas pueden compartir un mismo Delegado.
- Pueden nombrarse más de un Delegado, así como Delegados sustitutos.
Facultades, independencia y prohibiciones del Delegado
El Delegado es el encargado de gestionar y tramitar las solicitudes para el ejercicio de los derechos ARCO-POL; el artículo 16 de la LPDP detalla el resto de sus atribuciones. Actúa con autonomía e independencia funcional y reporta directamente al más alto nivel de dirección del responsable. No puede representar al responsable ante la ACE ni tomar decisiones sobre los fines o medios del tratamiento de datos. Debe resolver las solicitudes de derechos ARCO-POL dentro de 20 días hábiles, publicar el aviso de privacidad correspondiente, y conserva un deber de confidencialidad que subsiste incluso 5 años después de haber cesado en el cargo.
Cesación, sustitución y formación continua
El perfil del Delegado debe verificarse al menos cada 3 años. Ante renuncia, fallecimiento o cualquier otra causa de cese, debe nombrarse un nuevo Delegado dentro de los 10 días hábiles siguientes a la ocurrencia del hecho. Asimismo, el Delegado debe recibir capacitación en materia de protección de datos personales al menos una vez al año.
