El 11 de agosto de 2026 se publicaron en el Diario Oficial los “Lineamientos para el Delegado de Protección de Datos Personales”, emitidos por la Agencia de Ciberseguridad del Estado (ACE), autoridad competente en materia de protección de datos personales. Dichos lineamientos entraron en vigencia el 20 de agosto de 2026. Sin embargo, la Asamblea Legislativa aprobó reformas significativas a la Ley para la Protección de Datos Personales (LPDP) que modifican sustancialmente el marco regulatorio del Delegado de Protección de Datos Personales.
El artículo 15 de la LPDP establecía la obligación de los sujetos obligados de nombrar un Delegado de Protección de Datos Personales. Sin embargo, las recientes reformas han derogado los artículos 15 y 17 de la LPDP, eliminando la obligación general de nombramiento del Delegado para el sector privado. Conforme al nuevo artículo 47, únicamente las instituciones públicas mantienen la obligación de nombrar un delegado de protección de datos personales, quien podrá ser el mismo Oficial de Información de la institución correspondiente.
Implicaciones para el sector privado
Tras la entrada en vigencia de las reformas, los sujetos obligados del sector privado ya no están obligados por ley a designar un Delegado de Protección de Datos Personales. No obstante, los Lineamientos emitidos por la ACE el 11 de agosto de 2026 continúan vigentes en lo que no contravengan la ley reformada, por lo que las empresas que voluntariamente decidan mantener o designar un Delegado podrán utilizar dichos lineamientos como referencia para establecer su perfil, funciones y régimen de operación. Las obligaciones relacionadas con la tramitación de los derechos ARCO-POL ahora recaen directamente en los sujetos obligados, de conformidad con el artículo 16 reformado de la LPDP.
Obligaciones para las instituciones públicas
De acuerdo con el nuevo artículo 47 de la LPDP, las instituciones públicas deberán nombrar un delegado de protección de datos personales para el ejercicio de los derechos contemplados en la ley. Este delegado podrá ser el mismo Oficial de Información de la institución pertinente, lo que facilita el cumplimiento de esta obligación al permitir que una misma persona ejerza ambas funciones.
¿Quiénes son los sujetos obligados conforme a la LPDP?
De conformidad con el artículo 2 reformado de la LPDP, son sujetos obligados toda persona natural o jurídica, de carácter público o privado, que lleve a cabo actividades relativas o conexas al tratamiento de datos personales, ya sea de manera manual, parcial o totalmente automatizada, o a través de terceros. Se incluyen aquellos sujetos que realicen las referidas actividades sin cumplir con los requisitos y límites dispuestos en la ley.
Perfil del Delegado de Protección de Datos Personales (referencia para designaciones voluntarias o del sector público)
Según los Lineamientos emitidos por la ACE (que pueden servir de referencia para las instituciones públicas y para aquellas entidades privadas que voluntariamente decidan designar un Delegado), para ser designado Delegado se requiere, como mínimo:
- Contar con grado universitario, de preferencia en Ciencias Jurídicas.
- Ser mayor de 21 años.
- Acreditar experiencia profesional o laboral en protección de datos personales, gestión de riesgos, cumplimiento normativo o ciberseguridad.
- No haber sido condenado, mediante sentencia firme, por delitos dolosos; ni haber sido sancionado, mediante resolución firme, por infracciones a la LPDP.
- Someterse y aprobar el “Programa de Certificación de Delegados de Protección de Datos Personales” que emita la ACE.
Formalidades del nombramiento del Delegado (referencia para designaciones voluntarias o del sector público)
- Tratándose de personas jurídicas, el nombramiento debe constar en acta de Junta Directiva, del Administrador Único o de la máxima autoridad que corresponda.
- Tratándose de personas naturales, el nombramiento debe constar en acta con firma legalizada por notario o con firma electrónica certificada.
- El nombramiento debe incluir los datos del Delegado, la fecha de inicio de sus funciones y sus atribuciones.
- El nombramiento debe notificarse al Delegado dentro de los 3 días hábiles siguientes a su designación.
- Previo a aceptar el cargo, el Delegado debe suscribir una declaración jurada sobre la existencia o no de conflictos de interés.
Modalidades del Delegado (referencia para designaciones voluntarias o del sector público)
- Puede ser interno o externo.
- Puede ser persona natural o jurídica.
- Puede designarse un Delegado extranjero.
- Los grupos de sociedades vinculadas pueden compartir un mismo Delegado.
- Pueden nombrarse más de un Delegado, así como Delegados sustitutos.
Facultades, independencia y prohibiciones del Delegado (referencia para designaciones voluntarias o del sector público)
Conforme a los Lineamientos de la ACE, el Delegado es el encargado de gestionar y tramitar las solicitudes para el ejercicio de los derechos ARCO-POL. Es importante destacar que, tras las reformas, el artículo 16 de la LPDP establece que las obligaciones relacionadas con la tramitación de los derechos ARCO-POL recaen directamente en los sujetos obligados, quienes deben auxiliar y orientar a sus dependencias o proveedores, y establecer lineamientos internos para la gestión eficiente de estas solicitudes. El Delegado actúa con autonomía e independencia funcional y reporta directamente al más alto nivel de dirección del responsable. No puede representar al responsable ante la ACE ni tomar decisiones sobre los fines o medios del tratamiento de datos. Las solicitudes de derechos ARCO-POL deben resolverse dentro de 20 días hábiles, con posibilidad de prórroga por otros 20 días hábiles por causas justificadas. El Delegado conserva un deber de confidencialidad que subsiste incluso 5 años después de haber cesado en el cargo.
Cesación, sustitución y formación continua (referencia para designaciones voluntarias o del sector público)
El perfil del Delegado debe verificarse al menos cada 3 años. Ante renuncia, fallecimiento o cualquier otra causa de cese, debe nombrarse un nuevo Delegado dentro de los 10 días hábiles siguientes a la ocurrencia del hecho. Asimismo, el Delegado debe recibir capacitación en materia de protección de datos personales al menos una vez al año.
Nota de actualización: Este artículo fue publicado originalmente el 11 de septiembre de 2026. Ha sido actualizado el 29 de septiembre de 2026 para reflejar las reformas a la Ley para la Protección de Datos Personales.
