Protección de datos personales · El Salvador
Determine si la Ley para la Protección de Datos Personales alcanza los tratamientos de su organización, qué modalidad de DPD corresponde y qué capacidad operativa necesita para ejercer la función de forma documentada.
Servicio DPD de Volkano
Volkano presta servicios de Delegado de Protección de Datos (DPD) externo en El Salvador. El servicio integra privacidad, ciberseguridad, procesos, operación, gestión y documentación.
Cuando el alcance requiere intervención jurídica, se coordina con profesionales de Ciencias Jurídicas o abogados. Cada contratación se estructura según el alcance acordado y los requerimientos aplicables.
Hablar con Volkano sobre DPD02 · Relevancia y alcance
El análisis debe partir de los tratamientos; no depende únicamente del tamaño, sector o forma jurídica.
La LPDP tiene alcance amplio sobre personas naturales y jurídicas, públicas o privadas, que desarrollan actividades relativas o vinculadas con datos personales. Comprende tratamientos manuales o automatizados, directos o mediante terceros.
Puede incluir datos de clientes, personal, candidatos, proveedores, usuarios, visitantes o beneficiarios; expedientes físicos, videovigilancia, canales digitales, acceso, facturación, mercadeo, soporte y relaciones contractuales.
Cuando una persona u organización sea sujeto obligado, debe nombrar DPD. La evaluación documenta datos, finalidades, quién decide, terceros y exclusiones.
Guía analítica, no transcripción del artículo 3: una actividad excluida no excluye necesariamente los demás tratamientos de la misma organización.
Preguntas prácticas de diagnóstico · no son exclusiones
Base normativa: LPDP, arts. 2, 3 y 15. Orienta, pero no sustituye la evaluación jurídica y operativa concreta.
03 · Función y frontera
El DPD tiene atribuciones concretas y autonomía. Su designación no transfiere las decisiones ni obligaciones del responsable.
Recibe, tramita y resuelve acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación. Orienta, propone procedimientos, asesora y capacita.
Establece entrega segura solo al titular o representante; publica el aviso que cumple requisitos y fue autorizado; y participa tempranamente en nuevos tratamientos, productos o servicios.
La cooperación es una obligación operativa. Cada dependencia o área, empleado y proveedor del responsable debe asistir y atender las solicitudes que el DPD canalice al ejercer sus funciones. Esto habilita acceso oportuno a información, personas y ejecución, pero no traslada al DPD las responsabilidades propias de esas áreas o proveedores.
Responsable del tratamiento
Delegado de Protección de Datos
El DPD puede poner en conocimiento de ACE hechos o situaciones atribuibles al responsable o encargado que, relacionados con el ejercicio de sus funciones, pudieran constituir incumplimiento de las normas de protección de datos o menoscabar su independencia o autonomía.
El DPD no responde por las decisiones finales ejecutadas por el responsable o encargado cuando pueda demostrar que desempeñó diligentemente sus funciones conforme al marco aplicable. Esta delimitación depende de la diligencia acreditada y no constituye inmunidad general ni elimina sus deberes propios.
Base: LPDP, arts. 15 a 17; Lineamientos, arts. 23 a 31. Su criterio técnico, jurídico y procedimental no debe recibir instrucciones que comprometan independencia.
04 · Persona, modalidad e idoneidad
La modalidad debe preservar idoneidad, independencia, disponibilidad y capacidad efectiva.
A · Persona natural que ejerce la función
Estos requisitos corresponden a la persona natural formalmente designada, tanto si se integra a la organización como si presta el servicio de forma externa.
Lineamientos, arts. 5, 20 a 21 y 23 a 28.
La persona designada debe superar esta edad al ejercer la función.
Debe contar con formación universitaria acreditable. Los Lineamientos establecen preferencia por profesionales graduados en Ciencias Jurídicas, sin configurar esa formación como requisito exclusivo.
La experiencia profesional o laboral puede acreditarse en cualquiera de las materias reconocidas:
No se exige acreditar experiencia en todas estas materias. Los Lineamientos permiten acreditar experiencia profesional o laboral en una o más de ellas.
Debe cumplir las condiciones aplicables de integridad, condenas firmes y sanciones, declarar conflictos reales, potenciales o aparentes y ejercer sin instrucciones que comprometan su independencia. Otras tareas solo son admisibles si resultan compatibles y no determinan fines o medios.
Los requisitos deben permanecer satisfechos durante todo el ejercicio. La idoneidad se revisa como mínimo una vez cada 3 años.
01
Se integra a la estructura de la organización. Debe contar con independencia, reporte adecuado, recursos y ausencia de incompatibilidades.
La evaluación considera conocimiento, disponibilidad, continuidad, carga y conflictos.
02
Es un profesional contratado y formalmente designado. Debe cumplir el perfil individual, mantener independencia y disponibilidad, y asumir las obligaciones contractuales aplicables.
La evaluación considera cobertura, atención, acceso, confidencialidad y coordinación.
B · Persona jurídica que presta DPD externo
La entidad proveedora organiza el servicio, pero debe designar expresamente a una persona natural que ejerza la función de DPD.
La persona jurídica debe acreditar experiencia corporativa relevante y mantener un equipo técnico multidisciplinario. Como mínimo, ese equipo incluye:
También debe disponer de estructura suficiente para atender ARCO-POL, consultas, incidentes y cooperación con ACE; cumplir la condición aplicable de elegibilidad contractual vinculada con sanciones firmes de contratación pública; y utilizar a la persona natural designada como contacto principal entre responsable, titular y ACE.
El requisito de equipo multidisciplinario corresponde al modelo de DPD externo prestado por una persona jurídica. No significa que cada persona natural que ejerza como DPD deba reunir individualmente todas esas profesiones o especialidades.
Aplicará cuando el programa se desarrolle, implemente y entre en vigor. Volkano no afirma contar actualmente con certificación ACE.
Base: Lineamientos, arts. 5 y 13 a 28.
05 · Formalización y plazos críticos
Nombramiento, comunicación a ACE, inscripción y credencial son actuaciones distintas.
El responsable verifica perfil, modalidad, capacidad y conflictos. Antes de aceptar, la persona designada presenta una declaración jurada simple sobre conflictos reales, potenciales o aparentes. En una persona jurídica privada, el nombramiento consta en acuerdo o acta emitido por la máxima autoridad de gobierno aplicable, incluido el órgano denominado por los Lineamientos o su equivalente. Si el responsable es persona natural, consta en un acta con firma manuscrita debidamente notariada o firma electrónica certificada, según los Lineamientos.
Actor: responsable. Modalidad, título, experiencia, integridad, idoneidad, conflictos, recursos, acceso y reporte.
Actor: autoridad competente o responsable persona natural. Acuerdo, acta o resolución aplicable; declaración jurada simple, aceptación y documentación de la modalidad externa.
Disparador: designación. Actor: responsable. Periodo: 3 días hábiles siguientes. Acción: notificar inicio y alcance y conservar constancia. Los Lineamientos consideran que el DPD entra en funciones desde la fecha de notificación del nombramiento o de celebración del contrato, según la modalidad aplicable.
Disparador: nombramiento. Actor: responsable. Periodo: máximo 15 días hábiles desde el día siguiente. Acción: comunicar por canal vigente verificado.
Disparador: recepción y requisitos cumplidos. Actor: ACE. Periodo separado: máximo 15 días hábiles. Acción: emitir credencial del Registro Público.
Actor: organización y DPD. Contacto, formularios, accesos, escalamiento, ARCO-POL, evidencia, informes y capacitación.
Ejemplo de cómputo
El plazo del responsable comienza el día siguiente al nombramiento y comprende un máximo de 15 días hábiles. Su cómputo depende de la fecha real y de días no laborables o feriados. El periodo de ACE empieza separadamente con la recepción y el cumplimiento de los requisitos.
Cambio registral: máximo 10 días hábiles siguientes al cambio para comunicar.
No inscripción: comunicadas deficiencias, 10 días hábiles para nombrar otro DPD.
Cese o suspensión: el hecho activa 10 días hábiles para nombrar nuevo DPD. Se verifica el canal vigente para reemplazo, modificación o cese.
Base: Lineamientos, arts. 6–12, 17–19 y 40. Formulario oficial (abre en una nueva pestaña).
06 · Derechos, canal y resolución
Siete derechos, canal accesible, identidad verificada, plazos controlados, resolución y entrega segura.
Los formularios oficiales de ACE deben aceptarse aunque la organización utilice formularios propios. El responsable debe ponerlos a disposición del público por canales apropiados, que pueden incluir sitio web, plataformas digitales, oficinas u otros canales institucionales. Cuando corresponda, debe garantizar formularios físicos y acceso efectivo en sus instalaciones.
Recepción: registro del ingreso.
Acreditación: identificar derecho y asegurar entrega al titular o representante.
Incompleta: una prevención; notificada, activa 10 días hábiles para subsanar. Sin subsanación, archivo o cierre sin impedir nueva solicitud.
Incompetencia o derecho distinto: recepción activa 5 días hábiles para comunicar y devolver.
Resolución: recepción activa 20 días hábiles para responder.
Ampliación: hasta 20 adicionales, justificada dentro del periodo ordinario y notificada en 3 días hábiles desde emisión.
Denegación: solo por causa legal, motivada; emitida, razones en 3 días hábiles.
Actuaciones: admisión, prevención, subsanación, reconocimiento, incompetencia, denegación o final se documentan y notifican en 3 días hábiles desde emisión.
ACE: notificada la resolución, el titular tiene 10 días hábiles para presentar escrito.
Entrega: ejecución segura solo al titular o representante acreditado.
Destinatarios previos: determinada rectificación, actualización o eliminación, comunicarla en 5 días hábiles posteriores.
Costos: ejercicio gratuito; solo reproducción, certificación y envío permitidos. Entrega electrónica sin costo cuando sea posible; el responsable comunica costos.
Evidencia recomendada: solicitud, acreditación, actuaciones, comunicaciones, resolución, entrega y medidas; es recomendación cuando excede enumeración literal.
Base: LPDP, arts. 8–14 y 18–23; Lineamientos, arts. 32–39; formularios ACE.
07 · Operación ordinaria
La función es continua, documentada y contiene actividades periódicas.
Cuando sea necesario
El DPD informa sobre funciones, tratamientos, estadísticas ARCO-POL y asuntos relevantes. Documenta recomendaciones, seguimiento y no adopción. Participa tempranamente en nuevos tratamientos, productos o servicios.
Periodicidad mínima
Informes al menos dos veces al año. El responsable garantiza capacitación anual del DPD en datos y ARCO-POL. El DPD prepara plan anual del personal e inducción pertinente.
Largo plazo
El DPD publica el aviso autorizado que cumple requisitos. Autorización y publicación se conservan mínimo 10 años por el responsable, sin perjuicio de otros plazos. Tras el cese, secreto y confidencialidad continúan 5 años.
El responsable facilita recursos humanos, técnicos y materiales, infraestructura, herramientas, información y acceso. ACE fija mínimos; la organización define su calendario concreto.
El artículo 24 exige que el aviso contemple, como mínimo y según resulte aplicable:
El DPD lo publica únicamente después de la autorización previa del responsable y una vez satisfechos los requisitos aplicables. El responsable conserva por un mínimo de 10 años la documentación de autorización y publicación, sin perjuicio de otros plazos.
Base: Lineamientos, arts. 20–31 y 36–39.
08 · Respuesta y controles
Notificar corresponde al responsable. El DPD puede asistir, pero no reemplaza al obligado.
Disparador
El responsable conoce una vulneración: daño, pérdida, alteración, destrucción, acceso ilegítimo o uso ilícito o no autorizado, incluso accidental.
Periodo
Máximo 72 horas desde que el responsable conoce la vulneración. El plazo no se cuenta en días hábiles.
Dentro del periodo
Notificar a ACE, FGR y titulares afectados; iniciar revisión exhaustiva.
La revisión examina magnitud, efectos, medidas correctivas y preventivas y políticas. ACE recibe naturaleza, datos comprometidos, acciones correctivas generales inmediatas, recomendaciones y medios de información. Los titulares reciben naturaleza, datos, recomendaciones y medios; la LPDP no exige allí el apartado de acciones correctivas inmediatas previsto para ACE.
El responsable documenta fecha, motivo, hechos, efectos o implicaciones y medidas inmediatas y definitivas, disponibles para la autoridad.
Notifica, inicia revisión, evalúa magnitud, decide medidas, revisa políticas y documenta.
Recibe escalamiento, orienta, apoya evaluación y coordinación, recomienda, organiza evidencia y da seguimiento.
Apoya documentación, coordinación, controles, ejercicios o manejo operativo según contrato. No asume la obligación legal.
Política, DPD y recursos, capacitación, registro de tratamientos, EIPD, auditorías y procedimientos.
Acceso, 2FA, perfiles, cifrado en almacenamiento y tránsito, respaldos, recuperación e infraestructura.
Firewalls, antivirus, IDS/IPS, vulnerabilidades, pentesting, digitalización y documentación. MFA/IAM son lenguaje técnico amplio, no formulación literal de ACE.
Instalaciones, monitoreo, almacenamiento, desastres y eliminación segura.
Comunicaciones seguras, acuerdos de confidencialidad y transferencia y controles aplicables.
Base: LPDP, art. 25; Políticas ACE. Estos controles pertenecen al gobierno y seguridad organizacional, no son funciones exclusivas del DPD.
09 · Servicio Volkano
Cada contratación identifica trabajo, cadencia, dependencias y actor responsable.
Un servicio DPD serio no es únicamente tecnológico. Volkano aporta implementación técnica, seguridad, procesos, gestión operativa, documentación y controles tecnológicos. El componente jurídico se trabaja coordinadamente con profesionales de Ciencias Jurídicas o abogados, según el alcance contratado.
Acompañamiento coordinado entre privacidad, ciberseguridad y profesionales de Ciencias Jurídicas.Solo contratada y formalizada bajo la estructura aplicable, incluida persona natural designada.
Canal; recepción, registro, tramitación y resolución ARCO-POL; acreditación y entrega; propuesta de procedimiento; asesoría; recomendaciones; informes; capacitación; participación temprana; avisos autorizados; enlace ACE y evidencia.
Cliente: fines, medios, decisiones, recursos, aprobaciones, medidas y obligaciones. Cadencia: recurrente, por plazos/eventos e informes necesarios y al menos dos al año.
Proyecto inicial, específico o soporte separado de la función DPD.
Aplicabilidad, tratamientos y actores; modalidad, perfil y conflictos; expediente y soporte ACE; formularios, procedimientos, matrices, registro de actividades, políticas, avisos, terceros, transferencias, EIPD, auditorías, capacitación y evidencia.
Cliente: información, acceso, aprobaciones, formalización, cooperación y ejecución. Límite: no garantiza inscripción, aprobación, acreditación ni criterio favorable.
Respalda seguridad; no convierte controles en funciones exclusivas del DPD.
Controles; identidades, privilegios, MFA, cifrado, respaldos, recuperación, infraestructura, vulnerabilidades, pentesting, flujo de brechas, escalamiento, plantillas, evidencia, ejercicios y coordinación jurídica-técnica.
Cliente: remediación, recursos, sistemas, riesgo y notificaciones. Límite: no transfiere obligaciones ni garantiza ausencia de incidentes.
Alcance configurable. La declaración de trabajo y nombramiento determinan actividades, periodicidad y responsabilidades.
Definir un alcance de trabajo ↗10 · Aplicabilidad, estructura y continuidad
Respuestas generales; la decisión depende de tratamientos, estructura y condiciones vigentes ante ACE.
No debe afirmarse que toda empresa está automáticamente obligada. La LPDP tiene alcance amplio y sus sujetos obligados deben nombrar DPD, pero la conclusión requiere analizar tratamientos y exclusiones. Base normativa: LPDP, arts. 2, 3 y 15.
La LPDP no establece el tamaño como exclusión general. Deben analizarse los artículos 2 y 3, los tratamientos, el papel de la organización y las exclusiones aplicables. Base normativa: LPDP, arts. 2, 3 y 15.
No necesariamente. Son exclusiones de tratamientos o situaciones específicas. Como criterio de análisis, no como regla literal, conviene revisar cada tratamiento: unos pueden estar excluidos y otros permanecer dentro. Base normativa: LPDP, arts. 2 y 3.
No exclusivamente. Los Lineamientos prefieren Ciencias Jurídicas sin convertirlo en requisito exclusivo y reconocen experiencia en privacidad, procedimientos administrativos legales, cumplimiento, riesgos, TI, seguridad o ciberseguridad. Base normativa: Lineamientos, art. 5.
Será aplicable cuando el Programa de Certificación se haya desarrollado, implementado y entre en vigor. No debe asumirse certificación actual sin evidencia oficial. Base normativa: Lineamientos, arts. 5 y 20–21.
Los cargos gerenciales, ejecutivos, de dirección o máxima autoridad del artículo 28 constituyen conflicto. La excepción exige funciones limitadas al DPD y apoyo técnico directo. Importan las funciones reales; ninguna puede determinar fines o medios o comprometer independencia. Base: Lineamientos, arts. 23–28.
El interno integra la estructura; el externo actúa por contrato. Ambos cumplen perfil, independencia, recursos y desempeño. La elección depende de capacidad, disponibilidad, conflictos, continuidad y complejidad. Base: Lineamientos, arts. 13–19.
Sí. Acredita experiencia corporativa, designa una persona natural como contacto principal y tiene equipo con, al menos, profesional jurídico y experto en ciberseguridad, sistemas o riesgos, estructura operativa y elegibilidad aplicable sobre sanciones firmes de contratación pública. Base: Lineamientos, art. 14.
Sí, si una relación legal o económica lo justifica. Cada entidad asegura recursos y desempeño; el DPD es accesible para titulares y ACE y resuelve separadamente por entidad. Base: Lineamientos, arts. 13–19.
Sí. Se consideran naturaleza de datos, dimensión y complejidad, estructura, volumen ARCO-POL y riesgo; se delimitan responsabilidades, coordinación, acceso y continuidad sin afectar independencia. Base: Lineamientos, art. 17.
Sí. Cubre los supuestos previstos, cumple los mismos requisitos del titular y su designación y actuación se documentan y comunican. Base: Lineamientos, arts. 17–19.
Sí, sujeto a compromiso de cumplir la ley salvadoreña y cooperar, condiciones de trabajo y calendario local, requerimientos ACE y cláusulas de confidencialidad, responsabilidad y garantías. El responsable conserva responsabilidad y riesgo. Base: Lineamientos, arts. 13–19.
No. Se verifica antes, se mantiene durante el ejercicio y se revisa como mínimo cada 3 años. Base: Lineamientos, arts. 5 y 20–21.
No. Nombramiento es la designación formal; luego el responsable comunica. Inscripción y credencial son actuaciones posteriores y distintas. Base: Lineamientos, arts. 6–12.
Comunicadas las deficiencias por incumplimiento, el responsable nombra otro DPD dentro de los 10 días hábiles siguientes. La inscripción no valida automáticamente idoneidad. Base: Lineamientos, art. 12.
El cambio activa un máximo de 10 días hábiles para comunicarlo con evidencia por canales vigentes de ACE, que deben verificarse antes. Base: Lineamientos, arts. 6–12 y 40.
El hecho activa 10 días hábiles para nombrar nuevo DPD y realizar comunicaciones por canales vigentes. Los sustitutos cumplen iguales requisitos. Base: Lineamientos, arts. 17–19.
El DPD puede hacer una sola prevención. Notificada, el titular tiene 10 días hábiles para subsanar; si no, se archiva o cierra sin impedir otra solicitud. Base: LPDP, art. 18.
El responsable. Desde que conoce la vulneración dispone de un máximo de 72 horas, contadas de forma continua, para notificar a ACE, FGR y titulares afectados e iniciar una revisión exhaustiva. El DPD apoya; no sustituye al responsable. Base: LPDP, art. 25.
Mientras la plataforma informática del Registro de Delegados no se encuentre habilitada, los Lineamientos contemplan mecanismos transitorios de comunicación ante la Dirección de Protección de Datos Personales de ACE. Antes de realizar una comunicación debe verificarse el canal e instrucciones vigentes publicados por ACE. Base: Lineamientos, art. 40.
Información general; no sustituye el análisis de una organización o solicitud específica.
11 · Evidencia oficial
Consulte siempre la versión vigente y confirme con ACE cualquier canal operativo sujeto a cambios.
Alcance, exclusiones, nombramiento, funciones, ARCO-POL y brechas.
Consultar fuente oficial (abre en una nueva pestaña)Perfil, modalidades, formalización, registro, credencial, independencia, operación y casos especiales. Diario Oficial No. 146, Tomo 452, 11 de agosto de 2026.
Consultar fuente oficial (abre en una nueva pestaña)Medidas organizativas, técnicas, físicas y de transferencia.
Consultar fuente oficial (abre en una nueva pestaña)Recurso de ACE; verifique formulario y canal vigentes.
Consultar fuente oficial (abre en una nueva pestaña)Modelos para los siete derechos; deben estar disponibles y aceptarse.
Consultar fuente oficial (abre en una nueva pestaña)Marco oficial del procedimiento sancionador de protección de datos.
Consultar fuente oficial (abre en una nueva pestaña)Índice para documentos vigentes, actualizaciones y referencias operativas.
Consultar fuente oficial (abre en una nueva pestaña)Fuentes primarias oficiales. Su inclusión no implica respaldo, acreditación, certificación ni aprobación de Volkano por ACE.
12 · Conversación inicial
Revise si la LPDP alcanza sus tratamientos, qué modalidad resulta adecuada y qué recursos necesita para operar con independencia, plazos y evidencia.
Volkano puede evaluar el contexto, delimitar responsabilidades y proponer alcance para función DPD, privacidad o ciberseguridad.
Hablar con Volkano sobre DPD