Los Proveedores de Servicios de Activos Digitales y Certificadores supervisados por la Comisión Nacional de Activos Digitales (CNAD) deberán revisar la designación, perfil e inscripción de su Delegado de Protección de Datos Personales, así como establecer un canal institucional de comunicación ante la Agencia de Ciberseguridad del Estado (ACE), conforme a las nuevas disposiciones sobre protección de datos personales en El Salvador.

La protección de datos personales continúa tomando forma en El Salvador. Con la publicación de los Lineamientos para Delegados de Protección de Datos Personales por parte de la ACE, una obligación ya contemplada en la legislación ahora cuenta con reglas más concretas sobre el perfil, designación, registro y funcionamiento de esta figura.

En este contexto, la CNAD emitió la Circular No. 008-2026, dirigida a los Proveedores de Servicios de Activos Digitales y Certificadores bajo su supervisión, mediante la cual comunica los Lineamientos y establece un plazo de 20 días hábiles para que estos sujetos adecúen su estructura organizativa y operativa, de acuerdo con las nuevas disposiciones.

.

De una obligación general a reglas concretas 

La Ley para la Protección de Datos Personales, en su artículo 2, establece un amplio ámbito de aplicación para personas naturales y jurídicas, públicas o privadas, que realicen actividades relacionadas con el tratamiento de datos personales. A su vez, el artículo 15 establece la obligación de nombrar un Delegado de Protección de Datos Personales.

Los nuevos Lineamientos de la ACE desarrollan esta obligación, estableciendo requisitos para el perfil, designación, documentación, inscripción y comunicación del Delegado. En términos sencillos: la obligación ya existía; ahora existen reglas más definidas para cumplirla.

¿Quiénes deben prestar atención a esta nueva disposición?  

La Circular No. 008-2026 está dirigida específicamente a los Proveedores de Servicios de Activos Digitales y Certificadores supervisados por la CNAD.

Para estos sujetos, el plazo de adecuación comenzó a correr con la entrada en vigencia de los Lineamientos, el 19 de agosto de 2026. Por ello, deberían verificar desde ahora si cuentan con un Delegado de Protección de Datos Personales y si este cumple con los requisitos establecidos en los nuevos Lineamientos.

¿Qué debe revisar una entidad?

1. El perfil del Delegado Los Lineamientos establecen un perfil mínimo para ejercer esta función, relacionado con formación académica, experiencia profesional e idoneidad. Entre otros aspectos, se contemplan conocimientos o experiencia en áreas como protección de datos personales, cumplimiento normativo, gestión de riesgos, seguridad de la información o ciberseguridad.

La primera revisión debe centrarse, por tanto, en determinar si la persona propuesta o actualmente designada cumple con el perfil requerido.

2. La forma de designación 

El nombramiento debe quedar formalmente documentado, de acuerdo con las reglas aplicables a la organización y al tipo de Delegado designado.

No basta con identificar a la persona responsable: la entidad debe poder acreditar formalmente su designación.

3. La inscripción y comunicación ante la ACE 

Los sujetos obligados deberán realizar el procedimiento correspondiente para inscribir y comunicar el nombramiento de su Delegado ante la Dirección de Protección de Datos Personales de la ACE. Además, deberán considerar los plazos establecidos para comunicar modificaciones relacionadas con esta figura.

Como parte de esta adecuación, cada entidad deberá establecer un correo electrónico institucional que funcionará como canal oficial de comunicación con la Dirección de Protección de Datos Personales de la ACE y que deberá ser informado a la autoridad.

¿Qué ocurre con quienes ya tenían un Delegado?

Los Delegados nombrados antes de la entrada en vigor de los Lineamientos conservan la validez de su designación. Sin embargo, deberán someterse y aprobar el programa de certificación que implemente la ACE.

Por ello, las organizaciones que ya cuentan con esta figura también deberían revisar si su designación y perfil se encuentran alineados con las nuevas disposiciones.

¿Qué debería hacer una entidad supervisada por la CNAD ahora?

¿Por qué es relevante?

La publicación de estos Lineamientos representa un nuevo paso en la implementación del régimen de protección de datos personales en El Salvador y plantea nuevas consideraciones para las entidades supervisadas por la CNAD.

El cumplimiento no se limita al nombramiento de un Delegado, sino a asegurar que la organización se encuentre alineada con las nuevas exigencias. El momento para revisar su nivel de cumplimiento y adoptar las medidas necesarias es ahora.

En Torres Legal acompañamos a las entidades en la revisión de los Lineamientos, la evaluación de los requisitos aplicables, la designación y documentación del Delegado, así como el proceso de adecuación regulatoria correspondiente.