Por: Walter A. Chávez (edición asistida por IA).
La Ley para la Protección de Datos Personales (LPDP) nace con la loable intención constitucional de tutelar el derecho a la intimidad y a la autodeterminación informativa de las personas naturales. Sin embargo, en su redacción técnica padece de una ambigüedad estructural que distorsiona severamente su ámbito de aplicación. El artículo 2 establece de forma tajante que la norma se aplicará a toda persona natural o jurídica que «lleve a cabo actividades relativas o conexas al tratamiento de datos personales», sin precisar jamás si dicha actividad debe constituir el giro principal, comercial u operacional del negocio. Se ha sostenido, en sentido contrario, que la expresión «actividades relativas o conexas» exigiría que el dato personal no aparezca de forma meramente accidental, sino que medie una relación permanente entre la actividad y el tratamiento; pero la ley no recoge ese matiz en su texto ni lo traduce en un umbral verificable. Al obviar un umbral de entrada o un criterio de riesgo ponderado, la norma equipara conceptualmente a una corporación tecnológica o entidad financiera con un pequeño comercio.
En la práctica societaria salvadoreña, esta omisión vuelve virtualmente imposible quedar excluido de la condición de sujeto obligado: el artículo 3 contempla exclusiones puntuales el tratamiento en el ámbito familiar o doméstico, los registros públicos, el registro del estado familiar y los tratamientos efectuados en aplicación de la normativa del Documento Único de Identidad, pero ninguna de ellas alcanza a la gestión mercantil ordinaria. Desde el acto mismo de constitución de una sociedad, la recopilación de credenciales de administración y la inscripción de los miembros de una Junta Directiva implican almacenar nombres, firmas y números de Documento Único de Identidad (DUI). Dado que la norma define como dato personal aquella información en texto, imagen o audio que permita la identificación de una persona natural incluyendo expresamente sus canales de contacto, esto es, número telefónico y dirección electrónica y no diferencia entre datos personales de la esfera privada y datos de contacto profesional o institucional (como correos corporativos o números telefónicos de trabajo), la simple gestión mercantil ordinaria activa la calidad de responsable del tratamiento.
Esta hiper-extensión normativa genera una grave sobrecarga para las micro y pequeñas empresas (MIPYMES). Lejos de concentrar sus esfuerzos, tiempo y recursos limitados en la productividad diaria, la supervivencia comercial y la generación de empleo, los pequeños emprendedores se ven forzados a enfrentar un complejo entramado burocrático. Bajo el artículo 15 de la ley, todo sujeto obligado debe nombrar obligatoriamente un Delegado de Protección de Datos (DPD); y conforme a los Lineamientos para el Delegado de Protección de Datos Personales emitidos por la ACE publicados en el Diario Oficial el 11 de agosto de 2026 dicho delegado debe contar con grado universitario, experiencia acreditada y, una vez entre en vigencia el programa respectivo, certificación de la propia Agencia como condición de validez del nombramiento. A ello se suma la carga de estructurar avisos de privacidad y habilitar canalizaciones formales para atender solicitudes de derechos ARCO-POL. Todo esto bajo el constante temor a las severas sanciones impuestas por la Agencia de Ciberseguridad del Estado (ACE), cuyas multas administrativas oscilan entre 1 y 40 salarios mínimos del sector comercio.
El absurdo operativo se evidencia en la gestión del talento humano. Un pequeño taller o restaurante que no solicite ni conserve un solo dato de sus clientes por vender sus productos al contado en mostrador se convierte automáticamente en sujeto obligado de la ley por el mero hecho de resguardar los contratos individuales de trabajo de sus empleados. Aunque dichos expedientes reposen en carpetas físicas de papel y no en bases de datos digitales, la conservación de esos documentos constituye legalmente una operación de almacenamiento de datos personales, exponiendo al pequeño comerciante a multas si omite nombrar un DPD o estructurar las políticas requeridas.
Al comparar nuestra LPDP con el Reglamento General de Protección de Datos (RGPD) de la Unión Europea norma de referencia internacional, la diferencia en cuanto a racionalidad regulatoria es contundente:
1. Nombramiento del Delegado (DPD): En el RGPD europeo (Art. 37), la designación de un DPO no es obligatoria para todas las empresas. Solo se exige a autoridades públicas o a entidades que realicen monitoreo masivo a gran escala o traten datos sensibles. En cambio, la LPDP salvadoreña impone en su artículo 15 que todos los sujetos obligados deben nombrar un Delegado de Protección de Datos, obligando incluso a microempresas a lidiar con perfiles profesionales universitarios, certificaciones y programas de la Agencia de Ciberseguridad del Estado (ACE).
2. Tratamiento B2B e Interés Legítimo: El marco europeo y sus desarrollos nacionales reconocen presunciones de interés legítimo para los datos de localización profesional y representantes corporativos. La LPDP salvadoreña, al carecer de este matiz, engloba de forma rígida cualquier dato de representación bajo las mismas cargas administrativas.
Este escenario revive el antecedente histórico de la Ley Contra el Lavado de Dinero y de Activos (LCLDA) en El Salvador. En sus inicios, dicha normativa pretendió abarcar de forma indiscriminada a una inmensa gama de comerciantes y actividades sin considerar el riesgo real de cada sector. El resultado fue años de fricción, inseguridad jurídica y una sobrecarga ineficiente para el aparato productivo, lo que obligó, tras un largo período de distorsión, a derogar íntegramente esa normativa y sustituirla por la Ley Especial para la Prevención, Control y Sanción del Lavado de Activos (Decreto Legislativo N.° 426, publicado el 9 de octubre de 2025), que redujo de veinte a diez los tipos de sujetos obligados bajo un enfoque basado en riesgo, excluyendo sectores como farmacias, constructoras y hotelería, a la vez que incorporó a otros no financieros abogados, contadores, partidos políticos y proveedores de servicios de activos digitales. La LPDP parece repetir ese mismo camino de hiper-regulación genérica, trasladando un costo operativo desproporcionado a quienes menos capacidad tienen de asumirlo.
