Hace apenas unos días comentábamos que la obligación generalizada de nombrar un Delegado de Protección de Datos Personales merecía una revisión. La discusión nunca debió plantearse como una oposición a la protección de los datos personales. Todo lo contrario. Los datos de una persona deben protegerse seriamente. La cuestión era otra: ¿resultaba razonable imponer la misma estructura administrativa a una pequeña empresa que maneja los nombres y teléfonos de sus clientes que a una organización cuya actividad implica el tratamiento permanente, masivo o especialmente sensible de información personal?

Este 17 de septiembre de 2026, la Asamblea Legislativa respondió parcialmente esa interrogante. Con 57 votos fueron aprobadas reformas a la Ley para la Protección de Datos Personales mediante las cuales se derogaron los artículos 15 y 17, desapareciendo para las empresas privadas la obligación legal de incorporar dentro de su estructura a un Delegado de Protección de Datos Personales. La figura, en cambio, se mantiene para las instituciones públicas conforme a la reforma del artículo 47.

El cambio tiene especial relevancia porque apenas unos días antes la Agencia de Ciberseguridad del Estado había dejado sin efecto la fecha límite del 16 de septiembre para el nombramiento de esos delegados. Ahora conocemos el paso siguiente: el legislador ha modificado la estructura misma de la obligación.

Pero debemos tener cuidado con una interpretación demasiado amplia de la reforma. No se ha derogado la Ley para la Protección de Datos Personales ni las empresas privadas han quedado autorizadas para utilizar libremente los datos que poseen. Lo que desaparece es la obligatoriedad de una figura administrativa determinada: el delegado. Las responsabilidades sustantivas permanecen y, en diversos casos, pasan directamente al sujeto obligado.

Esta diferencia es fundamental.

La reforma establece que las solicitudes relacionadas con los derechos ARCO-POL —Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación— deberán dirigirse al propio sujeto obligado. Asimismo, este conserva el deber de responder dentro del plazo correspondiente y asume funciones que anteriormente habían sido atribuidas al delegado, como determinadas certificaciones, notificaciones y decisiones relacionadas con el ejercicio de esos derechos. En otras palabras: se elimina un intermediario obligatorio, pero no desaparece el responsable.

Desde el punto de vista regulatorio, esto permite hacer una reflexión que considero necesaria. La protección de datos debe atender no solamente a quién posee información, sino también a qué información posee, cuánto maneja, para qué la utiliza, durante cuánto tiempo la conserva y qué consecuencias tendría para una persona que esa información fuera divulgada, manipulada o utilizada indebidamente.

No es jurídicamente indiferente guardar el número telefónico de cincuenta clientes para informarles que su pedido está listo que administrar miles de expedientes con información financiera, patrimonial, médica, biométrica o de comportamiento. En ambos casos existen datos personales que deben protegerse, pero el riesgo no es equivalente.

Precisamente allí debería encontrarse el equilibrio de una buena regulación.

Existen sectores en los que la información personal constituye parte esencial de la actividad: instituciones financieras, aseguradoras, determinadas cooperativas, empresas de telecomunicaciones, entidades de salud, plataformas tecnológicas y organizaciones que procesan cantidades importantes de información. En esos ámbitos, las exigencias de seguridad, confidencialidad, trazabilidad y control necesariamente deben ser particularmente rigurosas.

Hay que hacer aquí una precisión que suele pasar inadvertida. Los historiales crediticios sujetos a la legislación especial correspondiente fueron expresamente excluidos del ámbito de aplicación de esta Ley para la Protección de Datos Personales desde su aprobación en 2024. La propia Asamblea Legislativa explicó entonces que los datos relacionados con el historial crediticio tratados por los sujetos regulados por la legislación especial quedaban fuera de esta normativa.

Esto significa que cuando hablamos de burós de crédito o entidades que administran historiales crediticios debemos distinguir entre la obligación material de proteger esa información —que indudablemente existe dentro de su régimen jurídico— y la aplicación específica de esta Ley de Protección de Datos Personales. No todo deber de proteger datos nace de la misma ley.

Esa distinción ayuda a comprender mejor lo ocurrido.

El problema del diseño original era que la obligación del delegado se proyectaba ampliamente sobre los sujetos obligados, sin que el tamaño de la empresa o la intensidad del tratamiento necesariamente justificaran, en todos los casos, incorporar esa figura. Para una gran institución financiera, contratar personal especializado en cumplimiento normativo puede formar parte ordinaria de su estructura. Para una microempresa de cinco empleados, imponer una nueva posición administrativa puede representar una carga económica completamente distinta.

Uno de los argumentos expresados durante la sesión legislativa fue precisamente ese. El diputado Walter Coto sostuvo que la obligación representaba un gasto para los pequeños empresarios y explicó que, después de la reforma, las empresas privadas ya no tendrán que incorporar por mandato legal esa figura en su estructura. Por su parte, la diputada Dania González manifestó que la finalidad es otorgar mayor flexibilidad respecto de la manera en que cada sujeto obligado organiza internamente el cumplimiento de sus responsabilidades.

También hubo cuestionamientos durante la discusión. La diputada Claudia Ortiz planteó dudas acerca de cómo quedaría garantizado el ejercicio de los derechos de los titulares y señaló interrogantes sobre la armonización de los artículos reformados. Esas observaciones forman parte del debate legislativo y habrá que examinar el texto definitivo publicado para determinar exactamente cómo quedan coordinadas todas las disposiciones.

Ese último punto merece prudencia. La reforma ha sido aprobada hoy, y la página oficial de decretos de la Asamblea todavía advertía, al momento de esta revisión, que existen documentos recientes pendientes de publicación material en el Diario Oficial. Por eso, antes de afirmar cuál será el texto consolidado definitivo, conviene esperar la publicación oficial del decreto y verificar su régimen de vigencia.

Lo verdaderamente importante es que protección y proporcionalidad no son conceptos enemigos.

Una empresa pequeña no queda liberada del deber de cuidar la información que legítimamente recibe porque ya no tenga que nombrar un delegado. Si posee nombres, documentos de identidad, direcciones, teléfonos, fotografías, expedientes laborales o cualquier otra información personal comprendida por la normativa, continúa existiendo una responsabilidad sobre el tratamiento que realiza.

La diferencia es que la ley ya no le ordenará necesariamente contratar o designar a una persona para llevar el título de Delegado de Protección de Datos Personales. La responsabilidad vuelve directamente a quien nunca debió perderla de vista: el sujeto que recopila, conserva y utiliza la información.

Ese cambio puede simplificar el cumplimiento, pero también aumenta la importancia de que las empresas conozcan exactamente cuáles son sus obligaciones. Quitar burocracia no significa quitar responsabilidad.

La reforma, por tanto, debería entenderse como una oportunidad para continuar afinando el sistema. El siguiente paso podría ser desarrollar criterios claros que distingan entre tratamientos ordinarios y tratamientos de alto riesgo, considerando el volumen de datos, su sensibilidad, la cantidad de titulares afectados, la utilización de tecnologías automatizadas y las posibles consecuencias de una vulneración.

El objetivo no debe ser tener más formularios, más cargos ni más burocracia. Debe ser tener los datos mejor protegidos.

Y quizás esa sea la enseñanza más importante de esta reforma: la verdadera protección de los datos personales no depende del nombre del cargo que aparece en el organigrama de una empresa. Depende de que quien recibe información ajena comprenda que también recibe una responsabilidad jurídica: custodiarla, utilizarla legítimamente y responder frente a su titular cuando corresponda.

Abogado y teólogo.