La Asamblea Legislativa aprobó este jueves, con 57 votos y dispensa de trámites, un conjunto de reformas a la Ley de Protección de Datos Personales. La modificación elimina la obligación legal que tenían las empresas del sector privado de designar a un delegado de protección de datos personales, una figura destinada a gestionar los derechos conocidos como ARCO-POL (Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación).
La iniciativa de ley fue presentada ante la Asamblea Legislativa por instrucciones del presidente de la República, a través del ministro de Justicia y Seguridad Pública, Héctor Gustavo Villatoro. El proyecto de decreto ingresó formalmente este 16 de septiembre de 2026.
Durante la sesión, el diputado Walter Coto, de Nuevas Ideas, explicó que la norma anterior implicaba un costo económico para los pequeños empresarios al exigir incorporar a un delegado en sus estructuras organizativas.
Con la derogación de los artículos 15 y 17 de la ley, las empresas privadas ya no estarán obligadas por ley a nombrar dicha figura.
Por su parte, la diputada Dania González, de Nuevas Ideas, señaló que la reforma busca adaptar la organización interna de los sujetos obligados para avanzar en la transformación digital.
Sostuvo que con estos cambios no se reducen las garantías de protección de datos personales, sino que se facilita su cumplimiento otorgando mayor flexibilidad organizativa.
En contraste, la diputada Claudia Ortiz, de Vamos, señaló que no se les había entregado con anterioridad el proyecto de reforma y cuestionó los mecanismos mediante los cuales la ciudadanía podrá garantizar sus derechos.
Ortiz argumentó que, aunque se derogan los artículos 15 y 17, el artículo 16 aún mantiene la redacción sobre las atribuciones del delegado, preguntando cómo quedaría articulado dicho apartado.
No tuvo respuesta a sus cuestionamientos.
Redistribución de obligaciones y tramitación de derechos ARCO-POL
Tras la derogación de los artículos 15 y 17, las funciones que correspondían a los delegados pasarán a ser asumidas de manera directa por los sujetos obligados.
Entre las reformas aprobadas al artículo 16, se establece que los sujetos obligados deberán auxiliar a sus dependencias o proveedores y fijar lineamientos internos para gestionar las solicitudes ARCO-POL.
Con los nuevos procedimientos, las solicitudes correspondientes deberán dirigirse directamente al sujeto obligado:
Plazo de respuesta: El sujeto obligado deberá entregar respuesta en un plazo de 20 días hábiles, ampliable por otros 20 días hábiles justificados.
Incompetencia: Si la entidad determina no ser la competente para atender el requerimiento, deberá notificarlo y devolver la petición en un plazo de 5 días hábiles.
Subsanación de errores: En caso de requerir información adicional o si la solicitud no cumple los requisitos, se prevendrá por única vez al titular para corregir omisiones en un plazo de 10 días hábiles.
Notificación de rectificaciones: En supuestos de transferencia o comunicación de datos, la entidad tendrá 5 días hábiles tras determinar la procedencia para notificar la rectificación, actualización o eliminación a los receptores.
Resoluciones denegatorias: Si se deniega el ejercicio de un derecho, la resolución motivada deberá comunicarse en 3 días hábiles tras la decisión.
Revocación de consentimiento: Ante una solicitud de revocación, la entidad dispondrá de 5 días hábiles para resolver y, de existir un encargado del tratamiento, informarle en un plazo idéntico de 5 días hábiles.
A diferencia del sector privado, la reforma precisa en el artículo 47 que las instituciones públicas mantendrán la obligación de nombrar un delegado de protección de datos personales, función que podrá recaer en el mismo oficial de información de cada entidad.
Asimismo, las modificaciones al artículo 51 facultan al presidente de la República para nombrar por un periodo de tres años al director de Protección de Datos Personales, funcionario enmarcado en la Agencia de Ciberseguridad del Estado (ACE) que asistirá al director general de dicha entidad.
Este director estará a cargo de los procedimientos administrativos sancionatorios y podrá delegar la instrucción de los expedientes en personal de la ACE, reservándose la facultad de imponer las sanciones.
Anteriormente, de acuerdo con los lineamientos emitidos por la ACE el 19 de agosto de 2026 y publicados en el Diario Oficial el 11 de agosto de 2026, los delegados debían contar con una certificación extendida por la propia agencia.
El decreto reformatorio entrará en vigencia 8 días después de su publicación en el Diario Oficial.
