La Ley para la Protección de Datos Personales, aprobada en 2024, representa un avance importante para El Salvador, porque pone reglas donde durante muchos años prácticamente cada institución manejó la información de las personas conforme a sus propios procedimientos. Sin embargo, con la entrada de esta regulación también comienza a aparecer una interpretación que, a mi juicio, debemos manejar con bastante cuidado: creer que, por el simple hecho de ser comerciante, sociedad mercantil o empresa automáticamente se está en la misma condición que una entidad cuya actividad supone recopilar y administrar información personal de miles de usuarios. 

La ley no parte de esa premisa. Su artículo 2 establece que se aplica a las personas naturales o jurídicas, públicas o privadas, que desarrollen actividades relativas o conexas al tratamiento de datos personales. Y las políticas emitidas por la Agencia de Ciberseguridad del Estado (ACE) son igualmente claras al señalar que resultan obligatorias para las entidades que recolecten, almacenen, procesen o transfieran datos personales. Por tanto, antes de comenzar a repartir obligaciones por montón, hay que determinar qué información maneja realmente cada empresa y, sobre todo, si estamos verdaderamente frente a datos personales.

Este punto es mucho más importante de lo que parece, porque la ley tampoco dice que cualquier información sea personal. El concepto gira alrededor de información concerniente a una persona natural identificada o identificable: nombres, direcciones, teléfonos, correos electrónicos, imágenes y demás elementos capaces de identificar o localizar a alguien. Y la propia definición contiene una frase que debería servirnos de brújula para toda interpretación posterior: no se consideran datos personales aquellos que no permiten identificar o localizar a una persona. 

Dicho de manera sencilla, no todo número es un dato personal, no todo archivo electrónico es un dato personal y tampoco cualquier código almacenado en un sistema adquiere esa naturaleza. Si una fábrica maneja números de inventario, si una distribuidora utiliza códigos para identificar mercancías o si una imprenta recibe artes, diseños y códigos de barras diferentes según el país o región donde será comercializado un producto, esa información no se vuelve personal por encontrarse digitalizada ni porque dentro del lenguaje técnico de determinada industria se le denomine “información variable”.

Lo que jurídicamente interesa es qué identifica esa información. Si identifica a una persona natural, entramos al terreno de la protección de datos personales; si identifica un producto, una presentación, una caja, un lote o un mercado de destino, estamos hablando de otra clase de información. Naturalmente, existen actividades económicas en las cuales la relación con los datos personales es mucho más intensa y evidente. Pensemos en bancos, aseguradoras, AFP, cooperativas financieras y otras entidades que administran información individualizada de clientes, asociados o afiliados. 

Allí existe una operación permanente sobre información vinculada a personas determinadas, aunque siempre deberán respetarse las excepciones y regímenes especiales que la propia ley contempla para determinadas materias. Algo semejante ocurre con hospitales y clínicas que administran expedientes de pacientes, centros educativos que conservan información individualizada de sus estudiantes, empresas de telecomunicaciones que mantienen registros de sus usuarios, compañías dedicadas a recursos humanos que reciben currículums y administran expedientes laborales o plataformas digitales cuyo funcionamiento requiere crear cuentas y perfiles de usuarios.

En estas actividades la información personal no aparece de manera meramente accidental: existe una relación permanente entre la prestación del servicio y la recopilación, almacenamiento o utilización de información correspondiente a personas naturales. Allí resulta perfectamente comprensible que la legislación exija un nivel serio de organización y seguridad. Precisamente por eso las políticas emitidas por la ACE contemplan medidas como políticas internas de protección de datos, Delegado de Protección de Datos Personales, capacitación del personal, registros de actividades de tratamiento, evaluaciones de impacto, auditorías, controles de acceso, cifrado, copias de seguridad y diferentes mecanismos de protección tecnológica. 

Son obligaciones importantes y, precisamente porque lo son, no deberían imponerse mecánicamente sin determinar primero cuál es la realidad del tratamiento realizado por cada organización. No es jurídicamente serio analizar de la misma manera a una institución cuya operación cotidiana descansa en administrar información personal y a una empresa manufacturera cuyo proceso productivo consiste en transformar materia prima, fabricar empaques o imprimir productos. Ambas pueden tener datos personales bajo su responsabilidad, pero la naturaleza, volumen, finalidad y riesgo del tratamiento pueden ser completamente diferentes. 

Y esa diferencia no debería ignorarse al momento de interpretar y aplicar una normativa que precisamente busca regular el tratamiento de información personal. El derecho comparado ayuda a comprender esta distinción. En Europa, el Reglamento General de Protección de Datos (GDPR) parte igualmente del tratamiento de información relacionada con una persona natural identificada o identificable. La Comisión Europea, cuando explica la aplicación de estas reglas a pequeñas y medianas empresas, reconoce que las obligaciones pueden variar cuando el tratamiento de datos personales no constituye una parte central del negocio y no representa determinados riesgos para las personas. 

En particular, existen obligaciones del GDPR que dependen de factores como la naturaleza de las actividades principales, la escala del tratamiento y las categorías de datos involucradas. Esto no significa que una empresa quede automáticamente fuera de toda regulación porque su negocio principal sea otro; significa algo más razonable: no todos los tratamientos de datos tienen la misma intensidad ni justifican exactamente la misma respuesta regulatoria. Algo semejante encontramos al observar otros ordenamientos. En el Reino Unido, la autoridad de protección de datos centra la regulación en quienes actúan como responsables o encargados del tratamiento de información personal y mantiene como punto de partida la existencia de información referente a individuos identificados o identificables. 

Colombia también construye su legislación alrededor de información vinculada o susceptible de asociarse con personas naturales determinadas o determinables, diferenciándola de determinada información estrictamente corporativa. Brasil, mediante su Ley General de Protección de Datos —LGPD—, regula igualmente el tratamiento de datos personales y ha desarrollado incluso reglas diferenciadas para determinados agentes de tratamiento de pequeño porte. El denominador común es bastante claro: la protección jurídica se construye alrededor de la persona y de la información que permite identificarla, no alrededor de cualquier información que una empresa produzca, reciba o almacene durante sus operaciones.

Por eso considero peligroso comenzar a confundir información industrial o comercial con información personal. Una imprenta dedicada a producir cajas plegadizas, revistas, etiquetas o empaques puede recibir diariamente miles de archivos digitales. Esos archivos pueden contener diseños, artes finales, referencias de productos, especificaciones técnicas y códigos de barras que varían dependiendo de la presentación o del mercado donde será comercializada determinada mercancía. Incluso dentro de esa industria se puede hablar correctamente de “información variable”, pero esa expresión tiene un significado técnico y no puede trasladarse automáticamente al concepto jurídico de dato personal. Si un código de barras identifica un producto destinado a determinado mercado, lo que identifica es el producto; no identifica a la persona que eventualmente lo comprará. El hecho de que cada región utilice un código diferente tampoco altera esa realidad. Allí existe información comercial que puede ser confidencial y merecer protección contractual, industrial o incluso de propiedad intelectual, pero no por ello estamos frente a un dato personal protegido por esta ley.

Ahora bien, tampoco sería correcto sostener que una empresa industrial, una imprenta o una fábrica queda absolutamente fuera de la legislación. Una empresa tiene trabajadores y normalmente conserva sus nombres, documentos, teléfonos, correos electrónicos, currículums y expedientes laborales. Puede igualmente tener información correspondiente a personas naturales que sirven como contactos de clientes o proveedores. Respecto de esos datos concretos sí existe información personal y deberá protegerse conforme corresponda. Pero de allí no puede saltarse a la conclusión de que todo el giro productivo de esa empresa constituye tratamiento de datos personales. 

Una fábrica puede manejar expedientes laborales sin que fabricar una caja se convierta en tratamiento de datos; una imprenta puede tener información de sus empleados sin que imprimir cien mil empaques con códigos de barras regionales convierta esos códigos en información personal. Esa diferencia parece elemental, pero será decisiva para evitar que la aplicación práctica de la ley termine alejándose de su verdadero objeto. Por eso creo que el cumplimiento empresarial debería comenzar con un diagnóstico serio y no con una presunción generalizada. 

Antes de decirle a cualquier empresa que debe montar toda una estructura de protección de datos, habrá que preguntarle qué información de personas naturales recopila, para qué la necesita, dónde la conserva, quién puede acceder a ella, durante cuánto tiempo la mantiene y si la comparte con terceros. A partir de allí podrá determinarse qué obligaciones realmente corresponden. Las propias políticas de la ACE establecen medidas destinadas a garantizar la integridad, disponibilidad y confidencialidad de los datos personales y contemplan controles físicos, técnicos y organizativos para quienes los tratan. Lo razonable, entonces, es que esas medidas se apliquen partiendo de la existencia real de información personal y del tratamiento efectivamente realizado, no simplemente de la circunstancia de que una sociedad esté inscrita en el Registro de Comercio.

La nueva legislación debe cumplirse con seriedad, pero también debe interpretarse con legalidad, proporcionalidad y sentido común. No sería correcto afirmar que únicamente los bancos, aseguradoras, AFP o cooperativas están sometidos a ella, porque existen muchas otras actividades que también tratan datos personales. Pero tampoco resulta jurídicamente aceptable poner a todas las empresas en el mismo saco, como si una institución que administra sistemáticamente expedientes financieros, médicos o personales de miles de ciudadanos estuviera haciendo exactamente lo mismo. 

Que una industria que fabrica cajas, imprime revistas o produce bienes y únicamente mantiene los datos indispensables de sus trabajadores y contactos comerciales. La ley protege a personas, no productos; protege información personal, no códigos de barras, diseños, artes, lotes, inventarios o especificaciones técnicas que no identifican a ningún ser humano. Al final, el asunto no debería enredarse más de la cuenta. Donde existe información que identifica o permite identificar a una persona natural, existe un dato personal que debe ser protegido; donde la información solamente identifica una mercancía, un producto, una caja, una referencia, una presentación o una región comercial, no debemos inventar un dato personal donde jurídicamente no existe.  

Proteger seriamente la privacidad de las personas es indispensable. Pero aplicar correctamente la ley también exige saber hasta dónde llega y dónde termina. Porque cumplir la ley no significa cargar obligaciones por montón ni convertir cualquier archivo empresarial en información personal; significa proteger, con responsabilidad y rigor, aquello que la propia ley decidió proteger: los datos de las personas.

Abogado y teólogo.