Leyes aplicables

Los decretos de datos personales y de ciberseguridad parten de los artículos 1 y 2 de la Constitución: la persona humana es el origen y el fin de la actividad del Estado, y tiene derecho a la integridad, al honor, a la intimidad personal y familiar y a la propia imagen.

Decreto Legislativo N.º 144, de 12 de noviembre de 2024, sancionado el 14 de noviembre de 2024. Publicado en el Diario Oficial N.º 219, Tomo 445, del 15 de noviembre de 2024. Entró en vigencia ocho días después de esa publicación.

Su objeto es regular la protección de los datos personales y las condiciones para recolectarlos, usarlos, procesarlos y almacenarlos, de modo que se respeten la intimidad y la autodeterminación informativa.

Aplica a toda persona natural o jurídica, pública o privada, que trate datos personales de forma manual o automatizada, incluso por medio de terceros. RAVEN TECH, S.A. DE C.V. está en ese ámbito cuando atiende una solicitud, contrata un servicio o procesa datos para facturación electrónica.

Para la operación de la sociedad importan, en especial, estas reglas:

• Principios de exactitud, lealtad, consentimiento y finalidad, minimización, transparencia, seguridad, temporalidad y responsabilidad.
• Derechos ARCO-POL: acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación. El ejercicio es gratuito y se responde en veinte días hábiles, prorrogables.
• Deber de nombrar un delegado de protección de datos personales y de publicar un aviso de privacidad antes del tratamiento. La ley faculta a que el administrador de la sociedad ejerza ese cargo y rinda cuentas a la Agencia. En RAVEN TECH, S.A. DE C.V. lo ejerce Manuel Alejandro Rodríguez, Administrador Único Propietario. La política de la Agencia que desarrollará este punto sigue en elaboración.
• Consentimiento libre, específico, informado, expreso e individual, con las excepciones del artículo 28, entre ellas los datos necesarios para cumplir un contrato.
• Notificación de una vulneración de seguridad, en un máximo de setenta y dos horas, a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a las personas afectadas.
• Transferencias internacionales solo hacia un nivel de protección equivalente, o con garantías de que el tratamiento sigue esta ley.
• Prohibición de tratar datos sensibles sin el régimen del capítulo correspondiente, y de comercializar datos al margen de la ley.

La autoridad de control es la Agencia de Ciberseguridad del Estado. Las infracciones se clasifican en leves, graves y muy graves. Las multas, sin perjuicio de la responsabilidad penal, van de uno a diez salarios mínimos mensuales del sector comercio en las leves, de once a veinticinco en las graves, y de veintiséis a cuarenta en las muy graves.

Políticas N.º 001-0309025-DPDP, emitidas por el Director General de la Agencia de Ciberseguridad del Estado en uso del artículo 50, literal i), de la ley de datos personales.

Son de cumplimiento obligatorio para las entidades públicas y privadas que recolecten, almacenen, procesen o transfieran datos personales en El Salvador, y para operaciones internacionales vinculadas a ciudadanos salvadoreños. RAVEN TECH, S.A. DE C.V. está comprendida.

Las políticas ordenan medidas en cuatro planos:

• Organizativas. Política interna, delegado, capacitación, registro de actividades de tratamiento, evaluaciones de impacto cuando el riesgo lo amerita y auditorías.
• Técnicas. Control de acceso, cifrado en almacenamiento y en tránsito, copias de respaldo, protección de la infraestructura y revisión de vulnerabilidades.
• Físicas. Acceso restringido a instalaciones y archivos, y eliminación segura de soportes.
• Transferencias. Canales cifrados, contratos con encargados y el mismo aviso de brecha en setenta y dos horas.

Remiten las infracciones a los artículos 56 y 57 de la ley, y piden a los sujetos obligados mantener sus procedimientos actualizados. Toman como referencia controles de la norma ISO 27001. Esa referencia no equivale, por sí sola, a una certificación de la sociedad.

Normativa para el desarrollo del procedimiento administrativo sancionador en el ámbito de la Ley para la Protección de Datos Personales, emitida por el Director General de la Agencia, Eduardo Alexis Rodríguez Rodríguez, el 24 de julio de 2026. Publicada en el Diario Oficial, Tomo 452, N.º 146, del 11 de agosto de 2026, páginas 22 a 29. Registro N.º F40430. Entró en vigencia ocho días después de su publicación.

Desarrolla el artículo 53 de la ley de datos personales. Se aplica a los sujetos obligados por esa ley, incluida una sociedad privada, cuando incurran en las infracciones de su título sancionador. El procedimiento ordinario es el procedimiento simplificado de la Ley de Procedimientos Administrativos. La autoridad que instruye e impone la sanción es el Director de Protección de Datos Personales de la Agencia.

El curso, en lo esencial, es este:

• Puede haber diligencias preliminares, de oficio, por denuncia, por aviso o a pedido del obligado, con un plazo de hasta noventa días hábiles.
• El procedimiento se abre de oficio, por denuncia, por aviso o por otro medio, mediante resolución de inicio.
• El presunto infractor se emplaza y tiene cinco días hábiles para contestar, ofrecer prueba y alegar. La persona jurídica se busca en su representación legal o en su establecimiento.
• La resolución final motiva los hechos, la prueba y la sanción, y puede ordenar el restablecimiento del derecho de las personas afectadas.
• La multa se paga en la colecturía de Hacienda en quince días hábiles. La falta de pago puede remitirse a la Fiscalía General de la República por la vía ejecutiva.

Las infracciones y sanciones prescriben a los cinco años. En lo no previsto se aplican la ley de datos personales, la Ley de Ciberseguridad y Seguridad de la Información, y la Ley de Procedimientos Administrativos.

La política de la Agencia que precisará cómo el administrador ejerce como delegado de ciberseguridad y rinde cuentas ante ella sigue en desarrollo. En RAVEN TECH, S.A. DE C.V. ese cargo lo ejerce Manuel Alejandro Rodríguez, Administrador Único Propietario, en info@raventech.com.sv. El sumario de ese Diario Oficial anuncia lineamientos para el delegado; el texto reproducido en la compilación usada para esta página es el del procedimiento sancionador.

Decreto Legislativo N.º 143, de 12 de noviembre de 2024, sancionado el 14 de noviembre de 2024 y publicado en el Diario Oficial N.º 219, Tomo 445, del 15 de noviembre de 2024. Entró en vigencia ocho días después de su publicación.

Establece principios, institucionalidad y controles para auditar la ciberseguridad y la seguridad de la información en poder de las instituciones públicas. Su ámbito son los órganos del Gobierno, las instituciones oficiales, las municipalidades y cualquier entidad que administre recursos públicos o tenga incidencia en las infraestructuras críticas, y las personas que trabajan en ellas.

Crea la Agencia de Ciberseguridad del Estado como entidad de derecho público, con personalidad jurídica y patrimonio propio, con sede en la capital. Esa misma Agencia es la autoridad de protección de datos personales.

Sus principios rectores son, entre otros:

• Seguridad por diseño en el desarrollo y la operación de sistemas.
• Resiliencia, continuidad y disponibilidad.
• Gestión continua de riesgos y control oportuno de daños.
• Confidencialidad, integridad y neutralidad tecnológica.
• Cooperación con la autoridad competente.

RAVEN TECH, S.A. DE C.V. no es, por el solo hecho de ser una sociedad privada de tecnología, un sujeto obligado de este decreto. Queda comprendida si administra recursos públicos o una infraestructura crítica, o cuando un contrato con una entidad obligada le exige esas medidas. Aun fuera de ese supuesto, alinea la seguridad de sus servicios con esos principios, porque trata datos personales y presta servicios digitales.

Decreto Legislativo N.º 260, de 4 de febrero de 2016, sancionado el 26 de febrero de 2016. Publicado en el Diario Oficial N.º 40, Tomo 410, de esa misma fecha. Entró en vigencia ocho días después de su publicación.

Protege los bienes jurídicos afectados por conductas cometidas mediante tecnologías de la información: los datos, los sistemas y su infraestructura, y los intereses de identidad, propiedad, intimidad e imagen. Se aplica a hechos cometidos total o parcialmente en El Salvador, y también cuando el resultado afecta bienes jurídicos del Estado o de sus habitantes.

El título de los delitos se organiza así:

• Contra los sistemas tecnológicos de información: acceso indebido, interferencia, daños, posesión de medios para vulnerar la seguridad y violación de esa seguridad.
• Delitos informáticos patrimoniales: estafa, fraude, espionaje, hurto por medios informáticos y técnicas de denegación de servicio.
• Relacionados con el contenido de los datos: manipulación de registros, uso indebido de instrumentos de pago, alteración de la integridad y disponibilidad, interceptación, hurto de identidad, divulgación no autorizada y revelación indebida de datos personales.
• Contra niñas, niños y adolescentes o personas con discapacidad. Esas conductas están tipificadas y son ajenas por completo a los servicios de la sociedad.
• Contra el orden económico: suplantación de identidad en la comercialización de bienes o servicios.

Las penas de esta ley no excluyen la responsabilidad penal, civil o administrativa que corresponda. RAVEN TECH no autoriza el uso de sus sistemas para esas conductas y coopera con la autoridad cuando un requerimiento lícito lo exige.

El archivo «Ley de Ciberseguridad en El Salvador» es un proyecto con el número de decreto y la fecha en blanco, fechado en el año dos mil veintidós. Proponía crear una Oficina Salvadoreña de Ciberseguridad bajo la Agencia Nacional de Innovación, Ciencia y Tecnología, con deberes para operadores de infraestructuras críticas.

Ese texto no fue el decreto promulgado. La norma vigente es el Decreto N.º 143, que crea la Agencia de Ciberseguridad del Estado y concentra su ámbito en el sector público y en las infraestructuras críticas. RAVEN TECH no aplica el proyecto de 2022 como si fuera ley.

1. La Constitución fija el derecho a la intimidad, el honor y la propia imagen.
2. El Decreto 144 y las políticas de la Agencia dicen cómo puede tratar datos una sociedad privada.
3. La normativa sancionadora de 2026 dice cómo la Agencia investiga y multa un incumplimiento.
4. El Decreto 143 organiza la ciberseguridad del Estado y de las infraestructuras críticas.
5. El Decreto 260 tipifica los delitos informáticos que ningún servicio de la sociedad puede alojar.