El 11 de agosto de 2026, fueron publicados en el Diario Oficial los “Lineamientos para el Delegado de Protección de Datos Personales” emitidos por la Agencia de Ciberseguridad del Estado (ACE).
La obligación de los sujetos obligados de nombrar un Delegado de Protección de Datos Personales (DPD) ya se encontraba establecida en el artículo 15 de la Ley para la Protección de Datos Personales. Sin embargo, los nuevos Lineamientos introducen un régimen específico para su perfil, nombramiento, notificación, registro, certificación, funcionamiento y supervisión.
En particular, los Lineamientos establecen por primera vez la obligación de comunicar y registrar el nombramiento del DPD ante la ACE, a través del Registro de Delegados que habilitará la Agencia.
Principales obligaciones:
- Registro obligatorio ante la ACE
Todo nombramiento de un DPD deberá ser comunicado por el responsable a la Dirección de Protección de Datos Personales de la ACE mediante la plataforma informática del Registro de Delegados, dentro de un plazo máximo de 15 días hábiles contados a partir del día siguiente al nombramiento.
Para el registro deberán presentarse, entre otros documentos:
- Certificación del acuerdo, acta, punto de acta o resolución mediante la cual se efectuó el nombramiento;
- En caso de DPD contratado mediante servicios profesionales, copia certificada por notario del contrato correspondiente; y
- Para entidades del sector privado, documentación que acredite la existencia legal de la persona jurídica y la personería de su representante legal, debidamente certificada por notario.
Asimismo, cualquier modificación a la información registrada deberá actualizarse dentro de un plazo máximo de 10 días hábiles.
- El nombramiento debe cumplir nuevos requisitos formales
Los Lineamientos establecen el contenido mínimo que deberá incluir el nombramiento del DPD, incluyendo, entre otros:
- número de acuerdo, punto de acta o resolución;
- fecha de otorgamiento;
- fundamento legal;
- identificación del responsable;
- identificación y datos de contacto institucional del DPD;
- fecha de inicio de funciones;
- plazo del nombramiento o indicación de que es indefinido;
- atribuciones del DPD; y
- firma correspondiente.
En el sector privado, cuando el nombramiento conste en un documento con firma manuscrita, esta deberá estar debidamente legalizada por notario.
- Nuevos requisitos para ejercer como DPD
Los Lineamientos establecen un perfil mínimo para la persona que desempeñe el cargo. Entre otros requisitos, deberá:
- contar con un grado universitario;
- ser mayor de 21 años;
- acreditar experiencia en protección de datos personales, cumplimiento normativo, gestión de riesgos, tecnologías de la información, seguridad de la información, ciberseguridad o materias relacionadas;
- no contar con determinadas condenas o sanciones firmes; y
- someterse y aprobar el Programa de Certificación de Delegados de Protección de Datos Personales una vez dicho programa entre en vigencia.
La certificación será gratuita para el DPD debidamente nombrado. Una vez implementado el programa, la aprobación será una condición para la validez del nombramiento. La calificación mínima de aprobación será de 7 sobre 10.
- Declaración jurada y conflictos de interés
Antes de aceptar el cargo, el DPD deberá otorgar una declaración jurada simple manifestando si se encuentra o no en una situación que pueda generar un conflicto de intereses real, potencial o aparente.
Los Lineamientos también desarrollan expresamente las situaciones que pueden constituir conflicto de intereses. En el sector privado, por ejemplo, se consideran potencialmente incompatibles determinados cargos ejecutivos, de dirección o de máxima autoridad, cuando permitan determinar los fines y medios del tratamiento de datos personales.
- El DPD puede ser interno o externo
El DPD puede ser designado:
- internamente, cuando forme parte de la planilla del responsable; o
- externamente, mediante un contrato de prestación de servicios profesionales.
Además, cuando se contrate a una persona jurídica como DPD, esta deberá designar a una persona natural que será responsable de atender las solicitudes de derechos ARCO-POL y que deberá cumplir con el perfil establecido en los Lineamientos. La persona jurídica deberá, además, contar con experiencia comprobable y un equipo multidisciplinario que incluya, como mínimo, conocimientos en ciencias jurídicas y ciberseguridad, sistemas informáticos o gestión de riesgos.
También se permite que un mismo DPD sea designado para varias entidades pertenecientes al mismo grupo empresarial o vinculadas jurídica o económicamente, siempre que pueda ejercer efectivamente sus funciones y no exista conflicto de intereses.
- Nuevas obligaciones de seguimiento y capacitación
El responsable deberá verificar que el DPD cumpla con el perfil requerido antes de su nombramiento y deberá asegurarse de que dichos requisitos se mantengan durante el ejercicio de sus funciones, realizando verificaciones al menos cada tres años.
Adicionalmente, el responsable deberá garantizar que el DPD reciba al menos una capacitación anual en materia de protección de datos personales y derechos ARCO-POL. El DPD, a su vez, deberá elaborar un plan anual de capacitación para el personal de la entidad que incluya inducción para nuevos colaboradores cuyas funciones estén relacionadas con el tratamiento de datos personales.
- El DPD tendrá un rol más amplio dentro de la organización
Los Lineamientos establecen que el DPD deberá ejercer sus funciones con autonomía e independencia funcional y participar oportunamente en las cuestiones relacionadas con la protección de datos personales, incluyendo desde las etapas tempranas del diseño de nuevos tratamientos, productos o servicios.
Asimismo, deberá ser considerado un interlocutor clave dentro de la organización y reportar directamente al más alto nivel de dirección.
¿Qué ocurre con los DPD ya nombrados?
Los nombramientos efectuados antes de la entrada en vigencia de los Lineamientos y que no cumplan con los nuevos requisitos se mantienen válidos.
Sin embargo, dichos DPD deberán someterse y aprobar el programa de certificación que emita la ACE.
Adicionalmente, mientras la ACE no habilite la plataforma informática del Registro de Delegados, las comunicaciones de nombramiento, modificación o cesación deberán realizarse mediante oficio, escrito o correo institucional dirigido a la Dirección de Protección de Datos Personales de la ACE, dentro de los 20 días hábiles siguientes a la entrada en vigencia de los Lineamientos.
Los Lineamientos entran en vigencia ocho días después, contados a partir del día siguiente de su publicación en el Diario Oficial.
En resumen, aunque la obligación de nombrar un DPD ya existía, los nuevos Lineamientos convierten su designación en un proceso mucho más formal y documentado, incorporando registro ante la ACE, requisitos de elegibilidad, declaración de conflictos de interés, certificación, actualización registral, capacitación periódica y mecanismos de supervisión.
Las organizaciones que ya cuentan con un DPD no deberían asumir que el nombramiento existente es suficiente: deberán revisar su situación frente a los nuevos requisitos y, según corresponda, gestionar su comunicación y registro ante la ACE.