Por Redacción YSKL
Con 57 votos a favor, la Asamblea Legislativa aprobó este jueves una reforma a la “Ley para la Protección de Datos Personales” que modifica el procedimiento para atender las solicitudes de los titulares de información y establece cambios en las funciones relacionadas con la protección de datos dentro de la Agencia de Ciberseguridad y Seguridad de la Información (ACE).
La propuesta fue presentada por el Ministerio de Seguridad Pública y Justicia e incorporada a la sesión mediante dispensa de trámite.
La reforma modifica disposiciones de la ley aprobada en noviembre de 2024 y, entre otros cambios, elimina la obligación general de que los sujetos regulados cuenten con un delegado de protección de datos personales para gestionar las solicitudes de derechos ARCO-POL.
Las solicitudes podrán presentarse directamente ante el sujeto obligado
Uno de los principales cambios se encuentra en el trámite de las solicitudes ARCO-POL, que corresponden a los derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación al tratamiento de datos personales.
Con la reforma, las solicitudes deberán presentarse ante el sujeto obligado que corresponda, en lugar de ser dirigidas al delegado de protección de datos personales.
Cuando se solicite acceso a información personal, el titular podrá señalar la modalidad en la que desea recibir los datos. El sujeto obligado deberá atender esa modalidad, salvo que exista una imposibilidad física o jurídica. En ese caso, tendrá que ofrecer otras formas de entrega y justificar la decisión.
La reforma también establece que, si una solicitud presenta omisiones o requiere información adicional, el sujeto obligado podrá prevenir al solicitante una sola vez para que subsane los errores en un plazo de 10 días hábiles.
Si el interesado no atiende la prevención dentro del plazo o lo hace sin corregir las observaciones, la solicitud será archivada, aunque podrá presentar posteriormente una nueva petición.
Cambian las obligaciones de los sujetos regulados
La modificación al artículo 16 elimina las atribuciones que correspondían directamente al delegado y las traslada al sujeto obligado.
Entre las obligaciones establecidas quedan:
- Auxiliar y orientar a sus dependencias o proveedores sobre el ejercicio de los derechos ARCO-POL.
- Establecer lineamientos internos para fortalecer la gestión de las solicitudes.
- Atender las solicitudes dentro de los plazos establecidos en la ley.
- Informar a los titulares sobre los mecanismos disponibles para ejercer sus derechos.
La reforma también deroga los artículos 15 y 17, que regulaban el nombramiento obligatorio de un delegado de protección de datos personales y el deber de las dependencias, empleados o proveedores de atender las peticiones canalizadas por dicho funcionario.
Instituciones públicas sí deberán contar con un delegado
Aunque se elimina la obligación general para los sujetos regulados, la reforma establece una disposición específica para las instituciones públicas.
El artículo 47 modificado señala que las instituciones públicas deberán nombrar un delegado de protección de datos personales. Este cargo podrá ser desempeñado por el Oficial de Información de la institución correspondiente.
También se elimina del artículo 48 la obligación de informar a los usuarios sobre los datos de contacto del delegado. Se mantiene el deber de comunicar la posibilidad de que los datos sean recopilados y tratados, así como los medios disponibles para ejercer los derechos correspondientes.
Mantienen plazos para responder
La reforma conserva el plazo de 20 días hábiles para responder las solicitudes ARCO-POL, con la posibilidad de una prórroga de hasta otros 20 días hábiles cuando existan causas justificadas.
También mantiene el plazo de cinco días hábiles para devolver una solicitud cuando el sujeto obligado determine que no es competente para atenderla o que corresponde a un derecho distinto de los contemplados en la normativa.
En los procesos de rectificación, el sujeto obligado deberá dejar constancia de que los datos están sometidos a ese procedimiento cuando un tercero solicite acceder a ellos.
Además, cuando los datos hayan sido comunicados o transferidos a terceros, deberá notificarse la rectificación, actualización o eliminación dentro de los cinco días hábiles posteriores a la determinación de que la solicitud procede.
Negativas deberán ser notificadas y justificadas
La reforma mantiene los supuestos en los que puede denegarse el acceso, rectificación, cancelación, portabilidad, olvido, oposición o limitación del tratamiento de datos.
Entre estos casos están que el solicitante no sea el titular o que su representación no esté acreditada, que los datos no se encuentren en los registros correspondientes, que exista un impedimento legal o que la solicitud haya sido atendida previamente.
Cuando se deniegue una petición, el sujeto obligado deberá emitir una resolución motivada y comunicarla al titular o a su representante dentro de los tres días hábiles posteriores a la decisión.
La notificación deberá realizarse por el mismo medio indicado por el titular y, cuando corresponda, incluir las pruebas y documentos considerados para resolver.
Nueva Dirección de Protección de Datos Personales
Otro de los cambios se incorpora en la estructura de la ACE.
La reforma establece que el presidente de la República nombrará un Director de Protección de Datos Personales para asistir al Director General de la agencia.
El funcionario deberá cumplir los mismos requisitos exigidos para el Director de Ciberseguridad y Seguridad de la Información y ejercerá durante un período de tres años.
Entre sus atribuciones estará conocer los procedimientos administrativos relacionados con las sanciones establecidas en la Ley para la Protección de Datos Personales.
Podrá delegar la instrucción y sustanciación de esos procedimientos en otro empleado o funcionario de la ACE, pero no la imposición de las sanciones, que permanecerá bajo su responsabilidad.
Revocación del consentimiento mantiene plazo de cinco días
La reforma también modifica el trámite para revocar el consentimiento otorgado para el tratamiento de datos personales.
El sujeto obligado tendrá cinco días hábiles desde la recepción de la solicitud para proceder con la revocación.
Si los datos son tratados por un encargado, deberá informarle sobre la resolución dentro de los cinco días hábiles siguientes a su emisión, para que proceda a ejecutarla.
El decreto aprobado entrará en vigencia ocho días después de su publicación en el Diario Oficial.
