Es interesante cómo la Ley para la Protección de datos personales en El Salvador (LPPDP), basada principalmente en conceptos y estándares internacionales, va hilvanando los requisitos mínimos como herramientas básicas para cumplir el principio de Transparencia en favor de los titulares de los datos.

Desde la entrada en vigencia de la Ley (noviembre de 2024), es obligatorio para todos los responsables de tratamiento tener a disposición de los titulares de los datos, publicado o disponible para ser consultado, un aviso de privacidad, tomando en cuenta que es sancionable por la ley (Art. 56 LPPDP) la omisión de varios elementos requeridos dentro del contenido de este importante instrumento, por mencionar:

• La obligación de informar lo dispuesto en el Art. 48 LPPDP, referente a la posibilidad de recopilación y tratamiento de datos, contacto del delegado como medida organizativa, y los medios para ejercer sus derechos
• Omitir trasladar el nombramiento de encargados de tratamientos por parte del responsable

El Art. 56 expresamente no establece sanción por no tener aviso de privacidad, sanciona el incumplimiento del deber de informar, y las herramientas para informar están detalladas en el Art. 24 de la Ley, que describe como mínimo la información necesaria para que los titulares sean informados y por lo tanto transparentados sobre los tratamientos de sus datos, finalidades y mecanismos para ejercer sus derechos ARCO-POL.

Entonces, con la claridad de lo dispuesto en la ley, suelen cometerse dos errores comunes: el primero, un error organizativo de no publicar o informar, aun cuando la ley da diferentes medios para hacerlo tales como “sitios web, plataformas digitales, formularios o por cualquier otro medio adecuado para tal fin”;  y el segundo que es el más grave y concurrente, los responsables de tratamiento utilizan copias de avisos de privacidad publicados por cualquier otro responsable o incluso copias “adaptadas” de avisos de privacidad de sus propios competidores (al margen de una violación de propiedad intelectual). La gravedad de este segundo error, no está en sí mismo en “copiar”, sino en el hecho que, al basarse en una copia con la intención de cumplir, realmente incumplen lo dispuesto en el Art. 24 que entrega una pauta previa a la elaboración del aviso de privacidad, cuando dice: “Este aviso deberá ser consistente con la política de privacidad que deberá elaborar el responsable para tal efecto.”

Acá es donde el aviso de privacidad se confecciona como un traje a la medida, partiendo previamente de elaborar una política interna inédita para cada organización o grupo empresarial, con la convicción que ninguna organización es igual a otra en sus formas, finalidades, tratamientos, mecanismos de recogida de datos personales, canales de servicios, sistemas, métodos de marketing directo, nombramiento de encargados de tratamientos, uso de plataformas, uso de analíticas de datos, transferencias nacionales o internacionales de datos, entre otros, y lo más importante, diferentes posibles bases de licitud para cada tratamiento, especialmente cuando dentro de estas, el consentimiento se vuelve necesario dependiendo del tipo de datos y tratamientos. Se confirma entonces tal importancia a esta herramienta de transparencia cuando la ley traslada la carga de la prueba al responsable del tratamiento, tanto en la obtención del consentimiento o (disyuntivo) la política o (nuevamente disyuntivo) el aviso de privacidad. 

Incluso, el artículo 24 de la LPPDP, de forma tímida, sin un desarrollo específico, pero que se espera sea reglamentado por la autoridad, únicamente menciona el uso de cookies dentro del aviso como requisito, pero la extensión de las norma internacional por referencia como  es el Reglamento europeo de protección de datos (GDPR) en el considerando número 30 expresa características a las que una persona puede ser asociada a través de identificadores en línea o  las conocidas “cookies”, que permiten hacer perfiles de personas. Entonces si un responsable de tratamiento u  organización utiliza estos identificadores y perfila con ellos o identifica personas, debe obtener consentimiento, o dar la oportunidad al usuario de saber qué tipo de archivos de captura de datos (cookies) se van a utilizar en las plataformas en línea, y obviamente informar su alcance a través del aviso de privacidad. ¿Por qué se vincula el consentimiento al uso de Cookies en Europa? Porque la directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas conocida como ePrivacy recoge la obligación de solicitar tal consentimiento. Haciendo ahora una transportación a la legislación local, considerando que algunas de las técnicas de las cookies son recoger datos personales y realizar perfiles, no hay forma de explicar (salvo para las cookies funcionales) una base de licitud para utilizar cookies que no sea el consentimiento, y en armonía con el Art. 12 de la LPPDP, otorga el derecho de oposición en la elaboración de perfiles, si las cookies capturan información con tal finalidad. Entonces, el aliado natural en este caso es el aviso de privacidad, y por ello el Art. 24 LPPDP recoge el informar sobre las cookies, pero a lo que en realidad se refiere es a trasparentar el tipo de cookies y sus finalidades. Revelar dentro del aviso de privacidad el uso de las cookies no debe entenderse como una limitante, porque las tecnologías de la información nos acercan a tantas posibilidades legítimas como herramienta importante que brinda a las empresas información sobre la actividad en línea de sus usuarios, sin que esto represente un daño al titular de los datos, sino en realidad un mecanismo de transparencia, confianza y funcionalidad.

Estas disposiciones legales para la Legislación Salvadoreña, son extensibles otros marcos normativos en la región como de la República de Panamá (Art. 2. 6 de la Ley 81 sobre Protección de datos Personales y Art. 10, 14 y 16  de su  Reglamentación) En este sentido, aun cuando la normativa no menciona expresamente el término “aviso de privacidad” en las disposiciones mencionadas, se reconoce la transparencia como un principio y las condiciones por  las cuales los titulares deben ser informados, además de las formas de hacerlo. De este modo el aviso de privacidad se convierte nuevamente en el traje perfecto para hacerlo. Igualmente podemos transportarnos a la legislación de Costa Rica, en el cumplimiento de obligaciones de informar contenidas en el Art. 5 de la Ley de Protección de la persona frente al tratamiento de sus datos personales.

Entonces tu aviso de privacidad ¿está diseñado para la talla de tu organización o es una mala réplica? ¿Tiene tu organización una política interna de privacidad?

El objetivo de esta herramienta es generar confianza en aquellas personas titulares de datos, clientes, proveedores, usuarios, etc.. en la entrega de sus datos personales a un responsable, y que éstos sean utilizados o tratados bajo reglas claras, éticas o al menos con la claridad que los mismos serán sujetos a amplios tratamientos a los que el mismo titular puede aceptar con la conciencia de los efectos posibles, pero con la misma conciencia que podrá controlar en cualquier momento tal extensión de las finalidades si lo desea. 

Confeccionar un traje a la medida lleva un proceso de dedicación y acuciosidad, un buen sastre entrega un buen producto, toma las medidas exactas para hacer que su cliente se sienta cómodo en él, ni muy ajustado ni muy holgado, así, las medidas técnicas y organizativas que el responsable defina en su política interna y que traslada en su aviso de privacidad forma clara y sencilla, hagan que el titular se sienta confiado y cómodo de mostrar sus características personales trasladadas en datos y que dicho traje no se romperá, es decir, en este sencillo símil, se reduzcan los riesgos de vulnerabilidad. 

Revisar tus procesos con acuciosidad y transportarlos a tu política de privacidad te entregarán un aviso de privacidad confiable, seguro, personalizado y a la medida.

---

Autor: MSc. Carlos Zablah

Socio Senior, Signaturelex El Salvador