Decreto No. 144.- Ley para la Protección de Datos Personales

LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE EL SALVADOR, CONSIDERANDO:I. Que el artículo 1 de la Constitución de la República establece que: "El Salvador reconoce a la persona humana como el origen y el fin de la actividad del Estado"; y que está organizado para la consecución de la justicia y de la seguridad jurídica; asimismo, el artículo 2 establece que toda persona tiene derecho a la integridad física y moral, y a ser protegida en la conservación y defensa de los mismos; y que se debe garantizar el derecho al honor, a la intimidad personal y a la propia imagen.II. Que el tratamiento de los datos personales de las personas naturales debe realizarse de acuerdo con los principios, métodos y tecnologías que garanticen la confidencialidad y el buen uso de ellos, lo que demanda asegurar la mayor protección posible, así como establecer las sanciones correspondientes cuando éstos sean violentados.III. Que debido a que las nuevas tecnologías permiten transmitir con gran facilidad los datos de las personas naturales a nivel mundial, resulta necesario establecer las condiciones mínimas y estandarizadas para compartir datos con otros países, salvaguardando la seguridad de la información de acuerdo con los convenios internacionales que El Salvador ha ratificado.IV. Que, en virtud de lo anterior, resulta necesario se emita un cuerpo normativo que garantice la protección de los datos de carácter personal que se encuentren en posesión de otros distintos de sus titulares, y que además facilite la inversión, especialmente en centros de almacenamiento de datos como requisito ineludible para la generación de empleos en cadenas de alto valor.POR TANTO,en uso de sus facultades constitucionales y a iniciativa del presidente de la República, por medio del ministro de Justicia y Seguridad Pública,DECRETA la siguiente:LEY PARA LA PROTECCIÓN DE DATOS PERSONALESTÍTULO I DISPOSICIONES GENERALESCAPÍTULO I OBJETO Y ÁMBITO DE APLICACIÓNObjetoArt. 1.- La presente ley tiene por objeto establecer la regulación para la protección de los datos personales, determinando los requisitos esenciales para realizar el tratamiento legítimo e informado de éstos y el marco normativo que debe seguirse en su recolección, uso, procesamiento, almacenamiento y otras actividades relacionadas a ellos; todo en aras de garantizar el derecho a la intimidad y a la autodeterminación informativa de las personas naturales.Ámbito de aplicaciónArt. 2.- Esta ley se aplicará a toda persona natural o jurídica, de carácter público o privado, que lleve a cabo actividades relativas o conexas al tratamiento de datos personales, ya sea de manera manual, parcial o totalmente automatizado o a través de terceros. Se entenderán incluidos incluso aquellos sujetos que realicen las referidas actividades sin cumplir con los requisitos y limites dispuestos en la presente ley.Los órganos del Estado, sus dependencias, las instituciones oficiales autónomas, las autoridades municipales y cualquier otra entidad u organismo, independientemente de su forma, naturaleza o situación jurídica, mediante las cuales se administren recursos públicos, bienes del Estado o ejecuten actos de la administración pública en general, así como los servidores públicos y personas que laboren en ellas, dentro o fuera del territorio de la República, estarán sujetos específicamente a las disposiciones que se establecen en el Título III de la presente ley.ExclusionesArt. 3.- Quedan excluidos de la aplicación de la presente ley:a) El tratamiento de datos de historial crediticios que realicen los sujetos obligados en los supuestos de la Ley de Regulación de los Servicios de Información sobre el Historial de Créditos de las Personas. Sin embargo, esta exclusión no aplicara a los integrantes del Sistema Financiero y demás supervisados por la Superintendencia del Sistema Financiero, sobre aquella información que no sea relativa al historial crediticio de sus usuarios.b) El tratamiento de datos personales destinados exclusivamente a actividades en el marco de la vida familiar o doméstica, mientras no tengan como propósito una divulgación o utilización comercial.c) El tratamiento de datos personales u actividades que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado, prevención, investigación, detección y represión del delito, todo en observancia al debido proceso y respeto a los Derechos Humanos.d) Cualquier tratamiento de los datos personales realizados en los registros públicos, así como, en el registro del estado familiar de las alcaldías, en los procedimientos establecidos en la Ley Transitoria del Registro del Estado Familiar y de los Regímenes Patrimoniales del Matrimonio. Se excluye además todo tratamiento de datos personales efectuado en aplicación de la Ley Especial Reguladora de la Emisión del Documento Único de Identidad, Ley de Emisión del Documento Único de Identidad en el Exterior, Ley del Nombre de la Persona Natural por el Registro del Estado Familiar de las Personas Naturales.CAPÍTULO IIDEFINICIONES Y PRINCIPOS RECTORESDefinicionesArt. 4.- Para los efectos de esta ley o disposiciones jurídicas relacionadas se entenderá por:a) Autodeterminación informativa: facultad de toda persona para ejercer sus derechos y accionar los mecanismos que la presente ley otorga sobre la información personal que le concierne, contenida en registros públicos o privados, especialmente, pero no exclusivamente ni limitado, a los almacenados mediante medios digitales e informáticos. Es decir, es la capacidad del individuo para determinar la divulgación y el uso de sus datos personales, controlar y determinar lo que terceros podrían conocer sobre su vida personal en cada momento.b) Base de datos o repositorio: conjunto organizado de datos personales que sean objeto de tratamiento o procesamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso.c) Bloqueo de datos: restricción temporal o permanente de cualquier acceso o tratamiento de los datos almacenados.d) Consentimiento: manifestación libre, específica, informada, expresa e individualizada de la voluntad del titular de los datos, mediante la cual acepta, ya sea a través de una declaración o una clara acción afirmativa, que se efectúe el tratamiento de éstos en los casos en que no exista otro fundamento legal para ello.e) Cookie: pequeña información enviada por un sitio web y almacenada en el navegador del usuario, de manera que el sitio web pueda consultar la actividad previa del navegador. Sus principales funciones son recordar accesos y conocer información sobre los hábitos de navegación.f) Datos personales: información concerniente a una persona natural identificada o identificadle. Se consideran datos personales aquella información en texto, imagen o audio que permita la identificación de una persona, su domicilio, nacionalidad, estado familiar y canales de contacto, entendiéndose estos últimos como su número telefónico, dirección electrónica, o cualquier dato que aporte información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo. No se tratan como datos personales aquellos que no permiten identificar o localizar a una persona.g) Datos personales sensibles: son los datos personales que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que afectan a la esfera más íntima de su titular y cuya utilización indebida puedan dar origen a discriminación, afectar gravemente el derecho al honor, a la intimidad personal y familiar y a la propia imagen. De manera enunciativa pero no limitativa, generalmente son los que revelan aspectos como creencias y convicciones religiosas, origen étnico, afiliación o ideologías políticas, afiliación sindical, preferencias sexuales, salud física y mental, información biométrica, genética, situación moral y familiar, hábitos personales y otras informaciones íntimas de similar naturaleza.h) Disociación o Anonimización: procedimiento irreversible mediante el cual los datos personales dejan de asociarse a su titular o de permitir, por su estructura, contenido o grado de desagregación, la identificación de éste.i) Derechos ARCO-POL: derechos personalísimos e independientes de Acceso, Rectificación, Cancelación, Oposición, Potabilidad, Olvido y Limitación, por medio de los cuales el titular de los datos personales puede ejercer el control sobre el tratamiento de éstos.j) Encargado del tratamiento (Encargado): persona natural o jurídica, pública o privada, que sola o en conjunto con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento.k) Emisor de datos personales: titular del banco de datos personales, o aquel que resulte encargado de su tratamiento en El Salvador, que realice una transferencia de datos personales a otro país de conformidad a lo dispuesto en la presente ley.l) Fuentes de acceso público: aquellas bases de datos o repositorios de administración pública o privada cuya consulta puede ser realizada por disposición de ley por cualquier persona o medio, por el abono de una contraprestación o tarifa.m) Limitación en el tratamiento de datos personales: permite al titular, cuyos datos personales son objeto de tratamiento, solicitar al responsable del tratamiento que aplique medidas sobre sus datos personales para, evitar su modificación o, en su caso, su borrado o supresión.n) Medidas de Seguridad: políticas, acciones o procedimientos de control o grupo de controles que garanticen la protección de los datos personales contenidos en registros o archivos físicos o electrónicos, de accesos no autorizados garantizando la confidencialidad, integridad y disponibilidad.o) Receptor de datos personales: toda persona natural o jurídica, pública o privada, que recibe los datos en caso de transferencia internacional, ya sea como titular, encargado de datos personales o tercero.p) Responsable de tratamiento (Responsable): persona...