Mapa de datos personales en una institución financiera: cómo construirlo en 5 pasos

La Asamblea Legislativa aprobó el 17 de septiembre de 2026, con 57 votos, reformas a la Ley para la Protección de Datos Personales (Decreto Legislativo n.º 659). La reforma entra en vigencia ocho días después de su publicación en el Diario Oficial y, según los cálculos publicados, ya estaría vigente. Para una institución financiera, lo esencial es esto:

• Las solicitudes se presentan ante la propia organización. Los titulares pueden ejercer sus derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación (ARCO-POL) directamente ante quien tiene o usa sus datos.
• El delegado de protección de datos ya no es obligatorio para el sector privado. La reforma derogó los artículos 15 y 17 y mantiene expresamente esa obligación para las instituciones públicas, donde puede ejercerlo el Oficial de Información. Si tu institución financiera es pública, la obligación se mantiene.
• Los plazos importan. La respuesta a una solicitud es de 20 días hábiles, prorrogables hasta por otros 20 por causa justificada. Si la solicitud viene incompleta, solo se puede prevenir una vez y el titular tiene 10 días hábiles para completarla; si tu institución no es la competente, debe devolverla en 5 días hábiles; y una negativa se notifica con resolución motivada en 3 días hábiles.
• Consentimiento y destinatarios. El retiro del consentimiento debe atenderse en 5 días hábiles, y si un proveedor trata esos datos, hay que informarle la decisión en otros 5. Si ya compartiste datos que se corrigen, actualizan o eliminan, debes avisar a los destinatarios en 5 días hábiles después de determinar que procede.
• Cambia un detalle del Aviso de Privacidad. Ya no necesita el nombre de un delegado, pero sí indicar los medios o mecanismos para presentar solicitudes. Los sitios web y formularios que recogen datos también deben informar cómo ejercer los derechos.
• Lo que no cambió: los principios de la Ley, las obligaciones de seguridad y la supervisión de la Agencia de Ciberseguridad del Estado (ACE). Las multas van de 1 a 40 salarios mínimos del sector comercio: con el salario mínimo actual de $408.80, hasta $16,352.

Sin delegado que centralice, el conocimiento de dónde están los datos tiene que vivir dentro de tu organización. Para eso sirve el mapa.

Un mapa de datos es un registro estructurado de cómo fluyen los datos personales dentro y fuera de la institución. No es un diagrama de sistemas ni un inventario de tecnología, aunque se apoya en ambos. Su unidad de análisis es el tratamiento: una actividad que usa datos personales con un fin concreto, como originar un crédito, abrir una cuenta o atender un reclamo.

Una precisión importante: la Ley no usa el término «mapa de datos». Pero las Políticas de actuación y manejo de datos personales de la ACE, de cumplimiento obligatorio para entidades públicas y privadas, incluyen entre las medidas organizativas mantener un registro detallado de cómo se recopilan, almacenan y utilizan los datos personales (Art. 4). Es, en la práctica, un registro de actividades de tratamiento, y el mapa de datos es la forma de construirlo y mantenerlo. Las Políticas no prescriben un formato específico. Además, varias obligaciones de la Ley son muy difíciles de cumplir y demostrar sin él:

• El Aviso de Privacidad debe describir los datos tratados, las finalidades, la base legal y los encargados (Art. 24).
• Los principios de finalidad, minimización y temporalidad (Art. 5) exigen saber para qué se usa cada dato y por cuánto tiempo se conserva.
• La atención de derechos y consentimientos en plazos cortos exige saber dónde buscar y quién responde.
• La notificación de incidentes en un máximo de 72 horas exige saber qué datos y qué personas pudieron resultar afectadas.
• La responsabilidad demostrada exige evidencia de que la institución conoce y controla sus tratamientos.

Para cada tratamiento, el mapa responde cinco preguntas:

• Qué datos y de quién: identidad, ingresos, obligaciones, movimientos, biometría, imágenes, grabaciones; clientes, solicitantes, empleados, candidatos.
• Dónde están: sistemas, archivos físicos, respaldos, correos, hojas de cálculo.
• Para qué y con qué fundamento: la finalidad y la base que legitima el tratamiento.
• Quién interviene: áreas internas, proveedores y otros destinatarios.
• Por cuánto tiempo: plazo de conservación y qué ocurre al vencer.

Define el alcance y la gobernanza

Intentar mapear toda la institución de una vez es la forma más segura de no terminar. Empieza por un alcance acotado:

• Elige 3 a 5 procesos de mayor volumen o riesgo: originación de crédito, apertura de cuentas, canales digitales, cobranza, recursos humanos.
• Designa un coordinador del ejercicio y un enlace por área: quien conoce cómo se trabaja de verdad, no solo cómo dice el manual.
• Distingue dos conceptos que suelen confundirse. El responsable del tratamiento es la persona natural o jurídica que decide las finalidades y los medios (normalmente, la institución). El dueño interno del tratamiento es el cargo que responde operativamente por un proceso y mantiene su fila del mapa al día.

¿Y el delegado? Si eres una entidad privada, puedes designar uno, o una función o unidad interna de privacidad, como decisión de gobierno; la Ley ya no te lo impone. Si decides designarlo, revisa los Lineamientos de la ACE sobre el delegado (Diario Oficial del 11 de agosto de 2026) para saber qué requisitos te siguen aplicando tras la reforma. Lo que no puedes hacer es diseñar tu proceso suponiendo que alguien más recibirá y resolverá las solicitudes por ti.

Haz el inventario de tratamientos

Recorre cada proceso con quien lo opera y registra qué información entra, qué se hace con ella y qué sale. Las preguntas que más rinden:

• ¿Qué datos pides y en qué momento? ¿Todos son necesarios para la finalidad?
• ¿De dónde vienen: del titular, de un buró, de un tercero?
• ¿Dónde los guardas? ¿Los copias a otro lado?
• ¿Quién más los ve o los recibe?
• ¿Se almacenan o procesan fuera de El Salvador?
• ¿Qué pasa con ellos cuando termina el trámite o la relación?

Presta especial atención a dos hallazgos frecuentes:

• Las copias no controladas: hojas de cálculo en equipos personales, correos con adjuntos, carpetas compartidas. Es donde aparecen los datos que nadie recordaba.
• Los datos sensibles. La Ley define como sensibles, entre otros, los datos de salud y los biométricos, que hoy son comunes en el enrolamiento digital. Su tratamiento exige condiciones reforzadas, incluido el consentimiento por escrito o su equivalente (Art. 26). Márcalos en el mapa desde el primer día.

Identifica sistemas, soportes y terceros

Para cada tratamiento relaciona dónde viven los datos: sistemas (core bancario, CRM, canales digitales, antifraude, cobranza, nómina), soportes físicos (expedientes, archivo central, bóvedas) y respaldos y ambientes de prueba, que a menudo contienen datos reales y se olvidan.

Después, clasifica a los terceros. No todos son lo mismo, y el rol define qué debes pedirles y documentar:

Algunas comunicaciones están ordenadas por ley, como las dirigidas a autoridades o a agencias de información crediticia. En esos casos, documenta cuál es su fundamento en lugar de asumir que todo requiere consentimiento.

En la plantilla de este artículo, cada tratamiento registra qué terceros lo reciben o tratan, con su rol, y si hay almacenamiento o acceso fuera de El Salvador. El detalle contractual y de seguridad de cada proveedor (cláusulas, subcontratación, devolución de los datos) se documenta en tu registro de proveedores. Este paso conecta directamente con la revisión de contratos con proveedores, tema del siguiente artículo de esta serie.

Documenta finalidad, base de licitud y plazo de conservación

Aquí el mapa deja de ser un inventario y se convierte en una herramienta de decisión.

Finalidad. Describe para qué se usa el dato con precisión. Evita «fines comerciales» o «gestiones institucionales»: una finalidad vaga no permite saber si un uso posterior es compatible con lo que informaste al titular.

Base de licitud. El consentimiento es una base, pero no todo tratamiento de una institución financiera depende de él. La Ley reconoce seis bases (Art. 5): consentimiento, contrato o medidas precontractuales, obligación legal, protección de intereses vitales, interés público e interés legítimo cuando no prevalezcan los derechos del titular. Analízala tratamiento por tratamiento: pedir consentimiento para lo que ya es obligatorio por ley o por contrato genera confusión, y exige dejar de tratar el dato si el titular lo retira.

Plazo de conservación. Los datos no deben conservarse más tiempo del necesario para la finalidad (principio de temporalidad). Pero en el sector financiero, eliminar no siempre significa borrar de inmediato: pueden existir obligaciones de conservación contractuales, contables, tributarias, prudenciales, de prevención de lavado de activos o de defensa ante controversias. Por ejemplo, los registros mercantiles se conservan por diez años (Código de Comercio, Art. 451). Por eso, para cada tratamiento documenta:

• el plazo,
• el evento que inicia el cómputo,
• el fundamento legal, contractual o interno,
• y la acción al vencer: eliminación, anonimización, bloqueo o archivo.

Sin plazos documentados, cada solicitud de cancelación se convierte en un debate nuevo.

Ejemplo ilustrativo de una fila del mapa

Ejemplo construido con fines didácticos; no corresponde a una institución real.

Asigna dueños y define cómo se mantiene al día

Un mapa sin dueño envejece en meses. Para que siga vigente:

• Asigna un dueño interno a cada tratamiento (normalmente quien responde por el proceso, no tecnología).
• Define cuándo se revisa. Como buena práctica, al menos una vez al año y cada vez que cambie un sistema, un proveedor o un producto. La normativa revisada no fija una frecuencia de actualización para este registro: es un control que recomendamos.
• Conéctalo al control de cambios y a la contratación de proveedores: ningún sistema o tercero nuevo debería entrar en operación sin quedar registrado.
• Guarda evidencia de las revisiones: quién, cuándo y qué cambió.
• No dupliques controles. Si ya tienes políticas de seguridad de la información (por ejemplo, alineadas con la NRP-23 cuando aplique a tu entidad), referéncialas en el mapa en lugar de reescribirlas.

• Atender derechos ARCO-POL en plazo. Sabes en qué sistemas buscar, quién responde y qué proveedores intervienen. Con 20 días hábiles para responder, no hay tiempo para descubrir dónde están los datos.
• Rectificar y eliminar con trazabilidad. Si el dato ya fue compartido, el mapa te dice a qué destinatarios debes avisar en 5 días hábiles.
• Manejar el retiro del consentimiento. Identifica qué tratamientos dependen realmente del consentimiento, dónde está registrado, qué campañas o sistemas deben detenerse y qué proveedores deben ser informados; los tratamientos con otra base válida pueden continuar.
• Responder a incidentes. La Ley y las Políticas de la ACE establecen un máximo de 72 horas para notificar a la ACE, a la Fiscalía y a los titulares. El mapa permite estimar rápido qué datos y qué personas pudieron resultar afectadas.
• Mantener coherente el Aviso de Privacidad con lo que realmente haces con los datos.
• Gestionar terceros: quién recibe datos, con qué rol y bajo qué contrato.
• Demostrar responsabilidad ante el supervisor: es evidencia de que la institución conoce y controla su información. No reemplaza tus políticas, contratos ni controles de seguridad: los ordena.

• Mapear sistemas en lugar de tratamientos.
• Hacerlo solo con tecnología, sin quienes operan los procesos.
• Suponer que, sin delegado, nadie tiene que atender las solicitudes.
• Tratar a todos los proveedores como si tuvieran el mismo rol.
• Usar el consentimiento como base para todo.
• No identificar datos sensibles, como los biométricos.
• Olvidar respaldos, ambientes de prueba y copias en hojas de cálculo.
• No identificar almacenamiento ni transferencias fuera de El Salvador.
• No registrar plazos de conservación ni su fundamento.
• Entregar un archivo «terminado» sin dueño ni fecha de revisión.

• Alcance inicial acotado a 3 a 5 procesos
• Coordinador y enlaces por área designados
• Canal, área responsable y plazos para atender solicitudes ARCO-POL definidos
• Tratamientos inventariados con quien opera cada proceso
• Datos sensibles y biométricos identificados
• Sistemas, soportes físicos, respaldos y copias no controladas identificados
• Terceros clasificados por rol: encargado, destinatario, transferencia
• Almacenamiento y transferencias fuera de El Salvador identificados
• Finalidad, base de licitud y plazo registrados por tratamiento
• Dueño interno asignado a cada tratamiento
• Qué tratamientos dependen del consentimiento y dónde se registra, identificado
• Frecuencia de revisión y evidencia definidas
• Mapa conectado al control de cambios y a la contratación de proveedores
• Aviso de Privacidad revisado contra el mapa

La autoevaluación gratuita DESTREZA™ te muestra en minutos qué tan cerca estás de una gestión sostenible de la protección de datos. Si prefieres acompañamiento para levantar el inventario, construir tu mapa de datos, revisar proveedores o definir cómo atender los derechos ARCO-POL, conoce nuestro servicio de Gobernanza y Protección de Datos Financieros o agenda una consultoría técnica.