L'Assemblée législative réforme la Loi sur la protection des données personnelles

Le Journal Officiel a publié le vendredi 18 septembre 2026 le Décret Législatif No. 659, qui réforme la Loi pour la Protection des Données Personnelles. La disposition apparaît dans le Tome Nº 452, Numéro 173, pages 6 à 10, au sein de l’Organe Législatif, et a été sanctionnée par le président Nayib Armando Bukele Ortez ainsi que par le ministre de la Sécurité Publique et de la Justice, Héctor Gustavo Villatoro.

La loi réformée a été émise via le Décret Législatif Numéro 144, publié dans le Journal Officiel Numéro 219, Tome Numéro 445, du 15 novembre 2024, et a pour objet de réguler la protection des données personnelles. Son champ d’application s’étend à tous les sujets obligés de l’article 2, c’est-à-dire aux responsables et chargés du traitement des données, tant du secteur public que privé, et son autorité compétente est l’Agence de Cybersécurité de l’État (ACE).

L’ACE exerce les attributions de contrôle, d’inspection et de supervision des institutions obligées, le pouvoir sanctionnateur en matière de protection des données personnelles et la faculté de dicter, modifier ou annuler des mesures provisoires. La loi ordonne en outre que les sujets obligés nomment un Délégué à la Protection des Données Personnelles, conformément à l’article 15, et l’inscrivent au Registre Public tenu par la Direction de la Protection des Données Personnelles.

Un décret de cinq pages dans l’Organe Législatif

Le sommaire du bulletin enregistre le Décret No. 659 comme « Réformes à la Loi pour la Protection des Données Personnelles » et lui assigne les pages 6 à 10, immédiatement après le Décret No. 658, qui exonère d’impôts l’Agence Adventiste pour le Développement et les Ressources Assistentielles du Salvador (pages 3 à 5). Les deux textes sont publiés sous l’épigraphe de l’Organe Législatif.

Le décret a été sanctionné à la Maison Présidentielle, à San Salvador, « le dix-huit septembre deux mille vingt-six », et contresigné par le ministre de la Sécurité Publique et de la Justice. Le texte intégral des réformes occupe les cinq pages que le bulletin destine à cette publication.

Qui signe la réforme

Le conseil d’administration de l’Organe Législatif souscrit le décret :

• Ernesto Alfredo Castro Aldana, président.
• Suecy Beverley Callejas Estrada, première vice-présidente.
• Katheryn Alexia Rivas González, deuxième vice-présidente.
• Elisa Marcela Rosales Ramírez, première secrétaire.
• José Serafín Orantes Rodríguez, second secrétaire.
• Reinaldo Alcides Carballo Carballo, troisième secrétaire.

Antécédents : la réglementation qui développe la loi

Le 11 août 2026, le Journal Officiel Numéro 146, Tome 452, a publié les Lignes directrices pour le Délégué à la Protection des Données Personnelles ainsi que la réglementation développant la procédure administrative sanctionnatrice de l’article 53 de la loi, émises par le directeur général de l’Agence de Cybersécurité de l’État. Parmi ses dispositions figurent :

• L’entrée en vigueur huit jours après sa publication au Journal Officiel.
• Le délai de vingt jours ouvrables pour communiquer à la Direction de la Protection des Données Personnelles les nominations et les cessations de fonctions des délégués.
• L’obligation du responsable de garantir une formation annuelle au Délégué.
• Le Programme de Certification des Délégués à la Protection des Données Personnelles que l’ACE doit mettre en œuvre.

La réforme intervient alors que le pays dispose déjà d’une autorité sanctionnatrice opérationnelle et d’un registre des délégués en place, de sorte que tout changement dans la loi impacte directement les obligations des entreprises, des entités publiques et des organisations qui traitent les données des citoyens. Les responsables du traitement devront réviser leurs procédures de conformité à la lumière du texte publié dans le Journal Officiel Numéro 173.

Source : Journal Officiel, Numéro 173, Tome Nº 452, 18 septembre 2026, Organe Législatif, p. 6-10 (référence officielle : Décret Législatif No. 659).