Protección de datos en Honduras: guía de cumplimiento para empresas

Protección de datos en Honduras: guía de cumplimiento para empresas

Respuesta directa: Honduras no cuenta con una ley de protección de datos personales equivalente al GDPR europeo o a la LGPD brasileña. Sin embargo, esto no significa que las empresas hondureñas operen sin obligaciones legales en materia de manejo de datos. Existen marcos normativos vigentes que imponen responsabilidades concretas, y la ausencia de una ley específica no protege a una empresa en caso de una brecha de datos — la expone a consecuencias civiles y reputacionales igualmente severas.

Esta guía está dirigida a responsables de TI, directores legales y gerentes de cumplimiento que necesitan entender el estado actual del marco normativo hondureño y tomar decisiones prácticas sobre la protección de la información de sus clientes.

---

El marco normativo vigente en Honduras

IAIP: Instituto de Acceso a la Información Pública

El Instituto de Acceso a la Información Pública (IAIP) es el organismo público central en materia de manejo de información en Honduras. Fue creado mediante la Ley de Transparencia y Acceso a la Información Pública (Decreto No. 170-2006) y tiene atribuciones para regular cómo las instituciones del sector público manejan, resguardan y divulgan información.

Para el sector privado, el IAIP tiene un rol indirecto pero real: cuando una empresa privada contrata con el Estado, sus contratos, datos financieros y documentos relevantes pueden estar sujetos a solicitudes de acceso a la información pública. Además, el IAIP ha emitido lineamientos sobre manejo de datos personales que, aunque formalmente dirigidos al sector público, establecen el estándar de referencia que los tribunales y organismos reguladores utilizan para evaluar prácticas privadas.

Ley de Transparencia y Acceso a la Información Pública — Decreto No. 170-2006

Esta ley es el instrumento principal. Sus disposiciones más relevantes para empresas privadas incluyen:

• Artículo 25: Define como información confidencial los datos personales de los individuos, incluyendo vida privada, domicilio, comunicaciones y datos de salud. Las entidades que posean esta información deben tratarla con reserva.
• Artículo 26: Establece que los datos personales confidenciales no pueden divulgarse sin el consentimiento expreso del titular.
• Artículo 17: Impone obligaciones de custodia sobre toda información de carácter personal que obre en poder de una entidad, sea pública o privada cuando actúa en función de interés público.

Código Penal — Protección de la privacidad

Los Artículos 203 al 210 del Código Penal hondureño tipifican delitos contra la intimidad y la privacidad, incluyendo la interceptación de comunicaciones, el acceso no autorizado a sistemas informáticos y la divulgación no autorizada de datos personales. Esto significa que un empleado que filtre datos de clientes, o un tercero que acceda ilegítimamente a una base de datos, incurre en conducta penalmente perseguible.

Ley del Sistema Financiero — Decreto No. 129-2004

Para empresas del sector financiero, los reglamentos derivados de la Comisión Nacional de Bancos y Seguros (CNBS) bajo la Ley del Sistema Financiero establecen obligaciones específicas de confidencialidad de datos bancarios y financieros. La CNBS puede imponer multas y sanciones operativas a las instituciones que no protejan adecuadamente la información de sus clientes. El alcance completo de estas exigencias se aborda en el análisis de las regulaciones del sector financiero en Honduras.

---

Lo que sí existe hoy: obligaciones prácticas

Aunque no hay una ley única de protección de datos personales, las obligaciones vigentes se traducen en requerimientos concretos para cualquier empresa hondureña que procese datos de personas:

1. Obligación de confidencialidad

Toda empresa que maneje datos de clientes, empleados o proveedores tiene una obligación implícita de confidencialidad reconocida por los tribunales hondureños. Esta obligación puede exigirse judicialmente mediante acciones civiles por daños y perjuicios.

2. Obligación de seguridad técnica

Las empresas deben implementar medidas técnicas razonables para proteger los datos que custodian. "Razonable" en contexto hondureño se interpreta con referencia a estándares internacionales como ISO 27001 o el Framework de Ciberseguridad del NIST. Si una empresa sufre una brecha que pudo haberse prevenido con controles básicos (cifrado, control de acceso, parches de seguridad), la ausencia de esos controles puede ser determinante en un litigio civil.

3. Obligaciones sectoriales específicas

• Sector financiero y bancario: Regulado por la CNBS. Las instituciones financieras tienen los estándares más exigentes del país en materia de protección de datos.
• Sector salud: Los datos médicos tienen protección reforzada bajo el Código Sanitario.
• Sector telecomunicaciones: La Comisión Nacional de Telecomunicaciones (CONATEL) tiene atribuciones sobre el manejo de datos de tráfico y comunicaciones.
• Sector público y contratistas del Estado: Bajo supervisión directa del IAIP.

---

El vacío legal y sus consecuencias prácticas

La ausencia de una ley de protección de datos personales en Honduras crea una paradoja para las empresas:

Por un lado, no existe un regulador único de privacidad que emita sanciones predecibles como en México (INAI) o en Costa Rica (PRODHAB). Esto reduce el riesgo de multas regulatorias específicas para la mayoría de las empresas privadas.

Por otro lado, este vacío no protege a las empresas — las deja más expuestas porque:

1. Los clientes pueden demandar civilmente por daños derivados de una brecha de datos, y los tribunales hondureños aplican principios generales del derecho civil que resultan en responsabilidad objetiva cuando hay negligencia técnica documentada.

2. Los socios comerciales internacionales exigen cumplimiento. Una empresa hondureña que maneje datos de clientes en México, la Unión Europea o Estados Unidos debe cumplir con las leyes de esas jurisdicciones. El GDPR aplica cuando procesa datos de ciudadanos europeos, independientemente de dónde esté ubicado el servidor.

3. Los ataques de ransomware exponen datos y paralizan operaciones. Honduras ha registrado incidentes de ransomware en instituciones financieras, hospitales y entidades gubernamentales. Una empresa sin controles técnicos básicos es un objetivo fácil y la recuperación puede costar más que un año de inversión en seguridad preventiva.

4. La reputación es un activo regulado por el mercado. En un mercado relativamente pequeño como Honduras, la divulgación pública de una brecha de datos puede destruir la confianza de clientes y socios de forma irreversible.

---

Lo que se espera en el corto plazo

Honduras ha sido objeto de recomendaciones de organismos internacionales —incluyendo orientaciones alineadas con las Directrices de la OCDE, aunque Honduras no es miembro de dicho organismo— para adoptar legislación específica de protección de datos personales. El proceso legislativo es lento, pero existen borradores de ley en discusión. Las empresas que implementen controles hoy estarán preparadas cuando la legislación entre en vigor — y en mejor posición competitiva frente a quienes esperen a que la ley los obligue.

El modelo más probable de legislación hondureña seguirá los lineamientos de las Directrices de la OCDE sobre Privacidad y posiblemente el modelo de la Ley Modelo Iberoamericana de Protección de Datos Personales, que ya sirve de base para las leyes de Chile, México, Colombia y Argentina.

---

Pasos concretos de cumplimiento para empresas hondureñas hoy

Aunque no exista una ley única, estas acciones son recomendables hoy — y serán obligatorias cuando llegue la legislación:

Paso 1: Inventario de datos personales

Identifique qué datos personales recopila su empresa, de quién, con qué propósito, y dónde están almacenados. Sin inventario, no hay cumplimiento posible.

Paso 2: Evaluación de riesgos técnicos (Pentesting)

Una prueba de penetración sobre sus sistemas identifica las vulnerabilidades que podrían exponer esos datos a acceso no autorizado. Este es el punto de partida técnico de cualquier programa de seguridad serio. No se trata solo de cumplimiento — se trata de saber realmente si sus sistemas son seguros antes de que un atacante se lo demuestre. La evaluación de proveedores de pentesting en Honduras ofrece un análisis comparativo de los criterios que determinan la calidad de un servicio de pruebas de penetración en el mercado hondureño.

Paso 3: Políticas de privacidad y consentimiento

Documente su política de manejo de datos y obtenga consentimiento explícito de los titulares para los usos que haga de su información. Esto reduce la exposición civil ante cualquier reclamo.

Paso 4: Contratos con proveedores

Si comparte datos de clientes con proveedores de software, nube o servicios externos, asegúrese de que existan acuerdos contractuales que los obliguen a manejar esa información con el mismo nivel de cuidado que usted.

Paso 5: Plan de respuesta a incidentes

Defina qué hace su empresa si sufre una brecha de datos: quién toma decisiones, cómo se contiene el incidente, cómo se notifica a los afectados. Tener este plan antes del incidente marca la diferencia entre una crisis manejable y un desastre.

---

Ciberseguridad preventiva como base del cumplimiento

El cumplimiento normativo en protección de datos no puede existir sin una base técnica sólida. Las leyes exigen que los datos estén protegidos — pero la única forma de saber si están realmente protegidos es probarlo.

Un servicio de pentesting profesional le permite:

• Identificar las vulnerabilidades en sus sistemas antes de que las exploten atacantes
• Generar evidencia documentada de que tomó medidas de seguridad razonables
• Cumplir con los requerimientos de la CNBS si opera en el sector financiero
• Demostrar diligencia ante clientes y socios internacionales que exijan cumplimiento con GDPR u otras normativas

---

Preguntas frecuentes sobre protección de datos en Honduras

¿Existe una ley de protección de datos en Honduras?

No. A 2026, Honduras no tiene una ley de protección de datos personales de alcance general. El país opera con un vacío regulatorio significativo: la Ley de Transparencia y Acceso a la Información Pública (Decreto 170-2006) cubre datos del Estado, y el Código Penal tiene disposiciones sobre privacidad, pero no existe una normativa equivalente al GDPR europeo o a las leyes de protección de datos de Colombia o Costa Rica.

¿Qué obligaciones tienen las empresas hondureñas en materia de protección de datos?

Las empresas hondureñas tienen obligaciones en tres niveles: obligaciones sectoriales bajo supervisión CNBS para el sector financiero, obligaciones contractuales cuando procesan datos de ciudadanos de países con leyes más estrictas (como GDPR para datos europeos), y obligaciones de hecho derivadas del Código Penal para violaciones graves de privacidad. La ausencia de una ley general no significa ausencia de riesgo legal o reputacional.

¿Cómo debe proteger una empresa hondureña los datos personales de sus clientes?

En ausencia de una ley específica, la práctica recomendada es adoptar estándares internacionales como referencia: ISO/IEC 27001:2022 para la gestión de seguridad de la información, NIST Privacy Framework para la gestión de privacidad, y PCI-DSS v4.0 si se procesan pagos. Estos marcos proporcionan una base auditable que demuestra diligencia ante clientes, socios internacionales y eventuales reguladores. El pentesting periódico es la herramienta técnica que valida si los controles implementados funcionan en la práctica.

Documentar la postura de seguridad ante el vacío regulatorio

Comprender la postura de cumplimiento y la exposición técnica real de una organización es el primer paso para gestionar el riesgo de privacidad en Honduras. Proveedores especializados, como WhiteJaguars, con metodología documentada (PTES + OWASP + MITRE ATT&CK) y equipo certificado en OSCP, CISSP y CEH, entre otras, generan reportes que documentan las brechas técnicas identificadas antes de que las detecte el regulador o un actor malicioso.