La Ley 29733 obliga a toda organización que trate datos personales en Perú a hacerlo con consentimiento y finalidad claros, a protegerlos con medidas de seguridad y a respetar los derechos de las personas. Desde el 30 de marzo de 2025 rige un nuevo reglamento, aprobado por el Decreto Supremo 016-2024-JUS, que endurece esas obligaciones: oficial de datos personales, aviso de incidentes de seguridad y reglas para empresas extranjeras.
Esta guía resume qué debe hacer una empresa para cumplir, qué trajo el nuevo reglamento y por dónde conviene empezar.
El marco legal vigente
La Ley 29733, Ley de Protección de Datos Personales, se publicó el 3 de julio de 2011 y desarrolla el derecho fundamental reconocido en el artículo 2, numeral 6, de la Constitución. La Autoridad Nacional de Protección de Datos Personales depende del Ministerio de Justicia y Derechos Humanos.
Durante más de una década, su reglamento fue el Decreto Supremo 003-2013-JUS. El Decreto Supremo 016-2024-JUS, publicado el 30 de noviembre de 2024, lo reemplazó y entró en vigencia a los 120 días calendario, el 30 de marzo de 2025.
Los principios que rigen el tratamiento
La ley ordena el tratamiento de datos alrededor de principios que tu empresa debe poder demostrar:
- Legalidad y consentimiento: los datos se tratan conforme a la ley y, por regla general, con el consentimiento previo, informado, expreso e inequívoco del titular (artículo 13.5).
- Finalidad y proporcionalidad: se recogen para fines determinados y solo los datos necesarios para ellos.
- Calidad: los datos deben ser veraces, exactos y actualizados.
- Seguridad: el titular del banco de datos debe adoptar medidas técnicas, organizativas y legales para protegerlos.
- Disposición de recurso y nivel de protección adecuado: el titular debe poder reclamar, y las transferencias al exterior exigen un nivel de protección suficiente.
Los datos sensibles, como los de salud, biométricos, vida sexual o convicciones, requieren un cuidado reforzado. Si tu empresa los trata de forma habitual, el nuevo reglamento puede obligarte a designar un oficial de datos personales.
Derechos de las personas
Los titulares pueden ejercer ante la empresa sus derechos de acceso, rectificación, cancelación y oposición (derechos ARCO). El nuevo reglamento suma el derecho a la portabilidad: la persona puede pedir los datos personales que entregó en un formato estructurado, de uso común y lectura mecánica, y que se envíen directamente a otro responsable.
En la práctica, esto exige tener un procedimiento interno para recibir y responder solicitudes, con responsables y plazos, y dejar evidencia de cada respuesta.
Qué cambió con el DS 016-2024-JUS
| Tema | Qué dispone el nuevo reglamento |
|---|---|
| Oficial de datos personales | Obligatorio, entre otros casos, para entidades públicas, cuando el tratamiento es a gran escala o involucra datos sensibles, o cuando la actividad principal es tratar datos sensibles. Se comunica a la Autoridad, y su implementación tiene plazos escalonados según el tamaño de la empresa. |
| Incidentes de seguridad | Se notifican a la Autoridad en 48 horas desde que se conocen, incluso si ya se resolvieron internamente. Si afectan otros derechos del titular, también se le informa en el mismo plazo, con lenguaje claro. |
| Empresas extranjeras | El reglamento alcanza a quienes ofrecen bienes o servicios a personas en el Perú o elaboran perfiles de quienes están en territorio peruano, y deben designar un representante. |
| Transferencias internacionales | Fija criterios mínimos para considerar adecuado el nivel de protección del país de destino y exige salvaguardas adicionales cuando no se cumplen. |
| Publicidad y prospección | Los datos de fuentes públicas solo sirven para un primer contacto; sin consentimiento en ese momento no se puede insistir. |
| Portabilidad | Nuevo derecho de los titulares, junto con los derechos ARCO. |
Resumen basado en análisis de estudios jurídicos (Pérez-Llorca, Garrigues y CMS) sobre el decreto. Revisa el texto del decreto para los plazos que aplican a tu empresa.
Lista práctica para una empresa
- Inventario de datos: qué datos tratas, de quién, para qué, con quién los compartes y dónde se guardan.
- Base de legitimación y consentimiento: revisa formularios, contratos y avisos de privacidad; el consentimiento debe poder acreditarse.
- Registro de bancos de datos: verifica que los bancos de datos personales que tengas estén declarados ante la Autoridad.
- Medidas de seguridad: documenta accesos, privilegios, auditorías y verificaciones periódicas.
- Procedimiento de incidentes: define quién detecta, evalúa y notifica en 48 horas.
- Procedimiento de derechos: canal y responsables para atender solicitudes ARCO y de portabilidad.
- Terceros y transferencias: contratos con encargados de tratamiento y revisión de envíos de datos al exterior.
- Oficial de datos personales: evalúa si te corresponde y en qué plazo.
Qué pasa si no se cumple
Incumplir la normativa expone a la empresa a un procedimiento administrativo sancionador ante la Autoridad y a multas medidas en UIT, graduadas según la gravedad de la infracción. Además del riesgo económico, un incidente mal gestionado impacta en la reputación y en la relación con clientes y socios. Consulta el texto vigente para las escalas aplicables.
Formación en protección de datos
Con el nuevo reglamento crece la demanda de profesionales que sepan diseñar un programa de protección de datos y ejercer el rol de oficial. En Compliance360 puedes prepararte con la Certificación en Protección de Datos Personales, y llevar esa función a un sistema integral con la Especialización Internacional en Compliance.
Si quieres ordenar el cumplimiento de datos junto con otros frentes bajo una misma norma de gestión, revisa la guía de ISO 37001, 37301 y 37002.
Preguntas frecuentes
¿A quién se aplica la Ley 29733?
A cualquier persona natural o jurídica, pública o privada, que trate datos personales en el Perú. El nuevo reglamento alcanza además a empresas extranjeras que ofrecen bienes o servicios a personas en el país o elaboran perfiles de quienes están en territorio peruano.
¿Desde cuándo rige el nuevo reglamento?
El Decreto Supremo 016-2024-JUS se publicó el 30 de noviembre de 2024 y entró en vigencia a los 120 días calendario, el 30 de marzo de 2025. Reemplazó al Decreto Supremo 003-2013-JUS.
¿Mi empresa debe designar un oficial de datos personales?
Depende. El reglamento lo exige, entre otros casos, a entidades públicas, cuando el tratamiento es a gran escala o involucra datos sensibles, o cuando la actividad principal consiste en tratar datos sensibles. Los plazos para implementarlo son escalonados según el tamaño de la empresa.
¿En cuánto tiempo hay que notificar una brecha de seguridad?
Dentro de las 48 horas desde que se conoce el incidente, incluso si ya se resolvió internamente. Si afecta otros derechos del titular, también hay que informarle en el mismo plazo, en lenguaje claro y con las medidas adoptadas.
¿Qué es el derecho a la portabilidad?
Es el derecho de una persona a recibir los datos personales que entregó en un formato estructurado, de uso común y lectura mecánica, y a que se envíen directamente a otro responsable. Lo incorpora el nuevo reglamento.
Programas para profundizar
- Certificación Internacional en Protección de Datos Personales (DPO) (edición cerrada)
- Especialización Internacional en Compliance 2027 (lista de espera)
- Experto en Sistemas de Gestión de Compliance (ISO 37301) (edición cerrada)
Fuentes
- Ley 29733, Ley de Protección de Datos Personales (El Peruano, 3 de julio de 2011; archivo del Congreso de la República) (se abre en otra pestaña)
- Decreto Supremo 016-2024-JUS, nuevo Reglamento de la Ley 29733 (Autoridad Nacional de Protección de Datos Personales, gob.pe) (se abre en otra pestaña)
- Pérez-Llorca: se aprueba el nuevo reglamento de la Ley de Protección de Datos Personales (se abre en otra pestaña)
- Garrigues: Perú publica el nuevo reglamento de la Ley de Protección de Datos Personales (se abre en otra pestaña)
- CMS: nuevo reglamento de protección de datos personales (se abre en otra pestaña)
Esta guía es informativa y no reemplaza la asesoría legal de un profesional. Las normas se modifican con frecuencia: confirma siempre el texto vigente en la fuente oficial.
