Toda empresa —por pequeña que sea— trata datos personales: la base de clientes, la planilla de trabajadores, el formulario de contacto de la web, la lista de correos para promociones, el registro de proveedores. Durante años, en el Perú, esa información se manejó con más costumbre que método. Eso terminó. Con la entrada en vigencia del nuevo Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales, el cumplimiento dejó de ser una recomendación de buenas prácticas para convertirse en una obligación exigible, con plazos y multas concretas. Esta guía resume, sin rodeos, lo que una empresa necesita saber hoy.
Del reglamento de 2013 al de 2024: cambió el terreno de juego
La Ley N° 29733 se publicó en 2011 y su primer reglamento, aprobado por el Decreto Supremo N° 003-2013-JUS, la desarrolló en 2013. Ese marco quedó corto frente a la economía digital: apps, cookies, perfiles de consumo, biometría y servicios en la nube que la norma de 2013 apenas anticipaba.
El cambio de fondo llegó con el Decreto Supremo N° 016-2024-JUS (en adelante, el Reglamento), publicado el 30 de noviembre de 2024 y vigente desde el 30 de marzo de 2025. Sus 135 artículos derogan el reglamento de 2013, acercan el marco peruano a estándares internacionales como el Reglamento General de Protección de Datos europeo (RGPD) e introducen figuras que antes no existían, como el Oficial de Datos Personales o la notificación obligatoria de brechas de seguridad.
2011
2013
2024
2025
Qué protege la ley y a quién obliga
La ley protege los datos personales: toda información sobre una persona natural que la identifique o la haga identificable. El Reglamento amplió expresamente ese universo para incluir datos de localización e identificadores en línea. Dentro de ese conjunto hay una categoría especialmente protegida —los datos sensibles—, que abarca origen racial y étnico, ingresos económicos, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, salud, vida sexual, y datos biométricos y genéticos; su tratamiento exige garantías reforzadas.
En toda operación de tratamiento intervienen tres roles que conviene distinguir, porque de ellos dependen las responsabilidades:
Uno de los cambios más relevantes es el alcance extraterritorial: el Reglamento ya no obliga solo a las empresas establecidas en el Perú. También alcanza a compañías del exterior que ofrezcan bienes o servicios a personas en el país, o que elaboren perfiles de quienes se encuentran en territorio peruano. Vender o perfilar al mercado peruano implica cumplir la ley peruana.
Los principios que deben guiar todo tratamiento
La ley organiza el cumplimiento alrededor de principios rectores. No son consignas: son el estándar con el que la Autoridad evalúa si un tratamiento es lícito.
El consentimiento: la regla y sus excepciones
El consentimiento es la puerta de entrada del tratamiento. Debe ser previo, libre, expreso, informado e inequívoco: la persona tiene que saber quién trata sus datos, para qué y a quién se pueden ceder, y aceptarlo con un acto claro. El silencio o las casillas premarcadas no bastan. Para datos sensibles, el consentimiento debe constar por escrito o medio equivalente.
Hay excepciones tasadas —por ejemplo, la ejecución de un contrato con el titular, el cumplimiento de una obligación legal o ciertos supuestos de fuentes de acceso público—, pero son eso: excepciones, de interpretación estricta. El Reglamento reforzó, además, el consentimiento para la prospección comercial: la publicidad y las llamadas o mensajes promocionales requieren autorización, y el titular puede revocarla en cualquier momento.
Los derechos del titular que la empresa debe atender
Los clientes y trabajadores tienen derechos que la empresa está obligada a hacer efectivos, gratuitamente y en los plazos de ley. Se los conoce por sus siglas ARCO, más algunos adicionales:
Las obligaciones concretas de la empresa
Traducido a la operación diaria, el responsable de un banco de datos debe, como mínimo:
El Oficial de Datos Personales: quién debe nombrarlo
La figura del Oficial de Datos Personales (equivalente al Data Protection Officer o DPO del modelo europeo) es una de las grandes novedades. Es la persona designada formalmente para supervisar el cumplimiento de la normativa dentro de la organización y servir de enlace con la Autoridad.
Su designación no es universal: el Reglamento la exige, entre otros supuestos, cuando el tratamiento lo realiza una entidad pública; cuando se manejan grandes volúmenes de datos, datos sensibles o tratamientos que afecten a un gran número de personas; o cuando la actividad principal de la empresa gira en torno al tratamiento de datos sensibles. Esta obligación se activa de forma progresiva desde el 30 de noviembre de 2025, según el nivel de ventas anuales de la empresa.
Transferencias internacionales de datos
Enviar datos al extranjero —algo cotidiano cuando se usan servicios en la nube, casas matrices o proveedores globales— es un flujo transfronterizo regulado. La regla general es que el país de destino ofrezca un nivel de protección adecuado; si no lo hace, la transferencia solo procede con garantías suficientes (cláusulas contractuales, consentimiento informado del titular u otros mecanismos previstos). Conviene mapear a qué países y proveedores viajan los datos antes de que lo pregunte la Autoridad.
Fiscalización y sanciones: cuánto cuesta incumplir
La Autoridad Nacional de Protección de Datos Personales, dependiente del Ministerio de Justicia y Derechos Humanos, fiscaliza y sanciona. Las multas se calculan en Unidades Impositivas Tributarias (UIT) y escalan según la gravedad, desde 0,5 hasta 100 UIT. Con la UIT de 2025 (S/ 5 350), el tope equivale a unos S/ 535 000 por infracción.
No es un riesgo teórico. Según cifras del propio regulador, en el último período se realizaron 760 fiscalizaciones —un 67 % más que el año anterior—, se iniciaron 136 procedimientos sancionadores y se impusieron multas por más de S/ 11 millones. La tendencia es a fiscalizar más, no menos.
Qué debe hacer tu empresa hoy: hoja de ruta
Conclusión
El nuevo Reglamento no reinventó la Ley N° 29733: la puso al día y, sobre todo, la volvió exigible con plazos y sanciones reales. Para la empresa, la protección de datos dejó de ser un anexo del área legal para convertirse en un proceso transversal —tecnología, seguridad, marketing y recursos humanos incluidos—. La buena noticia es que casi todo el cumplimiento se construye una sola vez y se mantiene: quien ordena su casa hoy, evita multas y gana la confianza de sus clientes mañana.
¿Tu empresa ya cumple con la Ley de Protección de Datos y su nuevo Reglamento?
Acompaño a empresas en su adecuación integral: mapeo de datos, avisos de privacidad y consentimientos, registro de bancos de datos, políticas de seguridad, contratos con encargados y la evaluación del Oficial de Datos Personales. Conversemos sobre tu caso.
Fuentes
- Congreso de la República. Ley N° 29733, Ley de Protección de Datos Personales (2011).
- Ministerio de Justicia y Derechos Humanos. Decreto Supremo N° 016-2024-JUS, que aprueba el Reglamento de la Ley N° 29733 (30 de noviembre de 2024).
- Autoridad Nacional de Protección de Datos Personales (ANPD). Nuevo Reglamento de Protección de Datos Personales.
- MINJUSDH. El nuevo Reglamento refuerza el consentimiento para llamadas publicitarias.
- EY Perú. Protección de datos personales en Perú: nuevo reglamento y su impacto en las empresas.
- Garrigues. Perú publica el nuevo Reglamento de la Ley de Protección de Datos Personales.
La información de este artículo tiene fines divulgativos y de análisis; no constituye asesoría legal. La normativa citada puede ser modificada; para decisiones concretas, verifique el texto vigente de cada norma y consulte a un profesional respecto de su caso particular. Información vigente a julio de 2026.
