Durante casi una década la ANPD operó sin que el mercado peruano le prestara mayor atención. En 2025 realizó 760 fiscalizaciones, un 67% más que las 454 del año anterior, inició 136 procedimientos sancionadores e impuso multas por encima de S/ 11 millones. El acumulado de sanciones entre 2018 y 2025 supera los S/ 50 millones.
El cambio de intensidad tiene dos causas: un reglamento con más obligaciones exigibles y ciudadanos que denuncian con más frecuencia.
Qué es la ANPD y dónde está ubicada
La Autoridad Nacional de Protección de Datos Personales no es un organismo autónomo. Opera dentro del Ministerio de Justicia y Derechos Humanos, a través de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales (DGTAIPD), que depende del Viceministerio de Justicia.
La DGTAIPD ejerce dos autoridades nacionales creadas por el Decreto Legislativo 1353: la de transparencia y acceso a la información pública, y la de protección de datos personales.
La ANPD trabaja con dos direcciones. La Dirección de Protección de Datos Personales orienta, normaliza y administra el registro. La Dirección de Fiscalización e Instrucción revisa el cumplimiento e inicia los procedimientos sancionadores.
Qué facultades tiene
- Emitir directivas vinculantes que interpretan y complementan la Ley 29733.
- Fiscalizar el cumplimiento de la ley y su reglamento, de oficio o por denuncia.
- Imponer multas dentro del régimen de tres niveles de infracción.
- Ordenar medidas correctivas, incluido el cese del tratamiento ilícito y la eliminación de datos retenidos de forma indebida.
- Administrar el Registro Nacional de Protección de Datos Personales.
- Resolver en primera instancia los procedimientos sancionadores y los trilaterales de tutela.
- Aprobar cláusulas contractuales tipo para transferencias internacionales.
Las directivas importan tanto como la ley. La Directiva 01-2020-JUS/DGTAIPD fijó reglas para el tratamiento de datos mediante videovigilancia, un vacío que la norma original no cubría. La Directiva 001-2025-JUS/DGTAIPD, publicada el 31 de diciembre de 2025, estableció los criterios de designación, perfil y funciones del Oficial de Datos Personales, junto con la metodología de cálculo de multas.
Qué sanciona con más frecuencia
Las infracciones recurrentes se han mantenido estables durante años.
- Incumplimiento del deber de información al titular.
- Tratamiento de datos personales sin consentimiento.
- Falta de registro o de actualización de los bancos de datos.
- Incumplimiento de las medidas de seguridad.
La novedad de 2025 fue sectorial: el comercio electrónico entró entre los rubros más sancionados y sostuvo esa posición durante los primeros meses de 2026. Salud, servicios financieros, telecomunicaciones y educación concentran el resto de la carga de casos.
La escala de multas
La Ley 29733 define tres niveles. Las infracciones leves llegan hasta 5 UIT, las graves hasta 50 UIT y las muy graves hasta 100 UIT. La multa máxima que la autoridad puede aplicar equivale a S/ 550.000, alrededor de USD 159.000.
No designar al Oficial de Datos Personales dentro del plazo es infracción leve. Omitir el consentimiento del titular o no implementar medidas de seguridad sobre datos sensibles cae en los niveles superiores.
La ANPD publica sus resoluciones sancionadoras con el nombre del reclamado y el número de expediente. La consecuencia reputacional acompaña a la económica y queda disponible para cualquiera que investigue a la empresa.
El Registro Nacional de Protección de Datos Personales
Perú conserva una obligación que la mayoría de las jurisdicciones abandonó: inscribir los bancos de datos personales ante la autoridad. Un banco de datos es cualquier conjunto organizado de datos personales, automatizado o no, que permita identificar a las personas. Incluye bases de datos, sistemas de archivo, expedientes y registros estructurados.
La inscripción declara la finalidad del banco, las categorías de datos que contiene, las medidas de seguridad implementadas y las transferencias internacionales que realiza. El registro es de acceso público, de modo que cualquier persona puede verificar qué organizaciones tratan sus datos.
Ese carácter público tiene una consecuencia que conviene entender. Al inscribir, la organización describe por escrito las medidas de seguridad que aplica. Si esas medidas no existen o no se pueden acreditar en una fiscalización, el propio registro documenta la brecha entre lo declarado y lo implementado.
El registro debe completarse antes de que el banco de datos entre en operación. No registrarlo constituye infracción.
Cómo prepararte para una fiscalización
La ANPD no evalúa intenciones. Revisa evidencia. Cuatro preguntas anticipan lo que va a pedir.
- ¿Qué bancos de datos tienes registrados y coinciden con los que operas? La discrepancia entre lo declarado y lo real es de las primeras cosas que se contrastan.
- ¿Puedes acreditar el consentimiento de los titulares? Con registro de cuándo, cómo y para qué finalidad se otorgó.
- ¿Las medidas de seguridad declaradas están implementadas? Control de acceso, cifrado, trazabilidad y su evidencia correspondiente.
- ¿Tienes registro de las solicitudes de titulares y sus respuestas? Con fechas que permitan verificar el cumplimiento de plazos.
Las tres últimas se sostienen sobre controles técnicos. La responsabilidad proactiva que introdujo el reglamento convirtió la evidencia en el centro del cumplimiento.
Qué exige la Ley 29733 a tu organización [/pe/ley-29733-proteccion-datos-personales/]
Cómo generar la evidencia que pide la ANPD con tu plataforma Microsoft [/pe/servicios/cumplimiento-ley-29733-empresas/]
Qué revisar esta semana
Entra al registro público y busca a tu propia organización. Compara lo que está declarado con lo que efectivamente operas hoy. Si aparecen bancos de datos que ya no existen, o si faltan los que se crearon en los últimos años, esa diferencia es la primera que una fiscalización va a encontrar.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Tu organización podría acreditar sus medidas de seguridad ante una fiscalización de la ANPD?
En XMS hacemos una evaluación inicial sin costo: contrastamos tus bancos de datos declarados contra lo que realmente operas, revisamos si puedes acreditar consentimiento y medidas de seguridad, y te entregamos una hoja de ruta priorizada frente a la Ley 29733.
Preguntas frecuentes
Es la Autoridad Nacional de Protección de Datos Personales, encargada de fiscalizar el cumplimiento de la Ley 29733. Opera dentro del Ministerio de Justicia y Derechos Humanos a través de la DGTAIPD, y cuenta con una dirección de protección de datos y una de fiscalización e instrucción.
100 UIT para infracciones muy graves, equivalentes a S/ 550.000. Las graves llegan hasta 50 UIT y las leves hasta 5 UIT.
No. Los procedimientos se promueven de oficio, y ese impulso puede originarse en una denuncia de parte o en una decisión motivada de la autoridad. Durante 2025 realizó 760 fiscalizaciones.
