El 30 de junio de 2026 venció el plazo para que las empresas peruanas obligadas designaran a su Oficial de Datos Personales conforme a la directiva de la Autoridad Nacional de Protección de Datos Personales. Las que no lo hicieron ya están en infracción. Y llegan tarde a un regulador distinto al de hace dos años: la ANPD realizó 760 fiscalizaciones durante 2025, un 67% más que las 454 del año anterior, inició 136 procedimientos sancionadores e impuso multas por más de S/ 11 millones.
La Ley 29733 existe desde 2011. Lo que cambió fue su reglamento, y con él la probabilidad de que alguien venga a revisar.
Qué es la Ley 29733 y a quién obliga
La Ley 29733, Ley de Protección de Datos Personales, se publicó el 2 de julio de 2011 y desarrolla el derecho reconocido en el numeral 6 del artículo 2 de la Constitución. Regula cómo las organizaciones públicas y privadas pueden recolectar, almacenar, usar y transferir datos de personas naturales.
La obligación no depende del tamaño de la empresa ni del rubro. Si tratas datos de clientes, postulantes, pacientes, proveedores o trabajadores, estás dentro. Un dato personal es cualquier información que permita identificar a una persona, y el reglamento vigente amplió esa definición para incluir datos de localización e identificadores en línea.
Existe además una categoría con protección reforzada, los datos sensibles: origen racial o étnico, convicciones políticas o religiosas, información de salud, vida sexual y datos biométricos. Tratarlos sin las medidas de seguridad exigidas constituye una de las infracciones más caras del régimen.
El reglamento de 2024 cambió las reglas
El Decreto Supremo 016-2024-JUS se publicó en El Peruano el 30 de noviembre de 2024 y entró en vigencia 120 días después, el 30 de marzo de 2025. Derogó el reglamento de 2013, tiene 135 artículos y es el cambio de fondo más importante en la materia desde la promulgación de la ley.
Cuatro modificaciones alteran la operación de una empresa peruana.
La ley alcanza a empresas sin sede en Perú
El reglamento aplica a responsables que no están establecidos en territorio peruano cuando ofrecen bienes o servicios a personas ubicadas en Perú, o cuando analizan su comportamiento y elaboran perfiles. Una plataforma con sede en Miami que vende a consumidores peruanos queda sujeta a la Ley 29733. El criterio replica el principio de extraterritorialidad del reglamento europeo.
Las brechas se notifican en 48 horas
Ante una vulneración de seguridad, la organización debe notificar a la ANPD dentro de un plazo máximo de 48 horas, incluso cuando el incidente ya fue subsanado. Ese plazo no alcanza para diseñar el procedimiento durante la crisis. Exige un protocolo escrito, responsables designados y capacidad técnica para determinar rápido qué datos se vieron afectados y a cuántas personas alcanzó.
Entre el 31 de marzo y el 31 de julio de 2025 se notificaron 14 incidentes de seguridad, los primeros bajo el nuevo régimen.
Ahora tienes que poder demostrar que cumples
El reglamento incorpora la responsabilidad proactiva. Declarar cumplimiento dejó de ser suficiente: la organización debe conservar evidencia documentada de las medidas que implementó. Se suma el principio de transparencia, que exige informar el tratamiento de forma permanente, clara y accesible para el titular.
Este cambio es el que más trabajo genera, porque obliga a producir registros de algo que antes se resolvía con una política publicada en el sitio web.
Los datos biométricos entraron a la categoría sensible
La huella dactilar, el rostro y el iris quedaron bajo el régimen reforzado. La diferencia con otros datos es que no se pueden cambiar. Una contraseña filtrada se reemplaza; un patrón facial filtrado acompaña a la persona el resto de su vida. Toda empresa que usa reconocimiento facial para control de asistencia o verificación de identidad quedó alcanzada.
Revisa el detalle completo del reglamento y sus 135 artículos [/pe/reglamento-ley-29733/]
Oficial de Datos Personales: quién debe designarlo y desde cuándo
El reglamento creó la figura del Oficial de Datos Personales (ODP), equivalente peruano del Data Protection Officer europeo. Es la persona designada formalmente para supervisar el cumplimiento y actuar como punto de contacto ante la ANPD.
La obligación entra por tramos según las ventas anuales de la empresa.
| Ventas anuales | Obligación exigible desde |
|---|---|
| Más de 2.300 UIT (sobre S/ 12 millones) | 30 de noviembre de 2025 |
| Entre 1.700 y 2.300 UIT | 30 de noviembre de 2026 |
| Pequeñas empresas | 30 de noviembre de 2027 |
| Microempresas (hasta 150 UIT) | 30 de noviembre de 2028 |
El tamaño no es el único criterio. El artículo 37 del reglamento obliga a designar ODP, sin importar la facturación, cuando el tratamiento involucra grandes volúmenes de datos, alcanza a un gran número de personas, incluye datos sensibles o puede perjudicar derechos fundamentales. Una clínica pequeña o una empresa de verificación biométrica están obligadas aunque facturen poco.
La Resolución Directoral 100-2025-JUS-DGTAIPD, del 31 de diciembre de 2025, fijó un plazo de adecuación de 180 días que venció el 30 de junio de 2026. Al 14 de mayo de 2026 la autoridad registraba 198 designaciones formales comunicadas.
La designación se formaliza por decisión del máximo órgano de administración, por ejemplo una sesión de directorio. Los datos de contacto del ODP se comunican a la ANPD dentro de los 15 días siguientes y deben publicarse en un lugar visible para los titulares. Un grupo empresarial puede nombrar un único ODP, y el cargo lo puede ocupar un trabajador o un externo.
Cuánto cuesta incumplir
La Ley 29733 establece tres niveles de infracción. Las leves llegan hasta 5 UIT, las graves hasta 50 UIT y las muy graves hasta 100 UIT. Con la UIT de 2025, una infracción leve alcanza S/ 26.750 y una muy grave, S/ 535.000.
No designar al ODP dentro del plazo es infracción leve. Omitir el consentimiento del titular o no implementar medidas de seguridad sobre datos sensibles cae en las categorías superiores.
El monto de la multa suele ser el menor de los costos. Un procedimiento sancionador consume meses de trabajo legal y técnico, y la ANPD publica sus resoluciones, de modo que el incumplimiento queda disponible para cualquiera que investigue a la empresa antes de firmar un contrato.
Los derechos ARCO y el plazo para responderlos
Cualquier persona puede solicitar a tu organización acceso a sus datos, rectificación, cancelación u oposición al tratamiento. Son los derechos ARCO, y el reglamento sumó la portabilidad, que permite al titular pedir sus datos en formato estructurado para llevarlos a otro proveedor.
Responder dentro de plazo exige algo que la mayoría de las organizaciones peruanas no tiene resuelto: saber dónde vive cada dato personal. Si el correo de un cliente está en el CRM, en tres planillas compartidas, en un formulario web y en la bandeja de un ejecutivo, la solicitud de cancelación es imposible de cumplir por completo.
Esa dispersión es la primera brecha que aparece en cualquier diagnóstico serio, y es también la razón por la que el cumplimiento empieza con un inventario y no con un documento legal.
Cómo responder los derechos ARCO dentro de plazo [/pe/derechos-arco-peru/]
El Registro Nacional de Bancos de Datos Personales
Perú mantiene una obligación que lo distingue en la región: los bancos de datos personales deben inscribirse ante el registro que administra la ANPD, declarando finalidad, categorías de datos, medidas de seguridad implementadas y transferencias internacionales. No registrarlos constituye infracción.
La inscripción obliga a describir por escrito las medidas de seguridad que aplicas. Si esas medidas no existen o no se pueden acreditar, el propio registro documenta el incumplimiento.
Qué es la ANPD, qué fiscaliza y cómo opera el registro [/pe/autoridad-nacional-proteccion-datos-personales/]
Qué parte del cumplimiento se resuelve con tecnología
Una parte de la Ley 29733 es trabajo legal: políticas, cláusulas contractuales, consentimientos y la designación del ODP. Otra parte solo se resuelve con controles técnicos, y es la que la ANPD pide acreditar cuando fiscaliza.
- Saber qué datos personales tienes y dónde están. Sin inventario no hay registro de bancos de datos posible ni respuesta completa a un derecho ARCO.
- Controlar quién accede a ellos. Privilegio mínimo, autenticación fuerte y revisión periódica de accesos.
- Detectar y contener una brecha en menos de 48 horas. Sin detección temprana, el plazo de notificación se vence antes de que sepas qué pasó.
- Conservar evidencia de que los controles operaban antes del incidente. Es lo que exige el principio de responsabilidad proactiva.
Las organizaciones que ya trabajan sobre plataforma Microsoft tienen estos controles disponibles en licencias que muchas veces ya pagan. Purview clasifica y etiqueta datos personales y sensibles, Entra ID gobierna el acceso, Defender y Sentinel registran el intento indebido y dejan la traza que después se presenta como evidencia.
Cómo cumplir la Ley 29733 con tu plataforma Microsoft [/pe/servicios/cumplimiento-ley-29733-empresas/]
Por dónde empezar
Si tu organización todavía no designó ODP y está sobre el umbral, ese es el primer movimiento, porque el plazo ya venció y la infracción corre. El segundo es el inventario de datos personales, que condiciona todo lo demás: el registro de bancos de datos, la respuesta a derechos ARCO y la capacidad de saber qué se filtró cuando ocurra un incidente.
La secuencia importa. Redactar políticas antes de saber qué datos tienes produce documentos que la primera fiscalización desmiente.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Quieres un diagnóstico de cumplimiento para tu empresa?
En XMS hacemos una sesión inicial sin costo: revisamos tu entorno Microsoft, identificamos las brechas frente a la Ley 29733 y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes sobre la ley 29733
El Decreto Supremo 016-2024-JUS se publicó el 30 de noviembre de 2024 y entró en vigencia el 30 de marzo de 2025, a los 120 días calendario de su publicación. Derogó el reglamento anterior, el Decreto Supremo 003-2013-JUS.
Si tus ventas anuales superan las 2.300 UIT, la obligación es exigible desde el 30 de noviembre de 2025 y el plazo de adecuación venció el 30 de junio de 2026. Por debajo de ese umbral, la exigencia entra entre 2026 y 2028 según el tamaño. Con independencia de la facturación, quedas obligado si tu actividad principal implica tratar datos sensibles o grandes volúmenes de información.
Debes notificar a la ANPD dentro de las 48 horas, incluso si ya resolviste el incidente. También debes evaluar la comunicación a los titulares afectados. Sin un protocolo previo y sin capacidad de detección, ese plazo se vence mientras el equipo todavía intenta entender el alcance.
Sí. El reglamento vigente alcanza a responsables sin establecimiento en Perú que ofrecen bienes o servicios a personas ubicadas en el país, o que analizan su comportamiento y elaboran perfiles.
