Das neue Reglement zum peruanischen Datenschutzgesetz (Gesetz Nr. 29733), erlassen mit dem Obersten Dekret Nr. 016-2024-JUS, führt seine Pflichten schrittweise ein. Der nächste Meilenstein steht kurz bevor: Ab dem 30. November 2026 müssen mittelgroße Unternehmen, die die maßgeblichen Kriterien erfüllen, einen Datenschutzbeauftragten (Oficial de Datos Personales) haben.
Hintergrund
Das Reglement wurde am 30. November 2024 im Amtsblatt El Peruano veröffentlicht und trat 120 Kalendertage später in Kraft; es ersetzt das Reglement von 2013 (D.S. Nr. 003-2013-JUS). Einige Pflichten gelten gestaffelt, gerechnet ab dem Veröffentlichungsdatum.
Wer muss einen Oficial de Datos Personales benennen?
Nach Artikel 37 müssen Verantwortliche und Auftragsverarbeiter einen Oficial de Datos Personales benennen, wenn:
- die Verarbeitung durch eine öffentliche Stelle erfolgt;
- große Mengen personenbezogener Daten, Daten mit Auswirkungen auf eine große Zahl von Personen oder sensible Daten verarbeitet werden oder die Verarbeitung andere Rechte der Betroffenen offensichtlich beeinträchtigt; oder
- die Kerntätigkeit die Verarbeitung sensibler Daten umfasst.
Eine Unternehmensgruppe kann einen gemeinsamen Oficial benennen, sofern er von jeder Niederlassung leicht erreichbar ist. Für die Fälle 2 und 3 gilt die Pflicht gestaffelt nach Jahresumsatz:
- Mehr als 2.300 UIT: seit dem 30. November 2025 (bereits in Kraft)
- Mittelgroße Unternehmen, mehr als 1.700 bis 2.300 UIT: ab dem 30. November 2026
- Kleine Unternehmen, mehr als 150 bis 1.700 UIT: ab dem 30. November 2027
- Kleinstunternehmen, bis 150 UIT: ab dem 30. November 2028
Die fehlende Benennung trotz Pflicht ist im Reglement als Verstoß aufgeführt. Der Oficial kann ein Mitarbeiter oder ein externer Dienstleister sein, sofern er über das nötige Fachwissen verfügt und unabhängig handeln kann. Ein externer Datenschutzbeauftragter ist eine gängige Lösung für Unternehmen, die keine Vollzeitstelle benötigen.
48-Stunden-Meldepflicht
Artikel 34 verpflichtet den Verantwortlichen, die nationale Datenschutzbehörde (ANPDP) spätestens 48 Stunden nach Kenntnis eines Sicherheitsvorfalls zu benachrichtigen, der große Datenmengen offenlegt, viele Personen betreffen kann, sensible Daten betrifft oder offensichtlichen Schaden verursacht. Die wichtigsten Punkte:
- Eine spätere Meldung muss die Gründe für die Verzögerung angeben
- Die Pflicht besteht auch dann, wenn der Vorfall intern bereits behoben ist
- Die Meldung muss den Vorfall, die Kontaktperson, die möglichen Folgen und die ergriffenen Maßnahmen beschreiben
- Jeder Vorfall ist zu dokumentieren, auch wenn keine Meldung nötig war (Artikel 35)
- Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren (Artikel 36)
Weitere wichtige Änderungen
- Datenübertragbarkeit (Artikel 76): gilt seit sechs Monaten nach Inkrafttreten des Reglements
- Datenschutz-Folgenabschätzung: nach Artikel 40 freiwillig, aber empfehlenswert bei sensiblen Daten, Profiling und schutzbedürftigen Gruppen
- „Yo cuido mis datos personales“: neue digitale Plattform, über die sich Bürger bei der ANPDP beschweren können, wenn ihre Anfragen nicht beantwortet werden
Was bis zum 30. November 2026 zu tun ist
- Umsatzklasse prüfen und ob Ihre Verarbeitungen die Kriterien des Artikels 37 erfüllen
- Oficial de Datos Personales benennen und Kontaktdaten veröffentlichen
- Meldeprozess vorbereiten — mit einer Vorlage, um die 48-Stunden-Frist einzuhalten
- Datenbanken prüfen und ihre Eintragung im nationalen Register
- Mitarbeitende schulen, damit sie Vorfälle erkennen und sofort melden
Unser kostenloser DPO-Leitfaden für Peru führt interne Datenschutzverantwortliche durch 13 praktische Workshops — von den anwendbaren Gesetzen bis zu Audits.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quelle: Oberstes Dekret Nr. 016-2024-JUS, veröffentlicht in El Peruano am 30. November 2024.