El nuevo Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales, aprobado por el Decreto Supremo N° 016-2024-JUS, introdujo sus obligaciones de forma escalonada. El próximo hito está cerca: a partir del 30 de noviembre de 2026, las medianas empresas que cumplan los supuestos correspondientes deben contar con un Oficial de Datos Personales.
Contexto
El Reglamento se publicó en el diario oficial El Peruano el 30 de noviembre de 2024 y entró en vigencia a los 120 días calendario, sustituyendo al reglamento de 2013 (D.S. N° 003-2013-JUS). Algunas obligaciones se aplican por etapas que se cuentan desde la fecha de publicación.
¿Quién debe designar un Oficial de Datos Personales?
Según el artículo 37, el titular del banco de datos o responsable y el encargado del tratamiento deben designar un Oficial de Datos Personales cuando:
- el tratamiento lo realice una entidad pública;
- se traten grandes volúmenes de datos personales, datos que puedan afectar a un gran número de personas o datos sensibles, o se produzca un perjuicio evidente a otros derechos del titular; o
- sus actividades principales o de giro de negocio comprendan el tratamiento de datos sensibles.
Un grupo empresarial puede nombrar un único Oficial, siempre que sea fácil contactarlo desde cada establecimiento. Para los supuestos 2 y 3, la obligación se aplica de forma progresiva según las ventas anuales:
- Más de 2300 UIT: desde el 30 de noviembre de 2025 (ya vigente)
- Medianas empresas, más de 1700 y hasta 2300 UIT: desde el 30 de noviembre de 2026
- Pequeñas empresas, más de 150 y hasta 1700 UIT: desde el 30 de noviembre de 2027
- Microempresas, hasta 150 UIT: desde el 30 de noviembre de 2028
No designar al Oficial cuando corresponde está tipificado como infracción en el Reglamento. El Oficial puede ser un trabajador o un proveedor externo, siempre que tenga los conocimientos necesarios y pueda actuar con independencia. Un DPO externalizado es una opción habitual para empresas que no necesitan el rol a tiempo completo.
Notificación de incidentes en 48 horas
El artículo 34 obliga a notificar a la Autoridad Nacional de Protección de Datos Personales (ANPDP) como máximo dentro de las 48 horas posteriores a tomar conocimiento de un incidente de seguridad que exponga grandes volúmenes de datos, pueda afectar a un gran número de personas, afecte datos sensibles o cause un perjuicio evidente. Puntos clave:
- Una notificación posterior debe ir acompañada de los motivos de la demora
- La obligación se mantiene aunque el incidente ya se haya resuelto internamente
- La notificación debe describir el incidente, la persona de contacto, las posibles consecuencias y las medidas adoptadas
- Todo incidente debe documentarse, también los que no requieren notificación (artículo 35)
- El encargado debe informar de inmediato al responsable (artículo 36)
Otros cambios importantes
- Portabilidad de datos (artículo 76): aplicable desde seis meses después de la entrada en vigencia del Reglamento
- Evaluación de impacto: es facultativa según el artículo 40, pero recomendable para datos sensibles, perfiles y grupos vulnerables
- "Yo cuido mis datos personales": nueva plataforma digital en la que los ciudadanos pueden reclamar ante la ANPDP si no se atienden sus derechos
Qué hacer antes del 30 de noviembre de 2026
- Compruebe su tramo de ventas y si sus tratamientos cumplen los supuestos del artículo 37
- Designe al Oficial de Datos Personales y publique sus datos de contacto
- Prepare su procedimiento de incidentes y una plantilla de notificación para cumplir el plazo de 48 horas
- Revise sus bancos de datos y su inscripción en el registro nacional
- Capacite a su personal para reconocer y comunicar incidentes de inmediato
Nuestra Guía DPO para Perú, gratuita, acompaña al personal interno de protección de datos en 13 talleres prácticos, desde las leyes aplicables hasta las auditorías.
Este artículo ofrece información general a 20 de octubre de 2026 y no constituye asesoramiento jurídico. Fuente: Decreto Supremo N° 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024.