Reglamento de la Ley 29733: qué deben implementar las empresas y sus sistemas en Perú

El 30 de noviembre de 2024 se publicó el Decreto Supremo N.º 016-2024-JUS, nuevo Reglamento de la Ley N.º 29733, Ley de Protección de Datos Personales. Reemplazó al reglamento anterior y entró en vigencia el 31 de marzo de 2025.

Si su empresa trata datos personales mediante formularios, una tienda en línea, un CRM u otro sistema, debe identificar las obligaciones que le corresponden como responsable o encargado del tratamiento. Este artículo resume los principales controles técnicos que conviene evaluar al desarrollar, contratar u operar software.

Nota: este artículo es informativo y está orientado al desarrollo; no es asesoría legal. Para su caso puntual, consulte con un abogado especialista o con la Autoridad Nacional de Protección de Datos Personales (ANPD).

¿A quién se aplica y desde cuándo?

El reglamento se aplica a los tratamientos comprendidos en su ámbito territorial, incluidos los realizados por organizaciones establecidas en Perú y determinados tratamientos dirigidos a personas ubicadas en el país. Conviene distinguir dos roles centrales:

• Responsable del tratamiento: la persona o entidad que decide la finalidad y los medios del tratamiento. La definición es más amplia que la de titular del banco de datos personales y puede comprender a su empresa.
• Encargado del tratamiento: la persona o entidad que trata los datos por cuenta u orden del responsable o del titular del banco de datos, por ejemplo, un proveedor que opera el sistema. El encargado también asume obligaciones propias.

Sobre las fechas: el reglamento rige desde los 120 días calendario posteriores a su publicación. Algunas disposiciones tienen plazos específicos. Cuando una empresa privada está comprendida en los supuestos que obligan a designar un Oficial de Datos Personales, la exigencia entra en vigor de forma progresiva, de 1 a 4 años desde la publicación según sus ventas anuales en UIT. La disposición sobre portabilidad de datos surte efecto 6 meses después de la entrada en vigencia del reglamento.

Controles que debe revisar en su software o web (artículo 46)

El artículo 46 es una referencia central para el desarrollo de sistemas. Establece que las plataformas, sitios web, aplicaciones móviles, servicios digitales y sistemas que tratan datos personales deben contar con medidas de seguridad documentadas e implementadas, entre ellas:

• Control de acceso real: gestión de usuarios desde el alta hasta la baja, identificación y autenticación, y revisión de privilegios al menos cada 6 meses. La norma menciona usuario-contraseña, certificados digitales y tokens. En la práctica, exige evaluar una autenticación robusta, incluido el segundo factor, y roles bien definidos.
• Registros de trazabilidad (logs): evidencia de quién accede y qué hace con los datos, incluidos los inicios y cierres de sesión y las acciones de visualización, modificación, eliminación, importación y exportación. Deben conservarse como mínimo 2 años y estar disponibles de inmediato.
• Monitoreo periódico de las medidas de seguridad y capacitación del personal según su rol.
• Medidas contra copias no autorizadas y control sobre el uso de correos, mensajería o redes no institucionales para mover datos.

En términos prácticos, debe evaluarse si el sistema registra los accesos y las operaciones sobre datos personales con el detalle y el periodo de conservación exigidos. Incorporar esta trazabilidad desde el diseño facilita la supervisión y evita modificaciones estructurales posteriores.

Cifrado, respaldos y documento de seguridad (artículos 47, 51 y 52)

• Documento de Seguridad (Art. 47): la empresa debe contar con un documento formal, con fecha cierta y actualizado, que incluya sus procedimientos de accesos y privilegios y un inventario de los datos personales y sistemas (señalando si hay datos sensibles). La norma sugiere apoyarse en el estándar NTP-ISO/IEC 27001.
• Copias de respaldo (Art. 51): al menos semanales, con verificación de integridad y capacidad de recuperación.
• Cifrado en las transferencias (Art. 52): mover datos fuera de las instalaciones exige medidas como cifrado, firmas y certificados digitales para evitar accesos no autorizados o pérdidas en tránsito.

Notificación de brechas y plazo de 48 horas (artículos 34 a 36)

El reglamento establece obligaciones específicas de notificación cuando un incidente de seguridad expone grandes volúmenes de datos, afecta a numerosas personas o involucra datos sensibles:

• Cuando se cumplen los supuestos del reglamento, debe notificarse a la ANPD dentro de las 48 horas de haber tomado conocimiento; una demora requiere justificación.
• Si el incidente afecta a las personas en otros derechos, debe comunicárselo dentro de 48 horas en lenguaje claro. El reglamento contempla supuestos en los que esa comunicación ya no subsiste si el incidente no produjo dicha afectación y fue superado totalmente.
• Si el incidente ocurre en el entorno digital, además se notifica al Centro Nacional de Seguridad Digital.
• Si usted es proveedor de software (encargado), debe informar de inmediato a su cliente (el responsable) cualquier incidente que detecte (Art. 36), y todo incidente debe documentarse (Art. 35).

Para cumplir estos plazos, la organización debe contar previamente con mecanismos de detección, registros de trazabilidad, responsables definidos, canales de comunicación y un plan de respuesta probado.

Consentimiento, derechos y "privacidad desde el diseño"

El reglamento refuerza el principio de privacidad desde el diseño y por defecto. Esto implica incorporar la protección de datos desde la definición del sistema, y no únicamente al final del desarrollo. En la práctica, para su sitio web o software:

• Consentimiento cuando corresponda: debe ser libre, previo, expreso e informado. El formulario y la política deben reflejar la finalidad real del tratamiento.
• Derechos del titular: el sistema debe permitir atender acceso, rectificación, cancelación, oposición y portabilidad cuando resulte aplicable.
• Minimización y conservación: recopilar solo lo necesario y aplicar los plazos legales o criterios documentados de conservación.

Oficial de datos personales

El reglamento exige designar un Oficial de Datos Personales a las entidades públicas y a las organizaciones comprendidas en determinados supuestos, como el tratamiento de grandes volúmenes, la afectación de un gran número de personas o el tratamiento de datos sensibles como actividad principal. Para las empresas privadas alcanzadas por estos supuestos, el cronograma es progresivo, de 1 a 4 años desde la publicación según las ventas anuales en UIT. El oficial orienta y supervisa el cumplimiento, actúa como contacto con la ANPD y reporta directamente al nivel jerárquico más alto.

Checklist práctico para el desarrollo

Si va a construir o contratar un sistema o web que maneje datos de personas, asegúrese de que contemple:

• Autenticación robusta y roles/permisos con revisión periódica.
• Logs de auditoría de accesos y acciones, conservados al menos 2 años.
• Cifrado de datos en tránsito (y en reposo para datos sensibles).
• Respaldos verificados y un plan de recuperación.
• Un flujo para atender derechos (acceso, rectificación, cancelación, oposición) y eliminar datos.
• Base legal y, cuando corresponda, consentimiento claro en formularios y política de privacidad enlazada.
• Un plan de respuesta a incidentes que permita notificar en 48 horas.
• Si trabaja con un proveedor, un contrato de encargo de tratamiento que fije sus obligaciones.

En resumen

El reglamento establece obligaciones concretas sobre accesos, trazabilidad, respaldos y respuesta a incidentes para las organizaciones que tratan datos personales. Incorporarlas desde el diseño facilita una implementación consistente; sin embargo, la adecuación también exige revisar finalidades, contratos, procedimientos y el contexto de cada empresa. GlobalDev Peru puede evaluar los controles técnicos del sistema, mientras la validación jurídica debe quedar a cargo de un especialista legal o de la autoridad competente.

Este contenido es orientativo y no constituye asesoría legal. Para las obligaciones específicas de su organización, consulte con un abogado especializado o con la Autoridad Nacional de Protección de Datos Personales (ANPD), adscrita al Ministerio de Justicia y Derechos Humanos. Puede leer la norma oficial completa aquí: Decreto Supremo N.º 016-2024-JUS: Reglamento de la Ley N.º 29733.