El reglamento anterior de la Ley de Protección de Datos Personales databa de 2013. Se escribió cuando el reconocimiento facial en empresas era marginal, la nube internacional era una novedad y el perfilamiento publicitario todavía no tenía escala. El Decreto Supremo 016-2024-JUS lo reemplazó con 135 artículos y cambió la forma en que una empresa peruana debe operar con datos personales.
Se publicó en El Peruano el 30 de noviembre de 2024 y entró en vigencia el 30 de marzo de 2025, a los 120 días calendario. Derogó el D.S. 003-2013-JUS.
Seis cambios que afectan la operación
La definición de dato personal se amplió
El reglamento incorporó los datos de localización y los identificadores en línea al concepto de dato personal, y precisó que la información puede referirse a aspectos físicos, económicos, culturales o sociales de una persona natural. Una cookie que sigue a un usuario y una coordenada de GPS pasaron a ser datos personales de forma explícita.
Los datos biométricos entraron a la categoría de datos sensibles, junto al origen racial o étnico, las convicciones políticas o religiosas, la salud y la vida sexual. La huella, el rostro y el iris quedaron bajo el régimen más estricto de la norma.
La ley alcanza a empresas sin sede en Perú
El reglamento aplica a responsables no establecidos en territorio peruano cuando ofrecen bienes o servicios a personas ubicadas en Perú, o cuando analizan su comportamiento para elaborar perfiles que predeterminen conductas, preferencias o hábitos.
Una plataforma con sede en Madrid o Miami que vende a consumidores peruanos quedó sujeta a la Ley 29733. El criterio replica la extraterritorialidad del reglamento europeo.
Las brechas se notifican en 48 horas
Ante una vulneración de seguridad, la organización notifica a la Autoridad Nacional de Protección de Datos Personales dentro de un máximo de 48 horas, incluso si el incidente ya fue subsanado. También debe evaluar la comunicación a los titulares afectados.
Ese plazo se cuenta desde que la organización toma conocimiento, y no admite construir el procedimiento sobre la marcha. Sin detección temprana y sin un protocolo escrito con responsables designados, las 48 horas se agotan mientras el equipo todavía intenta determinar el alcance.
Entre el 31 de marzo y el 31 de julio de 2025 se notificaron 14 incidentes bajo el nuevo régimen, los primeros de la serie.
Aparecieron dos principios nuevos
La responsabilidad proactiva exige que el titular del banco de datos pueda demostrar que cumple. Declararlo dejó de bastar. La organización necesita conservar evidencia documentada de las medidas implementadas, con fecha y trazabilidad.
La transparencia obliga a informar el tratamiento de manera permanente, clara, comprensible y accesible para el titular. Una política de privacidad enterrada en el pie de página no satisface ese estándar.
Se creó el Oficial de Datos Personales
El artículo 37 introdujo el ODP, equivalente peruano del Data Protection Officer europeo. Su designación es exigible por tramos de facturación desde el 30 de noviembre de 2025, y también sin importar el tamaño cuando la actividad principal implica tratar datos sensibles, grandes volúmenes de información o afectar a un gran número de personas.
La Directiva 001-2025-JUS/DGTAIPD, aprobada por Resolución Directoral 100-2025-JUS/DGTAIPD y publicada el 31 de diciembre de 2025, fijó los criterios de perfil, idoneidad y funciones, con un plazo de adecuación de 180 días que venció el 30 de junio de 2026.
El titular ganó el derecho de portabilidad
La portabilidad permite pedir los datos en formato estructurado para trasladarlos a otro proveedor. Entró en vigencia seis meses después que el resto del reglamento. Cumplirla exige poder extraer los datos de una persona de todos los sistemas donde estén, en un formato que otra organización pueda leer.
Cómo responder cada derecho dentro de plazo [/pe/derechos-arco-peru/]
Consentimiento y prospección comercial
El reglamento ratificó la figura del primer contacto: se puede obtener consentimiento en una comunicación inicial, pero si el titular no lo otorga, un nuevo contacto o cualquier tratamiento posterior deja de ser lícito.
Esto cambia la operación de las áreas comerciales que trabajan con bases compradas o listas de terceros. La ausencia de consentimiento válido figura entre las infracciones más sancionadas por la ANPD.
Qué revisar en tu organización
El reglamento no exige comprar tecnología. Exige poder demostrar cuatro cosas cuando alguien pregunte.
- Qué datos personales tratas y dónde están. Sin inventario no hay registro de bancos de datos válido, ni respuesta completa a un derecho ARCO, ni forma de saber qué se filtró en un incidente.
- Quién accede a ellos y con qué autorización. Privilegio mínimo, autenticación fuerte y revisión periódica de permisos.
- Cómo detectas y contienes una brecha. El plazo de 48 horas define el estándar mínimo de capacidad de detección.
- Qué evidencia conservas. La responsabilidad proactiva se acredita con registros, no con declaraciones.
Los tres primeros puntos son controles técnicos. El cuarto es consecuencia de haber implementado bien los otros tres.
Qué exige la Ley 29733 y cómo se estructura el cumplimiento [/pe/ley-29733-proteccion-datos-personales/]
Cómo cubrir estos requisitos con tu plataforma Microsoft [/pe/servicios/cumplimiento-ley-29733-empresas/]
Por donde partir
Si tu organización está sobre el umbral de 2.300 UIT y no designó ODP, ese es el punto de partida obligado porque el plazo venció. Si ya lo designó, la siguiente pieza es el inventario de datos personales, que condiciona el registro de bancos de datos, la respuesta a solicitudes de titulares y la capacidad de notificar una brecha con información precisa.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Tu empresa ya se adaptó a los seis cambios del nuevo reglamento?
En XMS hacemos una evaluación inicial sin costo: revisamos tu operación frente a las exigencias del D.S. 016-2024-JUS, desde la detección de brechas en 48 horas hasta la designación del Oficial de Datos Personales, y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
El D.S. 016-2024-JUS se publicó el 30 de noviembre de 2024 y entró en vigencia el 30 de marzo de 2025, a los 120 días calendario. Derogó el reglamento de 2013.
No. La ley sigue vigente desde 2011 y define el marco. El reglamento desarrolla cómo se aplica en la práctica: define plazos, procedimientos, obligaciones concretas y el régimen del Oficial de Datos Personales.
El reglamento rige desde marzo de 2025 y la facultad sancionadora de la ANPD está activa. Durante 2025 la autoridad realizó 760 fiscalizaciones e inició 136 procedimientos sancionadores. La adecuación tardía reduce el riesgo, pero no borra las infracciones cometidas.
