Ley 29733 en Perú: qué cambió con el reglamento de 2025

Perú tiene desde 2011 la Ley N.º 29733 de Protección de Datos Personales, pero lo que cambió el terreno fue su nuevo reglamento, aprobado por el Decreto Supremo 016-2024-JUS y en vigor desde el 31 de marzo de 2025. La ley marcaba principios; el reglamento concreta qué hay que hacer y qué se va a mirar.

Las tres obligaciones que se revisan primero

• › Consentimiento expreso, informado y acreditable, con reglas más duras en publicidad y prospección comercial.
• › Inscripción de los bancos de datos ante la Autoridad Nacional de Protección de Datos Personales.
• › Medidas de seguridad proporcionadas al riesgo del tratamiento, con más exigencia cuanto más sensible es el dato.

El cambio que más ha dolido: la publicidad

El reglamento apretó el consentimiento para llamadas comerciales y prospección. Muchas empresas peruanas operaban con bases compradas y con un consentimiento genérico que servía para todo. Eso ya no se sostiene: hay que poder demostrar quién consintió, cuándo y para qué finalidad concreta, y hay que permitir revocar sin fricción.

Qué significa proporcionadas al riesgo

Que no hay una lista única. Un banco de datos de contactos comerciales y uno de historias clínicas no piden lo mismo. Lo que sí es igual en los dos casos es quién carga con la prueba: si hay incidente, la empresa tiene que poder explicar en qué se basó para decir que sus medidas eran suficientes.

Un análisis de riesgo firmado hace tres años no explica nada. Un informe de auditoría con hallazgos, evidencias y verificación posterior, sí.

Cómo lo abordamos

Empezamos por lo que expones a Internet, que parte de 450 euros y ordena todo lo demás, y seguimos por la aplicación que trata los datos y por la red interna. Al terminar entregamos el informe técnico con la evidencia de cada hallazgo y el ejecutivo para dirección, y a los seis meses hacemos el retest con informe nuevo.

Los derechos ARCO y sus plazos

La ley reconoce los derechos de acceso, rectificación, cancelación y oposición, y el reglamento concreta los plazos de respuesta. Lo relevante para una empresa es que hay que poder atenderlos, y para atenderlos hay que saber dónde están todos los datos de esa persona, lo que obliga a tener el inventario al día.

Flujo transfronterizo de datos

Sacar datos personales del Perú tiene requisitos propios: el país de destino debe ofrecer niveles adecuados de protección o hay que apoyarse en los supuestos que la norma permite. Como casi todo el software está alojado fuera, esto afecta a la mayoría, y se resuelve documentando dónde se tratan los datos y con qué garantías contractuales.

Qué medidas de seguridad se esperan

• › Control de acceso por perfiles, con revisión periódica de permisos.
• › Registro de accesos a los datos, no solo de inicios de sesión.
• › Cifrado en tránsito y, en tratamientos sensibles, también en reposo.
• › Copias de seguridad probadas y separadas de la red de producción.
• › Gestión de vulnerabilidades con detección, corrección y verificación.

La última es la que cierra el círculo, porque es la que produce la evidencia de que las demás funcionan.

El orden que recomendamos

Primero la superficie externa, que parte de 450 euros y dice qué estás publicando sin saberlo. Después la aplicación que trata los datos. Y por último la red interna, que responde a hasta dónde llegaría alguien que ya entró. Cada fase entrega su informe, y el retest a los seis meses verifica lo corregido.