Perú · Ley 29733 · Reglamento DS 016-2024-JUS · ANPD
Desde el 30 de marzo de 2025 rige el reglamento que actualiza la ley peruana de protección de datos personales. Subió la vara en dos frentes: qué tiene que poder mostrar el responsable y en cuánto tiempo tiene que avisar cuando algo falla. Andin mantiene el registro que hace que ese aviso sea una consulta y no una reconstrucción.
Disponible hoy Reglamento en vigor.
Qué cambió
La ley es de 2011; el reglamento que la desarrolla es reciente. Ahí está el detalle que en la práctica define el trabajo.
Cuando el incidente de seguridad expone grandes volúmenes de datos, puede afectar a un gran número de personas, toca datos sensibles o produce un perjuicio evidente a otros derechos o libertades del titular, el aviso a la autoridad corre en 48 horas desde que se toma conocimiento. La obligación permanece aunque el incidente se haya subsanado o resuelto internamente. Lo que se pueda contar en ese momento es lo que estaba registrado antes.
Medidas de seguridad, tratamiento por encargados, derechos del titular y transferencias quedan desarrollados con más precisión que en el texto de la ley. Menos margen de interpretación, más exigencia de prueba.
El reglamento le da a la Autoridad Nacional de Protección de Datos Personales un procedimiento de fiscalización reglado y tipifica las infracciones en leves, graves y muy graves. La escala de multas está en la ley, expresada en unidades impositivas tributarias.
No comunicar a la autoridad un incidente cuando corresponde es infracción grave: multa de más de 5 y hasta 50 UIT, con el tope general del 10% de los ingresos brutos del ejercicio anterior. El plazo y la tipificación son del reglamento; la escala de multas, de la ley.
Lo que se necesita antes
La dificultad del plazo corto no es redactar el aviso: es saber qué decir. Tres preguntas que hay que poder contestar dentro de esas 48 horas.
Cómo ayuda Andin
Andin trabaja sobre el dato antes del incidente, cuando todavía hay tiempo de registrar. Cuando el reloj arranca, la respuesta se consulta.
Disponible hoy
Un inventario vivo de los datos con su procedencia y el registro de quién accede. La base para contestar qué se expuso, y hasta dónde.
Disponible hoy
Los identificadores se protegen de forma determinista antes de que el dato salga hacia un modelo o un tercero, y lo dudoso pasa por revisión humana.
Disponible hoy
Cada control y cada decisión quedan fechados y con responsable. La postura se muestra con el registro que la sostiene.
Andin genera y ordena la evidencia. La conformidad la evalúa la autoridad; Andin sostiene el registro con el que usted responde.
Preguntas frecuentes
48 horas ante la Autoridad Nacional de Protección de Datos Personales, contadas desde que se toma conocimiento o constancia del incidente. No aplica a cualquier incidente: el reglamento lo exige cuando hay exposición de grandes volúmenes de datos, cuando el incidente pueda afectar a un gran número de personas, cuando se trata de datos sensibles o cuando se produce un perjuicio evidente a otros derechos o libertades del titular. La obligación no se extingue porque el incidente se haya subsanado o resuelto internamente. Si el incidente afecta al titular en otros de sus derechos, hay que comunicárselo a él dentro del mismo plazo; y si ocurre en el entorno digital, el aviso va además al Centro Nacional de Seguridad Digital. Avisar más tarde es posible, pero la notificación debe ir acompañada de los motivos de la demora y, según el caso, de su sustento probatorio.
El encargado responde por las medidas de seguridad sobre el dato que trata y debe informar de forma inmediata al titular del banco de datos o al responsable del tratamiento el incidente del que tome conocimiento. El registro que necesita es el mismo; cambia hacia quién se presenta primero.
Comparten base. El inventario del dato y su procedencia alimentan tanto el deber de protección de datos como el enfoque basado en riesgos del marco peruano de inteligencia artificial. Ver el reglamento de IA →
El aviso lo presenta el responsable del tratamiento o el titular del banco de datos. Andin mantiene la evidencia para que ese aviso se arme sobre lo ya registrado y llegue dentro de las 48 horas.
Conversemos
Si su organización trata datos personales en Perú, lo que va a poder contar en esas 48 horas se construye ahora. Conversemos sobre cómo dejar ese inventario andando.