Ley de Protección de Datos Personales en Perú: qué debe cumplir tu empresa

Respuesta corta: La Ley 29733 obliga a toda empresa que maneja datos personales a cumplir reglas concretas. Te explicamos qué exige el reglamento vigente.

Una ley que aplica a casi cualquier empresa, aunque no lo parezca

Si tu empresa guarda nombres, correos, números de teléfono o cualquier otro dato de clientes, proveedores o colaboradores en una base de datos, una hoja de cálculo o un formulario web, la Ley N° 29733 de Protección de Datos Personales te aplica. No es una norma exclusiva para empresas grandes o para el sector tecnológico: cubre a cualquier organización que trate datos personales en el Perú.

Qué cambió con el reglamento de 2025

El reglamento actualizado de la ley entró en vigor el 31 de marzo de 2025, y desde entonces la Autoridad Nacional de Protección de Datos Personales (ANPD), que depende del Ministerio de Justicia, ha precisado varias de sus exigencias. En diciembre de 2025 se publicó la Directiva N° 001-2025-JUS/DGTAIPD, que establece la metodología para calcular las multas y detalla la designación del Oficial de Datos Personales.

Las obligaciones principales, en términos prácticos

Consentimiento claro del titular. No basta con una casilla marcada por defecto: la persona debe dar su autorización de forma expresa e informada antes de que su información sea recolectada o usada.

Inscripción de los bancos de datos. Las empresas que administran bases de datos personales deben registrarlas ante el Registro Nacional correspondiente.

Medidas de seguridad adecuadas. La ley exige proteger la información contra accesos no autorizados, pérdida o alteración, lo que conecta directamente con las buenas prácticas de ciberseguridad que toda empresa debería tener.

Atención a solicitudes ARCO. Cualquier persona puede pedir Acceder, Rectificar, Cancelar u Oponerse al uso de sus datos personales, y la empresa debe tener un proceso para responder a esas solicitudes.

Un Oficial de Datos Personales, para las empresas más grandes. Desde el reglamento de 2025, las empresas de mayor tamaño deben designar formalmente a un responsable de esta función, con plazo límite indicado para el 30 de noviembre de 2025.

Qué pasa si no se cumple

Las sanciones de la ANPD van desde 0.5 hasta 100 UIT dependiendo de la gravedad de la infracción, con un procedimiento que incluye fiscalización, descargos y posibilidad de apelación. Algunas infracciones que antes se consideraban leves pasaron a clasificarse como graves con el reglamento actualizado, lo que en la práctica eleva el riesgo para empresas que no han revisado sus procesos en los últimos años.

No se trata solo de evitar una multa

Cumplir esta ley también es una señal de confianza hacia tus clientes: en un entorno donde cada vez se exponen más filtraciones de datos, una empresa que puede demostrar que protege la información de sus clientes tiene una ventaja real frente a una que no lo hace. Esto es especialmente relevante para negocios que recolectan datos a través de formularios web, plataformas de reserva o sistemas de gestión de clientes.

Por dónde empezar

El primer paso realista no es contratar un Oficial de Datos Personales el mismo día, sino hacer un inventario: qué datos personales recolecta tu empresa, dónde se almacenan, quién tiene acceso y si existe un proceso documentado para responder a una solicitud ARCO. A partir de ahí, se puede priorizar qué corregir primero.

En Universoft Systems ayudamos a las empresas a alinear sus sistemas y procesos con los requisitos de la Ley 29733, como parte de un enfoque integral de ciberseguridad.

Si no estás seguro de qué tan expuesta está tu empresa en este frente, contactanos para una evaluación inicial.