Protección de datos en Perú: guía de cumplimiento para empresas (2026)
La protección de datos personales en Perú ya no es un tema reservado para el área legal: es una obligación operativa con consecuencias económicas reales. Desde multas de hasta S/550,000 hasta daños reputacionales difíciles de cuantificar, las empresas que operan en el país enfrentan un marco regulatorio que exige medidas técnicas concretas — no solo políticas internas bien redactadas.
Esta guía está escrita para el gerente de cumplimiento, el DPO informal, o el abogado corporativo que necesita entender qué exige la Ley 29733, qué fiscaliza el MINJUSDH, y cómo la seguridad ofensiva (pentesting) cierra la brecha entre el papel y la realidad.
¿Qué es la Ley 29733?
La Ley 29733 — Ley de Protección de Datos Personales fue promulgada el 3 de julio de 2011 y reglamentada mediante el Decreto Supremo 003-2013-JUS. Su objetivo es garantizar el derecho fundamental de toda persona natural a que sus datos personales sean tratados de forma legítima, segura y con su conocimiento.
La norma aplica a bancos de datos personales en manos de entidades públicas y privadas que operen en territorio peruano, sin importar si el tratamiento se realiza en servidores locales o en la nube. Abarca datos de clientes, trabajadores, proveedores y cualquier persona natural identificable.
Principios rectores
La ley descansa en seis principios que deben guiar cualquier tratamiento de datos:
- Consentimiento: el titular debe autorizar el uso de sus datos, de forma previa, expresa e informada.
- Finalidad: los datos solo pueden usarse para el propósito declarado al momento de la recolección.
- Proporcionalidad: únicamente se recopilan los datos estrictamente necesarios.
- Seguridad: el titular del banco de datos debe implementar medidas técnicas y organizativas que eviten el acceso no autorizado, la alteración o la pérdida.
- Disposición: el titular de los datos puede solicitar su cancelación cuando cesen los fines que justificaron su tratamiento.
- Nivel adecuado de protección: al transferir datos al exterior, el país destino debe garantizar un estándar equivalente al peruano.
La Autoridad Nacional de Protección de Datos Personales
La autoridad competente es la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos (MINJUSDH). Sus funciones principales son:
- Registro: mantiene el Registro Nacional de Protección de Datos Personales, donde las empresas deben inscribir sus bancos de datos.
- Fiscalización: inicia investigaciones de oficio o a solicitud de parte cuando se sospechan infracciones.
- Sanciones: emite resoluciones sancionadoras y aplica multas escalonadas.
- Orientación: publica directivas, guías y absuelve consultas de los administrados.
La Dirección ha incrementado su actividad fiscalizadora en los últimos años, con procedimientos sancionadores que involucran empresas de sectores como salud, telecomunicaciones y retail — generalmente detectadas luego de filtraciones o denuncias de titulares.
Obligaciones clave para empresas
1. Registro de bases de datos
Toda empresa que mantenga un banco de datos con información de personas naturales debe inscribirlo ante el MINJUSDH antes de iniciar el tratamiento. El registro se realiza a través del portal en línea de la Dirección y debe incluir: nombre del banco, finalidad, categorías de datos, destinatarios y transferencias internacionales previstas.
No registrar el banco de datos es una infracción formal sancionable. Más importante aún: una empresa que no ha registrado su banco de datos difícilmente puede demostrar que cumple con los demás principios de la ley.
2. Consentimiento previo, informado y expreso
El consentimiento no puede ser tácito ni presuponerse de la relación contractual. Debe obtenerse mediante mecanismos verificables: casillas de aceptación (no premarcadas), cláusulas contractuales específicas, o formularios físicos firmados. En entornos digitales, la evidencia del consentimiento debe conservarse y ser recuperable ante un requerimiento del regulador.
3. Designación de responsable del banco de datos
La empresa debe identificar formalmente a la persona responsable del banco de datos y notificarla al MINJUSDH. Esta figura asume la responsabilidad legal frente al regulador y es el punto de contacto para los ejercicios de derechos ARCO.
4. Medidas de seguridad técnicas y organizativas
El artículo 11 del DS 003-2013-JUS obliga a "adoptar las medidas técnicas, organizativas y legales que garanticen la seguridad de los datos personales". La norma no prescribe controles específicos, pero la práctica regulatoria y los estándares de referencia (ISO/IEC 27001, NIST SP 800-53) apuntan a: control de acceso basado en roles, cifrado de datos en tránsito y en reposo, gestión de parches y vulnerabilidades, registros de auditoría (logs), y planes de respuesta a incidentes.
5. Notificación de brechas
La Ley 29733 no establece un plazo explícito de notificación equivalente al de 72 horas del RGPD europeo, pero el DS 003-2013-JUS y la práctica del MINJUSDH exigen comunicar las brechas "oportunamente" a los titulares afectados y a la autoridad. En la práctica, las empresas que demoran meses en notificar han recibido sanciones agravadas por la dilación.
6. Derechos ARCO
Los titulares pueden ejercer cuatro derechos frente al responsable del banco de datos:
- Acceso: conocer qué datos se almacenan y con qué finalidad.
- Rectificación: corregir datos inexactos o incompletos.
- Cancelación: solicitar la supresión cuando los datos ya no son necesarios.
- Oposición: oponerse al tratamiento por razones legítimas, incluso cuando existe base legal.
La empresa debe responder dentro de los plazos establecidos en el reglamento (20 días hábiles para acceso; 10 para rectificación, cancelación u oposición) y documentar cada gestión.
Escala de sanciones
| Nivel | Descripción | Multa máxima |
|---|---|---|
| Leve | Incumplimientos formales (falta de registro, información incompleta al titular) | 5 UIT (S/27,500) |
| Grave | Falta de medidas de seguridad adecuadas, tratamiento sin consentimiento, incumplimiento de derechos ARCO | 50 UIT (S/275,000) |
| Muy grave | Transferencia internacional indebida, tratamiento de datos sensibles sin protección, obstrucción a la autoridad | 100 UIT (S/550,000 ≈ USD $145,000) |
Nota: 1 UIT = S/5,500 para el año 2026 (Decreto Supremo 301-2025-EF, MEF). El valor se actualiza anualmente por decreto supremo.
Las sanciones son acumulables si coexisten varias infracciones en el mismo procedimiento. Adicionalmente, la autoridad puede ordenar el cese inmediato del tratamiento y el bloqueo del banco de datos mientras dure la investigación, lo que en la práctica equivale a paralizar operaciones críticas.
Transferencias internacionales de datos
Uno de los aspectos más subestimados por las empresas peruanas es la transferencia internacional de datos. Cada vez que información personal se aloja en servidores fuera del Perú — ya sea en AWS us-east-1, Google Cloud o un CRM en la nube — se configura una transferencia internacional sujeta a regulación.
La ley permite estas transferencias solo cuando:
- El país destino ofrece un nivel adecuado de protección (reconocido por el MINJUSDH), o
- Existen cláusulas contractuales o garantías específicas que aseguren el mismo estándar de protección que la ley peruana.
La empresa debe registrar estas transferencias ante el MINJUSDH y conservar los contratos con los proveedores de servicios en la nube. No hacerlo constituye una infracción muy grave, independientemente de si ocurrió o no una brecha.
Medidas técnicas de seguridad exigidas
El cumplimiento de la Ley 29733 no se demuestra con políticas escritas: se demuestra con controles técnicos verificables. Las medidas mínimas que el regulador evalúa incluyen:
- Control de acceso: autenticación multifactor, gestión de privilegios mínimos, revisión periódica de cuentas activas.
- Cifrado: datos sensibles cifrados en tránsito (TLS 1.2+) y en reposo (AES-256 o equivalente).
- Gestión de vulnerabilidades: proceso documentado de parcheo, análisis de vulnerabilidades periódico y pruebas de penetración.
- Monitoreo y logs: registros de acceso a bases de datos con retención suficiente para investigaciones.
- Plan de respuesta a incidentes: procedimiento documentado y probado para detectar, contener y notificar brechas.
El pentesting (prueba de penetración) es el mecanismo más efectivo para verificar que estos controles funcionan en la práctica — no solo en el papel. Un informe de pentesting firmado por una empresa especializada constituye evidencia documental ante el MINJUSDH de que la organización ha tomado medidas activas para proteger los datos.
Intersección con el sector financiero (SBS)
Las entidades supervisadas por la Superintendencia de Banca, Seguros y AFP (SBS) — bancos, financieras, aseguradoras, AFP — enfrentan una doble exposición regulatoria. Además de la Ley 29733, deben cumplir la Resolución SBS 2116-2009 y las circulares relacionadas de gestión de riesgo operacional y seguridad de la información. Para un análisis completo de ese régimen sectorial, véase el artículo sobre regulaciones del sector financiero en Perú.
La SBS puede sancionar de forma independiente al MINJUSDH, lo que significa que una brecha de datos en un banco puede generar multas de dos reguladores simultáneamente. Este escenario convierte la inversión en seguridad preventiva — incluyendo pentesting periódico — en una decisión financieramente racional: el costo de una auditoría de seguridad es una fracción de las multas combinadas, sin contar el daño reputacional con clientes y accionistas. Para elegir un proveedor con las certificaciones y la metodología adecuadas, consulte el artículo sobre evaluación de proveedores de pentesting en Perú.
Cómo el pentesting apoya el cumplimiento
El pentesting no es solo una herramienta técnica: es un mecanismo de cumplimiento normativo. Su aporte concreto al ciclo de la Ley 29733 es el siguiente:
- Identifica vulnerabilidades antes de una brecha. Un atacante real busca exactamente lo que el pentester prueba: inyecciones SQL, credenciales expuestas, configuraciones inseguras de APIs. Encontrarlas antes que un tercero malicioso evita la infracción.
- Documenta las medidas implementadas. El informe de pentesting es evidencia ante el regulador de que la empresa cumple con la obligación de adoptar "medidas técnicas adecuadas".
- Cierra el ciclo de mejora continua. Hallazgo → remediación → retest → evidencia documentada. Este ciclo es exactamente lo que el MINJUSDH espera ver en una empresa que actúa de buena fe.
- Habilita la respuesta a incidentes. Conocer el perímetro de ataque real permite diseñar planes de contención más eficaces cuando ocurre un incidente.
WhiteJaguars, empresa de pentesting con sede en Costa Rica, opera con metodología documentada (PTES + OWASP + MITRE ATT&CK), retests ilimitados y equipo certificado en OSCP, CISSP, CEH y CISM, entre otras. Sus reportes de pentesting son utilizables directamente en procesos de cumplimiento ante el MINJUSDH y la SBS.
Casos de fiscalización del MINJUSDH
La Dirección General ha iniciado procedimientos sancionadores en sectores donde las filtraciones de datos son más visibles para los consumidores. El patrón recurrente es el siguiente:
- Sector salud: clínicas y laboratorios que compartían resultados de exámenes sin consentimiento expreso o con acceso irrestricto a su portal web.
- Telecomunicaciones: operadoras que cedían bases de datos de clientes a terceros para campañas de marketing sin registro ni consentimiento.
- Retail y e-commerce: tiendas en línea que sufrieron filtraciones de datos de tarjetas o perfiles de clientes, con notificación tardía o nula a los afectados.
En todos los casos documentados, las empresas carecían de medidas técnicas verificables y no habían registrado correctamente sus bancos de datos. La combinación de ambos incumplimientos elevó las sanciones al rango grave o muy grave.
Preguntas frecuentes
¿Debo registrar mi base de datos aunque solo tenga datos de clientes en un CRM?
Sí. Si el CRM almacena nombre, correo, teléfono o cualquier dato que identifique a una persona natural, constituye un banco de datos sujeto a la Ley 29733. El tamaño del banco no exime del registro: una empresa con 200 contactos tiene la misma obligación que una con 2 millones.
¿Qué pasa si un proveedor externo (cloud, SaaS) procesa mis datos?
La empresa sigue siendo responsable del banco de datos. El proveedor externo actúa como "encargado del tratamiento" y la relación debe estar regulada por un contrato que garantice las mismas obligaciones de seguridad. Si el proveedor sufre una brecha, el regulador le exigirá cuentas a usted — no al proveedor. Auditar la seguridad de sus proveedores críticos mediante cuestionarios o pentesting es una práctica de gestión de riesgo de terceros alineada con la norma.
¿La Ley 29733 aplica a empresas extranjeras que operan en Perú?
Sí. El criterio de aplicación es territorial: si la empresa recopila, almacena o procesa datos de personas en Perú — aunque su sede esté en otro país — está sujeta a la ley. Esto incluye plataformas digitales extranjeras con usuarios peruanos, filiales de grupos multinacionales y empresas que prestan servicios en línea desde el exterior.
¿Cómo demuestro al regulador que tengo medidas de seguridad adecuadas?
La evidencia más sólida es un informe de pentesting reciente emitido por una empresa especializada, complementado con políticas de seguridad vigentes, evidencia de capacitaciones al personal, registros de auditoría y documentación de incidentes anteriores (si los hubiere) con sus respectivas acciones de remediación. El regulador valora más la evidencia de un proceso continuo de mejora que la ausencia de incidentes — porque la ausencia de incidentes puede deberse simplemente a que nadie ha buscado todavía.
Próximos pasos para su empresa
El cumplimiento de la Ley 29733 no es un proyecto de una sola vez: es un programa continuo que combina medidas legales, organizativas y técnicas. Las empresas que lo abordan de forma reactiva — después de una brecha o una notificación del MINJUSDH — pagan el doble: en multas y en costos de remediación de emergencia.
Si su organización opera en Perú y aún no ha completado su registro de bancos de datos, realizado una evaluación de vulnerabilidades o auditado los controles de acceso a sus sistemas críticos, el momento de actuar es antes de que el regulador llame a su puerta.
Una evaluación de cumplimiento específica para la Ley 29733 debe incluir: revisión del inventario de bases de datos, análisis de brechas normativas, pentesting de los sistemas que procesan datos personales, y entrega de reportes listos para presentar ante el MINJUSDH o la SBS.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables