La Ley de Protección de Datos Personales en Perú: Obligaciones de los titulares de bancos de datos y sanciones impuestas por la Autoridad Nacional de Protección de Datos
Mayo 2026 - JOSE BEJARANO - legatltech8@proton.me - Lima, Perú
La Ley N° 29733, Ley de Protección de Datos Personales y su Reglamento N° 016-2024-JUS, regulan el tratamiento de datos personales en el territorio peruano. Su objetivo principal es garantizar el derecho fundamental a la protección de datos, consagrado en el artículo 2, inciso 6 de la Constitución Política del Perú.
¿Quién es el titular del banco de datos personales?
Es la persona natural, jurídica privada o entidad pública que decide las finalidades y medios del tratamiento de los datos personales.
Obligaciones principales del titular del banco de datos personales
· Obtener consentimiento informado, expreso e inequívoco del titular de los datos antes del tratamiento, salvo excepciones legales.
· Recopilar solo datos adecuados, pertinentes, necesarios y actualizados para finalidades determinadas, explícitas y lícitas.
· No utilizar los datos para fines distintos a los autorizados (salvo anonimización).
· Implementar medidas de seguridad técnicas, organizativas y legales para proteger los datos contra pérdida, alteración, acceso no autorizado o cualquier otro riesgo.
· Inscribir los bancos de datos en el Registro Nacional de Protección de Datos Personales (gratuito con el nuevo reglamento).
· Designar un Oficial de Datos Personales (ODP) con conocimientos especializados, quien actúa como punto de contacto con la ANPD y verifica el cumplimiento interno.
· Notificar incidentes de seguridad a la ANPD dentro de las 48 horas de tener conocimiento, y al titular afectado cuando corresponda.
· Garantizar el ejercicio de los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), Portabilidad y otros, en plazos cortos y de forma gratuita.
El titular mantiene la responsabilidad última incluso cuando delega el tratamiento.
Sanciones administrativas actualizadas
La Autoridad Nacional de Protección de Datos Personales (ANPD), adscrita al Ministerio de Justicia y Derechos Humanos, impone las sanciones. Existen infracciones leves, graves y muy graves, con multas calculadas según una metodología oficial (RM 0476-2025-JUS) y con tope del 10% de los ingresos brutos anuales del infractor.
· Leves: Hasta 5 UIT. Ejemplo: No designar ODP en plazo o información incompleta.
· Graves: Más de 5 hasta 50 UIT.
· Muy graves: Más de 50 hasta 100 UIT. Ejemplo: Tratamiento inadecuado de datos sensibles sin medidas de seguridad.
El año 2025 la ANPD impuso multas por más de S/ 11 millones, principalmente en el sector financiero y telecomunicaciones.
El incumplimiento genera además responsabilidad civil por daños y perjuicios. En casos graves deriva en lo penal como por ejemplo los casos por delitos informáticos.
Mayo 2026 - JOSE BEJARANO - legatltech8@proton.me - Lima, Perú
