Protección de Datos Personales: El "deber de diligencia" como atenuante o eximente de responsabilidad
Mayo 2026 - JOSE BEJARANO - legatltech8@proton.me - Lima, Perú
En un entorno donde los datos personales se han convertido en un activo estratégico, su protección ya no es solo una obligación legal, sino un pilar de la gobernanza corporativa. En Perú, la legislación ha avanzado significativamente, y con ella, la expectativa de que las organizaciones no solo reaccionen ante incidentes, sino que los prevengan activamente. Aquí es donde el concepto de "deber de diligencia", materializado a través de un Programa de Compliance en Protección de Datos, se vuelve crucial.
¿Qué es un Programa de Cumplimiento en Protección de Datos?
Es un conjunto de políticas, procedimientos y controles internos diseñados para asegurar que el tratamiento de datos personales en una organización se realice conforme a la Ley N° 29733 y su reglamento. No se trata de un mero trámite documental, sino de un sistema vivo que refleja el compromiso real de la alta dirección con la privacidad. Como bien señala la doctrina especializada, el compliance se sostiene sobre tres pilares: el cumplimiento legal, el acatamiento de las políticas internas y la adhesión a estándares voluntarios, como la Norma Técnica Peruana NTP-ISO/IEC 27701:2020 .
La NTP-ISO/IEC 27701 extiende los requisitos de la conocida ISO 27001 de seguridad de la información, añadiendo controles específicos para la gestión de la privacidad . Su adopción por parte de una empresa peruana es una señal inequívoca de madurez en la gestión de riesgos de privacidad, ya que facilita la identificación de peligros, el cumplimiento normativo y la mejora continua de los procesos .
La pieza clave: El Oficial de Datos Personales (ODP)
Ningún programa de compliance robusto funciona sin un liderazgo definido. El Reglamento de la Ley de Protección de Datos Personales exige la designación de un Oficial de Datos Personales (ODP) para entidades públicas y privadas que realizan tratamientos de gran volumen o datos sensibles.
Una reciente Directiva de la Autoridad Nacional de Protección de Datos Personales ha detallado este rol, estableciendo que su designación debe ser formal, mediante un acto de la máxima autoridad, y que debe gozar de autonomía e independencia funcional para emitir sus opiniones técnicas sin conflictos de intereses. Las funciones del ODP son estratégicas e incluyen:
· Coordinar programas de capacitación y sensibilización para todo el personal.
· Elaborar informes y recomendaciones sobre el cumplimiento normativo, comunicándolos directamente a la alta dirección.
· Ser el puente de comunicación con la Autoridad Nacional de Protección de Datos .
· Promover activamente una cultura de protección de datos al interior de la organización.
· La consecuencia jurídica: Un escudo ante la responsabilidad.
¿Cómo un programa de compliance y la figura del ODP pueden atenuar o eximir de responsabilidad a una empresa?
La respuesta radica en la nueva Metodología para el cálculo de multas en materia de protección de datos, publicada en la misma Directiva.
Este nuevo marco representa un cambio de paradigma. La autoridad sancionadora ya no se limitará a verificar si la empresa cuenta formalmente con un ODP. Ahora, evaluará la idoneidad real de la designación, su independencia funcional y la eficacia de su actuación . La gravedad de la infracción y la sanción resultante se calibrarán en función del impacto real sobre los derechos de los titulares, lo que obliga a una motivación más rigurosa de la multa.
Una organización que pueda demostrar que contaba con un sistema de gestión de privacidad funcionando, con un ODP independiente que había reportado riesgos y propuesto mejoras, y con programas de formación continua, tendrá un argumento sólido para acreditar su "deber de diligencia". Por el contrario, las deficiencias en la implementación del modelo de gobierno de datos, que antes podían ser meras observaciones, ahora pueden incidir directamente en un incremento sustancial de la multa.
En conclusión, el programa de compliance ya no es una opción, sino una necesidad estratégica. No se trata solo de "cumplir por cumplir", sino de construir una defensa corporativa frente a un entorno regulatorio cada vez más exigente. La inversión en un sistema robusto, liderado por un ODP empoderado, es la demostración más clara de que una organización ha sido diligente, un hecho que marcará la diferencia entre una sanción ejemplar y una significativa reducción de la responsabilidad.
Mayo 2026 - JOSE BEJARANO - legatltech8@proton.me - Lima, Perú
