Tus datos personales salen del Perú cada vez que usas una nube extranjera: qué exige el reglamento antes de que salgan
Tu correo corporativo está en un servidor de Estados Unidos. Tu CRM guarda los DNI de tus clientes en Irlanda. La plataforma con la que firmas contratos procesa los documentos en Alemania. Ninguna de esas tres decisiones se tomó pensando en protección de datos, y las tres son flujos transfronterizos de datos personales según la norma peruana.
El D.S. 016-2024-JUS, reglamento de la Ley 29733, publicado en El Peruano el sábado 30 de noviembre de 2024 y en vigor desde el 30 de marzo de 2025, dedica cuatro artículos a esto. Este texto los lee y traduce cada uno a algo que se pueda hacer el lunes.
Qué cuenta como flujo transfronterizo
El glosario del reglamento, en su numeral 15, lo llama indistintamente flujo transfronterizo o transferencia internacional. No hace falta que muevas una base de datos entera: basta con que un receptor situado fuera del territorio nacional trate datos personales de los que tú respondes. Si tu proveedor de correo indexa los nombres y direcciones de tus clientes en un centro de datos que no está en Perú, eso es un flujo.
Y aquí está el primer malentendido del sector: mucha gente cree que si el proveedor «solo aloja» y no mira, no hay transferencia. La norma no distingue por curiosidad del proveedor, distingue por dónde se tratan los datos.
La regla, en dos escalones
El artículo 18 la plantea en dos párrafos y conviene leerlos juntos.
El 18.1 dice que el flujo «se debe realizar cuando el receptor o importador de los datos personales se encuentre en un país que cuente con un nivel adecuado de protección de datos conforme a lo dispuesto en la Ley y el presente Reglamento».
El 18.2 abre la puerta para el resto: si el país no tiene ese nivel adecuado, «el emisor o exportador debe otorgar las garantías adecuadas para asegurar el tratamiento adecuado de datos personales fuera del territorio nacional», salvo las excepciones del artículo 15 de la Ley 29733.
Dicho de otro modo: no hay una lista de países prohibidos. Hay una lista corta de países cómodos y un mecanismo contractual para todos los demás.
Quién decide qué país es «adecuado», y por qué esto importa hoy
El artículo 19.1 pone esa decisión en manos de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, que «emite una resolución a efectos de determinar si este cuenta con una protección equiparable». Los criterios del 19.2 son cuatro y se exigen a la vez:
- Que exista un marco jurídico legal de protección de datos personales.
- Que existan principios para el tratamiento de esos datos.
- Que existan normas que reconozcan y garanticen los derechos de los titulares, con vías para ejercerlos.
- Que exista una autoridad encargada de la protección de datos, o quien haga sus veces, para supervisar y sancionar.
El 19.3 añade un atajo: la evaluación «es prescindible si el país […] ha negociado y suscrito estándares comunes y generales de protección de datos personales con el Perú».
Aquí hay algo que preferimos decir en vez de suponerlo. No hemos podido verificar hoy la existencia de una resolución publicada que declare qué países tienen nivel adecuado. Buscamos en las fuentes que enumera el propio reglamento y no encontramos ninguna lista oficial que se pueda citar con número y fecha. Puede existir y no ser fácil de localizar; puede no existir todavía. Lo que sí se deduce del texto es la consecuencia práctica: mientras no puedas señalar una resolución concreta para tu país de destino, el camino que te queda es el del artículo 18.2, el de las garantías. Es más trabajo, pero no depende de que nadie publique nada.
Las garantías, que en la práctica son un anexo del contrato
El artículo 20.1 concreta qué vale como garantía: «cláusulas contractuales modelo u otros instrumentos jurídicos en los que se establezcan cuando menos las mismas obligaciones a las que se encuentra sujeto, así como las condiciones en las que el titular consintió el tratamiento de sus datos personales».
Esa frase tiene dos exigencias encadenadas, y la segunda se olvida siempre. La primera es trasladar tus obligaciones al receptor. La segunda es trasladarle también las condiciones concretas en las que tu cliente dio su consentimiento. Si recogiste el dato para emitir una factura, el proveedor extranjero no puede usarlo para entrenar un modelo, y eso tiene que estar escrito.
El 20.2 dice que la autoridad emite modelos de cláusulas contractuales. Si los publica, ahorran trabajo; si no los encuentras, redactar las tuyas es legítimo porque el artículo admite «otros instrumentos jurídicos».
La obligación que nadie del sector publica
Y llegamos al artículo 21.2, que es la razón de este artículo:
En cualquier caso, el flujo transfronterizo de datos personales debe ponerse en conocimiento de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, incluyendo la información que se requiere para la transferencia de datos personales y el registro de banco de datos. Dicha comunicación es inscrita en el Registro Nacional de Protección de Datos Personales a través del formato aprobado para tal efecto.
«En cualquier caso». No importa si el país es adecuado, si firmaste cláusulas o si tu proveedor es el más grande del mundo: el flujo se comunica y se inscribe.
Y no comunicarlo está tasado. El numeral 8 del artículo 132 lista entre las infracciones leves el «no comunicar el flujo transfronterizo de datos personales a la Dirección de Protección de Datos Personales […] para su inscripción en el Registro Nacional de Protección de Datos Personales». Por el artículo 39 de la Ley 29733, las leves van de 0,5 a 5 UIT: con la UIT de 2026 en S/ 5 500 según el índice de SUNAT, entre S/ 2 750 y S/ 27 500.
El artículo 21.1 ofrece además una vía voluntaria que casi nadie usa: puedes pedir opinión a la misma dirección sobre si tu flujo cumple, y esa opinión «es emitida en un plazo máximo de treinta (30) días». Treinta días por una respuesta escrita de la autoridad es barato comparado con descubrirlo en una fiscalización.
Un detalle del régimen sancionador que conviene leer con cuidado
Repasando la lista completa de infracciones de los artículos 132, 133 y 134, hay algo que llama la atención: la única infracción que menciona expresamente el flujo transfronterizo es la de no comunicarlo, y es leve. No hay un tipo específico que sancione transferir a un país sin nivel adecuado y sin garantías.
Eso no significa que hacerlo sea gratis, y decir lo contrario sería irresponsable. Un tratamiento sin el consentimiento que corresponde entra en el numeral 3 del artículo 133, grave. Usar los datos para finalidades distintas de las que motivaron su recopilación es el numeral 7 del mismo artículo, también grave. Y las graves van de más de 5 hasta 50 UIT, con el tope del 10 % de los ingresos brutos del ejercicio anterior que fija el artículo 39 de la Ley.
Lo que sí significa es algo útil para priorizar: la conducta que la norma persigue de forma directa y barata de corregir es la falta de comunicación. Es la que se arregla con un formulario. Las otras se arreglan revisando cómo pides el consentimiento, que cuesta bastante más.
Cómo afecta esto a la firma digital, que es a lo que vinimos
Tres casos concretos de nuestro sector.
Firma remota con el HSM fuera del Perú. Cuando explicamos dónde vive tu clave privada el asunto era técnico. Con el reglamento en la mano hay una capa más: los datos de identidad del suscriptor viajan a donde esté ese módulo. Conviene recordar que la Resolución 175-2024-DGI/INDECOPI, que fija los requisitos de acreditación de la firma remota, ya exige documentación que demuestre el domicilio en el país. Las dos normas apuntan al mismo sitio desde lados distintos, y lo desarrollamos en el artículo sobre qué exige INDECOPI para acreditar la firma remota.
Plataformas internacionales de firma electrónica. Suben tu contrato, con los nombres y los DNI de las partes, a su infraestructura. Ahí hay flujo transfronterizo aunque el documento vuelva firmado en dos minutos.
Conservación en la nube. Es el caso más largo en el tiempo, y por tanto el que más expone. Si guardas diez años de documentos firmados en almacenamiento extranjero, hay un flujo continuado que dura esos diez años. Lo tratamos junto al resto de las obligaciones de guarda en conservar un documento firmado.
Las cinco preguntas para tu proveedor
Escritas para que se puedan mandar por correo y esperar respuesta por escrito:
- ¿En qué países se tratan y se almacenan los datos personales que les entrego? Nombres de país, no «la nube».
- ¿Su contrato incluye cláusulas que les trasladen mis obligaciones bajo la Ley 29733 y su reglamento?
- ¿Esas cláusulas recogen las condiciones en las que mis clientes consintieron el tratamiento, como pide el artículo 20.1?
- ¿Subcontratan a terceros que puedan mover los datos a un cuarto país? ¿Cuáles?
- Si termino el contrato, ¿en qué plazo se borran los datos de todos esos países y cómo me lo acreditan?
La quinta es la que más incomoda y la que más dice. Un proveedor que no puede responderla no está preparado para el trámite del artículo 21.2, porque ese trámite exige saber exactamente dónde están los datos.
Lo que hay que hacer, en orden
Si nunca has mirado esto, el orden que menos cuesta es: primero inventaría a qué proveedores extranjeros les entregas datos personales, que suelen ser entre cinco y quince y aparecen en la contabilidad; después comunica los flujos por el artículo 21.2, que es la infracción abierta; y solo entonces entra a revisar contratos, que es lo lento.
Si además tienes que designar Oficial de Datos Personales —y las medianas empresas tienen fecha, el 30 de noviembre de 2026—, ese inventario es lo primero que va a pedirte. Lo contamos en quién puede serlo y qué hace, y el calendario completo de plazos está en todos los plazos del reglamento.
Fuentes de esta página
- D.S. 016-2024-JUS, texto de El Peruano del sábado 30 de noviembre de 2024: glosario numeral 15, artículos 17 a 21 y 132 a 134.
- Ley 29733, artículos 15 y 39, para las excepciones y los tramos de multa.
- Índice de UIT de SUNAT para el valor de 2026.
- Resolución 175-2024-DGI/INDECOPI, de 24 de junio de 2024, para el requisito de domicilio en el país.