Oficial de Datos Personales: quién puede serlo, qué hace y los quince días que casi nadie cumple
La conversación se repite en cualquier empresa mediana que se acerca al 30 de noviembre de 2026. Alguien pregunta si hay que contratar a una persona nueva, otro responde que basta con ponerle el cargo al de sistemas, y un tercero dice que eso lo tiene que hacer un abogado. El D.S. 016-2024-JUS responde las tres cosas en dos artículos cortos, y la respuesta es más flexible de lo que la gente supone.
Este artículo desarrolla una pieza del calendario de plazos y multas del reglamento, donde está el cuadro completo de obligaciones.
A quién le toca designarlo
El artículo 37.1 obliga a designar oficial en tres supuestos, y no son alternativos entre sí: basta con caer en uno.
- Cuando el tratamiento lo lleve a cabo una entidad pública.
- Cuando se traten grandes volúmenes de datos personales, en cantidad o tipo, o cuando pueda verse afectado un gran número de personas, o cuando se traten datos sensibles, o cuando se produzca un perjuicio evidente a otros derechos del titular.
- Cuando las actividades principales o de giro de negocio comprendan el tratamiento de datos sensibles.
El tercero es el que descoloca. Una clínica de barrio, un laboratorio, una consultora de selección de personal o una empresa de vigilancia con datos biométricos entran por giro de negocio, facturen lo que facturen. El cronograma escalonado que fija la Primera Disposición Complementaria Final no las libra: solo dice desde cuándo, no si les aplica.
Y hay un detalle del cronograma que se pasa por alto. Esa disposición escalona únicamente los supuestos 2 y 3. Las entidades públicas, que son el supuesto 1, quedaron obligadas desde que el reglamento entró en vigencia, el 30 de marzo de 2025. No tuvieron plazo de gracia ninguno.
Quién puede ser, según el texto
Aquí está lo que ahorra dinero, y son dos párrafos del artículo 38.
El 38.1 exige que la designación se haga «atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos y práctica en materia de protección de datos personales, debidamente acreditados». Es un requisito de perfil, no de título: el reglamento no pide abogado, no pide certificación concreta y no pide colegiatura. Pide que la persona pueda desempeñar las funciones del artículo 39, y que eso se pueda acreditar.
El 38.2 abre las dos puertas que la mayoría de las empresas necesitan:
«El Oficial de datos personales puede ser una persona que desempeñe otras funciones en la empresa, entidad pública, sin que sea necesario que desempeñe con exclusividad las funciones vinculadas a su designación, pudiendo incluso ser una persona externa a la organización privada.»
Sin exclusividad, y puede ser externo. Un jefe de cumplimiento que ya existe puede asumirlo, y una empresa sin nadie con ese conocimiento dentro puede contratarlo fuera. La condición práctica no está escrita como tal, pero se deduce de las funciones: quien asuma el cargo tiene que poder ver de verdad qué trata la organización, porque la segunda función del artículo 39 es verificar el cumplimiento, y eso no se hace desde fuera con una consulta al mes.
Para grupos hay dos atajos. El artículo 37.2 permite que un grupo empresarial nombre un único oficial «siempre que sea fácil contactarlo desde cada establecimiento», y el 37.3 permite lo mismo a varias entidades públicas, teniendo en cuenta su estructura organizativa y su tamaño.
Las cuatro funciones mínimas
El artículo 39.1 las lista, y dice «como mínimo», así que la empresa puede añadir. Son estas:
Informar y asesorar al titular del banco de datos, al responsable del tratamiento y a los empleados que se ocupan de los datos, sobre las obligaciones que les impone la Ley y el reglamento.
Verificar e informar sobre el cumplimiento de la Ley, del reglamento y de las políticas internas. Esta es la larga, porque el propio texto detalla qué incluye: «la asignación de responsabilidades, la sensibilización y formación del personal que participa en las operaciones de tratamiento, y las auditorías que se realicen». Un oficial que no forma al personal ni participa en las auditorías está incumpliendo su segunda función.
Cooperar con la Autoridad Nacional de Protección de Datos Personales en lo que resulte pertinente.
Actuar como punto de contacto de la Autoridad para cuestiones relativas al tratamiento.
El artículo 39.2 añade cómo se ejercen: prestando «la debida atención a los riesgos asociados a las operaciones de tratamiento», teniendo en cuenta su naturaleza, alcance, contexto y fines. Es la instrucción de priorizar por riesgo y no por orden alfabético.
Vale la pena mirar lo que esa lista no dice. En los artículos 37 a 39 no hay ninguna disposición que traslade al oficial la responsabilidad por el tratamiento: la obligación de designarlo recae sobre el titular del banco de datos, el responsable o el encargado, y sobre ellos recae también la infracción por no hacerlo. El cargo no es un pararrayos.
Los quince días que casi nadie cumple
Designar no cierra el asunto. Faltan dos actos, y el segundo tiene reloj.
El artículo 37.4 obliga a publicar los datos de contacto del oficial «en un lugar visible que permita a los titulares de datos personales tomar conocimiento de ello». En la práctica, la política de privacidad del sitio web y el pie de los formularios donde se recogen datos.
El artículo 37.5 es el que se incumple: los datos de contacto del oficial designado, «y cualquier actualización», deben comunicarse a la Autoridad Nacional «dentro de los 15 días siguientes a la designación o actualización respectiva». Quince días, y también cuando la persona cambia de correo o deja el puesto. Una empresa que nombró oficial en 2025 y no ha actualizado nada desde que esa persona se fue está en el mismo sitio que la que nunca designó a nadie.
Hay un tercer motivo para no dejarlo pendiente, y aparece lejos, en el artículo 34.2. La notificación de una brecha de seguridad, esa que hay que enviar en 48 horas, tiene que señalar «el nombre y los datos de contacto del Oficial de datos personales o de otro punto de contacto». Sin oficial designado, el peor día del año empieza con un campo en blanco.
La evaluación de impacto es facultativa, y conviene saberlo
Buena parte del contenido que circula en español sobre esta figura viene traducido del reglamento europeo, y arrastra una obligación que en Perú no existe. El artículo 40.1 dice que la Evaluación de impacto relativa a la protección de datos personales se realiza «de manera facultativa y previa al tratamiento», y menciona los casos en que conviene hacerla: datos sensibles, perfilado, datos de niños, niñas y adolescentes, de personas en aislamiento o contacto inicial, de personas con discapacidad, o tratamiento de grandes volúmenes.
Facultativa. Si un proveedor te presupuesta una evaluación de impacto diciendo que la norma peruana la exige, esa afirmación no está en el reglamento. Cuando se hace, el artículo 40.2 remite a la NTP-ISO/IEC 27005 y a la NTP-ISO 31000 en su edición vigente como referencia metodológica.
Cuánto cuesta no designarlo
Menos de lo que anuncian los titulares. El artículo 132.9 lista «no designar al Oficial de Datos Personales, cuando así corresponda» entre las infracciones leves, y el artículo 39 de la Ley 29733 sanciona las leves con multa de 0,5 a 5 UIT. Con la UIT de 2026 en S/ 5 500, eso son entre S/ 2 750 y S/ 27 500.
Esto no es una invitación a no designarlo. Es un argumento para ordenar el gasto: la designación es la parte barata y rápida del cumplimiento, y consumir el presupuesto entero en la asesoría que la formaliza deja sin cubrir lo que de verdad se sanciona en el tramo grave, que es no atender a los titulares y no notificar los incidentes. Ese reparto está en el calendario de plazos y multas.
Por dónde empezar esta semana
Escribe el nombre, decide si es interno o externo, documenta por qué esa persona reúne el perfil del artículo 38.1, publica su contacto donde se recogen datos y comunícalo a la Autoridad antes de que pasen quince días. Todo eso cabe en una tarde.
Lo que lleva meses es lo otro: saber qué datos trata la empresa, dónde están y quién accede. Sin ese inventario, el oficial recién nombrado no puede cumplir su segunda función, que es la única de las cuatro que exige mirar hacia dentro.
Si el proyecto incluye la parte de firma, sellado de tiempo y custodia de los documentos que respaldan todo esto, escríbenos. Es el mismo trabajo, y sale más barato hacerlo una vez.
Última revisión: 4 de septiembre de 2026.