Protección de datos personales: todos los plazos del reglamento y lo que cuesta pasarse de cada uno
Un exempleado escribe un martes por la tarde pidiendo copia de todo lo que la empresa guarda sobre él. Desde el día siguiente empiezan a correr veinte días para responderle. Nadie de la organización lo sabe, el correo llega a una bandeja compartida, y cuando alguien lo lee ya han pasado tres semanas.
Casi todo lo que se ha escrito sobre la Ley 29733 explica principios: consentimiento, finalidad, proporcionalidad. El D.S. 016-2024-JUS, el reglamento vigente desde el 30 de marzo de 2025, es otra cosa: está lleno de relojes. Y los relojes son lo que se sanciona, porque son lo único que se puede comprobar desde fuera sin entrar a discutir criterios.
Esta página reúne todos los plazos del reglamento y les pone al lado su consecuencia económica. Es la página de referencia del bloque de cumplimiento de este blog; los temas que necesitan desarrollo propio tienen su artículo aparte y están enlazados donde toca.
Los plazos que abre una solicitud del titular
El artículo 69 fija tres plazos máximos de respuesta, según qué derecho ejerza la persona. El artículo 26.5 añade un cuarto para el caso más frecuente de todos, que es pedir que dejen de mandarte publicidad.
| Lo que pide el titular | Plazo máximo | Dónde está |
|---|---|---|
| Derecho de información | 8 días | art. 69.1 |
| Derecho de acceso | 20 días | art. 69.2 |
| Rectificación, cancelación u oposición | 10 días | art. 69.3 |
| Baja de publicidad y prospección comercial | 10 días | art. 26.5 |
Los cuatro cuentan desde el día siguiente a la presentación de la solicitud. Y hay un detalle del texto que conviene leer tal cual está: el reglamento dice «días», sin apellido. No dice hábiles ni calendario en ninguno de los cuatro sitios. Para una entidad pública la respuesta la da el procedimiento administrativo general, pero para una empresa privada el reglamento deja la duda abierta, y la lectura prudente es contar calendario, que es la que da menos margen.
Hay dos relojes más alrededor de la misma solicitud:
Tres días si la solicitud llega al sitio equivocado. Cuando el titular presenta su pedido ante el encargado del tratamiento en vez de ante el responsable, el artículo 66.4 obliga al encargado a trasladarlo «en un plazo máximo de tres (3) días». En la práctica esto significa que tu proveedor de nómina, de correo o de facturación puede consumirte tres de tus veinte días antes de que te enteres de que existe la solicitud.
Siete días para pedir más datos, y el reloj se para. Si la solicitud es insuficiente o errónea, el artículo 70.1 da siete días para requerir información adicional. El titular tiene diez días para aportarla, y si no lo hace la solicitud «se tiene por no presentada». Mientras tanto, el plazo de respuesta queda suspendido (art. 70.3). Es la única forma legítima de ganar tiempo, y se pierde el día ocho.
La prórroga es una sola y hay que avisar antes. El artículo 71 permite ampliar los plazos «una sola vez, y por un plazo igual, como máximo», salvo el del derecho de información. La condición está en el 71.2 y es la que se olvida: la justificación «debe comunicarse al titular del dato personal dentro del plazo que se pretenda ampliar». Avisar el día 21 de que amplías los veinte días no vale.
Los plazos que corren sin que nadie te pida nada
Estos son peores, porque no llegan con un correo que alguien pueda reenviar.
Cuarenta y ocho horas para notificar una brecha. El artículo 34.1 obliga a avisar a la Autoridad Nacional de Protección de Datos Personales «como máximo dentro de las 48 horas posteriores a haber tomado conocimiento o constancia» del incidente, cuando afecte a grandes volúmenes, a muchas personas o a datos sensibles. Notificar tarde no está prohibido, pero el aviso «debe ir acompañado de la indicación de los motivos y/o sustento probatorio de tal dilación». Y la obligación sigue viva «aun cuando el responsable de tratamiento de datos personales considere que tal incidente haya sido subsanado o resuelto internamente». Lo tratamos con detalle en las fechas que tu empresa ya tiene encima.
Quince días para comunicar quién es tu oficial. Designar al Oficial de Datos Personales no cierra el trámite. El artículo 37.5 exige comunicar sus datos de contacto a la Autoridad «dentro de los 15 días siguientes a la designación o actualización respectiva», y el 37.4 obliga además a publicarlos «en un lugar visible». Es el plazo que más se incumple, porque la empresa da por hecho que con nombrar a alguien ya está. En quién puede ser Oficial de Datos Personales y qué hace exactamente va el detalle del cargo.
El calendario de designación por tamaño. La Primera Disposición Complementaria Final escalona la obligación de designar oficial contando desde la publicación del reglamento, el 30 de noviembre de 2024: un año para las empresas de más de 2 300 UIT de ventas anuales, dos para las medianas de más de 1 700 y hasta 2 300, tres para las pequeñas y cuatro para las microempresas. La fecha viva ahora mismo es la de las medianas, el 30 de noviembre de 2026.
Ese escalonamiento tiene un límite que conviene ver: la disposición solo alcanza a los supuestos 2 y 3 del artículo 37.1. Las entidades públicas, que son el supuesto 1, no tuvieron cronograma ninguno.
Cuánto cuesta cada incumplimiento
El artículo 131 del reglamento califica las infracciones como leves, graves y muy graves, y remite al artículo 39 de la Ley 29733 para el importe. Ese artículo fija tres tramos en UIT. Con la UIT de 2026 en S/ 5 500, según el D.S. 301-2025-EF, los tramos quedan así:
| Calificación | Rango legal | Con la UIT de 2026 |
|---|---|---|
| Leve | 0,5 a 5 UIT | S/ 2 750 a S/ 27 500 |
| Grave | más de 5 hasta 50 UIT | más de S/ 27 500 hasta S/ 275 000 |
| Muy grave | más de 50 hasta 100 UIT | más de S/ 275 000 hasta S/ 550 000 |
Con un tope que rara vez se cita y que cambia el cálculo entero para una empresa pequeña: «en ningún caso, la multa impuesta puede exceder del diez por ciento de los ingresos brutos anuales que hubiera percibido el presunto infractor durante el ejercicio anterior». No se aplica solo: el artículo 124.1 del reglamento dice que es el administrado quien tiene que acreditar ese ingreso en el descargo, con declaraciones juradas de SUNAT o estados financieros.
Y ahora la parte que casi nadie publica, que es qué cae en cada tramo:
| Qué hiciste (o no) | Calificación | Norma |
|---|---|---|
| Atender fuera de plazo el ejercicio de un derecho | leve | art. 132.7 |
| No designar al Oficial de Datos Personales | leve | art. 132.9 |
| No inscribir el banco de datos en el Registro Nacional | leve | art. 132.4 |
| No hacerlo después de que la Autoridad te lo requiera | grave | art. 133.13 |
| No atender, impedir u obstaculizar el ejercicio de un derecho | grave | art. 133.1 |
| No comunicar un incidente de seguridad cuando corresponde | grave | art. 133.12 |
| Negarte a entregar documentación en una fiscalización | grave | art. 133.9 |
| Incumplir el deber de confidencialidad del art. 17 de la Ley | grave | art. 133.11 |
| Tratar datos sensibles sin medidas de seguridad, con perjuicio | muy grave | art. 134.4 |
Dos filas de esa tabla contradicen lo que suele contarse. La primera: no designar oficial es una infracción leve, no la catástrofe que anuncian los titulares de noviembre de 2026. La segunda es la que de verdad debería cambiar la operación: responder tarde es leve y no responder es grave. Entre S/ 2 750 y S/ 27 500 hay un salto, pero el salto de verdad está entre 5 y 50 UIT.
El descuento del 40 % y los dos atenuantes
Si llega la multa, el artículo 127.2 concede una reducción del 40 % del importe por pronto pago. Las condiciones están en el 127.1 y el 127.3: pagar dentro del plazo que fije la resolución de primera instancia, no apelar —de modo que la resolución quede consentida— y comunicarlo a la Dirección de Protección de Datos Personales adjuntando el comprobante del depósito.
El artículo 125 añade dos atenuantes: el reconocimiento expreso y por escrito de la infracción, «de manera clara, precisa y sin ambigüedades o contradicciones», y la colaboración con la Autoridad. Y el 130 avisa de lo contrario: incumplir una medida correctiva trae multas coercitivas automáticas, sin requerimiento previo, de hasta 2 UIT por infracciones leves.
Qué hay que tener montado para llegar a estos plazos
Cuatro cosas, y ninguna se improvisa el día que llega la solicitud.
Un procedimiento de ejercicio de derechos. El artículo 67.1 lo exige literalmente: hay que establecer «un procedimiento sencillo para el ejercicio de los derechos». Una dirección de correo que alguien revisa a diario y un responsable con nombre bastan para empezar.
El inventario de tratamientos. Sin saber qué datos tienes y dónde están, veinte días para un derecho de acceso son pocos, y una notificación de brecha en 48 horas es imposible de redactar.
El registro de incidentes. El artículo 35 obliga a documentar cualquier incidente de seguridad, con sus hechos, sus efectos y las medidas adoptadas, esté o no sujeto a notificación.
Las cláusulas con proveedores. El artículo 36 obliga al encargado a informar «de forma inmediata» al responsable. Si eso no está escrito en el contrato, tu reloj de 48 horas empieza a correr en un servidor ajeno.
Una opinión sobre por dónde empezar
Las fechas que asustan son las del cronograma del oficial, porque salen en todos los titulares. No son las que más duelen. El cronograma se cumple con una designación y una comunicación de quince días, y la sanción por fallarlo está en el tramo leve.
Lo que rompe una empresa es el reloj de 8, 10 y 20 días, porque no lo dispara un calendario propio sino un desconocido, y porque fallarlo dos veces con el mismo titular deja de ser un retraso y pasa a ser obstaculización, que es el tramo grave. La regla práctica que se deduce del reglamento es corta: contesta siempre, aunque contestes tarde y aunque contestes parcialmente, y deja escrito por qué tardaste.
Buena parte de esto se apoya en pruebas que hay que poder mostrar después, y ahí la firma digital hace un trabajo que ningún procedimiento en papel iguala: un registro de incidentes firmado y con sello de tiempo demuestra cuándo se escribió cada línea, como explicamos en conservar un documento firmado.
Si quieres ordenar la parte de firma, sellado y custodia junto con este calendario, escríbenos. En CloudComputing operamos la infraestructura con ISO/IEC 27001 certificada, y los controles que pide el reglamento se solapan casi por completo con los que ya auditamos cada año.
Última revisión: 4 de septiembre de 2026.