Protección de datos personales: las fechas que tu empresa ya tiene encima
El 30 de noviembre de 2024 se publicó en El Peruano el D.S. 016-2024-JUS, el nuevo reglamento de la Ley 29733 de Protección de Datos Personales. Derogó de un golpe el reglamento de 2013 y entró en vigencia 120 días calendario después, es decir, el 30 de marzo de 2025.
Lo interesante no es eso. Lo interesante es que el reglamento no exige lo mismo a todas las empresas el mismo día: trae un calendario escalonado por facturación, y la primera fecha venció hace nueve meses.
Las fechas, que es lo que casi nadie publica
La obligación escalonada es la de designar un Oficial de Datos Personales. La Primera Disposición Complementaria Final fija el cronograma contando desde la fecha de publicación del reglamento:
| Tamaño (ventas anuales) | Obligación desde |
|---|---|
| Más de 2 300 UIT | 30 de noviembre de 2025 |
| Medianas: más de 1 700 y hasta 2 300 UIT | 30 de noviembre de 2026 |
| Pequeñas: más de 150 y hasta 1 700 UIT | 30 de noviembre de 2027 |
| Microempresas: hasta 150 UIT | 30 de noviembre de 2028 |
La fila en negrita es la que importa ahora mismo: quedan tres meses. Y la primera fila ya venció, así que una empresa grande que aún no ha designado a nadie no está anticipándose a una norma futura, está incumpliendo una vigente.
Hay una cuarta fecha, más discreta, en la misma disposición: la portabilidad de datos personales del artículo 76 «surte efecto a partir de los 6 meses posteriores a la entrada en vigencia», o sea desde finales de septiembre de 2025.
Quién tiene que designar oficial, y no depende solo del tamaño
El artículo 37.1 enumera tres supuestos, y el cronograma de arriba solo se aplica a dos de ellos. Hay que designar oficial cuando:
- El tratamiento lo lleve a cabo una entidad pública.
- Se realicen tratamientos de grandes volúmenes de datos personales, en cantidad o tipo, o que puedan afectar a un gran número de personas, o cuando se trate de datos sensibles, o cuando se produzca un perjuicio evidente a otros derechos del titular.
- Las actividades principales o de giro de negocio comprendan el tratamiento de datos sensibles.
El tercer supuesto es el que sorprende. Una clínica pequeña, un laboratorio, una consultora de selección de personal o cualquier empresa cuyo negocio gire alrededor de datos de salud, biométricos u otros sensibles entra por giro, sin importar cuánto factura.
El artículo 37.2 concede un respiro a los grupos: «Un grupo empresarial puede nombrar un único Oficial de datos personales siempre que sea fácil contactarlo desde cada establecimiento».
Cuarenta y ocho horas para avisar de una brecha
Esta es la obligación que cambia la operación de verdad, porque exige tener algo montado antes de que pase nada.
El artículo 34.1 obliga a notificar a la Autoridad Nacional de Protección de Datos Personales «como máximo dentro de las 48 horas posteriores a haber tomado conocimiento o constancia» del incidente, cuando este genere exposición de grandes volúmenes de datos, pueda afectar a muchas personas, se trate de datos sensibles o cause un perjuicio evidente.
Dos detalles del texto que conviene leer literalmente. El primero: notificar tarde no es imposible, pero «debe ir acompañada de la indicación de los motivos y/o sustento probatorio de tal dilación». El segundo, y es el que más cuesta explicar dentro de una empresa:
«Esta obligación permanece aun cuando el responsable de tratamiento de datos personales considere que tal incidente haya sido subsanado o resuelto internamente».
Haberlo arreglado no exime de avisar. La notificación tiene que describir, como mínimo, la naturaleza del incidente con los tipos de datos y el número aproximado de afectados, los datos de contacto del oficial, las posibles consecuencias y las medidas adoptadas.
Y dos artículos más completan el circuito. El 35 obliga a documentar cualquier incidente de seguridad, con sus hechos, efectos y medidas, esté o no sujeto a notificación. El 36 obliga al encargado del tratamiento a informar «de forma inmediata» al responsable, lo cual significa que el contrato con tu proveedor de nube, de correo o de facturación tiene que contemplarlo, porque el reloj de las 48 horas empieza a correr en su servidor.
Qué tiene que estar hecho antes de la fecha que te toque
Cuatro cosas, en este orden:
El inventario. Qué datos personales tratas, dónde están, quién accede y con qué base legal. Sin esto no se puede evaluar si entras en el supuesto 2 del artículo 37, ni redactar una notificación de brecha en 48 horas.
El registro de incidentes. Un lugar donde quede constancia de cada incidente con fecha, alcance y medidas. Lo exige el artículo 35 y es lo primero que se pide en una fiscalización.
El circuito de notificación. Quién detecta, quién decide si toca notificar, quién firma el aviso y por qué canal sale. Cuarenta y ocho horas incluyen fines de semana.
Las cláusulas con proveedores. Que el encargado avise de inmediato, y que quede escrito.
El resto de relojes del reglamento, con la multa tasada de cada uno, está en plazos y multas de protección de datos. Y quién puede ocupar el cargo de oficial, en Oficial de Datos Personales.
Dónde toca esto con la firma digital
En dos puntos concretos, y conviene verlos porque suelen tratarse como mundos separados.
Un certificado digital contiene datos personales: nombres completos, número y tipo de documento de identidad, correo electrónico. Están así en el artículo 16 del reglamento de firmas digitales, como detallamos en qué certificado te corresponde. Emitir certificados para tu plantilla es tratamiento de datos personales con todas las consecuencias.
Y en sentido contrario, la firma digital es una de las pocas medidas técnicas que resuelve algo del artículo 35 sin esfuerzo adicional: un registro de incidentes firmado digitalmente y con sello de tiempo demuestra cuándo se escribió cada entrada. Un archivo de texto en una carpeta compartida, no.
Una opinión, porque el plazo la pide
Para una empresa mediana, esperar a noviembre de 2026 para empezar es llegar tarde. Designar oficial es la parte fácil y se hace en una semana; el inventario de tratamientos es el que lleva meses, y sin él la designación es un nombre en un organigrama que no puede responder nada cuando llegue la primera consulta.
Si quieres ordenar esto junto con la parte de firma y custodia —que en la práctica es el mismo proyecto—, escríbenos. En CloudComputing tenemos ISO/IEC 27001 certificada y los controles que pide el reglamento se solapan casi por completo con los que ya auditamos.
Actualización del 10 de septiembre de 2026
El reglamento dedica seis artículos, del 28 al 33, al tratamiento de datos por proveedores tecnológicos: la nube, el software como servicio y el soporte que accede a tus bases. Separa dos regímenes según si hay o no intervención humana, y de ahí salen las cláusulas que hay que tener firmadas con cada proveedor, incluido el plazo máximo de conservación de dos años del artículo 31.2. Está desarrollado en lo que el reglamento te obliga a exigirle a tu proveedor de software.
Actualización del 14 de septiembre de 2026
La obligación de inscribir bancos de datos personales en el Registro Nacional no desapareció con el reglamento de 2024: sigue en su artículo 42, es gratuita, el procedimiento es de aprobación automática y no hacerlo es infracción leve, que pasa a grave si la Autoridad llegó a requerirlo. La lista de actos inscribibles del reglamento, además, no coincide con la del artículo 34 de la Ley 29733, que es la que usan las infracciones. Está desarrollado en tu banco de datos personales sigue teniendo que inscribirse.
Actualización del 17 de septiembre de 2026
Antes que cualquier plazo va el consentimiento, y el reglamento le dedica sus diez primeros artículos. Admite un consentimiento verbal, escrito o con un clic, pero para los datos sensibles (entre ellos los ingresos económicos y los biométricos) el artículo 8 exige que vaya por escrito y firmado, y el artículo 9 pone la carga de probarlo en la empresa «en todos los casos». Publicar una política de privacidad no lo sustituye, por el artículo 7. Está desarrollado en consentimiento para tratar datos personales: las cuatro formas que admite el reglamento.
Actualización del 19 de septiembre de 2026
Cuando alguien pide sus datos, el reglamento da 8 días hábiles para el derecho de información, 20 para el de acceso y 10 para rectificar, cancelar u oponerse, obliga a contestar aunque no tengas ningún dato de esa persona y pone en la empresa la prueba de haber respondido. Si la solicitud llega firmada digitalmente, el artículo 63.1 dice que esa firma sustituye la copia del DNI. Está desarrollado en te piden acceso a sus datos personales: los plazos que corren desde ese día.
Actualización del 22 de septiembre de 2026
Esta página empieza por las fechas, y hay una obligación sin fecha que conviene atender primero porque de ella dependen casi todas las demás: el documento de seguridad del artículo 47 del reglamento, con su inventario de datos personales y de sistemas. El artículo 47 exige además que esté «aprobado formalmente» y que cuente con fecha cierta, y el artículo 58 define qué acepta el reglamento como tal. Lo hemos desarrollado en el reglamento te pide un documento con fecha cierta.
Actualización del 28 de septiembre de 2026
El documento de seguridad describe los controles; los artículos 48 a 52 del reglamento dicen cuáles son como mínimo, y uno de ellos trae una frecuencia escrita: copias de respaldo semanales con verificación de integridad. El 50.5 obliga a sobrescribir los equipos con datos sensibles antes de darlos de baja, y el 52 exige autorización para sacar datos de la empresa y nombra el cifrado, la firma digital y el checksum como medidas. Lo desarrollamos en copias de respaldo, equipos de baja y datos que salen de la empresa.
Actualización del 1 de octubre de 2026
Si tu empresa pide una selfie con el DNI, lee huellas en un torniquete o controla la asistencia con un reloj biométrico, trata datos sensibles: el artículo 2.5 de la Ley 29733 nombra los datos biométricos y el artículo III.6 del reglamento amplía la definición. La Resolución Directoral 110-2024-JUS/DGTAIPD (27 de diciembre de 2024) confirmó dos multas al Banco de Crédito del Perú, de 27 y 36 UIT, por pedir biometría que no era necesaria y guardarla sin consentimiento válido. Lo desarrollamos en selfie con el DNI en tu app: la biometría es dato sensible.
Actualización del 4 de octubre de 2026
Las cámaras de un local o de una oficina tratan datos personales, y ni la ley ni el reglamento de 2024 las nombran. La regla específica es la Directiva 01-2020-JUS/DGTAIPD, aprobada el 10 de enero de 2020: cartel en cada acceso, grabaciones guardadas entre 30 y 60 días y borradas en dos días hábiles, y prohibición de grabar vestuarios, servicios higiénicos y comedores. La autoridad la siguió aplicando en mayo de 2025. Lo desarrollamos en cámaras en tu local: el cartel, los 30 días y quién puede pedir la grabación.
Con ese artículo queda completo el grupo que desarrolla esta página. Faltaba enlazar aquí uno anterior: si tus datos pasan por una nube fuera del Perú, el reglamento te obliga a comunicar ese flujo a la autoridad, y no hacerlo es infracción. Está en tus datos personales salen del Perú cada vez que usas una nube extranjera.
Última revisión: 4 de octubre de 2026.