Hay una obligación de cumplimiento que muchas empresas peruanas resolvieron con un correo interno: nombrar a alguien como Oficial de Datos Personales.
El nombramiento es el trámite. El problema empieza cuando esa persona intenta responder la primera pregunta seria de su cargo: ¿dónde están nuestros datos personales?
Y la respuesta honesta, en la mayoría de los casos, incluye un depósito con cajas.
Qué introdujo el reglamento
El Decreto Supremo 016-2024-JUS, que aprueba el reglamento de la Ley 29733, se publicó el 30 de noviembre de 2024 y entró en vigor el 30 de marzo de 2025, tras un periodo de adecuación. Tiene 135 artículos y trae tres cambios de fondo:
| Novedad | Qué implica en la práctica |
|---|---|
| Oficial de Datos Personales | Un punto de responsabilidad interna, identificable y con funciones definidas |
| Notificación de brechas en 48 horas | Obliga a saber, en dos días, qué datos estaban comprometidos |
| Alcance extraterritorial | Alcanza a empresas extranjeras que dirigen su oferta al mercado peruano |
La designación del Oficial quedó exigible desde el 30 de noviembre de 2025, y en diciembre de ese año el Ministerio de Justicia publicó una directiva que regula su designación, desempeño y funciones.
No designarlo se trata como infracción leve, con multas de hasta 5 UIT —S/ 27,500 con la UIT 2026—. Es poco frente al techo del régimen, que llega a 100 UIT. Pero funciona como puerta de entrada: la fiscalización que empieza por la designación no suele terminar ahí.
La supervisión cambió de intensidad
Las cifras que reporta la prensa jurídica especializada describen un salto, no una variación:
| Indicador | 2024 | 2025 |
|---|---|---|
| Fiscalizaciones | 454 | 760 (+67%) |
| Procedimientos sancionadores iniciados | — | 136 |
| Multas impuestas | — | más de S/ 11 millones |
El comercio electrónico aparece entre los sectores más sancionados en 2025 y mantuvo esa posición durante los primeros meses de 2026. Conviene tomar estos números por lo que son —información periodística, no un informe oficial—, pero todas las fuentes coinciden en la dirección.
El plazo de 48 horas es el verdadero examen
De todas las obligaciones del reglamento, la notificación de brechas en 48 horas es la que mejor revela si una organización tiene control sobre su información.
Porque el aviso no consiste en decir “tuvimos un incidente”. Consiste en decir qué datos personales estaban comprometidos, de cuántos titulares y de qué categoría.
flowchart TD
A["Incidente de seguridad"] --> B{"¿Existe inventario de<br/>repositorios con datos personales?"}
B -->|No| C["Revisión manual<br/>de series y cajas"]
C --> D["El plazo de 48 h<br/>se vence antes de saber qué pasó"]
B -->|Sí| E["Identificación de series afectadas,<br/>titulares y categoría de datos"]
E --> F["Notificación dentro del plazo"]
style D fill:#FF9900,color:#fff
style F fill:#2D495D,color:#fff
Dos días es tiempo suficiente si existe un inventario. Es tiempo insuficiente si hay que abrir cajas.
El archivo también es un banco de datos
Aquí está el punto que suele pasarse por alto. La Ley 29733 protege los datos personales contenidos o destinados a ser contenidos en bancos de datos, y un banco de datos no tiene que ser informático.
Estos son bancos de datos personales, con obligaciones plenas:
- Legajos de personal: DNI, domicilio, remuneraciones, evaluaciones, licencias médicas.
- Historias clínicas: datos sensibles por definición.
- Expedientes de crédito: situación económica y financiera del titular.
- Fichas de clientes y proveedores: datos de identificación y de contacto.
- Registros de control de asistencia: datos biométricos, cuando el control es por huella o rostro.
Todos ellos exigen medidas de seguridad, control de accesos, plazos de conservación y supresión. La diferencia con una base de datos es que en el papel esas medidas son físicas: quién entra al depósito, quién retira una carpeta, quién la devuelve, y qué evidencia queda de todo eso.
Un archivo sin registro de préstamo documental no tiene control de accesos. Tiene confianza.
Conservar y suprimir: el par que casi nadie tiene resuelto
El cumplimiento en datos personales exige algo que la gestión documental resuelve desde hace décadas: saber cuánto tiempo debe vivir cada serie documental y qué pasa cuando ese tiempo termina.
El problema práctico es que los plazos vienen de normas distintas y a veces empujan en direcciones opuestas:
- La norma laboral, tributaria o sectorial fija un plazo mínimo de conservación.
- La norma de protección de datos exige no conservar más allá de la finalidad que justificó el tratamiento.
- La destrucción debe ser trazable, no un contenedor en la vereda.
La salida no es elegir una y olvidar la otra, sino construir una tabla de retención que las concilie serie por serie, con la disposición final documentada. Lo desarrollamos en tablas de retención documental y en destrucción certificada de documentos.
Checklist para el Oficial recién designado
- ¿Existe un inventario de repositorios —digitales y físicos— que contienen datos personales, por serie documental?
- ¿Están identificadas las series con datos sensibles (salud, biométricos, situación económica)?
- ¿Hay control de accesos verificable en el archivo físico, o solo una llave y una costumbre?
- ¿Cada serie tiene plazo de conservación y disposición final definidos, con la base normativa que los sustenta?
- ¿La destrucción deja evidencia: acta, cadena de custodia, constancia del proveedor?
- Ante un incidente, ¿se puede determinar en menos de 48 horas qué datos estaban comprometidos?
- ¿La designación del Oficial está documentada y comunicada conforme a la directiva vigente?
Conclusión
Designar al Oficial de Datos Personales es el requisito formal, y cuesta una mañana.
Lo que cuesta de verdad es lo que viene después: poder afirmar, con evidencia, dónde están los datos personales de la organización, quién accede a ellos y cuándo dejan de existir.
En las empresas con archivo físico sin inventariar, esa respuesta no está en el área de sistemas. Está en el depósito.
Si quiere el marco completo del reglamento, está en el nuevo reglamento de la Ley 29733.
