Ley 29733 de protección de datos personales

¿Qué es la Ley 29733 y qué regula?

La Ley 29733, o Ley N.° 29733, es la ley de protección de datos personales de Perú. Busca asegurar el derecho fundamental a la protección de los datos personales mediante un tratamiento adecuado de esos datos. Es de 2011 y su texto oficial en PDF incluye las modificaciones del Decreto Legislativo 1353, de 2017. Quien busca «ley 29733 actualizada 2025» o «ley de protección de datos personales Perú» llega a esta misma norma, y lo que rige desde 2025 es su reglamento.

Un dato personal es la información que identifica a una persona o la hace identificable, como fotos, datos de ubicación o identificadores en línea. Tu lista de clientes, el formulario de contacto de tu web y los correos de quienes piden una cotización son datos personales. Los datos sensibles piden más cuidado. El reglamento incluye entre ellos los datos genéticos o biométricos, los neuronales, la afiliación sindical y la salud física o mental, y para tratarlos el consentimiento debe darse por escrito.

La encargada de hacer cumplir la ley es la Autoridad Nacional de Protección de Datos Personales, o ANPD, que ejerce el Ministerio de Justicia y Derechos Humanos. También se la conoce como autoridad de protección de datos personales. Su reglamento se aplica a toda modalidad de tratamiento de datos personales, ya la hagan personas naturales, organismos públicos o instituciones del sector privado. Eso incluye a tu negocio, aunque sea pequeño, y a quien trate datos por cuenta tuya, como encargado de tratamiento. También alcanza a las empresas de fuera que ofrecen bienes o servicios a personas ubicadas en Perú, que además deben designar un representante, el punto de contacto con la ANPD.

¿Qué cambió con el nuevo reglamento y desde cuándo rige?

El Decreto Supremo 016-2024-JUS se publicó en El Peruano el 30 de noviembre de 2024 y aprobó el nuevo reglamento de la Ley 29733, que derogó el de 2013. Quien busca «reglamento de ley de protección de datos personales» o «reglamento ley de protección de datos personales» se refiere a ese decreto. La ley de protección de datos personales y su reglamento se leen juntos, porque el reglamento fija las disposiciones para la adecuada aplicación de la ley. Rige a los 120 días calendario siguientes de su publicación, y la ANPD informa que entró en vigencia el 31 de marzo de 2025. Dos de sus obligaciones tienen otro plazo.

Estas son las novedades que más le importan a un negocio:

• Informar antes de recoger los datos. El reglamento lista lo mínimo que debes decirle a la persona, como quién eres, para qué usarás sus datos, a quién se los das y cuánto tiempo los guardas.
• Avisar de un incidente grave. Si hay una filtración que expone muchos datos, datos sensibles o que perjudica a las personas, debes notificar a la ANPD como máximo dentro de las 48 horas de enterarte, y si tardas más, explicar el motivo.
• Inscribir tus bancos de datos sin costo. La inscripción es gratuita y de aprobación automática, con revisión posterior.
• Designar un oficial de datos personales. Debe hacerlo quien trata grandes volúmenes de datos, datos sensibles o los tiene como actividad principal, y publicar su contacto. Depende de qué datos trates y cuántos. La ANPD aprobó además una directiva con criterios para designarlo y 180 días de adecuación.
• Portabilidad. La persona puede pedir que sus datos pasen a otro responsable, si la tecnología lo permite y sin costos irrazonables.

¿Qué debe cumplir mi página web según la ley?

Tu web trata datos personales cada vez que alguien llena un formulario, te escribe o deja su correo. En esos casos la ley y su reglamento piden cuatro cosas y, además, poder demostrarlas.

Así se ve cada una en una página web:

1. Díselo antes de recoger los datos. La persona tiene derecho a ser informada antes de la recopilación sobre la finalidad, los destinatarios, quién guarda sus datos, cuánto tiempo se conservan y cómo ejercer sus derechos. Si los datos se recogen en línea, puedes cumplirlo con una política de privacidad fácilmente accesible e identificable, también llamada política de protección de datos personales. Esa política no te exonera de obtener el consentimiento.
2. Pide el consentimiento con una acción de la persona. El consentimiento válido es libre, previo, expreso e inequívoco e informado, y se puede dar por canales digitales, como un click en el botón de aceptar. No es libre si condicionas un servicio a datos que no son indispensables para prestarlo.
3. Usa los datos solo para lo que dijiste. No se deben usar para finalidades distintas de las que motivaron su recopilación. Si después quieres enviar promociones, necesitas pedir otro consentimiento antes de ese tratamiento distinto.
4. Deja retirar el consentimiento con facilidad. Quien aceptó puede revocarlo en cualquier momento, y debes ofrecer mecanismos fácilmente accesibles e incondicionales, sencillos, rápidos y gratuitos para hacerlo.
5. Guarda la prueba. La carga de la prueba del consentimiento recae en quien trata los datos. Conserva el texto que vio la persona, la fecha y su aceptación.

¿Las cookies y Google Analytics entran en la ley?

La ANPD respondió esta duda en una opinión consultiva de enero de 2022. Dijo que cuando las cookies permiten identificar a una persona, el tratamiento de esos datos debe cumplir con los principios y las disposiciones de la ley, entre ellos informar, pedir el consentimiento salvo las excepciones e inscribir los bancos de datos.

La consulta que contestó preguntaba por las cookies de Google Analytics, cuya información puede transferirse fuera del país. La conclusión fue que, si esa información sale de Perú, hay un flujo transfronterizo cuya comunicación al Registro Nacional es responsabilidad del titular de la página web, sean cookies propias o de terceros, cuando usar esa información satisface sus intereses. El reglamento de 2024 mantiene la regla: el flujo transfronterizo de datos personales debe ponerse en conocimiento de la ANPD y se inscribe en el Registro Nacional.

Esa opinión interpreta las normas en abstracto y no manda una conducta para un caso concreto, y es anterior al reglamento vigente, así que conviene confirmar con quien lleve la parte legal de tu negocio cómo se aplica a tu caso. Si ya tienes un aviso de cookies, mira cómo conectarlo con Consent Mode.

¿Cómo se aplica la ley en un negocio real?

Con ese orden, el taller sabe qué datos recoge, para qué los usa y qué responder. La decisión final de cada texto la toma quien lleve la privacidad de su negocio.

¿Cómo inscribir un banco de datos personales?

Un banco de datos personales es un conjunto organizado de datos personales, automatizado o no, sin importar su soporte. Una lista de clientes en una hoja de cálculo o en un sistema encaja en esa definición. La ANPD indica que toda persona, empresa o institución pública titular de un banco de datos tiene la obligación de inscribirlo en el Registro Nacional de Protección de Datos Personales.

Con el reglamento vigente, la inscripción es gratuita y de aprobación automática, sujeta a fiscalización posterior. El trámite es virtual, en la plataforma del Sistema Integrado de Protección de Datos Personales.

Si tus datos cambian, la inscripción debe mantenerse actualizada siempre.

¿Qué derechos tienen las personas y en cuánto tiempo hay que responder?

Las personas pueden pedir ver sus datos y que se corrijan, se borren o dejen de usarse. A esos derechos se les llama ARCO, por acceso, rectificación, cancelación y oposición. Ejercerlos ante un banco de datos privado es gratuito.

Los plazos cuentan desde el día siguiente de la presentación de la solicitud y los días son hábiles. Si no respondes a tiempo o rechazas el pedido, la persona puede presentar su reclamo ante la ANPD.

Si alguien retira su consentimiento para una finalidad adicional, como las promociones, debes ajustar el tratamiento en un plazo que no puede ser mayor a diez días.

¿Qué multas hay si no se cumple la ley?

La ley fija las multas según la gravedad, en UIT, la unidad impositiva tributaria. Las leves van de 0,5 a 5 UIT, las graves de más de 5 a 50 y las muy graves de más de 50 a 100, y la multa no puede exceder el diez por ciento de los ingresos brutos anuales del año anterior.

El caso más cercano al marketing es el de dos universidades. La ANPD las sancionó con 25,5 y 11,25 UIT por enviar mensajes de texto y correos promocionales sin consentimiento válido, y por seguir escribiendo aunque las personas pidieron cancelar sus datos. Su mensaje fue que toda institución o empresa debe obtener el consentimiento libre, expreso, previo, informado e inequívoco antes de usar información personal, en especial con fines de marketing o publicidad.

En 2025 la ANPD fiscalizó a 760 instituciones públicas y privadas, principalmente de los sectores financiero y telecomunicaciones, e inició 136 procedimientos sancionadores. Hay control activo, y la norma se aplica a cualquier negocio que trate datos personales.