Datos sensibles: qué son según la Ley 29733 y ejemplos

Hay datos que, si se escapan, causan una molestia: un correo que empieza a recibir publicidad, un celular que suena a deshoras. Y hay otros que, si se escapan, pueden costarle a alguien un trabajo, un crédito o su tranquilidad: un diagnóstico, un sueldo, una afiliación sindical, una huella dactilar. La ley peruana los llama datos sensibles y les pone reglas más estrictas.

Esta guía explica qué son los datos sensibles según la Ley 29733 y su reglamento, con ejemplos de los que llegan todos los días a un estudio contable, una clínica, una inmobiliaria o un área de recursos humanos. También responde una duda muy buscada, si el DNI es un dato sensible, y qué revisar antes de compartir un documento o pegarlo en una herramienta de inteligencia artificial.

¿Qué son los datos sensibles?

Un dato personal es cualquier información que identifica a una persona o la hace identificable: su nombre, su correo, su número de DNI, su dirección. Un dato sensible es un dato personal que toca lo más íntimo de esa persona o que, si se conoce, puede usarse para discriminarla o perjudicarla.

Por eso la ley no prohíbe tratarlos, pero exige más: consentimiento por escrito, medidas de seguridad reforzadas y más cuidado con quién los recibe. El artículo 3 de la Ley 29733 lo dice en una frase: son objeto de especial protección los datos sensibles.

Datos sensibles según la Ley 29733

La definición está en el artículo 2, numeral 5, de la Ley 29733, en el texto que le dio el Decreto Legislativo 1353 en 2017. Son datos sensibles los datos personales constituidos por:

• los datos biométricos que por sí mismos pueden identificar al titular;
• los datos referidos al origen racial y étnico;
• los ingresos económicos;
• las opiniones o convicciones políticas, religiosas, filosóficas o morales;
• la afiliación sindical;
• la información relacionada con la salud o con la vida sexual.

Dos de esas categorías sorprenden a quien llega de otras legislaciones. Los ingresos económicos son datos sensibles en el Perú, algo que no pasa en muchos países y que tiene consecuencias directas para contadores, áreas de planillas e inmobiliarias. Y los datos biométricos están en la lista desde la ley, no como un agregado reciente.

La Octava Disposición Complementaria Final de la ley agrega dos precisiones: para la ley de centrales privadas de información de riesgos, la información sensible es la que esta ley define como dato sensible; y la información confidencial a la que se refiere la ley de transparencia también es dato sensible.

Datos sensibles en el reglamento D.S. 016-2024-JUS

El reglamento vigente, aprobado por el Decreto Supremo 016-2024-JUS, complementa la lista de la ley. Su artículo III, numeral 6, considera datos sensibles la información relativa a:

• datos genéticos o biométricos;
• datos neuronales;
• datos morales o emocionales;
• hechos o circunstancias de la vida afectiva o familiar;
• los hábitos personales que corresponden a la esfera más íntima;
• la afiliación sindical;
• la salud física o mental;
• otras análogas que afecten la intimidad.

El mismo artículo define, en su numeral 5, los datos relacionados con la salud: la información sobre la salud pasada, presente o pronosticada, física o mental, de una persona, incluida la que se deriva de un acto médico, el grado de discapacidad y su información genética.

Leídas juntas, la ley y el reglamento dan una lista amplia. La regla práctica para una oficina es preguntarse: si este dato lo viera alguien que no debe, ¿podría usarlo contra la persona o avergonzarla? Si la respuesta es sí, trátalo como sensible.

Datos sensibles y datos personales: la diferencia

Todos los datos sensibles son datos personales, pero no al revés. La diferencia está en el nivel de protección:

	dato personal	dato sensible
Ejemplos	Nombre, correo, celular, dirección, número de DNI, RUC de una persona	Diagnóstico, sueldo, huella dactilar, religión, afiliación sindical
Consentimiento	Previo, informado, expreso e inequívoco	Lo mismo, y además por escrito
Sin consentimiento	En los casos del artículo 14 de la ley	Sólo si una ley lo autoriza por interés público, o en los supuestos de salud de la ley
Seguridad	Medidas acordes al tipo de dato	Medidas reforzadas; tratarlos sin ellas es infracción grave o muy grave
Oficial de datos personales	No siempre	Obligatorio si se tratan datos sensibles o es el giro del negocio

Un mismo documento suele mezclar los dos: una boleta de pago lleva el nombre y el DNI (datos personales) y el sueldo (dato sensible). Se protege por el más delicado.

Datos sensibles: ejemplos que llegan a una oficina

Estos son documentos comunes en el Perú que contienen datos sensibles, aunque nadie los piense así:

documento	dato sensible que lleva	quién lo maneja
Boleta de pago	Ingresos del trabajador	Estudios contables, RR. HH.
Planilla electrónica	Ingresos y, a veces, afiliación sindical	Estudios contables, RR. HH.
Constancia de ingresos o estados de cuenta del inquilino	Ingresos económicos	Inmobiliarias
Descanso médico o certificado de incapacidad	Diagnóstico o información de salud	RR. HH., estudios de abogados
Historia clínica, receta, resultado de laboratorio	Salud	Clínicas, consultorios, aseguradoras
Solicitud de un seguro de salud o de vida	Salud, a veces hábitos	Corredores de seguros
Registro de asistencia con huella	Dato biométrico	Cualquier empresa con lector de huella
Descuento de cuota sindical	Afiliación sindical	Estudios contables, RR. HH.
Demanda de alimentos o de divorcio	Vida familiar, ingresos	Estudios de abogados
Expediente de un proceso laboral por discriminación	Origen, salud, convicciones	Estudios de abogados

Si tu oficina toca varios de estos documentos, lo más probable es que trates datos sensibles todos los días. Para los contadores, lo desarrollamos en contadores.

¿El DNI es un dato sensible?

Es de las dudas más buscadas, y la respuesta tiene dos partes.

El número de DNI no es un dato sensible. No está en la lista del artículo 2 de la ley ni en la del reglamento. Es un dato personal, y uno muy importante, porque identifica a la persona sin margen de error y abre la puerta a muchos trámites. Que no sea sensible no significa que se pueda compartir sin cuidado: qué se puede hacer con él lo explicamos en qué pueden hacer con mi número de DNI.

La copia del DNI es otra cosa. Una copia completa del documento muestra la fotografía del rostro y, según el modelo, la huella dactilar. Una huella dactilar es un dato biométrico que por sí mismo identifica al titular, que es justo la categoría que la ley considera sensible. Por eso, cuando alguien te pide «copia de tu DNI», conviene preguntarse si de verdad necesita el documento entero o si basta con el número.

Si tienes que mandar una copia, puedes tapar lo que no hace falta antes de enviarla. Qué datos tapar y cuáles dejar está en qué datos tapar del DNI.

Datos de salud y biométricos

Los datos de salud son el ejemplo clásico de dato sensible, y en el Perú tienen además una protección propia. La Ley 26842, Ley General de Salud, dispone en su artículo 25 que toda información relativa al acto médico es reservada, y que quien la divulga responde civil o penalmente. Su artículo 44 reconoce al paciente el derecho a recibir copia de su historia clínica cuando la pida. La historia clínica, además, tiene una norma técnica del MINSA que la trata como información sensible.

El reglamento de la Ley 29733 recoge esa sensibilidad: define los datos de salud de forma amplia, incluida la información genética y el grado de discapacidad, y la ley permite tratarlos sin consentimiento sólo en supuestos acotados, como la prevención, el diagnóstico y el tratamiento médico en circunstancias de riesgo, en establecimientos de salud o por profesionales de la salud, observando el secreto profesional (artículo 14, numeral 6). Cómo se aplica a la IA en consultorios y clínicas lo vemos en historia clínica e IA.

Los datos biométricos aparecen en lugares menos obvios. El lector de huella para marcar asistencia, el reconocimiento facial para entrar a un edificio, la firma en una tableta que registra el trazo. Todos son datos sensibles si permiten identificar a la persona por sí mismos, y para usarlos hace falta consentimiento por escrito y medidas de seguridad acordes.

El reglamento de la ley de inteligencia artificial suma una prohibición: es uso indebido de la IA analizar o inferir datos sensibles de las personas, como su origen étnico, sus opiniones políticas o su vida sexual, a partir de sus datos biométricos (artículo 23 del Decreto Supremo 115-2025-PCM).

Ingresos económicos: el dato sensible que más sorprende

Que el sueldo de una persona sea un dato sensible cambia la forma de trabajar de muchas oficinas peruanas.

Un estudio contable que prepara la planilla de sus clientes maneja cada mes los ingresos de decenas o cientos de trabajadores. Una inmobiliaria que pide constancias de ingresos o estados de cuenta a un postulante a inquilino está recogiendo datos sensibles. Un área de recursos humanos que comparte un cuadro de sueldos con un consultor externo está entregando datos sensibles a un tercero.

Nada de eso está prohibido. Lo que la ley pide es que se haga con consentimiento escrito cuando corresponde (o con otra base legal, como la ejecución del contrato laboral), con medidas de seguridad reforzadas y sin mandar más de lo necesario. En la práctica:

• pedir sólo los documentos de ingresos que realmente se van a evaluar;
• guardar esos documentos con acceso restringido;
• borrarlos cuando ya no se necesitan;
• no reenviarlos por correo ni pegarlos en un chat con el nombre del trabajador a la vista.

Si usas IA para revisar una planilla o explicar un descuento, la IA no necesita el nombre ni el DNI del trabajador para hacer el cálculo.

Cómo tratar datos sensibles: consentimiento y seguridad

Las reglas reforzadas son estas:

Consentimiento por escrito. El artículo 13.6 de la ley exige que, para datos sensibles, el consentimiento se dé por escrito. El artículo 8 del reglamento precisa que puede ser con firma manuscrita, digital, electrónica o cualquier otra modalidad que garantice la voluntad del titular, y el artículo 9 pone en la empresa la carga de probar que lo obtuvo.

Excepciones acotadas. Sin consentimiento, los datos sensibles sólo pueden tratarse cuando una ley lo autoriza y atiende a motivos importantes de interés público (artículo 13.6), además de los supuestos de salud del artículo 14.

Seguridad reforzada. Tratar datos sensibles sin las medidas de seguridad de la normativa es infracción grave, y si además causa un perjuicio o una exposición no autorizada, muy grave (artículos 133 y 134 del reglamento).

Oficial de datos personales. Es obligatorio cuando se tratan datos sensibles o cuando tratarlos es la actividad principal de la empresa, con un cronograma por tamaño (artículo 37 del reglamento).

Evaluación de impacto. El reglamento la recomienda, de forma facultativa, especialmente cuando se trata de datos sensibles (artículo 40).

La explicación general de estas obligaciones está en la guía de la Ley 29733 de protección de datos personales.

Cómo pedir datos sensibles en un formulario

Muchos problemas empiezan en el formulario de ingreso: una ficha de cliente que pregunta por el estado de salud sin que haga falta, una solicitud de alquiler que pide tres meses de estados de cuenta cuando bastaba una constancia. Al diseñar un formulario:

1. Pregunta sólo lo necesario. El principio de proporcionalidad (artículo 7 de la ley) aplica con más fuerza a los datos sensibles.
2. Indica si la respuesta es obligatoria o facultativa. El artículo 18 de la ley exige informar el carácter obligatorio o facultativo de las respuestas, en especial en cuanto a los datos sensibles.
3. Explica para qué los usarás y por cuánto tiempo.
4. Recoge el consentimiento por escrito, separado del resto si es posible, y guarda la prueba.

Datos sensibles en el trabajo

Un área de recursos humanos es, casi por definición, un depósito de datos sensibles: sueldos, descansos médicos, exámenes de salud ocupacional, afiliación sindical, a veces información de la vida familiar para asignaciones o licencias.

Hay dos momentos en que se escapan con más facilidad. Cuando se comparten con un tercero (un consultor, un estudio de abogados, un proveedor de planillas) sin contrato que delimite el uso. Y cuando alguien del área usa un chat de IA para redactar una carta de amonestación, revisar un caso de licencia o resumir una evaluación, y pega el caso completo. Cómo hacerlo sin exponer a los trabajadores lo vemos en IA para recursos humanos.

Antecedentes penales: un régimen aparte

Los antecedentes penales, judiciales y policiales no están en la lista de datos sensibles, pero tienen una regla propia y más estricta. El artículo 13.8 de la Ley 29733 dice que el tratamiento de datos relativos a la comisión de infracciones penales o administrativas sólo puede ser efectuado por las entidades públicas competentes, salvo convenio de encargo de gestión. Y una vez cancelados los antecedentes, no pueden suministrarse salvo que los requiera el Poder Judicial o el Ministerio Público.

Para una empresa privada, eso significa que no debería armar su propia base de antecedentes de clientes o postulantes.

Qué pasa si se exponen datos sensibles

Si una empresa sufre un incidente de seguridad que afecta datos sensibles, el reglamento obliga a notificarlo a la Autoridad Nacional de Protección de Datos Personales en un máximo de 48 horas desde que lo conoce (artículo 34). Los datos sensibles están expresamente entre los supuestos que activan esa obligación. Si el incidente afecta otros derechos del titular, también hay que avisarle a él, en un lenguaje sencillo.

Los pasos a seguir están en filtración de datos personales: qué hacer. Lo que conviene retener aquí es que, con datos sensibles, el margen para «esperar a ver qué pasa» es mínimo.

Qué pasa si alguien pega un descanso médico en ChatGPT

Es una escena común: alguien de recursos humanos recibe el descanso médico de un trabajador, tiene dudas sobre cómo registrarlo o cómo responder, y lo pega completo en un chat de IA para que le explique.

En ese momento, un dato de salud, que es sensible, sale de la empresa hacia un tercero que lo procesa en servidores fuera del Perú, sin consentimiento escrito del trabajador para ese uso y sin que la empresa sepa qué hará el proveedor con él. Es difícil encajarlo en las reglas de la Ley 29733. Qué guarda cada proveedor varía; el caso de Google lo contamos en qué hace Gemini con tus datos.

La alternativa es simple: la IA no necesita saber quién es el trabajador ni cuál es su diagnóstico para explicar cómo se computa un descanso médico. Basta con describir la situación sin datos identificables.

Un ejemplo: lo que Nonimo tapa y lo que no

Así es un texto que alguien de un consultorio pegaría en un chat para que le ayude a redactar una constancia:

Paciente: Nelly Cahuana Ochoa
Celular: +51 900 000 000
Diagnóstico: hipertensión arterial, en control desde marzo.
Pide una constancia de atención para presentarla en su trabajo, sin que figure el diagnóstico.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Paciente: [PERSONA_1]
Celular: [TELEFONO_1]
Diagnóstico: hipertensión arterial, en control desde marzo.
Pide una constancia de atención para presentarla en su trabajo, sin que figure el diagnóstico.

El nombre y el celular se tapan. El diagnóstico no. Nonimo tapa los datos que identifican a una persona, no la información de salud que el texto cuenta. Con el nombre y el celular tapados, el chat recibe un diagnóstico que ya no puede atribuir a nadie; aun así, si el diagnóstico no hace falta para la tarea, lo correcto es borrarlo antes de pegar. Para redactar esta constancia, de hecho, no hace falta: la paciente pide justamente que no figure.

Antes de compartir un documento con datos sensibles

Una lista corta para revisar antes de enviar o pegar:

1. ¿El destinatario necesita el dato sensible, o sólo el resto del documento?
2. ¿Tengo consentimiento escrito, u otra base legal, para entregarlo a ese tercero?
3. ¿Puedo tapar el nombre, el DNI, el correo y el celular de la persona?
4. ¿Hay detalles en el texto que, juntos, permitan reconocerla aunque tape su nombre?
5. ¿El canal es seguro, o es un correo personal o un chat sin contrato?

El punto 4 es el que más se olvida. Por qué un texto sin nombre puede seguir identificando a alguien lo explicamos en anonimización y disociación de datos.

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que, en tu computadora, cambia por etiquetas los datos que identifican a una persona antes de que el texto llegue a ChatGPT, Claude, Copilot o Gemini, y los devuelve a su lugar cuando copias la respuesta. Tapa los datos personales, como nombres, correos, celulares, direcciones, el DNI o el RUC, y te los muestra marcados para que los revises. A Nonimo no le llega tu texto.

Con los datos sensibles, Nonimo cumple una función concreta: separa la información delicada de la persona a la que se refiere. Un sueldo o un diagnóstico sin nombre, sin DNI y sin correo dice mucho menos. Lo que Nonimo no hace es decidir por ti si el dato sensible tiene que salir: eso lo resuelves tú antes de pegar.

Para archivos, las herramientas web gratuitas tapan los datos personales, como nombres, correos, celulares o direcciones, de un PDF, un Word, un Excel, un PowerPoint o un CSV.

Fuentes

Consultadas el 23 de octubre de 2026.

• Ley 29733, Ley de Protección de Datos Personales, con las modificaciones del Decreto Legislativo 1353. Texto en gob.pe. Artículos 2 (numerales 4 y 5), 3, 7, 13, 14, 18 y Octava Disposición Complementaria Final.
• Decreto Supremo 016-2024-JUS, Reglamento de la Ley 29733, El Peruano, 30-nov-2024. PDF en gob.pe. Artículos III (numerales 5 y 6), 8, 9, 34, 37, 40, 133 y 134.
• Ley 26842, Ley General de Salud, artículos 25 y 44. Texto en DIGESA.
• Decreto Supremo 115-2025-PCM, Reglamento de la Ley 31814, El Peruano, 9-set-2025, artículo 23. Texto en El Peruano.

Esta guía resume normas vigentes y no reemplaza la asesoría de un abogado.