Ley 29733 de protección de datos personales: qué te exige

Si alguna vez te llamaron de un banco con el que nunca firmaste nada, o te llegó una promoción a un correo que sólo le diste a tu clínica, ya sabes para qué sirve la Ley 29733. Es la norma peruana que dice quién puede usar tus datos personales, para qué y qué puedes exigir cuando los usan mal.

Del otro lado del escritorio, la misma ley se convierte en obligaciones. Si tienes un estudio de abogados, un estudio contable, una inmobiliaria, una clínica o una corredora de seguros, guardas datos de clientes, pacientes y trabajadores, y la Ley 29733 te dice cómo cuidarlos y qué contestar cuando alguien pregunta por los suyos.

Esta guía es el punto de partida de las que tenemos sobre protección de datos en el Perú. Explica qué exige la ley, qué cambió con el reglamento que rige desde 2025, cómo se ejercen los derechos y en qué plazos, qué hay que inscribir y quién tiene que nombrar un oficial de datos personales. Al final vemos qué pasa cuando esos datos terminan en un chat de inteligencia artificial, que es hoy el lugar por donde más se escapan sin que nadie lo note.

Ley 29733: qué es y a quién se aplica

La Ley 29733, Ley de Protección de Datos Personales, se publicó en julio de 2011. Su artículo 1 dice que tiene por objeto garantizar el derecho fundamental a la protección de los datos personales previsto en el artículo 2, inciso 6, de la Constitución: el derecho a que los servicios informáticos, públicos o privados, no suministren información que afecte la intimidad personal y familiar.

La ley tuvo cambios importantes en 2017, con el Decreto Legislativo 1353, que reescribió sus definiciones, el ámbito de aplicación, varios derechos y el régimen de infracciones. Es el texto que rige hoy.

En la práctica se aplica a casi cualquiera que guarde información de personas de forma organizada: la lista de clientes de una pyme en Excel, la historia clínica de un consultorio, la cartera de arrendatarios de una inmobiliaria, los legajos de los trabajadores. Según el artículo 3, quedan fuera dos casos: los datos que una persona guarda para fines exclusivamente relacionados con su vida privada o familiar (la agenda del celular con los números de tu familia) y ciertos bancos públicos de defensa nacional, seguridad pública y persecución del delito.

El reglamento vigente amplía el alcance en dos puntos que conviene tener claros. Primero, se aplica al tratamiento de datos personales aun cuando no estén en un banco de datos (artículo IV): un correo suelto con los datos de un cliente también cuenta. Segundo, alcanza a empresas que no están en el Perú pero ofrecen bienes o servicios a personas que sí están aquí (artículo VI). Por eso a un proveedor extranjero de software o de inteligencia artificial también se le pueden pedir cuentas.

El nuevo reglamento: D.S. 016-2024-JUS

Durante más de diez años la ley se aplicó con el reglamento del Decreto Supremo 003-2013-JUS. Ese reglamento ya no está vigente: lo derogó el Decreto Supremo 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024. Su Primera Disposición Complementaria Final lo puso en vigencia a los 120 días calendario de su publicación, a fines de marzo de 2025.

El reglamento nuevo está pensado, como dice su artículo I, para el entorno digital. Lo que más cambia para una empresa es esto:

• Principios nuevos: transparencia y responsabilidad proactiva (artículo IX). No basta con cumplir; hay que poder demostrar que cumples.
• Incidentes de seguridad: los graves se notifican a la Autoridad en un máximo de 48 horas (artículo 34). Lo explicamos en filtración de datos personales: qué hacer.
• Oficial de datos personales obligatorio en ciertos casos, con un cronograma por tamaño de empresa (artículo 37 y Primera Disposición Complementaria Final).
• Documento de seguridad aprobado y con fecha cierta (artículo 47), con inventario de datos y sistemas.
• Portabilidad: el titular puede pedir sus datos en un formato estructurado y de uso común para llevarlos a otro proveedor (artículo 76), con efecto desde seis meses después de la entrada en vigencia.
• Proveedores tecnológicos: reglas para la tercerización y la subcontratación (artículos 28 a 33).

Las conductas cometidas antes de la entrada en vigencia, y los procedimientos que ya estaban en trámite, se siguen rigiendo por el reglamento anterior, según sus Disposiciones Complementarias Transitorias.

Ley 29733 resumen: las definiciones que importan

Casi todas las dudas sobre la ley se resuelven con su artículo 2, que define los conceptos. Estos son los que más se usan en una oficina:

• Datos personales (numeral 4): toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados. El reglamento lo detalla: información numérica, alfabética, gráfica, fotográfica, acústica, de localización o identificadores en línea. El nombre, el correo, el celular, la dirección y el número de DNI de tu cliente entran sin discusión.
• Datos sensibles (numeral 5): los biométricos que por sí mismos identifican al titular, el origen racial y étnico, los ingresos económicos, las opiniones o convicciones políticas, religiosas, filosóficas o morales, la afiliación sindical y la información relacionada con la salud o la vida sexual.
• Banco de datos personales (numeral 1): el conjunto organizado de datos personales, automatizado o no, cualquiera sea su soporte. Un archivador con fichas de papel también lo es.
• Titular de datos personales (numeral 16): la persona a la que se refieren los datos. Tus clientes son titulares de los datos que guardas de ellos.
• Titular del banco de datos personales (numeral 17): quien decide la finalidad y el contenido del banco y las medidas de seguridad. Si tienes una empresa, eres tú.
• Encargado de tratamiento (numeral 7): quien trata los datos por encargo del titular del banco, como tu proveedor de software contable o de nube.
• Tratamiento (numeral 19): cualquier operación, automatizada o no, sobre los datos: recopilar, registrar, almacenar, consultar, utilizar, comunicar o transferir. Copiar el correo de un cliente y pegarlo en otro sitio ya es tratamiento.
• Flujo transfronterizo (numeral 10): la transferencia de datos a un destinatario situado en otro país.
• Anonimización (numeral 14) y disociación (numeral 15): dos tratamientos que impiden identificar al titular. La diferencia es que la anonimización es irreversible y la disociación es reversible.

Esa última distinción es propia de la norma peruana y tiene consecuencias prácticas, porque la ley exceptúa del consentimiento los datos a los que se aplicó uno de esos procedimientos. La desarrollamos en anonimización y disociación de datos.

Los principios de la ley

La Ley 29733 se apoya en principios rectores (artículos 4 a 11) que sirven además para interpretar cualquier duda. Son los que más se citan en una revisión:

Legalidad. Se prohíbe recopilar datos por medios fraudulentos, desleales o ilícitos.

Consentimiento. Para tratar datos tiene que mediar el consentimiento del titular. El artículo 13.5 precisa que debe ser previo, informado, expreso e inequívoco, y el 13.6 agrega que para datos sensibles debe darse por escrito. El reglamento admite la firma manuscrita, digital, electrónica o cualquier otra modalidad que garantice la voluntad del titular (artículo 8), y pone la carga de probar el consentimiento en la empresa (artículo 9).

Finalidad. Los datos se recopilan para una finalidad determinada, explícita y lícita, y no se pueden usar para otra distinta.

Proporcionalidad. El tratamiento tiene que ser adecuado, relevante y no excesivo para esa finalidad. Es el principio que más se olvida: pedir lo que no hace falta, o mandar a un tercero más de lo necesario, ya es un problema.

Calidad. Los datos deben ser veraces, exactos y conservarse sólo el tiempo necesario.

Seguridad. Quien guarda los datos y quien los trata por encargo deben adoptar medidas técnicas, organizativas y legales acordes con el tipo de dato.

Nivel de protección adecuado. Para mandar datos a otro país hay que garantizar un nivel suficiente de protección.

El consentimiento tiene excepciones (artículo 14). Las más usadas por una empresa privada son tres: cuando los datos son necesarios para preparar, celebrar o ejecutar un contrato en el que el titular es parte; cuando provienen de fuentes accesibles para el público; y cuando se aplicó un procedimiento de anonimización o disociación. Que no haga falta el consentimiento no exime de los demás principios: la finalidad y la proporcionalidad siguen aplicando.

Derechos del titular: lo que puedes pedir

La ley reconoce estos derechos a la persona cuyos datos se tratan, en su Título III:

1. Información (artículo 18): saber, antes de que se recojan, para qué se usarán tus datos, quién los recibirá, en qué banco se guardan, quién es su titular y su domicilio, cuánto tiempo se conservarán y cómo ejercer tus derechos. Si los datos se recogen en línea, se cumple con una política de privacidad fácil de encontrar.
2. Acceso (artículo 19): obtener la información que se trata sobre ti, cómo se recopiló, por qué y a pedido de quién, y a quién se transfirió.
3. Actualización, inclusión, rectificación y supresión (artículo 20): cuando los datos son inexactos o incompletos, cuando dejaron de ser necesarios o cuando venció el plazo para tratarlos. Mientras se resuelve el pedido, los datos quedan bloqueados para terceros.
4. Impedir el suministro (artículo 21): oponerte a que tus datos se entreguen a otros, sobre todo cuando eso afecta tus derechos.
5. Oposición (artículo 22): oponerte al tratamiento por motivos fundados y legítimos, cuando no diste tu consentimiento y ninguna ley lo impone.
6. Tratamiento objetivo (artículo 23): no quedar sometido a una decisión con efectos jurídicos basada sólo en un tratamiento automatizado que evalúe tu personalidad o conducta.
7. Tutela (artículo 24): si te niegan un derecho, reclamar ante la Autoridad o ir al Poder Judicial con un hábeas data.
8. Indemnización (artículo 25): si te perjudica el incumplimiento de la ley.

A estos se suma la portabilidad del reglamento (artículo 76), como una forma del derecho de acceso: pedir tus datos en un formato estructurado, de uso común y lectura mecánica, y que se transmitan a otro proveedor cuando sea técnicamente posible.

Plazos para responder: 8, 20 y 10 días hábiles

El reglamento fija plazos máximos de respuesta, contados en días hábiles desde el día siguiente de la presentación de la solicitud (artículo 69):

derecho	plazo máximo	ampliación
Información	8 días hábiles	No se amplía
Acceso	20 días hábiles	Una vez, por un plazo igual
Rectificación, cancelación u oposición	10 días hábiles	Una vez, por un plazo igual

Si la solicitud llega incompleta, la empresa puede pedir información adicional dentro de los siete días siguientes, y el plazo se suspende hasta que el titular responda (artículo 70). La ampliación, cuando se usa, tiene que justificarse y comunicarse al titular antes de que venza el plazo original (artículo 71).

Para una oficina chica, la lección es sencilla: diez días hábiles se pasan rápido si nadie sabe quién revisa el correo donde llegan esos pedidos. Conviene tener un canal único y una persona responsable.

Cómo ejercer tus derechos, paso a paso

Si quieres saber qué datos tuyos tiene una empresa, o que los corrija o los borre, el camino es este:

1. Identifica al titular del banco de datos. Es la empresa o entidad que guarda tus datos. Su política de privacidad debe decir cómo atiende los pedidos.
2. Presenta la solicitud por el canal que indique y guarda constancia. Un correo con acuse, un formulario con número de ingreso o un escrito con cargo de recepción. Indica qué derecho ejerces y acredita tu identidad.
3. Espera el plazo. Ocho, veinte o diez días hábiles, según el derecho.
4. Si no te responden o te lo niegan, reclama ante la Autoridad. El reglamento creó la plataforma digital «Yo cuido mis datos personales» (Cuarta Disposición Complementaria Final) para presentar reclamaciones cuando no se atiende un derecho y denuncias por infracciones. La vía judicial del hábeas data sigue disponible y no exige pasar antes por la Autoridad.

Registro Nacional de Protección de Datos Personales

Otra obligación que muchas pymes no conocen es la inscripción. Según el artículo 42 del reglamento, las personas naturales o jurídicas del sector privado y las entidades públicas que creen, modifiquen o cancelen bancos de datos personales tienen que inscribir esos actos en el Registro Nacional de Protección de Datos Personales, que administra la Autoridad.

Lo práctico:

• Se tramita con un formulario ante la Dirección de Protección de Datos Personales (artículo 45).
• Es de aprobación automática y la inscripción es gratuita, incluida su modificación y cancelación (artículos 43.3 y 45.2).
• Hay que mantenerla actualizada (artículo 44).
• Cualquier persona puede consultar en el Registro qué bancos de datos existen, para qué y quién es su titular (artículo 34 de la Ley).

En una oficina típica hay varios bancos: clientes, trabajadores, proveedores, postulantes, videovigilancia. Cada uno con su finalidad.

Los envíos de datos a otro país también se comunican: el artículo 21.2 del reglamento dice que el flujo transfronterizo debe ponerse en conocimiento de la Dirección para su inscripción en el Registro. Esto importa más de lo que parece, porque casi todos los servicios de correo, nube e inteligencia artificial que usa una empresa peruana procesan datos fuera del país.

Oficial de datos personales: quién y desde cuándo

El reglamento crea la figura del oficial de datos personales: la persona que asesora a la empresa, verifica que cumple y hace de punto de contacto con la Autoridad (artículos 37 a 39). Puede tener otras funciones en la empresa e incluso ser alguien externo (artículo 38.2).

Su designación es obligatoria en tres casos (artículo 37.1): cuando el tratamiento lo hace una entidad pública; cuando se tratan grandes volúmenes de datos, datos que pueden afectar a un gran número de personas o datos sensibles; y cuando la actividad principal de la empresa consiste en tratar datos sensibles. Una clínica, un laboratorio o un centro de salud ocupacional entran fácilmente en el tercer supuesto.

Para las empresas de los dos últimos casos, la obligación entra de forma progresiva, contada desde la publicación del reglamento (30 de noviembre de 2024):

empresa, por ventas anuales	obligatorio desde
Más de 2,300 UIT	1 año después (fines de noviembre de 2025)
Medianas, más de 1,700 y hasta 2,300 UIT	2 años después (fines de noviembre de 2026)
Pequeñas, más de 150 y hasta 1,700 UIT	3 años después (fines de noviembre de 2027)
Microempresas, hasta 150 UIT	4 años después (fines de noviembre de 2028)

Una vez designado, sus datos de contacto se publican en un lugar visible y se comunican a la Autoridad dentro de los 15 días siguientes (artículo 37.5).

Seguridad: lo que pide el reglamento

La ley obliga a adoptar medidas que eviten la alteración, la pérdida o el acceso no autorizado a los datos (artículo 16), y a guardar confidencialidad incluso después de terminada la relación con la empresa (artículo 17). El reglamento baja eso a tierra:

• Control de accesos a los sistemas: alta y baja de usuarios, autenticación, revisión de privilegios al menos cada seis meses (artículo 46).
• Registros de actividad que muestren quién vio, modificó o exportó datos, conservados por al menos dos años (artículo 46).
• Documento de seguridad aprobado formalmente, con fecha cierta, con un inventario de los datos y de los sistemas, que indique si hay datos sensibles (artículo 47).
• Copias de respaldo y controles sobre áreas y equipos (artículo 48).

Hay un detalle del artículo 46 que conviene leer dos veces. Dice que el uso de aplicaciones de mensajería, de cuentas de correo o de redes sociales no institucionales tiene que estar aprobado y formalmente establecido, para evitar transferencias no autorizadas de datos. La regla no nombra la inteligencia artificial, pero el razonamiento es el mismo para la cuenta personal de ChatGPT de un trabajador: si la empresa no la aprobó, no debería recibir datos de clientes. Ordenar eso por escrito es lo que proponemos en la política de uso de IA en la empresa.

Proveedores y tercerización

Casi ninguna empresa trata sus datos sola: usa un sistema de facturación, un correo en la nube, un software de planillas. El reglamento ordena esa relación:

• El servicio tecnológico tercerizado tiene que garantizar confidencialidad, integridad y disponibilidad, y que los datos se destruyen o quedan inaccesibles al terminar (artículo 29).
• El proveedor no puede asumir la titularidad del banco de datos ni ampliar sus facultades sin avisar (artículos 29 y 30).
• El encargado no puede pasar los datos a terceros sin autorización (artículo 31.1) y, por regla general, no puede conservarlos más de dos años desde el último encargo (artículo 31.2).
• Si subcontrata, necesita autorización previa, y el subcontratado asume las obligaciones del titular si usa los datos para otra cosa (artículos 32 y 33).

La pregunta práctica para cada proveedor es siempre la misma: qué datos le mando, qué hace con ellos y dónde los guarda.

Infracciones y multas de la Autoridad

La Autoridad puede fiscalizar de oficio o por denuncia, y sancionar. El reglamento clasifica las infracciones en leves, graves y muy graves (artículos 131 a 134). Algunos ejemplos de cada grupo:

• Leves: tratar datos que no son necesarios para la finalidad, no inscribir un banco de datos, informar de forma incompleta hasta dos condiciones del tratamiento, atender un derecho fuera de plazo, no comunicar un flujo transfronterizo o no designar al oficial cuando corresponde.
• Graves: no atender un derecho, tratar datos sin consentimiento cuando hace falta, usar datos para una finalidad distinta (salvo que se hayan anonimizado o disociado), incumplir la confidencialidad o no notificar un incidente de seguridad cuando corresponde.
• Muy graves: tratar datos por medios fraudulentos o ilícitos, o tratar datos sensibles sin las medidas de seguridad, causando un perjuicio o una exposición no autorizada.

Las multas las fija el artículo 39 de la ley, en UIT, con rangos distintos para cada nivel, y nunca pueden superar el diez por ciento de los ingresos brutos anuales del año anterior. Para graduarlas se usa una metodología aprobada por el Ministerio (artículo 123 del reglamento), y el reconocimiento escrito de la infracción y la colaboración con la Autoridad son atenuantes (artículo 125).

Más útil que memorizar montos es notar el patrón: casi todas las infracciones leves son de orden (inscribir, informar, contestar a tiempo), y se evitan con una lista de tareas.

Qué ordenar en tu empresa: una lista para empezar

Para una oficina de cinco a veinte personas, esta es la lista que usaríamos:

tarea	qué hacer	norma
1. Inventario	Anotar qué datos guardas, de quién, dónde y para qué	Reglamento, art. 47.3
2. Registro	Inscribir cada banco de datos y mantenerlo al día	Reglamento, arts. 42 a 45
3. Información	Publicar una política de privacidad clara	Ley, art. 18; Reglamento, art. 7
4. Consentimiento	Saber en qué se basa cada uso y guardar la prueba	Ley, arts. 13 y 14; Reglamento, art. 9
5. Canal de derechos	Un correo o formulario que alguien revisa, con fechas	Reglamento, arts. 69 a 71
6. Pedir sólo lo necesario	Revisar formularios y borrar lo que ya no sirve	Ley, arts. 7 y 8
7. Seguridad	Accesos por persona, respaldos y documento de seguridad	Reglamento, arts. 46 a 48
8. Proveedores	Contrato escrito con quien trata datos por tu cuenta	Reglamento, arts. 28 a 33
9. Envíos al extranjero	Identificar qué servicios procesan datos fuera del Perú y comunicarlo	Ley, art. 15; Reglamento, art. 21
10. Incidentes	Saber a quién avisar y en qué plazo	Reglamento, arts. 34 y 35

El punto 7 incluye una pregunta que hace cinco años nadie se hacía: qué datos se pueden pegar en un chat de inteligencia artificial.

La Ley 29733 y la inteligencia artificial

Ni la Ley 29733 ni su reglamento mencionan la inteligencia artificial generativa, y no les hace falta. Pegar el expediente de un cliente en ChatGPT, Claude, Copilot o Gemini es tratar sus datos y entregarlos a una empresa que los procesa y, muchas veces, los conserva en servidores fuera del Perú.

Ese gesto toca varios artículos a la vez. La finalidad (artículo 6): el cliente no te dio sus datos para que terminaran en un chat. La proporcionalidad (artículo 7): para redactar una carta, la IA no necesita su nombre ni su correo. La confidencialidad (artículo 17). El flujo transfronterizo (artículo 15 y artículo 21 del reglamento). Y si eres abogado, el secreto profesional que exige el Código de Ética del Abogado, que vemos en estudios de abogados.

Hay además una ley peruana específica sobre IA, la Ley 31814, con un reglamento que remite expresamente a la Ley 29733 para todo lo que tenga que ver con datos personales. Lo explicamos en inteligencia artificial y protección de datos.

Un ejemplo de lo que llega al chat

Así es un pedido típico que alguien de una empresa pegaría tal cual en un chat para que le ayude a contestar:

Cliente: Milagros Quispe Valdivia
Correo: cliente@example.com
Celular: +51 900 000 000
Nos pide copia de todos los datos que tenemos de ella y que dejemos de enviarle promociones.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Cliente: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Nos pide copia de todos los datos que tenemos de ella y que dejemos de enviarle promociones.

Para redactar la respuesta a un pedido de acceso y de oposición, la IA no necesita saber quién es la clienta ni cuál es su correo o su celular. Es justo lo que pide el principio de proporcionalidad: el dato que no hace falta para la pregunta no tiene por qué salir de tu computadora.

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que trabaja en tu computadora antes de que el texto llegue al chat. Seleccionas el fragmento, presionas la tecla que elegiste y los datos personales se cambian por etiquetas como [PERSONA_1]. Cuando copias la respuesta y presionas la misma tecla, cada etiqueta vuelve a su valor en tu pantalla. A Nonimo no le llega tu texto.

En términos de la Ley 29733, lo que hace Nonimo es una disociación reversible en tu computadora: el chat recibe un texto en el que el titular no es identificable por esos datos, y solo tú puedes devolverlos a su lugar. En textos peruanos tapa los datos personales, como nombres, correos, celulares, direcciones, el DNI o el RUC, y te los muestra marcados para que los revises. Más en la página de seguridad.

Si lo que tienes que compartir es un archivo, las herramientas web tapan los datos personales, como nombres, correos, celulares o direcciones, de un PDF, un Word, un Excel, un PowerPoint o un CSV, y te lo devuelven listo.

Nonimo no reemplaza tu política de privacidad, tu inscripción en el Registro ni tus contratos. Resuelve el paso que más fácil se olvida: que un dato que nadie necesitaba termine en un servidor que no conoces.

La Ley 29733 según tu actividad

Cada oficio tiene su punto débil, y casi siempre es el documento que circula todos los días.

• Estudios contables. Boletas de pago, planillas y declaraciones llevan datos del cliente y de sus trabajadores, incluidos sus ingresos, que la ley considera datos sensibles. Lo vemos en contadores.
• Clínicas y consultorios. La historia clínica es información de salud, dato sensible por definición, y además está protegida por la reserva del acto médico de la Ley General de Salud. Lo contamos en médicos y clínicas.
• Inmobiliarias. Contratos de arrendamiento, copias de DNI y constancias de ingresos de los inquilinos pasan por muchas manos y muchos correos.

Fuentes

Consultadas el 23 de octubre de 2026.

• Ley 29733, Ley de Protección de Datos Personales, con las modificaciones del Decreto Legislativo 1353. Texto en gob.pe (Editora Perú, normas actualizadas). Artículos 1 a 25, 28, 29, 32 a 34, 38 y 39.
• Decreto Supremo 016-2024-JUS, Reglamento de la Ley 29733, El Peruano, 30-nov-2024. Ficha en gob.pe y PDF de la separata. Artículos I a IX, 7 a 9, 21, 28 a 47, 69 a 71, 76, 123 a 125, 131 a 134, disposiciones complementarias finales primera y cuarta, transitorias y derogatoria única.
• Constitución Política del Perú, artículo 2, inciso 6, citado por el artículo 1 de la Ley 29733 y por el reglamento.

Esta guía resume la ley y no reemplaza la asesoría de un abogado.