Glosario de protección de datos

Los términos de la Ley 29733 y el DS 016-2024-JUS que aparecen en una fiscalización, explicados con un ejemplo de empresa.

Ley 29733Ley N.° 29733 — Ley de Protección de Datos Personales del Perú

Es la ley peruana que obliga a todo negocio (con RUC 10 o RUC 20) a cuidar la información personal de sus clientes, trabajadores y proveedores, pedirles permiso antes de usarla para publicidad y registrar sus listas ante el Estado.Ejemplo: Si guardas nombres y celulares de clientes en Excel o WhatsApp para venderles, esta ley ya aplica para tu negocio.

DS 016-2024-JUSDecreto Supremo N.° 016-2024-JUS — Nuevo Reglamento de la Ley 29733

Es el reglamento actualizado que detalla cómo cumplir la Ley 29733. Hizo 100 % gratuito el registro de bancos de datos, fijó el plazo máximo de 48 horas para reportar robos o filtraciones de datos y definió fechas límite para el Oficial de Datos Personales.Ejemplo: Si te hackean el correo o envías por error la lista de clientes a todos, este reglamento te exige avisar a la ANPD en 48 horas.

ANPDAutoridad Nacional de Protección de Datos Personales (MINJUSDH)

Es la entidad del Ministerio de Justicia que fiscaliza y sanciona a las empresas que no cuidan los datos personales. Así como la SUNAT ve impuestos e INDECOPI ve reclamos de consumo, la ANPD vigila la privacidad.Ejemplo: Si un cliente te pide borrar su teléfono de tus promociones y lo ignoras, ese cliente te denuncia ante la ANPD.

SIPDPSistema Integrado de Protección de Datos Personales (sipdp.minjus.gob.pe)

Es la página web oficial del Ministerio de Justicia donde inscribes por internet tus bancos de datos. El trámite es 100 % virtual, gratuito (S/ 0) y de aprobación automática.Ejemplo: En DatosPrivados armas tu ficha lista y luego copias y pegas esos datos en el portal SIPDP para recibir tu código oficial.

RNPDPRegistro Nacional de Protección de Datos Personales

Es el padrón público oficial donde figuran todas las empresas peruanas que han declarado legalmente sus bases de datos ante la ANPD.Ejemplo: Cualquier persona o inspector puede buscar tu RUC en el RNPDP para comprobar si cumpliste con registrar tus bases de clientes y trabajadores.

ARCODerechos de Acceso, Rectificación, Cancelación y Oposición

Son los 4 derechos gratuitos que tiene toda persona sobre sus datos en tu negocio: Acceso (saber qué tienes de él), Rectificación (corregir un dato mal escrito), Cancelación (borrar sus datos) y Oposición (prohibirte usarlos para cierto fin, como publicidad).Ejemplo: Cuando un cliente te escribe: «Ya no me manden ofertas por WhatsApp, borren mi número», está ejerciendo su derecho ARCO de Cancelación/Oposición.

Banco de datosBanco de Datos Personales (físico o automatizado)

No tiene nada que ver con bancos financieros (como BCP o Interbank). Significa simplemente cualquier «lista o grupo ordenado de datos de personas» que maneja tu negocio, ya sea en Excel, un sistema web, WhatsApp o archivadores de papel.Ejemplo: Tu Excel de clientes, tu carpeta con CVs y contratos de trabajadores, y las grabaciones de tus cámaras de seguridad son 3 bancos de datos distintos.

Titular del datoTitular de los datos personales (persona natural)

Es el dueño real de la información: la persona de carne y hueso (tu cliente, tu trabajador, tu paciente o un postulante). Tu empresa NO es dueña de esos datos; solo los tiene prestados.Ejemplo: Si María compra en tu tienda y te deja su DNI y celular, María es la «titular del dato».

ResponsableTitular del banco de datos / Responsable del tratamiento

Es tu negocio (persona jurídica con RUC 20 o persona natural con negocio RUC 10) que decide qué datos pedir a la gente y para qué usarlos.Ejemplo: Tu empresa es el «Responsable» porque tú decides pedir nombre, DNI y dirección para entregar los pedidos.

EncargadoEncargado del tratamiento de datos personales

Es cualquier proveedor externo o empresa tercera a la que le entregas o das acceso a los datos de tus clientes o empleados para que te ayude a operar.Ejemplo: Tu estudio contable externo, el courier (Olva, Urbano), la pasarela de pagos (Culqi, Niubiz) o donde alojas tu web son tus «Encargados».

Datos sensiblesDatos personales sensibles (Art. 2.5 de la Ley 29733)

Son datos muy delicados e íntimos de una persona: estado de salud, descansos médicos, huella digital o rostro (biometría), ingresos económicos, religión, afiliación sindical o vida sexual. La ley exige protegerlos con máximo cuidado y consentimiento por escrito.Ejemplo: Una clínica dental que guarda historias médicas o una empresa que guarda descansos médicos de su planilla maneja «datos sensibles».

Base legalPrincipio de consentimiento y supuestos de licitud (Art. 5 y 14 de la Ley 29733)

Es el motivo legal que te da permiso para tener y usar los datos de alguien. No siempre necesitas pedir permiso si los usas solo para cumplir una compra o una ley (como emitir factura en SUNAT), pero SÍ necesitas consentimiento expreso para mandar publicidad.Ejemplo: Para enviar el producto que te compraron la base es «Ejecución de contrato». Para mandarle ofertas por WhatsApp el mes siguiente, la base es «Consentimiento».

Transferencia internacionalFlujo transfronterizo de datos personales

Ocurre cuando los datos de tus clientes o trabajadores se guardan en servidores o plataformas tecnológicas ubicados fuera del Perú. Es completamente legal, pero debes declararlo en tu ficha SIPDP y en tu Política de Privacidad.Ejemplo: Si usas Google Workspace, Gmail, Mailchimp, Shopify, Meta/WhatsApp Cloud o servidores en EE. UU., haces transferencia internacional de datos.

ODP / OPDOficial de Datos Personales (DS 016-2024-JUS)

Es la persona designada para supervisar que la empresa cumpla la Ley 29733 y atender a la ANPD. Solo es obligatorio si tratas grandes volúmenes de datos o datos sensibles (salud, biometría) como parte de tu actividad; aun así, las microempresas recién deben designarlo desde el 30 de noviembre de 2028. Mientras tanto, basta con indicar una persona y un correo de contacto para privacidad.Ejemplo: En una MYPE, el mismo dueño o administrador puede figurar como responsable de contacto de privacidad sin gastar en un consultor externo.

UITUnidad Impositiva Tributaria (Perú)

Es el valor de referencia en soles que usa el Estado peruano para calcular multas e impuestos (S/ 5,500 por cada UIT en 2026). La ANPD aplica multas leves (0.5 a 5 UIT), graves (5 a 50 UIT) y muy graves (50 a 100 UIT).Ejemplo: No inscribir tus bancos de datos o responder tarde una solicitud ARCO son infracciones leves: multa de 0.5 a 5 UIT (de S/ 2,750 a S/ 27,500 en 2026).

Días hábilesCómputo de plazos en días hábiles administrativos

Son los días laborables de lunes a viernes, sin contar sábados, domingos ni feriados nacionales oficiales del Perú. Los plazos de la ley para solicitudes ARCO se cuentan en días hábiles desde el día siguiente de recibida la solicitud.Ejemplo: Plazos legales ARCO (DS 016-2024-JUS): 20 días hábiles para Acceso, y 10 días hábiles para Rectificación, Cancelación u Oposición.

Incidente de seguridadIncidente de seguridad de datos personales (Brecha de datos)

Cualquier accidente, robo, hackeo o error humano donde los datos personales que guardas quedan expuestos, se pierden o los ve alguien que no debía. Si expone muchos datos, puede afectar a muchas personas, involucra datos sensibles o causa un daño evidente, debes avisar a la ANPD en máximo 48 horas. Todos los incidentes deben quedar registrados, aunque no se notifiquen.Ejemplo: Te roban la laptop del negocio sin clave, hackean tu tienda web o mandas un correo masivo dejando visibles los correos de todos tus clientes en «Para:».

Documento de SeguridadDocumento de Seguridad y medidas técnicas/organizativas

Es un manual interno obligatorio donde dejas por escrito quién tiene acceso a los datos en tu empresa, cómo creas contraseñas, cada cuánto haces copias de seguridad y qué haces si hay un incidente. No se publica en tu web; se guarda para mostrarlo si la ANPD te inspecciona.Ejemplo: Si la ANPD te pide demostrar que cuidas tus bases de datos, les entregas tu Documento de Seguridad firmado con fecha cierta.