Guía · Ley 29733 · Actualizada el 03/11/2026
DS 016-2024-JUS: el nuevo reglamento de protección de datos, explicado
Respuesta corta
El DS N.° 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024, reemplazó al reglamento anterior de la Ley 29733. Para una empresa, los cambios clave son: registro de bancos gratuito, aviso a la ANPD en 48 horas ante incidentes relevantes, el Oficial de Datos Personales con calendario por tamaño, plazos ARCO precisos y reglas estrictas para la publicidad.
1. Inscripción gratuita y automática
Desde el 31 de marzo de 2025 inscribir bancos de datos en el SIPDP no cuesta nada y se aprueba de forma automática. Ya no hay excusa de costo o de trámite para no tenerlos inscritos. Ver cómo inscribirlos.
2. Incidentes de seguridad: 48 horas
Si un incidente expone muchos datos, puede afectar a muchas personas, involucra datos sensibles o causa un daño evidente, la empresa debe notificar a la ANPD en un máximo de 48 horas (art. 34). Todos los incidentes, se notifiquen o no, deben quedar documentados (art. 35). Ver la guía de incidentes.
3. Oficial de Datos Personales
Es obligatorio si tratas grandes volúmenes de datos o datos sensibles como parte de tu actividad, o si eres entidad pública (art. 37). El plazo depende de las ventas anuales: grandes empresas desde noviembre de 2025, medianas desde noviembre de 2026, pequeñas desde noviembre de 2027 y microempresas desde el 30 de noviembre de 2028. Calendario completo en Plazos del DS 016-2024-JUS; detalle del cargo en la guía del ODP.
4. Plazos ARCO en días hábiles
Información: 8 días. Rectificación, cancelación, oposición y revocación: 10 días. Acceso y portabilidad: 20 días. Se cuentan desde el día siguiente de recibida la solicitud (art. 69) y, salvo información, pueden ampliarse una vez avisando antes del vencimiento (art. 71). Ver la guía ARCO.
5. Publicidad solo con consentimiento previo
Enviar publicidad por WhatsApp, SMS, llamadas o correo exige consentimiento previo obtenido de forma directa (art. 26). Quien se niega o revoca debe ser atendido en un máximo de 10 días. Ver la guía de consentimiento.
6. Datos sensibles y en línea
- Los datos sensibles (salud, biometría, entre otros) requieren consentimiento por escrito, con firma manuscrita, digital o electrónica (art. 8).
- Las cookies y píxeles publicitarios identifican al navegante (identificador en línea, art. 2.4): necesitan consentimiento previo.
- Los sistemas con datos personales deben tener usuarios individuales y registro de accesos (art. 46).
Esta guía es informativa y resume la Ley 29733 y el DS 016-2024-JUS. No reemplaza la asesoría legal para casos concretos.