Guía · Ley 29733 · Actualizada el 03/11/2026
Qué hacer ante un incidente de seguridad de datos personales
Respuesta corta
Un incidente es cualquier robo, hackeo, pérdida o error que expone datos personales. Si expone muchos datos, puede afectar a muchas personas, involucra datos sensibles o causa un daño evidente, debes notificar a la ANPD en máximo 48 horas (art. 34 del DS 016-2024-JUS). Todos los incidentes deben quedar documentados, aunque no se notifiquen (art. 35).
Ejemplos de incidentes en una empresa
- Roban o pierden una laptop sin clave con la base de clientes o la planilla.
- Hackean el correo corporativo o la tienda online.
- Envías un correo masivo con todos los destinatarios visibles en «Para:».
- Un extrabajador se lleva la lista de clientes.
- Se envían resultados o boletas de pago al número de WhatsApp equivocado.
Las primeras 48 horas
- 1Contén: cambia contraseñas, cierra sesiones y anota la hora exacta de detección.
- 2Evalúa: cuántas personas, qué datos, si hay datos sensibles o riesgo de fraude.
- 3Notifica a la ANPD si se cumple alguno de los criterios del art. 34. Si fue un incidente digital, también al CNSD.
- 4Avisa a los afectados en lenguaje claro cuando el incidente los afecta.
- 5Documenta todo: qué pasó, qué hiciste y por qué decidiste notificar o no.
Cómo lo resuelve DatosPrivados
Registras el incidente y empieza a correr el reloj de 48 horas. Un cuestionario te dice si corresponde notificar y genera el borrador para la ANPD y el comunicado a los afectados. Todo queda en tu expediente con fecha, que es lo que la ANPD pedirá ver.
Esta guía es informativa y resume la Ley 29733 y el DS 016-2024-JUS. No reemplaza la asesoría legal para casos concretos.