Ley de Protección de Datos Personales en el Perú: Registro de bancos de datos ante el MINJUSDH y multas

Ley de Protección de Datos Personales en el Perú: qué deben hacer las empresas y organizaciones

La protección de datos personales se ha convertido en un tema crítico para empresas, asociaciones, fundaciones, ONGs, colegios, clínicas, estudios profesionales y todo tipo de organización que recopile información de personas naturales en el Perú. No se trata solo de una buena práctica de cumplimiento, sino de una obligación legal con impacto reputacional, operativo y económico.

En el Perú, el marco principal está conformado por la Ley N.° 29733, Ley de Protección de Datos Personales, su reglamentación y las disposiciones emitidas por la Autoridad Nacional de Protección de Datos Personales, actualmente en el ámbito del Ministerio de Justicia y Derechos Humanos (MINJUSDH). Uno de los puntos que más consultas genera en la práctica es el registro de bancos de datos personales y las multas por incumplimiento.

Para muchas organizaciones peruanas, especialmente MYPES, empresas familiares, ONG receptoras de cooperación, centros médicos, instituciones educativas y negocios con canales digitales, el error más común es pensar que la ley solo aplica a grandes corporaciones o a empresas tecnológicas. En realidad, basta con tratar datos de clientes, trabajadores, proveedores, alumnos, pacientes, donantes o postulantes para estar dentro del alcance normativo.

En este artículo explicamos, de forma práctica, qué exige la normativa peruana, cuándo corresponde registrar bancos de datos ante el MINJUSDH, qué cambios trae el nuevo Reglamento, cuáles son las infracciones más frecuentes y cómo prevenir sanciones.

Marco legal aplicable: Ley 29733 y nuevo Reglamento

El régimen peruano de protección de datos personales tiene como base las siguientes normas:

• Ley N.° 29733, Ley de Protección de Datos Personales.
• Reglamento de la Ley N.° 29733, aprobado por Decreto Supremo N.° 003-2013-JUS.
• Nuevo Reglamento de la Ley N.° 29733, aprobado por Decreto Supremo N.° 016-2024-JUS, que moderniza y desarrolla obligaciones relevantes para titulares y responsables del tratamiento.

La finalidad de este marco legal es proteger los datos personales de las personas naturales, garantizando que su tratamiento se realice con respeto a sus derechos fundamentales. Esto incluye la recolección, almacenamiento, uso, transferencia, conservación, supresión y cualquier otra operación sobre datos personales.

Desde una perspectiva de compliance societario, esta normativa impacta directamente en procesos como:

• Contratación de personal.
• Gestión de planillas y legajos.
• Base de clientes y prospectos.
• Campañas de marketing por WhatsApp, correo o SMS.
• Videovigilancia en oficinas, plantas y locales comerciales.
• Historias clínicas y datos sensibles.
• Registros de asociados, donantes o beneficiarios en ONGs.
• Tercerización de servicios con acceso a información personal.

¿Qué es un banco de datos personales?

De acuerdo con la Ley N.° 29733, un banco de datos personales es un conjunto organizado de datos personales, automatizado o no, creado para una finalidad determinada. En términos sencillos, no se limita a una “base de datos” informática. También puede existir en archivos físicos, legajos, fichas, carpetas o sistemas mixtos.

Por ejemplo, constituyen bancos de datos personales:

• La base de clientes de una empresa comercial.
• Los legajos del personal de una organización.
• El registro de postulantes a un puesto de trabajo.
• La base de donantes de una asociación sin fines de lucro.
• La base de pacientes de una clínica o consultorio.
• El sistema de videovigilancia que permite identificar personas.

Un punto clave es que la obligación legal no depende del tamaño del negocio, sino del hecho de tratar datos personales de personas naturales.

¿Quiénes deben registrar bancos de datos ante el MINJUSDH?

En la práctica, una de las preguntas más frecuentes es si toda empresa está obligada a registrar sus bancos de datos personales. La respuesta exige revisar el régimen vigente y el alcance del nuevo Reglamento.

Históricamente, la normativa peruana estableció la inscripción de determinados bancos de datos personales en el Registro Nacional de Protección de Datos Personales. Con la evolución regulatoria, el sistema ha venido orientándose a un enfoque más funcional y de responsabilidad proactiva, reforzando el deber de las organizaciones de documentar, justificar y gestionar adecuadamente sus tratamientos de datos.

Por ello, más que limitarse a preguntar si “hay que registrar o no”, las organizaciones deben evaluar:

• Qué bancos de datos manejan.
• Qué finalidad tiene cada uno.
• Qué base legal sustenta el tratamiento.
• Si contienen datos sensibles.
• Si existe transferencia nacional o internacional.
• Qué medidas de seguridad aplican.
• Si corresponde su inscripción o actualización ante la autoridad, conforme a la regulación vigente y criterios de la Autoridad Nacional.

En términos de buen gobierno corporativo, toda entidad debería contar con un inventario de bancos de datos personales, aun antes de verificar la obligación formal de registro.

Bancos de datos más comunes en empresas peruanas

Principios que deben respetarse en el tratamiento de datos personales

La Ley N.° 29733 exige que el tratamiento de datos personales observe principios esenciales. En auditoría de compliance, estos principios son el punto de partida para evaluar el nivel de exposición legal de una organización.

1. Principio de legalidad

Los datos no pueden recopilarse por medios fraudulentos, desleales o ilícitos. Por ejemplo, una empresa no debería extraer números de WhatsApp de redes sociales para enviar publicidad sin base legal.

2. Principio de consentimiento

Como regla general, el tratamiento requiere consentimiento previo, informado, expreso e inequívoco del titular, salvo las excepciones legales. Esto es especialmente importante en campañas comerciales y formularios web.

3. Principio de finalidad

Los datos deben recopilarse para una finalidad determinada, explícita y lícita. Si un colegio solicita datos de padres de familia para matrícula, no debería usarlos luego para ofrecer productos de terceros sin autorización.

4. Principio de proporcionalidad

Solo deben recopilarse los datos adecuados, pertinentes y no excesivos. Pedir estado civil, religión o huella biométrica para una compra menor de S/ 50 puede ser desproporcionado.

5. Principio de calidad

Los datos deben ser veraces, exactos y, de ser necesario, actualizados. Una empresa de cobranzas que use direcciones desactualizadas puede generar reclamos y contingencias.

6. Principio de seguridad

El titular del banco de datos y el encargado del tratamiento deben adoptar medidas técnicas, organizativas y legales para evitar pérdida, acceso no autorizado, alteración o filtración.

Obligaciones prácticas para las empresas y ONGs en el Perú

Más allá del registro ante el MINJUSDH, el cumplimiento real exige implementar controles concretos. Entre las principales obligaciones destacan:

• Identificar y documentar los bancos de datos personales existentes.
• Informar adecuadamente al titular sobre la finalidad del tratamiento.
• Obtener consentimiento cuando corresponda.
• Atender derechos ARCO y los derechos reconocidos por la normativa vigente.
• Suscribir contratos con encargados de tratamiento que acceden a datos personales.
• Adoptar medidas de seguridad según el nivel de riesgo.
• Regular transferencias de datos, especialmente al exterior.
• Establecer políticas de conservación y eliminación de información.
• Capacitar al personal que accede a datos personales.
• Evaluar la necesidad de registro o actualización ante la autoridad competente.

Ejemplo práctico

Una ONG en Lima que ejecuta un programa nutricional para niños en Ayacucho recopila nombres, DNI, dirección, datos de salud y composición familiar. En este caso, no basta con tener la información en Excel. La organización debe:

• Definir la finalidad exacta del tratamiento.
• Informar a los padres o representantes sobre el uso de los datos.
• Aplicar medidas reforzadas por tratarse de datos sensibles y de menores de edad.
• Restringir el acceso solo al personal autorizado.
• Revisar si corresponde la inscripción o actualización del banco de datos ante el registro administrado por el MINJUSDH.
• Regular contractualmente a consultores o cooperantes que accedan a la información.

Nuevo Reglamento: principales impactos en compliance

El nuevo Reglamento ha reforzado un enfoque de responsabilidad demostrada. Esto significa que las organizaciones no solo deben cumplir, sino poder acreditar documentalmente que cumplen.

Entre los impactos más relevantes para empresas peruanas se encuentran:

• Mayor énfasis en la gestión del riesgo en el tratamiento de datos.
• Necesidad de contar con políticas y procedimientos internos.
• Mejor definición de roles entre titular del banco, responsable y encargado del tratamiento.
• Desarrollo de obligaciones frente a incidentes de seguridad.
• Mayor atención a tratamientos digitales, plataformas web, apps y ecosistemas de marketing automatizado.

Para fines societarios y de control interno, esto exige que gerencia, recursos humanos, sistemas, marketing, legal y auditoría trabajen de forma coordinada.

Ejemplo práctico

Una cadena de clínicas en Arequipa terceriza el alojamiento de su software médico en la nube. Bajo un enfoque moderno de compliance, no basta con contratar al proveedor por precio. Debe verificarse:

• Qué datos personales almacenará.
• Si habrá transferencia internacional.
• Qué medidas de ciberseguridad ofrece.
• Qué obligaciones contractuales asume como encargado del tratamiento.
• Cómo se gestionarán incidentes o brechas de seguridad.

Derechos de los titulares de datos personales

Las personas naturales tienen derecho a controlar el uso de su información. Entre los derechos más relevantes se encuentran los llamados derechos ARCO y otros reconocidos por la normativa aplicable:

• Acceso: conocer qué datos se tienen y para qué se usan.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación: solicitar supresión cuando corresponda.
• Oposición: impedir determinados tratamientos.

Una empresa que no cuenta con un procedimiento interno para responder estas solicitudes dentro del plazo legal se expone a contingencias administrativas.

Infracciones y multas por incumplimiento

El incumplimiento de la normativa de protección de datos personales puede generar sanciones administrativas, además de daños reputacionales, pérdida de confianza de clientes y eventuales controversias judiciales.

La autoridad puede calificar las infracciones como leves, graves o muy graves, según la conducta y el impacto generado. Entre las más comunes en la práctica peruana encontramos:

• Tratar datos personales sin consentimiento válido, cuando este es exigible.
• No informar adecuadamente al titular sobre la finalidad del tratamiento.
• No adoptar medidas de seguridad razonables.
• No atender el ejercicio de derechos dentro de plazo.
• Transferir datos a terceros sin sustento legal.
• Mantener bancos de datos no regularizados frente a la autoridad, cuando corresponda.
• Tratar datos sensibles sin observar exigencias reforzadas.

Tabla referencial de infracciones

Respecto de las multas, estas se determinan conforme al régimen sancionador aplicable y a criterios como gravedad, reincidencia, intencionalidad, beneficio obtenido, volumen de datos comprometidos, capacidad económica y afectación a los titulares. En la práctica, las sanciones pueden alcanzar montos significativos medidos en UIT, por lo que incluso una empresa mediana puede enfrentar contingencias relevantes.

Por ello, desde una perspectiva financiera y de auditoría, el riesgo no solo es legal. También puede traducirse en:

• Provisiones por contingencias.
• Costos de defensa y regularización.
• Pérdida de contratos con clientes corporativos.
• Observaciones en due diligence.
• Impacto reputacional que afecte ventas o donaciones.

Base legal peruana relevante

Para una revisión técnica mínima, conviene tener presentes las siguientes referencias:

• Ley N.° 29733, Ley de Protección de Datos Personales, artículo 1 (objeto de la ley), artículo 2 (definiciones y alcance), artículo 13 (consentimiento para el tratamiento de datos personales), artículo 18 (derechos del titular de datos personales), y disposiciones sobre tutela y sanción contempladas en la propia ley.
• Constitución Política del Perú, artículo 2 inciso 6, que reconoce el derecho de toda persona a que los servicios informáticos, computarizados o no, públicos o privados, no suministren información que afecte la intimidad personal y familiar.
• Nuevo Reglamento aprobado por Decreto Supremo N.° 016-2024-JUS, que desarrolla obligaciones operativas, principios, seguridad, responsabilidad y actuación de los agentes de tratamiento.

Dado que la aplicación práctica puede variar según el tipo de organización y el criterio actualizado de la autoridad, es recomendable revisar siempre la regulación vigente, guías oficiales y pronunciamientos administrativos.

Cómo prepararse para una fiscalización del MINJUSDH

Una fiscalización suele revelar problemas que pudieron prevenirse con una revisión interna básica. Recomendamos, como mínimo, el siguiente checklist:

Ejemplo práctico

Una empresa de e-commerce en Lima vende productos de cuidado personal y capta clientes mediante redes sociales. Durante una revisión interna detecta que:

• Recoge datos por landing pages sin cláusula informativa completa.
• Comparte la base con una agencia de marketing sin contrato adecuado.
• No tiene política de conservación de datos.
• No ha evaluado formalmente el estado de sus bancos de datos frente al MINJUSDH.

Antes de una fiscalización, la empresa debería corregir estos puntos, documentar sus procesos y establecer evidencia de cumplimiento. Ese trabajo preventivo suele costar mucho menos que una sanción o una crisis reputacional.

Relación con auditoría, gobierno corporativo y gestión de riesgos

En Carlos Lingan & Asociados S.C. observamos que la protección de datos personales ya no debe verse como un asunto aislado del área legal o de sistemas. Hoy forma parte del sistema integral de compliance y control interno.

Desde la auditoría, es recomendable incorporar revisiones sobre:

• Diseño e implementación de políticas de privacidad.
• Controles de acceso a información sensible.
• Contratos con proveedores críticos.
• Manejo de incidentes y evidencias de respuesta.
• Consistencia entre procesos operativos y obligaciones regulatorias.

Esto es especialmente importante en sectores regulados o intensivos en datos, como salud, educación, servicios financieros, telecomunicaciones, retail, logística y organizaciones sin fines de lucro que manejan información de beneficiarios.

Conclusión

La Ley N.° 29733 y el nuevo Reglamento exigen a las organizaciones peruanas pasar de una visión formalista a una gestión real y documentada de los datos personales. El registro de bancos de datos ante el MINJUSDH, cuando corresponda, es solo una parte del cumplimiento. Lo esencial es conocer qué datos se tratan, con qué finalidad, bajo qué base legal, con qué medidas de seguridad y cómo se responderá ante requerimientos de la autoridad o de los titulares.

Las multas y sanciones pueden ser relevantes, pero el mayor riesgo muchas veces está en la pérdida de confianza, la exposición reputacional y las contingencias contractuales que genera una mala gestión de la información personal. Por ello, empresas, ONGs y demás entidades deben revisar sus procesos cuanto antes y cerrar brechas de compliance.

Si su organización necesita una evaluación de cumplimiento, apoyo en el registro y diagnóstico de bancos de datos personales, revisión de riesgos o fortalecimiento de controles internos, puede escribirnos a auditor@carloslingan.pe.