10/06/2026
La era del bajo perfil en la protección de datos en el Perú ha terminado. Las empresas enfrentan una doble presión debido a una autoridad que disparó sus fiscalizaciones en más de un 60% y a un ciudadano cada vez más consciente de sus derechos que no duda a la hora de denunciar.
Durante casi una década, la Autoridad Nacional de Protección de Datos Personales (ANPD) operó sin que el mercado le prestara mayor atención. En 2025 eso cambió. En el último año, el regulador realizó 760 fiscalizaciones, un incremento del 67% respecto de las 454 del año anterior, inició 136 procedimientos sancionadores e impuso multas por encima de los S/ 11 millones (aproximadamente USD 3.1 millones). El impacto acumulado entre 2018 y 2025 ya supera los S/ 50 millones (USD 14.5 millones) en sanciones impuestas. Actualmente, la multa máxima que puede aplicar la autoridad asciende a 100 UIT, el equivalente a S/ 550,000 (unos USD 159,000).
Esta agresiva fiscalización ha tomado por sorpresa al conglomerado empresarial. En ese marco, Julia Loret de Mola, socia de Payet, Rey, Cauvi, Pérez Abogados y líder del área de Protección de Datos Personales, recibe constantes consultas de clientes que llegaron tarde a la adecuación.
Según explica la especialista, muchas compañías partieron del supuesto de que la norma estaba diseñada únicamente para corporaciones transnacionales o de ciertos sectores regulados; y ahora entienden que la obligación aplica a todas las organizaciones, independientemente de su tamaño o rubro comercial.
Lejos de contraerse, la tendencia se acelera. De acuerdo con información actualizada al 14 de mayo de 2026, la ANPD registraba 301 fiscalizaciones en lo que va del año, prácticamente la mitad de todo lo reportado en 2025, además de 52 procedimientos sancionadores iniciados y 141 procedimientos trilaterales en curso. En cuanto al mapa de riesgo por sectores, los más supervisados en 2026 son: financiero, telecomunicaciones, educación y retail, repitiendo el mismo orden de prelación observado desde 2018. Ante este panorama, Loret de Mola anticipa que el volumen de contingencias seguirá subiendo.
Sin embargo, la presión del regulador es solo una mitad de la ecuación; la otra proviene de los propios usuarios. Las denuncias de los ciudadanos ante la ANPD pasaron de apenas 30 anuales en 2018 a 647 al cierre de 2025. La socia de Payet atribuye este fenómeno a un titular de datos personales mucho más informado y dispuesto a litigar.
Mientras que en los primeros años de la ley era inusual que un ciudadano peruano activara la vía administrativa, hoy el usuario final exige directamente a la compañía el acceso o la cancelación de su información y, ante cualquier silencio o insatisfacción, eleva el caso formalmente ante la autoridad.
"Tenemos una autoridad cada vez más activa. Si bien existe hace una década, no era tan activa hasta los últimos dos o tres años. En un mismo procedimiento uno puede tener tres, cuatro, cinco infracciones que se pueden ir hasta 100 UIT cada una, entonces ahí ya termina siendo algo no menor. Y lo relevante es que esta autoridad fiscaliza mucho, pero si hay algo que la compañía puede subsanar, no va a iniciar un sancionador por gusto. Lo va a iniciar si realmente es algo que no se puede corregir en un corto plazo", señala.
Pese al paso de los años, las infracciones más recurrentes siguen siendo el incumplimiento del deber de información, el tratamiento de datos personales sin consentimiento, la falta de registro o actualización de los bancos de datos y el incumplimiento de las medidas de seguridad.
La principal novedad apareció en 2025, cuando el comercio electrónico ingresó entre los sectores más sancionados -una posición que las empresas de e-commerce han mantenido de manera sostenida durante los primeros meses de 2026.
Ley 29733 de Perú: ¿Qué cambios introduce el reglamento de protección de datos personales vigente?
Reglamento nuevo, obligaciones más pesadas
El nuevo Reglamento de la Ley de Protección de Datos Personales (Ley N° 29733) entró en vigor el 31 de marzo de 2025. Trajo obligaciones más exigentes, un régimen sancionador más duro y dos instrumentos complementarios que la autoridad publicó en diciembre de 2025: la Directiva N° 001-2025-JUS/DGTAIPD sobre la designación del oficial de datos personales y la metodología de cálculo de multas.
Algunas infracciones que antes eran leves pasaron a ser graves, y el sistema de descuentos también cambió: bajo el régimen anterior existía un descuento del 40 % por pronto pago sin importar si la empresa apelaba. Con el nuevo reglamento, ese beneficio solo opera si la empresa no apela.
Entre los cambios que más trabajo han generado en el mercado, la socia de Payet destaca dos:
- la obligación de notificar incidentes de seguridad;
- la designación del oficial de datos personales.
El reglamento también incorporó un nuevo derecho de portabilidad, modificaciones al tratamiento del consentimiento y reglas más exigentes para el tratamiento de datos de menores de edad, aunque los dos primeros son los que han concentrado la mayor demanda de asesoría.
Sobre los incidentes, Loret de Mola subraya que el concepto abarca mucho más de lo que las empresas suelen imaginar. La norma define un incidente de seguridad como toda vulneración que ocasione la destrucción, pérdida, alteración ilícita, comunicación o exposición no autorizada de datos personales. La obligación de notificar se activa cuando el incidente involucra gran volumen de datos, incluye datos sensibles o genera un perjuicio evidente a otros derechos. Un hackeo que llega a la dark web es el caso más visible, pero no el único.
"Puede ser que a un trabajador se le perdió su computador en el taxi y ahí tenía la información de todos los trabajadores y los ingresos económicos de todos los trabajadores de la compañía. Eso ya se perdió, ya está expuesto y ya salió de la esfera de control de la compañía. Y esos pueden ser incidentes de seguridad que terminan teniendo que ser notificados a la autoridad", cita a modo de ejemplo.
Desde que entró en vigor esa obligación, alrededor de 361 incidentes de seguridad fueron notificados a la autoridad en poco más de un año. El plazo es de 48 horas desde que la empresa toma conocimiento, tanto para notificar a la autoridad como a los titulares afectados cuando corresponda, y en algunos sectores también al Centro Nacional de Seguridad Digital.
Loret de Mola indica que es el plazo más corto del mundo, dado que el estándar europeo previo era de 72 horas. Por ahora, la autoridad ha mostrado mayor interés en recibir la notificación que en si se cumplió el plazo exacto, pero la socia de Payet, Rey, Cauvi, Pérez Abogados advierte que esa tolerancia no es indefinida.
La recomendación de la experta es notificar con lo que se tenga en ese momento y complementar después. Pero hay una consecuencia que muchas empresas no calculan: cuando la autoridad entra a raíz de una notificación, su facultad de revisión no se limita al incidente.
"Una vez que la autoridad ingresa a tu compañía, puede revisar toda la información que tiene a su alcance, incluso aquella que no está directamente relacionada con el incidente de seguridad. Normalmente, los requerimientos que he visto hasta el momento están vinculados al incidente, pero suelen ir un poco más allá. Por ejemplo, solicitan información sobre las medidas de seguridad: qué tipo de medidas tienes, cómo las implementas y con qué proveedores trabajas. He participado en fiscalizaciones presenciales en las que acuden un especialista en tecnologías de la información y un abogado, quienes comienzan solicitando revisar los sistemas y la gestión de accesos de la organización", sostiene.
¿Cómo investigar la deshonestidad laboral dentro de las empresas?
El rol del oficial de datos
La segunda obligación de mayor impacto es la designación del oficial de datos personales. El cronograma es escalonado: desde noviembre de 2025 aplica a empresas con ventas superiores a 2,300 UIT; desde noviembre de 2026, a las que facturan entre 1,700 y 2,300 UIT; desde noviembre de 2027, a las pequeñas empresas; y desde noviembre de 2028, a las microempresas. La obligación también aplica -independientemente del tamaño- cuando el giro del negocio involucra el tratamiento de datos sensibles o grandes volúmenes de información.
Alrededor de mil entidades privadas y grupos empresariales ya habían designado a su oficial entre 2025 y 2026, y al 14 de mayo la autoridad registraba 198 designaciones formales. Loret de Mola considera ese número significativo, dado que la obligación lleva pocos meses vigente para el segmento de mayor facturación.
El marco normativo se completó el 31 de diciembre de 2025, cuando se publicó en el Diario Oficial la Directiva que establece las disposiciones para la designación, desempeño y funciones del Oficial de Datos Personales, vigente desde el 1 de enero de 2026.
La norma aplica a entidades públicas, personas jurídicas del sector privado obligadas a designar un ODP, y empresas bajo el ámbito de FONAFE. Exige que la designación sea un acto formal, acuerdo, resolución o instrumento equivalente, suscrito por la máxima autoridad de la organización, y que tanto el nombre del oficial como su correo de contacto sean públicos y comunicados a la Autoridad Nacional de Protección de Datos Personales (ANDP).
Entre las funciones más relevantes contempladas en la Directiva destacan las siguientes:
- Impulsar y coordinar actividades de capacitación y concientización sobre protección de datos personales dirigidas al personal de la organización.
- Organizar la conformación de equipos de apoyo especializados en protección de datos personales cuando la carga o complejidad de las labores de supervisión y asesoramiento así lo demande.
- Elaborar y presentar a la alta dirección informes, opiniones y recomendaciones técnicas relacionadas con el cumplimiento de la normativa de protección de datos personales.
- Mantener un seguimiento permanente de las resoluciones, guías, opiniones y demás documentos emitidos por la Autoridad Nacional de Protección de Datos Personales (ANDP), a fin de garantizar el adecuado ejercicio de sus funciones.
- Fomentar el desarrollo de una cultura organizacional orientada al respeto y la protección de los datos personales.
El problema está en el perfil. La Directiva exige al menos dos años de experiencia profesional afín a datos personales, seguridad de la información o ciberseguridad, más un mínimo de un año continuo o acumulado específicamente en protección de datos. En formación académica, se requieren estudios de posgrado o, en su defecto, un certificado de especialización de no menos de 90 horas lectivas o un diplomado de al menos 120. A ello se suman exigencias de independencia funcional e idoneidad moral y ética, sin sentencias condenatorias firmes por delitos dolosos ni investigaciones penales formales por delitos informáticos. Durante años las empresas intentaron cubrir el cargo con recursos humanos, asumiendo que el oficial solo atendía temas de trabajadores.
"El área de tecnología no necesariamente tiene un perfil de cumplimiento, es decir, que vaya a hacer que toda la compañía cumpla con la normativa. Probablemente sepa en la parte técnica qué hacer ante un incidente de seguridad, pero no necesariamente sabe la parte estratégica, legal o de cumplimiento para ver si corresponde o no notificarlo a la autoridad. Entonces ha surgido hasta comités dentro de las compañías para ver quién se encarga del tema de datos personales", remarca.
El 29 de junio de 2026 vence el plazo para que los oficiales ya designados acrediten el perfil exigido por la directiva. Loret de Mola no espera que la fiscalización llegue al día siguiente, pero considera que la fecha marca el fin del margen de ajuste. Hay un punto que alivia la presión operativa: la norma no exige dedicación exclusiva, permite que el oficial sea externo a la organización y que una sola persona ejerza el rol para todo un grupo empresarial.
Marketing, Mundial y el fin del primer contacto
Dos frentes adicionales concentran hoy buena parte de las consultas que llegan al estudio jurídico peruano. Por un lado, el fin del llamado primer contacto; por otro, los riesgos asociados a cualquier campaña publicitaria masiva, con el Mundial 2026 como el caso más inmediato.
El primer contacto nació en 2019, a partir de una opinión consultiva de la propia autoridad de datos, que permitía usar información obtenida de fuentes públicas para contactar al titular una primera vez y solicitar su consentimiento. El nuevo reglamento mantuvo ese criterio.
Sin embargo, en mayo de 2025 entró en vigor la modificación al Código de Consumo impulsada por Indecopi, que fue mucho más lejos. Para enviar cualquier comunicación comercial, la única excepción válida es que sea el propio consumidor quien tome la iniciativa y manifieste su consentimiento. La socia de Payet considera que ello obligó a las áreas de marketing a pasar de una lógica de alcance al cliente a una estrategia basada en su atracción.
El choque entre los dos criterios (el de la autoridad de datos y el de Indecopi) genera además una asimetría en las sanciones que pocas empresas calculan bien. La autoridad de datos puede multar hasta 50 UIT por infracciones relacionadas con el consentimiento (aproximadamente US$ 76.000), mientras que Indecopi puede llegar a 450 UIT por la misma conducta bajo la norma antispam (alrededor de US$ 688.000), calificándola como infracción muy grave. A la fecha no hay sanciones publicadas por Indecopi desde la entrada en vigor de esa modificación, pero Loret de Mola anticipa que es cuestión de tiempo.
En cuanto al Mundial 2026, la socia de Payet lo usa como ejemplo de un riesgo que aplica a cualquier campaña masiva (Cybers, Fiestas Patrias, Black Friday) pero que en este contexto tiene mayor intensidad. Durante ese tipo de eventos, la recopilación de datos se dispara a través de sorteos, formularios, landing pages, cookies, eventos presenciales, campañas con influencers y bases de CRM internas. En todas esas actividades hay recolección de datos personales, y cada una abre un flanco de infracción distinto.
"Las potenciales infracciones están en que no se informa o no se informa de manera completa, y las empresas no adecuaron todos sus procesos para tener todo como corresponde. Porque además en ese trámite debes tener las medidas de seguridad que corresponden para cuidar esa información en la recopilación, en el tratamiento, en el almacenamiento. Entonces una infracción te lleva a la otra", concluye.
A eso se suman los errores que se repiten en los formularios de consentimiento: casillas pre-marcadas, consentimientos agrupados que mezclan la política de privacidad con la autorización para recibir publicidad, o flujos que bloquean el avance si el usuario no acepta todo. El consentimiento debe ser previo, libre, expreso, inequívoco e informado.
Lo que viene, según la especialista en Protección de Datos, no es un cambio de rumbo, sino la continuación de una tendencia que ya se viene consolidando. La autoridad peruana ha ampliado su capacidad de supervisión y el nuevo reglamento le otorgó mayores herramientas para ejercerla.
Para las empresas que aún se encuentran en proceso de adecuación, los plazos son cada vez más cortos. Al mismo tiempo, el caso peruano refleja una tendencia regional hacia mayores exigencias regulatorias y una fiscalización más activa en materia de protección de datos.
Add new comment