Saltar al contenido
AI Policy Generator

ENQué me toca

Perú · Ley

Ley de Protección de Datos Personales y su reglamento

VigenteLey 29733 y DS 016-2024-JUS

Resumen

Regula todo tratamiento de datos personales. El reglamento de 2024 añade reglas sobre decisiones automatizadas y perfiles, el Oficial de Datos, envíos de datos al extranjero y notificación de brechas en 48 horas, que alcanzan a la mayoría de usos de IA.

A quién se dirige

Toda persona u organización que trata datos personales en Perú.

Sanciones

Multas por infracciones leves, graves y muy graves calculadas en UIT según la Ley 29733, y multas coercitivas de hasta 100 UIT por no cumplir medidas correctivas.

Nombre oficial
Ley N.° 29733, Ley de Protección de Datos Personales, y su Reglamento aprobado por Decreto Supremo N.° 016-2024-JUS
Referencia oficial
Ley 29733, El Peruano, 3 de julio de 2011; DS 016-2024-JUS, separata especial de El Peruano, 30 de noviembre de 2024 (vigente a los 120 días calendario)
Autoridad
Autoridad Nacional de Protección de Datos Personales (MINJUSDH)
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Informar y permitir revisar las decisiones automatizadasLey 29733, art. 23; DS 016-2024-JUS, arts. 6.1.8 y 87Vigente30 de marzo de 2025Organizaciones que usan IA para perfilar personas o tomar decisiones con efectos jurídicos o significativos sobre ellas.Verificado en fuente oficial el 4 de noviembre de 2026
Designar un Oficial de Datos PersonalesDS 016-2024-JUS, arts. 37 a 39Vigente30 de marzo de 2025Entidades públicas, desde la entrada en vigor del reglamento, y empresas que tratan datos a gran escala, datos sensibles o que pueden afectar significativamente a las personas, con un plazo que depende de sus ventas anuales.Verificado en fuente oficial el 4 de noviembre de 2026
Comunicar y registrar los envíos de datos al extranjeroDS 016-2024-JUS, arts. 12 a 21Vigente30 de marzo de 2025Organizaciones que envían datos personales a proveedores en otros países, por ejemplo al usar servicios de IA alojados en el extranjero.Verificado en fuente oficial el 4 de noviembre de 2026
Notificar brechas graves de datos en 48 horasDS 016-2024-JUS, arts. 34 y 35Vigente30 de marzo de 2025Toda organización que trata datos personales en Perú, incluidas las brechas que afecten a sistemas de IA. La notificación a la Autoridad en 48 horas se relaciona con los incidentes graves.Verificado en fuente oficial el 4 de noviembre de 2026
Inscribir los bancos de datos y documentar la seguridadDS 016-2024-JUS, arts. IX.2, 42 a 47 y 51Vigente30 de marzo de 2025Toda organización que trata datos personales en Perú, incluidos los datos que alimentan sistemas de IA.Verificado en fuente oficial el 4 de noviembre de 2026
Evaluación de impacto en protección de datos recomendadaDS 016-2024-JUS, art. 40Guía o criterio de autoridadYa aplicableRecomendada cuando la IA trata datos sensibles, perfila personas, afecta a grupos vulnerables o trata datos a gran escala.Verificado en fuente oficial el 4 de noviembre de 2026

Informar y permitir revisar las decisiones automatizadas

Ley 29733, art. 23; DS 016-2024-JUS, arts. 6.1.8 y 87Vigente

Aplicable desde 30 de marzo de 2025

Cuándo se relaciona
Organizaciones que usan IA para perfilar personas o tomar decisiones con efectos jurídicos o significativos sobre ellas.
Qué prevé la norma
  • Informar a las personas que existen decisiones automatizadas, incluida la elaboración de perfiles.
  • Respetar el derecho a no ser objeto de decisiones basadas solo en tratamiento automatizado que produzcan efectos jurídicos o significativos, salvo las excepciones de la ley.
  • Si los datos alimentan una decisión sin participación de la persona, informarle lo antes posible.
Evidencias habituales
  • Aviso de privacidad que menciona decisiones automatizadas y perfiles
  • Procedimiento de revisión humana y registro de solicitudes
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): art. 6.1, num. 8 (informar la existencia de decisiones automatizadas y perfiles) y art. 87 (derecho al tratamiento objetivo, con las excepciones del art. 23 de la Ley). El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Designar un Oficial de Datos Personales

DS 016-2024-JUS, arts. 37 a 39Vigente

Aplicable desde 30 de marzo de 2025

Plazos por perfil

  • : Entidades públicas: desde la entrada en vigor del reglamento
  • : Ventas anuales de más de 2.300 UIT: 1 año desde la publicación
  • : Ventas anuales de 1.700 a 2.300 UIT: 2 años desde la publicación
  • : Ventas anuales de 150 a 1.700 UIT: 3 años desde la publicación
  • : Ventas anuales de hasta 150 UIT: 4 años desde la publicación
Cuándo se relaciona
Entidades públicas, desde la entrada en vigor del reglamento, y empresas que tratan datos a gran escala, datos sensibles o que pueden afectar significativamente a las personas, con un plazo que depende de sus ventas anuales.
Qué prevé la norma
  • Designar un Oficial de Datos (interno, externo o compartido en el grupo) y publicar sus datos de contacto.
  • Comunicar la designación a la Autoridad Nacional de Protección de Datos dentro de 15 días.
Evidencias habituales
  • Acta de designación y constancia de comunicación a la autoridad
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): arts. 37 a 39 (37.4: publicar el contacto; 37.5: comunicarlo a la Autoridad en 15 días) y primera disposición complementaria final: para los casos de los numerales 2 y 3 del art. 37.1 el plazo es de 1 a 4 años "después de la fecha de publicación" según ventas (30-nov-2025 a 30-nov-2028); las entidades públicas no tienen escalonamiento. El cuestionario aproxima las ventas por número de personas. El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Comunicar y registrar los envíos de datos al extranjero

DS 016-2024-JUS, arts. 12 a 21Vigente

Aplicable desde 30 de marzo de 2025

Cuándo se relaciona
Organizaciones que envían datos personales a proveedores en otros países, por ejemplo al usar servicios de IA alojados en el extranjero.
Qué prevé la norma
  • Contar con consentimiento o con una de las excepciones legales, o con garantías adecuadas como cláusulas contractuales modelo.
  • Comunicar cada transferencia a la Autoridad Nacional de Protección de Datos y registrarla.
Evidencias habituales
  • Expediente por proveedor: país, datos, finalidad, garantía y constancia de registro
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): arts. 12 a 21 (garantías en el art. 20; el art. 21.2 exige poner el flujo transfronterizo en conocimiento de la Dirección General). El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Notificar brechas graves de datos en 48 horas

DS 016-2024-JUS, arts. 34 y 35Vigente

Aplicable desde 30 de marzo de 2025

Cuándo se relaciona
Toda organización que trata datos personales en Perú, incluidas las brechas que afecten a sistemas de IA. La notificación a la Autoridad en 48 horas se relaciona con los incidentes graves.
Qué prevé la norma
  • Notificar a la Autoridad Nacional de Protección de Datos dentro de 48 horas desde que se conoce el incidente cuando expone grandes volúmenes de datos, puede afectar a muchas personas, involucra datos sensibles o causa un perjuicio evidente a otros derechos (art. 34.1).
  • Avisar a las personas afectadas en 48 horas cuando el incidente afecte otros de sus derechos (art. 34.3) y, si ocurre en el entorno digital, notificarlo también al Centro Nacional de Seguridad Digital (art. 34.5).
  • Documentar todos los incidentes, aunque no se notifiquen (art. 35).
Evidencias habituales
  • Registro de incidentes y copias de las notificaciones
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): art. 34.1 (48 horas solo para incidentes graves: grandes volúmenes, muchas personas, datos sensibles o perjuicio evidente), 34.3 y 34.5 (titulares y Centro Nacional de Seguridad Digital) y art. 35 (documentar todo incidente). El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Inscribir los bancos de datos y documentar la seguridad

DS 016-2024-JUS, arts. IX.2, 42 a 47 y 51Vigente

Aplicable desde 30 de marzo de 2025

Cuándo se relaciona
Toda organización que trata datos personales en Perú, incluidos los datos que alimentan sistemas de IA.
Qué prevé la norma
  • Inscribir los bancos de datos personales en el Registro Nacional de Protección de Datos Personales.
  • Mantener un documento de seguridad, registros de acceso por 2 años y copias de respaldo periódicas, y poder demostrar el cumplimiento.
Evidencias habituales
  • Constancias de inscripción y documento de seguridad
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): art. 42 (obligación de inscripción), art. 47 (documento de seguridad), registros de interacción lógica conservados dos años y art. 51 (copias de respaldo al menos semanales). El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Evaluación de impacto en protección de datos recomendada

DS 016-2024-JUS, art. 40Guía o criterio de autoridad

Ya aplicable

Cuándo se relaciona
Recomendada cuando la IA trata datos sensibles, perfila personas, afecta a grupos vulnerables o trata datos a gran escala.
Qué prevé la norma
  • Evaluar los riesgos del tratamiento antes de empezar, con referencia a NTP-ISO/IEC 27005 y NTP-ISO 31000.
Evidencias habituales
  • Informe de evaluación de impacto
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): art. 40.1 ("De manera facultativa") y 40.2 (referencia a NTP-ISO/IEC 27005 y NTP-ISO 31000); la Autoridad puede fijar otros supuestos. El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)