Normativas / Ley 29733
Ley 29733 y DS 016-2024-JUS: qué exige a tu infraestructura en Perú
El Decreto Supremo 016-2024-JUS, publicado el 30 de noviembre de 2024 y en vigor desde el 30 de marzo de 2025, reemplazó el reglamento de 2013 de la Ley 29733 y modernizó las obligaciones técnicas de protección de datos en Perú. Traducimos esas exigencias en controles concretos para tu equipo de ingeniería.
Qué cambió el 30 de marzo de 2025
El DS 016-2024-JUS derogó el DS 003-2013-JUS. La Ley 29733 sigue vigente; el reglamento que la implementa cambió por completo. Con 135 artículos, es el texto más detallado que ha tenido la protección de datos personales en Perú.
Notificación de brechas en 48 horas
El nuevo reglamento establece un plazo de 48 horas desde que el responsable detecta o tiene indicios de un incidente. El reglamento de 2013 no fijaba este plazo. La notificación va a la ANPD (Autoridad Nacional de Protección de Datos Personales, dependiente del MINJUSDH) e incluye la naturaleza del incidente, categorías y número aproximado de titulares afectados, datos comprometidos y medidas adoptadas.
Oficial de Datos Personales (ODP)
Figura nueva, equivalente al DPO europeo. Obligatoria para entidades públicas, empresas que tratan datos sensibles a escala, y para empresas privadas según nivel de ingresos anuales. El cronograma empieza en noviembre de 2025 para empresas con ingresos superiores a 2.300 UIT y llega hasta noviembre de 2028 para microempresas. Las empresas de tamaño mediano (1.700 a 2.300 UIT) tienen plazo hasta el 30 de noviembre de 2026.
Privacidad por diseño y por defecto
Antes de desplegar sistemas o flujos que involucren datos personales, el responsable debe aplicar medidas técnicas proporcionales al riesgo desde la etapa de diseño. La configuración más restrictiva debe ser el comportamiento por defecto del sistema, no una opción adicional.
Responsabilidad proactiva
No basta declarar que se cumple: el responsable debe poder demostrar el cumplimiento con documentación concreta. El Documento de Seguridad, los registros de acceso y el registro de incidentes son la evidencia principal ante la ANPD.
Portabilidad de datos
Derecho nuevo reconocido expresamente: el titular puede pedir sus datos en formato estructurado y reutilizable. Implica tener un proceso técnico de exportación para cada banco de datos con datos personales.
Alcance extraterritorial
El nuevo reglamento aplica a empresas no domiciliadas en Perú que ofrezcan bienes o servicios a personas en territorio peruano, o que analicen y perfiles el comportamiento de personas en Perú. Esas empresas deben designar un representante local como punto de contacto con la ANPD.
Obligaciones técnicas por referencia
Mapa de las exigencias legales y los controles concretos en infraestructura cloud y Kubernetes.
| Obligación | Referencia | Control técnico |
|---|---|---|
| Medidas técnicas, organizativas y legales proporcionales al riesgo | Ley 29733, principio de seguridad; DS 016-2024-JUS | Cifrado en reposo y en tránsito, mínimo privilegio en cloud IAM y Kubernetes RBAC, MFA en accesos a producción, gestión centralizada de secretos, baselines de seguridad para contenedores e instancias. |
| Documento de Seguridad con gestión de accesos y logs de trazabilidad | DS 016-2024-JUS | Logging centralizado con retención definida en el Documento de Seguridad, alertas sobre accesos anómalos, revisiones periódicas de privilegios, eliminación de cuentas inactivas. |
| Inventario y ciclo de vida de datos y sistemas | DS 016-2024-JUS | Inventario de bancos de datos, buckets, bases de datos, logs y backups con clasificación por nivel de sensibilidad (básico, medio, alto). |
| Notificación de brechas a la ANPD en 48 horas | DS 016-2024-JUS | Alertas de accesos no autorizados, runbooks de respuesta documentados y pre-aprobados, plantilla de notificación a la ANPD lista para usar, procedimiento de activación sin dependencia de cadenas de aprobación internas. |
| Registro documentado de incidentes de seguridad | DS 016-2024-JUS | Log inmutable de incidentes: naturaleza, datos afectados, número aproximado de titulares, medidas adoptadas. |
| Privacidad por diseño y por defecto | DS 016-2024-JUS | Revisión de arquitectura antes de desplegar nuevos flujos de datos, minimización en diseño de APIs y esquemas de base de datos, variables de entorno y secretos fuera del código fuente. |
| Portabilidad de datos | DS 016-2024-JUS; Ley 29733 | API o proceso técnico para exportar los datos del titular en formato estructurado cuando lo solicite dentro del plazo. |
| Inscripción de bancos de datos en el RNPDP | Ley 29733 Art. 28 | Inventario de bancos de datos con sus características, inscripción en el Registro Nacional de Protección de Datos Personales del MINJUSDH antes del inicio del tratamiento. |
Incidentes, brechas y derechos ARCO
Las dos obligaciones con plazos más ajustados: notificación de brechas y atención de solicitudes de los titulares.
Notificación de brechas: 48 horas desde la detección
El DS 016-2024-JUS fija el plazo de 48 horas contado desde que el responsable detecta o tiene indicios de un incidente, no desde que lo confirma. Cuando el incidente implica alto riesgo para los derechos y libertades de los titulares, también hay que comunicárselo directamente a ellos, con lenguaje claro e indicando las medidas que pueden tomar. El reglamento exige además registrar los incidentes en un log documentado con sus efectos y las medidas adoptadas.
Sin alertas configuradas sobre accesos anómalos o exportaciones masivas de datos, y sin un runbook de respuesta pre-aprobado, es muy difícil cumplir el plazo de 48 horas. La ANPD puede verificar tanto el cumplimiento del plazo como la existencia del registro de incidentes durante una fiscalización.
Plazos de respuesta a derechos ARCO
| Derecho | Referencia (Ley 29733) | Plazo |
|---|---|---|
| Información | Art. 18 | 8 días hábiles |
| Acceso | Art. 19 | 20 días hábiles (prorrogable por igual periodo, una vez) |
| Rectificación | Art. 20 | 10 días hábiles (prorrogable por igual periodo, una vez) |
| Cancelación | Art. 20 | 10 días hábiles (prorrogable por igual periodo, una vez) |
| Oposición | Arts. 21-24 | 10 días hábiles (prorrogable por igual periodo, una vez) |
| Portabilidad y revocatoria | DS 016-2024-JUS | Según el reglamento |
Responder fuera del plazo sin causa justificada es una infracción que el titular puede llevar directamente ante la ANPD mediante el procedimiento trilateral de tutela de derechos. Atender las solicitudes dentro del plazo requiere saber en qué sistemas, bases de datos, buckets, logs y backups viven los datos de cada titular, lo que depende del inventario de datos.
Checklist técnico para ingeniería y seguridad
Puntos mínimos para que tu equipo tenga una base de cumplimiento técnico bajo la Ley 29733 y el DS 016-2024-JUS.
- Levanta el inventario de datos personales: bancos de datos, bases de datos, buckets, logs y backups, con clasificación por nivel de sensibilidad (básico, medio, alto).
- Inscribe o actualiza los bancos de datos en el Registro Nacional de Protección de Datos Personales (RNPDP) del MINJUSDH antes de iniciar el tratamiento.
- Habilita cifrado en reposo y en tránsito para todos los activos que contienen datos personales, con rotación periódica de llaves y gestión centralizada de secretos.
- Implementa mínimo privilegio en cloud IAM y Kubernetes RBAC, MFA en todos los accesos a producción, eliminación de cuentas inactivas y revisiones periódicas de permisos.
- Centraliza el logging de todas las interacciones con datos personales con una retención definida y documentada. Registra quién accede, desde dónde y cuándo, con alertas sobre accesos anómalos.
- Redacta y aprueba el Documento de Seguridad con fecha cierta: política de accesos, gestión de privilegios, inventario de sistemas y bancos de datos actualizados.
- Documenta el proceso de respuesta a brechas: quién notifica a la ANPD, con qué plantilla, en qué plazo (48 horas desde la detección). Mantén el registro de incidentes actualizado.
- Crea el proceso técnico para atender solicitudes ARCO: saber en qué sistemas viven los datos de cada titular para exportar, corregir o eliminar dentro del plazo legal correspondiente.
- Revisa los contratos con encargados de tratamiento (cloud, SaaS, terceros) para incluir cláusulas de seguridad equivalentes a las propias y obligación de reportar incidentes.
- Verifica que los flujos de datos personales hacia plataformas o servidores fuera de Perú tengan documentadas las garantías adecuadas que exige la ley, ya sea por nivel de protección del país destino o por cláusulas contractuales.
- Evalúa si debes designar un Oficial de Datos Personales (ODP): las empresas con ingresos entre 1.700 y 2.300 UIT tienen plazo hasta el 30 de noviembre de 2026.
No somos un estudio jurídico: trabajamos junto a tu asesor legal y nos encargamos de la parte técnica de cada punto de este checklist.
Sanciones: tres niveles en UIT
La Ley 29733 (Arts. 39 y 40) establece tres categorías de infracción con multas en UIT. El valor de la UIT se actualiza cada año.
| Categoría | Rango de multa |
|---|---|
| Leve | 0,5 a 5 UIT |
| Grave | 5 a 50 UIT |
| Muy grave | 50 a 100 UIT |
| Multa coercitiva | Hasta 10 UIT |
La ANPD aplica criterios agravantes como reincidencia, número de titulares afectados, involucrar datos sensibles, haber obtenido un beneficio económico y obstruir la fiscalización. Entre los atenuantes: reconocimiento voluntario, medidas correctivas adoptadas y cooperación. La ANPD mantiene un registro público de sanciones.
La SBS y las entidades financieras supervisadas
Los bancos, financieras, cajas, aseguradoras y AFP supervisadas por la SBS deben cumplir la Ley 29733 y, además, la Resolución SBS N.° 504-2021, que aprobó el Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad. Las dos normas son independientes: su incumplimiento puede generar sanciones ante dos autoridades distintas.
La Resolución SBS 504-2021 se publicó el 19 de febrero de 2021 y entró en vigencia el 1 de julio de 2021 en sus obligaciones principales. Los requisitos de autenticación reforzada (Subcapítulo III) entraron en vigor el 1 de julio de 2022. Aplica a bancos, empresas financieras, cajas municipales (CMAC), cajas rurales (CRAC), aseguradoras con activos promedio iguales o superiores a S/ 450 millones, AFP y emisores de dinero electrónico en régimen general. EDPYMEs, empresas de transferencia de fondos y otras entidades de menor volumen aplican un régimen simplificado.
Sistema de gestión (SGSI-C)
El reglamento exige implementar un Sistema de Gestión de Seguridad de la Información y Ciberseguridad con nueve dominios mínimos: control de accesos, seguridad en operaciones, criptografía, comunicaciones, gestión de incidentes, seguridad en desarrollo de sistemas, gestión de activos, seguridad física y seguridad en recursos humanos.
Reporte de incidentes a la SBS
Las entidades deben reportar de forma inmediata al detectar incidentes significativos de ciberseguridad que involucren pérdida o robo de información de clientes, fraude interno o externo, daño reputacional o interrupción operativa. Se debe preparar un informe de análisis forense disponible para la SBS con resumen ejecutivo y detalle técnico (Art. 15).
Cloud y terceros (Arts. 22-25)
Antes de adoptar servicios cloud, se requiere evaluación de riesgos de seguridad, segregación de red respecto a otros tenants y disponibilidad de logs para auditores. Para servicios significativos de procesamiento de datos, los proveedores cloud deben mantener certificaciones ISO 27001, 27017, 27018 y un reporte SOC 2 Tipo 2. Se debe notificar a la SBS con al menos 30 días calendario antes de iniciar el servicio.
Autenticación reforzada (Art. 19)
Para pagos, transferencias de fondos, registro de nuevos beneficiarios, modificación de productos y cambios de límites por canales digitales, se requiere autenticación con dos factores de categorías distintas y un código criptográfico de un solo uso por transacción. Después de cada operación se notifica al usuario.
Si tu empresa es una fintech con licencia de la SBS o un e-commerce que opera como emisor de dinero electrónico, las obligaciones de la Res. SBS 504-2021 se suman a las de la Ley 29733. Un mismo incidente puede activar el reporte a la SBS (inmediato al detectar) y la notificación a la ANPD (48 horas desde la detección) con formatos y plazos distintos. Revisa con tu asesor legal cuáles aplican específicamente a tu caso.
Lo que implementa Sereno
Equipo de ingenieros con más de 10 años de experiencia en DevOps, seguridad y plataforma para fintech y e-commerce en América Latina. Acceso de solo lectura primero, MFA, mínimo privilegio y NDA firmado. Sereno no es un estudio jurídico: trabaja junto al asesor legal del cliente y se encarga de la parte técnica.
Auditoría de infraestructura
Revisión en dos semanas de tu infraestructura cloud, Kubernetes y controles de seguridad. Genera el inventario de datos personales, la evaluación de riesgos y el mapa de controles que sirve de base para el cumplimiento de la Ley 29733, el DS 016-2024-JUS y la Res. SBS 504-2021. Desde USD 3.000. Ver auditoría.
Implementación técnica de cumplimiento
Documento de Seguridad, logging centralizado, controles de acceso, runbooks de notificación de brechas, registro de incidentes, privacidad por diseño en nuevos sistemas y proceso de portabilidad para solicitudes ARCO. Proyecto técnico a precio por alcance, coordinado con tu asesor legal.
SOC 2 e ISO 27001
Implementamos los controles técnicos y generamos la evidencia que requieren SOC 2 Tipo II e ISO 27001. Esos controles se alinean con las obligaciones del DS 016-2024-JUS y con los requisitos de la Res. SBS 504-2021 para proveedores cloud de entidades financieras. Desde USD 10.000. Ver controles SOC 2 e ISO 27001.
Equipo de plataforma y seguridad 24/7
Operaciones, on-call, parchado, CI/CD seguro, IaC, gestión de secretos, detección SOC-lite con herramientas open source, backups y DR, reporte mensual. Cubre las obligaciones continuas del Documento de Seguridad y el monitoreo de incidentes. Desde USD 8.000 al mes. Ver equipo 24/7.
Preguntas frecuentes
¿Cuándo entró en vigor el nuevo reglamento de la Ley 29733 (DS 016-2024-JUS)?
El DS 016-2024-JUS fue publicado en el Diario Oficial El Peruano el 30 de noviembre de 2024 y entró en vigor el 30 de marzo de 2025, 120 días después. Derogó el reglamento anterior (DS 003-2013-JUS). La Ley 29733, publicada el 2 de julio de 2011, sigue vigente; solo cambia el reglamento que la implementa.
¿Cuál es el plazo exacto para notificar una brecha de datos a la ANPD?
El DS 016-2024-JUS establece 48 horas desde que el responsable detecta o tiene indicios del incidente, no desde que lo confirma. La notificación va a la Autoridad Nacional de Protección de Datos Personales (ANPD), dependiente del MINJUSDH, e incluye la naturaleza del incidente, categorías y número aproximado de titulares afectados, datos comprometidos, probable consecuencia y medidas adoptadas. Si el incidente implica alto riesgo para los derechos de los titulares, también hay que comunicárselo a ellos directamente.
¿Cuándo es obligatorio designar un Oficial de Datos Personales (ODP) en Perú?
El DS 016-2024-JUS establece cronograma escalonado por nivel de ingresos anuales. Empresas con ingresos superiores a 2.300 UIT: plazo hasta el 30 de noviembre de 2025. Empresas con ingresos entre 1.700 y 2.300 UIT: hasta el 30 de noviembre de 2026. Empresas con ingresos entre 150 y 1.700 UIT: hasta el 30 de noviembre de 2027. Microempresas con ingresos hasta 150 UIT: hasta el 30 de noviembre de 2028. También es obligatorio para entidades públicas y empresas que traten datos sensibles a escala, independientemente del tamaño.
¿Qué es el Documento de Seguridad que exige el nuevo reglamento?
El DS 016-2024-JUS obliga a las organizaciones a tener un Documento de Seguridad aprobado formalmente, con fecha cierta y actualizado. Debe incluir procedimientos de gestión de accesos y privilegios, inventario de sistemas y bancos de datos, y políticas sobre el ciclo de vida de los datos. También exige mantener registros de trazabilidad de los accesos a datos personales. El documento y esos registros son la evidencia principal ante una fiscalización de la ANPD.
¿La Resolución SBS 504-2021 aplica a todas las fintech?
No. Aplica a las entidades supervisadas por la Superintendencia de Banca, Seguros y AFP (SBS): bancos, empresas financieras, cajas municipales (CMAC), cajas rurales (CRAC), aseguradoras con activos promedio iguales o superiores a S/ 450 millones, AFP y emisores de dinero electrónico, entre otras. Las fintech sin licencia de la SBS no están sujetas directamente a esta resolución, pero sí deben cumplir la Ley 29733. Si una fintech tiene licencia o actúa como emisor de dinero electrónico supervisado por la SBS, deben aplicarse ambas normas en paralelo. Consulta con tu asesor legal cuál es tu situación específica.
¿Cuáles son las sanciones por incumplir la Ley 29733?
La Ley 29733 (Arts. 39 y 40) establece tres niveles: infracciones leves de 0,5 a 5 UIT, graves de 5 a 50 UIT y muy graves de 50 a 100 UIT, además de multas coercitivas de hasta 10 UIT. La ANPD considera agravantes como la reincidencia, el número de titulares afectados, el tratamiento de datos sensibles y la obstrucción de la fiscalización. El valor de la UIT se actualiza cada año.
Fuentes
Última revisión: 9 de noviembre de 2026. Las normas cambian: revisa siempre el texto oficial vigente con tu asesor legal.
- Ley 29733, Ley de Protección de Datos Personales (El Peruano, 2 jul. 2011)
- DS 016-2024-JUS, publicado por ANPD en gob.pe
- Resolución SBS N.° 504-2021, Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad (El Peruano)
- Garrigues, Perú publica nuevo Reglamento de la Ley de Protección de Datos Personales
- ANPD, Registro de sanciones (gob.pe)
Hablemos 20 minutos
Elige un horario en el calendario. Es una videollamada de 20 minutos por Google Meet, y en ella solo queremos entender tu contexto.
O escríbenos a hola@serenoops.com