Puntos clave
- El reglamento D.S. 016-2024-JUS rige desde el 31 de marzo de 2025 y considera datos personales a los identificadores en línea.
- La publicidad requiere consentimiento directo, y la baja debe ser sencilla, gratuita y atendida en un máximo de 10 días hábiles.
- Los incidentes con grandes volúmenes de datos, datos sensibles o perjuicio evidente se notifican a la ANPD en 48 horas.
- El oficial de datos personales entra por fases según ventas: las medianas empresas que encajan en los supuestos lo necesitan desde el 30 de noviembre de 2026.
- Las multas van de 0,5 a 100 UIT, es decir, de S/ 2750 a S/ 550 000 con la UIT de 2026, sin superar el 10 % de los ingresos brutos anuales.
Si su empresa recoge nombres, correos, teléfonos o datos de navegación en su web, formularios o campañas, la Ley 29733 y su reglamento, el D.S. 016-2024-JUS (vigente desde el 31 de marzo de 2025), le exigen cinco cosas: informar antes de recoger los datos, pedir un consentimiento aparte para publicidad, protegerlos y registrar quién accede a ellos, notificar los incidentes graves en 48 horas y atender en plazo los derechos de las personas. La próxima fecha clave es el 30 de noviembre de 2026: desde ese día, las medianas empresas que tratan grandes volúmenes de datos o datos sensibles deben tener un oficial de datos personales.
¿Qué es la Ley 29733 y a quién se aplica?
La Ley 29733, Ley de Protección de Datos Personales, regula cómo las entidades públicas y las empresas recogen, usan, guardan y comparten la información que identifica a una persona natural. La supervisa la Autoridad Nacional de Protección de Datos Personales (ANPD), del Ministerio de Justicia y Derechos Humanos (MINJUSDH).
- Dato personal: cualquier información que identifica o hace identificable a una persona, incluidos los datos de localización y los «identificadores en línea» (Reglamento, art. III.4).
- Dato sensible: datos genéticos o biométricos, de salud, de la vida afectiva o familiar o de afiliación sindical, entre otros (art. III.6).
- Ámbito: todo tratamiento hecho por personas, entidades públicas o empresas, aunque los datos no estén en un banco de datos (art. IV); queda fuera el uso doméstico (art. V).
En la práctica, una pyme con formulario de contacto, tienda online o CRM ya está dentro.
¿Qué cambió con el reglamento D.S. 016-2024-JUS?
El reglamento se publicó el 30 de noviembre de 2024, derogó el D.S. 003-2013-JUS y entró en vigor el 31 de marzo de 2025, según el MINJUSDH. Para una empresa con presencia digital, sus novedades clave son el aviso de incidentes en 48 horas (art. 34), el oficial de datos personales (art. 37), los registros de acceso guardados al menos 2 años (art. 46.3) y la publicidad solo con consentimiento directo (art. 26).
¿Quién necesita un oficial de datos personales y desde cuándo?
El oficial de datos personales es la persona que asesora a la empresa, verifica que cumpla la ley y sirve de contacto con la ANPD (art. 39). Es obligatorio en entidades públicas y en empresas que tratan grandes volúmenes de datos o datos sensibles, que causan un perjuicio evidente o cuya actividad principal incluye datos sensibles (art. 37.1). Para las empresas, la obligación entra por fases según sus ventas anuales, contadas desde la publicación del reglamento:
| Empresa según ventas anuales | Referencia con la UIT 2026 (S/ 5500) | Obligatorio desde |
|---|---|---|
| Más de 2300 UIT | Más de S/ 12 650 000 | 30 de noviembre de 2025 |
| Mediana: más de 1700 y hasta 2300 UIT | Más de S/ 9 350 000 y hasta S/ 12 650 000 | 30 de noviembre de 2026 |
| Pequeña: más de 150 y hasta 1700 UIT | Más de S/ 825 000 y hasta S/ 9 350 000 | 30 de noviembre de 2027 |
| Microempresa: hasta 150 UIT | Hasta S/ 825 000 | 30 de noviembre de 2028 |
No todas las empresas están obligadas: solo las que encajan en esos supuestos. Para medir el «gran volumen», la directiva de la Resolución Directoral 100-2025-JUS/DGTAIPD (31 de diciembre de 2025) considera el número de titulares, la sensibilidad del dato y la finalidad o el riesgo, con un enfoque proporcional para las mypes, según el MINJUSDH.
Si le corresponde, el máximo órgano de administración de la empresa lo designa en un acto formal, según la ANPD; sus datos de contacto se comunican a la ANPD en 15 días hábiles (art. 37.5) y se publican en un lugar visible (art. 37.4), como la política de privacidad. Puede ser externo y tener otras funciones (art. 38.2).
¿Qué debe hacer con los formularios de su web y sus campañas?
- Informe antes de recoger datos. Si recoge datos en línea, puede cumplir el deber de informar con una política de privacidad publicada, que debe ser fácilmente accesible e identificable (Ley, art. 18). Debe indicar, entre otros puntos, quién trata los datos, para qué, a quién se transfieren, cuánto tiempo se conservan y cómo ejercer los derechos (Reglamento, art. 6).
- Pida solo lo necesario. El tratamiento debe ser «adecuado, relevante y no excesivo» (Ley, art. 7); tratar datos innecesarios es infracción leve (art. 132.1).
- Separe la publicidad. Para los datos necesarios para ejecutar el contrato del que la persona es parte, como entregar un pedido, no necesita consentimiento (Ley, art. 14.5), pero sí informar. Para enviar ofertas necesita un consentimiento directo (Reglamento, art. 26.1), con una casilla aparte y opcional. Condicionar el servicio a datos no indispensables afecta la libertad del consentimiento (art. 3.2).
- Deje que la persona haga clic. En canales digitales, el consentimiento es expreso cuando hay una acción como «hacer clic» (art. 5.1). Por eso conviene que la casilla de publicidad no venga marcada.
- Guarde la prueba. Demostrar el consentimiento le corresponde a su empresa «en todos los casos» (art. 9): registre la fecha, el formulario, el texto aceptado y la versión de la política.
- Sorteos y menores. Un obsequio por registrarse no quita libertad al consentimiento, salvo con menores de edad (art. 3.3); los mayores de 14 y menores de 18 años pueden consentir, según su capacidad, si se les informa en lenguaje comprensible (art. 22.2).
- Inscriba sus bancos de datos (clientes, prospectos, postulantes) en el Registro Nacional de Protección de Datos Personales; omitirlo es infracción leve (art. 132.4). Según la ANPD, el registro es gratuito y de aprobación automática.
Puede ver un ejemplo publicado en la política de privacidad de Avii Perú. Si sus contactos terminan en un CRM, aplique allí las mismas reglas.
¿Qué pasa con las cookies, los píxeles y la analítica?
El reglamento no menciona las cookies y no encontramos una guía de la ANPD sobre ellas. Pero los identificadores en línea son datos personales, la publicidad exige consentimiento directo (art. 26.1) y la persona puede oponerse a la publicidad, «incluido la elaboración de perfiles», salvo relación contractual previa (art. 86.4). Lo prudente es:
- Cargar los píxeles de publicidad y remarketing (Meta, Google Ads, TikTok) solo después de que el visitante los acepte.
- Configurar la analítica sin enviar nombres, correos ni teléfonos en los eventos.
- Publicar una política de cookies que coincida con lo que la web carga y actualizarla con cada nueva etiqueta.
Así funciona aviiperu.com: las cookies de estadística y de publicidad solo se activan si el visitante las acepta. Ese consentimiento en GA4 y Google Tag Manager lo configuramos en nuestro servicio de analítica web.
¿Puede enviar publicidad por WhatsApp a sus clientes?
Solo con su consentimiento. Desde la Ley 32323 (publicada el 9 de mayo de 2025), el Código de Protección y Defensa del Consumidor prohíbe promover productos con centros de llamadas, mensajes de texto o mensajes electrónicos masivos, salvo al consumidor que se contacte por iniciativa propia y dé un consentimiento «libre, previo, informado, expreso e inequívoco» (art. 58.1 e), revocable «con efecto inmediato». Incumplirlo es infracción muy grave. La ley no nombra a WhatsApp; por prudencia, trátelo como un SMS o un correo.
- Ofrezca una baja sencilla y gratuita, no más complicada que suscribirse; el reglamento da hasta 10 días hábiles para atenderla (art. 26.5), pero con la Ley 32323 conviene dejar de escribir de inmediato.
- Use cuentas de la empresa: el reglamento pide que el uso de apps de mensajería, correos o redes no institucionales sea aprobado y establecido formalmente (art. 46.4).
- Si WhatsApp, su correo o su CRM guardan datos fuera del Perú, puede haber un flujo transfronterizo: infórmelo en su política y comuníquelo a la ANPD (art. 132.8).
Si atiende con la API de WhatsApp Business, deje registrado en su CRM quién dio su permiso y cuándo.
¿Qué hacer si se filtran los datos de sus clientes?
- Si el incidente expone grandes volúmenes de datos o datos sensibles, o causa un perjuicio evidente, notifique a la ANPD como máximo en 48 horas desde que lo conoce; si tarda más, explique el motivo (art. 34.1).
- Si afecta otros derechos de las personas, avíseles también en 48 horas, en lenguaje sencillo, con las medidas que tomó (art. 34.3).
- Si ocurrió en el entorno digital, notifique además al Centro Nacional de Seguridad Digital (art. 34.5).
- Revise sus registros de acceso (art. 46.3) para reconstruir lo ocurrido.
No comunicar un incidente cuando corresponde es infracción grave (art. 133.12).
¿En qué plazo debe responder cuando alguien ejerce sus derechos?
| Solicitud | Plazo máximo | Base |
|---|---|---|
| Información | 8 días hábiles | Art. 69.1 |
| Acceso | 20 días hábiles | Art. 69.2 |
| Rectificación, cancelación u oposición | 10 días hábiles | Art. 69.3 |
Para el reglamento, los días son hábiles (art. III.8); los plazos del art. 69 corren desde el día siguiente de la solicitud y, salvo el de información, pueden ampliarse una vez por un plazo igual si se justifica a tiempo (art. 71). Responder tarde es infracción leve; no atender, grave (arts. 132.7 y 133.1).
¿Cuánto son las multas por incumplir la ley?
El reglamento clasifica las infracciones en leves, graves y muy graves (arts. 132 a 134), y el artículo 39 de la Ley fija las multas:
| Infracción | Multa | Con la UIT 2026 | Ejemplos |
|---|---|---|---|
| Leve | De 0,5 a 5 UIT | De S/ 2750 a S/ 27 500 | Pedir datos innecesarios, no inscribir el banco de datos, no designar oficial cuando corresponde |
| Grave | Más de 5 y hasta 50 UIT | Hasta S/ 275 000 | Tratar datos sin el consentimiento requerido, usarlos para otro fin, no notificar un incidente |
| Muy grave | Más de 50 y hasta 100 UIT | Hasta S/ 550 000 | Tratar datos por medios fraudulentos, desleales o ilícitos |
La multa no puede superar el 10 % de los ingresos brutos anuales del ejercicio anterior (Ley, art. 39). El 31 de diciembre de 2025, el MINJUSDH informó la aprobación de una nueva metodología de cálculo de multas (Resolución Ministerial 476-2025-JUS).
Lista de verificación 2026 para su web y sus campañas
- Política de privacidad actualizada y enlazada junto a cada formulario.
- Solo los datos necesarios, con los campos opcionales señalados.
- Casilla de publicidad aparte, opcional y sin marcar, con el canal (WhatsApp, correo o SMS).
- Registro de cada consentimiento con fecha, texto y versión de la política.
- Píxeles publicitarios solo con aceptación y política de cookies fiel a la web.
- Baja de publicidad sencilla, gratuita e inmediata.
- Bancos de datos inscritos y transferencias al extranjero informadas.
- Usuarios propios, permisos revisados y registros de acceso guardados 2 años.
- Protocolo de incidentes con responsable y aviso en 48 horas.
- Decisión sobre el oficial de datos personales antes del 30 de noviembre de 2026.
En Avii Perú desarrollamos páginas web y tiendas virtuales con formularios que separan la casilla de publicidad, guardan la prueba del consentimiento y cargan los píxeles solo tras la aceptación. También revisamos los formularios y las etiquetas de una web existente.
Este artículo es informativo y no reemplaza la asesoría legal; para casos concretos, confirme con un abogado. Normas verificadas en El Peruano, gob.pe y la ANPD al 21 de octubre de 2026.
Fuentes
- Decreto Supremo N.° 016-2024-JUS, Reglamento de la Ley 29733 (separata de El Peruano, 30-11-2024, en gob.pe) · consultado el 2026-10-21
- MINJUSDH: el nuevo reglamento entra en vigor el 31 de marzo de 2025 (29-01-2025) · consultado el 2026-10-21
- Ley N.° 29733, Ley de Protección de Datos Personales (texto en minsa.gob.pe) · consultado el 2026-10-21
- Decreto Legislativo N.° 1353, que modificó disposiciones de la Ley 29733 (El Peruano, 07-01-2017) · consultado el 2026-10-21
- MINJUSDH: nueva directiva del oficial de datos personales y metodología de cálculo de multas (31-12-2025) · consultado el 2026-10-21
- Resolución Directoral N.° 100-2025-JUS/DGTAIPD, directiva del oficial de datos personales (El Peruano, 31-12-2025) · consultado el 2026-10-21
- ANPD: preguntas y respuestas sobre la directiva del oficial de datos personales (gob.pe) · consultado el 2026-10-21
- ANPD refuerza el rol del oficial de datos personales; registro gratuito de bancos de datos (28-01-2026) · consultado el 2026-10-21
- Ley N.° 32323, que amplía la prohibición de las comunicaciones spam (El Peruano, 09-05-2025) · consultado el 2026-10-21
- MEF establece en S/ 5500 la UIT para 2026, D.S. 301-2025-EF (El Peruano, 17-12-2025) · consultado el 2026-10-21
