Protección de datos personales: las fechas que tu empresa ya tiene encima
El 30 de noviembre de 2024 se publicó en El Peruano el D.S. 016-2024-JUS, el nuevo reglamento de la Ley 29733 de Protección de Datos Personales. Derogó de un golpe el reglamento de 2013 y entró en vigencia 120 días calendario después, es decir, el 30 de marzo de 2025.
Lo interesante no es eso. Lo interesante es que el reglamento no exige lo mismo a todas las empresas el mismo día: trae un calendario escalonado por facturación, y la primera fecha venció hace nueve meses.
Las fechas, que es lo que casi nadie publica
La obligación escalonada es la de designar un Oficial de Datos Personales. La Primera Disposición Complementaria Final fija el cronograma contando desde la fecha de publicación del reglamento:
| Tamaño (ventas anuales) | Obligación desde |
|---|---|
| Más de 2 300 UIT | 30 de noviembre de 2025 |
| Medianas: más de 1 700 y hasta 2 300 UIT | 30 de noviembre de 2026 |
| Pequeñas: más de 150 y hasta 1 700 UIT | 30 de noviembre de 2027 |
| Microempresas: hasta 150 UIT | 30 de noviembre de 2028 |
La fila en negrita es la que importa ahora mismo: quedan tres meses. Y la primera fila ya venció, así que una empresa grande que aún no ha designado a nadie no está anticipándose a una norma futura, está incumpliendo una vigente.
Hay una cuarta fecha, más discreta, en la misma disposición: la portabilidad de datos personales del artículo 76 «surte efecto a partir de los 6 meses posteriores a la entrada en vigencia», o sea desde finales de septiembre de 2025.
Quién tiene que designar oficial, y no depende solo del tamaño
El artículo 37.1 enumera tres supuestos, y el cronograma de arriba solo se aplica a dos de ellos. Hay que designar oficial cuando:
- El tratamiento lo lleve a cabo una entidad pública.
- Se realicen tratamientos de grandes volúmenes de datos personales, en cantidad o tipo, o que puedan afectar a un gran número de personas, o cuando se trate de datos sensibles, o cuando se produzca un perjuicio evidente a otros derechos del titular.
- Las actividades principales o de giro de negocio comprendan el tratamiento de datos sensibles.
El tercer supuesto es el que sorprende. Una clínica pequeña, un laboratorio, una consultora de selección de personal o cualquier empresa cuyo negocio gire alrededor de datos de salud, biométricos u otros sensibles entra por giro, sin importar cuánto factura.
El artículo 37.2 concede un respiro a los grupos: «Un grupo empresarial puede nombrar un único Oficial de datos personales siempre que sea fácil contactarlo desde cada establecimiento».
Cuarenta y ocho horas para avisar de una brecha
Esta es la obligación que cambia la operación de verdad, porque exige tener algo montado antes de que pase nada.
El artículo 34.1 obliga a notificar a la Autoridad Nacional de Protección de Datos Personales «como máximo dentro de las 48 horas posteriores a haber tomado conocimiento o constancia» del incidente, cuando este genere exposición de grandes volúmenes de datos, pueda afectar a muchas personas, se trate de datos sensibles o cause un perjuicio evidente.
Dos detalles del texto que conviene leer literalmente. El primero: notificar tarde no es imposible, pero «debe ir acompañada de la indicación de los motivos y/o sustento probatorio de tal dilación». El segundo, y es el que más cuesta explicar dentro de una empresa:
«Esta obligación permanece aun cuando el responsable de tratamiento de datos personales considere que tal incidente haya sido subsanado o resuelto internamente».
Haberlo arreglado no exime de avisar. La notificación tiene que describir, como mínimo, la naturaleza del incidente con los tipos de datos y el número aproximado de afectados, los datos de contacto del oficial, las posibles consecuencias y las medidas adoptadas.
Y dos artículos más completan el circuito. El 35 obliga a documentar cualquier incidente de seguridad, con sus hechos, efectos y medidas, esté o no sujeto a notificación. El 36 obliga al encargado del tratamiento a informar «de forma inmediata» al responsable, lo cual significa que el contrato con tu proveedor de nube, de correo o de facturación tiene que contemplarlo, porque el reloj de las 48 horas empieza a correr en su servidor.
Qué tiene que estar hecho antes de la fecha que te toque
Cuatro cosas, en este orden:
El inventario. Qué datos personales tratas, dónde están, quién accede y con qué base legal. Sin esto no se puede evaluar si entras en el supuesto 2 del artículo 37, ni redactar una notificación de brecha en 48 horas.
El registro de incidentes. Un lugar donde quede constancia de cada incidente con fecha, alcance y medidas. Lo exige el artículo 35 y es lo primero que se pide en una fiscalización.
El circuito de notificación. Quién detecta, quién decide si toca notificar, quién firma el aviso y por qué canal sale. Cuarenta y ocho horas incluyen fines de semana.
Las cláusulas con proveedores. Que el encargado avise de inmediato, y que quede escrito.
Dónde toca esto con la firma digital
En dos puntos concretos, y conviene verlos porque suelen tratarse como mundos separados.
Un certificado digital contiene datos personales: nombres completos, número y tipo de documento de identidad, correo electrónico. Están así en el artículo 16 del reglamento de firmas digitales, como detallamos en qué certificado te corresponde. Emitir certificados para tu plantilla es tratamiento de datos personales con todas las consecuencias.
Y en sentido contrario, la firma digital es una de las pocas medidas técnicas que resuelve algo del artículo 35 sin esfuerzo adicional: un registro de incidentes firmado digitalmente y con sello de tiempo demuestra cuándo se escribió cada entrada. Un archivo de texto en una carpeta compartida, no.
Una opinión, porque el plazo la pide
Para una empresa mediana, esperar a noviembre de 2026 para empezar es llegar tarde. Designar oficial es la parte fácil y se hace en una semana; el inventario de tratamientos es el que lleva meses, y sin él la designación es un nombre en un organigrama que no puede responder nada cuando llegue la primera consulta.
Si quieres ordenar esto junto con la parte de firma y custodia —que en la práctica es el mismo proyecto—, escríbenos. En CloudComputing tenemos ISO/IEC 27001 certificada y los controles que pide el reglamento se solapan casi por completo con los que ya auditamos.
Última revisión: 29 de agosto de 2026.