Qué exige la Ley 29733, a quién le aplica, cuánto cuesta incumplirla y qué puedes hacer esta semana — explicado sin jerga.
Cifras regulatorias verificadas en agosto de 2026. Fuentes al pie.
La Ley N.° 29733 de Protección de Datos Personales regula qué puede hacer una empresa con los datos de las personas: nombre, correo, teléfono, DNI, historial de compras, ubicación. Cualquier dato que identifique a alguien.
Quien la supervisa y sanciona es la Autoridad Nacional de Protección de Datos Personales (ANPD), dentro del Ministerio de Justicia.
Lo que cambió todo: el reglamento D.S. 016-2024-JUS, vigente desde el 31 de marzo de 2025. La ley existía desde 2011, pero era vaga en el "cómo". El reglamento puso obligaciones concretas, con plazos concretos — y aplica también a las empresas pequeñas.
Estas son las que el reglamento hizo exigibles y las que una fiscalización revisa:
Si hay una brecha con datos personales, hay 48 horas para avisar a la autoridad. Eso exige tener detectado el incidente, evaluada su gravedad y redactada la notificación — antes de que ocurra.
Una persona designada como responsable del tratamiento de datos dentro de la organización. La Directiva N.° 001-2025-JUS/DGTAIPD (dic-2025) formalizó cómo se designa.
Los bancos de datos personales que administra la empresa se registran ante la autoridad. Si tienes una base de clientes, tienes un banco de datos.
La persona puede pedir sus datos en un formato reutilizable y llevárselos. Eso implica poder extraerlos, no solo tenerlos.
"Eso es para empresas grandes" es la confusión más común, y es falsa. El reglamento no distingue por tamaño. Una empresa de diez personas que guarda correos de clientes está dentro del mismo marco que un banco.
Las multas se calculan en UIT (Unidad Impositiva Tributaria). Con la UIT 2026 de S/ 5,500, el rango sancionador de 0.5 a 100 UIT queda así:
La multa concreta depende de la gravedad de la infracción —leve, grave o muy grave— y la determina la ANPD.
Parte de lo que pide la ley deja señales públicas que cualquiera puede revisar en tu web:
Solo con información pública: consultas DNS, el certificado que el servidor presenta y páginas accesibles del sitio. Sin credenciales, sin explotar nada, sin tocar nada por dentro — el mismo tipo de lectura que hace tu navegador al entrar a un sitio.
Lo que una revisión externa no dice. Que una empresa salga bien desde afuera no significa que cumpla la ley: el aviso de privacidad puede existir y estar mal redactado, y el Oficial de Datos no se ve desde afuera. La superficie pública es el primer indicio, no el veredicto.
En orden de esfuerzo, de menos a más:
| Acción | Qué resuelve | Esfuerzo |
|---|---|---|
| Publica un canal de contacto de seguridad Un correo visible, o un archivo security.txt |
Sin canal, te enteras del incidente tarde — y el reloj de 48 horas ya corría. | 1 hora |
| Configura SPF y DMARC en tu dominio | Impide que suplanten tu correo. Es un registro DNS. | 1–2 horas |
| Publica tu aviso de privacidad y fuerza HTTPS en todo el sitio | Dos obligaciones visibles desde fuera, y de las primeras que se revisan. | Media jornada |
| Designa a tu Oficial de Datos y registra tus bancos de datos en el RNPDP | Las dos obligaciones formales del reglamento. No se ven desde afuera, pero se piden en una fiscalización. | Trámite |
| Escribe tu protocolo de incidentes | Quién decide, a quién se avisa, con qué formato. Improvisarlo dentro de las 48 horas no funciona. | Requiere método |
El análisis gratuito de dygsom.pe revisa lo que cualquiera puede ver de tu sitio desde afuera, con cada hallazgo mapeado a la obligación de la Ley 29733 que toca y qué hacer para corregirlo. Toma 60 segundos.
Analizar mi web — gratis
DYGSOM