Ley 29733: la ley de protección de datos de Perú

A quién se aplica

A los datos personales de bancos de datos públicos y privados cuyo tratamiento se hace en el territorio nacional (art. 3). No se aplica a los bancos que una persona crea para su vida privada o familiar. Tampoco a los bancos públicos en lo necesario para la defensa nacional, la seguridad pública o la investigación penal.

El reglamento la extiende a quien, sin estar en Perú, ofrece bienes o servicios a personas en Perú o analiza su comportamiento (art. VI del reglamento). En ese caso debe designar un representante en Perú o para Perú (art. VII).

La ley usa la palabra «titular» para dos cosas distintas (art. 2):

• el titular de datos personales es la persona natural a quien corresponden los datos;
• el titular del banco de datos es quien decide la finalidad y el contenido del banco y su tratamiento.

Los datos personales son toda información sobre una persona natural que la identifica o la hace identificable.

El consentimiento

Con datos sensibles, el consentimiento debe darse además por escrito (art. 13.6). Sin él, solo pueden tratarse si una ley lo autoriza por motivos importantes de interés público. El reglamento exige además que el consentimiento sea libre (art. 2 del reglamento). Se puede revocar en cualquier momento, con los mismos requisitos con que se dio (art. 13.7).

No hace falta consentimiento en los casos del art. 14. Por ejemplo, para funciones de entidades públicas, con datos de fuentes accesibles al público o de solvencia patrimonial y de crédito. Tampoco cuando son necesarios para una relación contractual en la que la persona es parte.

Principios

1. art. 4LegalidadSe prohíbe recopilar datos por medios fraudulentos, desleales o ilícitos.
2. art. 5ConsentimientoPara tratar datos debe mediar el consentimiento de su titular.
3. art. 6FinalidadFinalidad determinada, explícita y lícita; no se extiende a otra, salvo usos históricos, estadísticos o científicos con datos disociados o anonimizados.
4. art. 7ProporcionalidadTratamiento adecuado, relevante y no excesivo.
5. art. 8CalidadDatos veraces, exactos y conservados solo el tiempo necesario.
6. art. 9SeguridadMedidas técnicas, organizativas y legales apropiadas.
7. art. 10Disposición de recursoVías administrativas o judiciales para reclamar.
8. art. 11Nivel de protección adecuadoPara enviar datos a otro país.

Datos sensibles

Son los datos biométricos que por sí mismos pueden identificar a la persona, el origen racial y étnico y los ingresos económicos (art. 2). También las opiniones o convicciones políticas, religiosas, filosóficas o morales, la afiliación sindical, la salud y la vida sexual.

El reglamento de 2024 añade los datos genéticos y neuronales, los morales o emocionales y la vida afectiva o familiar (art. III del reglamento). También los hábitos personales más íntimos y otros análogos que afecten a la intimidad.

Obligaciones

• Informar antes de recopilar los datos de la finalidad, los destinatarios, el banco de datos, la transferencia, el tiempo de conservación y los derechos (art. 18). En internet, el deber de informar puede cumplirse con una política de privacidad fácilmente accesible, pero no sustituye el consentimiento (art. 18 de la ley y art. 7 del reglamento).
• Adoptar medidas de seguridad y guardar confidencialidad, incluso después de terminar la relación (arts. 16 y 17).
• Inscribir los bancos de datos en el Registro Nacional de Protección de Datos Personales (art. 34 de la ley y art. 42 del reglamento).
• Notificar a la autoridad, en 48 horas como máximo, los incidentes de seguridad que exponen grandes volúmenes de datos, pueden afectar a muchas personas o tocan datos sensibles (art. 34 del reglamento). También los que causan un perjuicio evidente a otros derechos de la persona.
• Designar un Oficial de Datos Personales en las entidades públicas y en quien hace tratamientos que pueden afectar a muchas personas o a datos sensibles (art. 37 del reglamento). También en quien trata datos sensibles como actividad principal. En las empresas, la obligación entra en vigencia de forma escalonada según sus ventas anuales (primera disposición complementaria final). Va desde 1 año después de la publicación del reglamento, para las de más de 2300 UIT, hasta 4 años para las microempresas.

Flujo transfronterizo

Solo se pueden enviar datos a otro país si tiene un nivel de protección adecuado (art. 15). Si no lo tiene, quien envía debe garantizar que se traten conforme a la ley. Hay excepciones, como el consentimiento de la persona o un contrato en el que es parte.

La autoridad

La Autoridad Nacional de Protección de Datos Personales tiene funciones normativas, fiscalizadoras y sancionadoras (art. 33). Según el reglamento, la ejerce la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

Los derechos están en tus derechos sobre tus datos en Perú, y las sanciones, en multas por protección de datos en Perú.