Aprueban Nuevo Reglamento de la Ley de Protección de Datos Personales

El Decreto Supremo N° 016-2024-JUS, publicado el 30 de noviembre de 2024, introduce el nuevo Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales, modificando integralmente el mismo. Este reglamento busca alinear el marco peruano con estándares internacionales y aborda las necesidades contemporáneas en la protección de datos personales, especialmente en contextos tecnológicos avanzados.

El nuevo reglamento entrará en vigencia en 120 días calendario desde su publicación, es decir, el 29 de marzo de 2025; siendo que algunas obligaciones, como la designación del Oficial de Protección de Datos, tendrán plazos de implementación progresivos según el tamaño de la empresa.

Principales cambios:

1. Aplicación Territorial Extensiva

El nuevo Reglamento establece que las disposiciones de la Ley y el Reglamento son de aplicación al tratamiento de datos personales cuando el responsable de tratamiento es no domiciliado en Perú pero: (i) ofrecen bienes o servicios a personas en el territorio nacional; o, (ii) monitorea el comportamiento de usuarios ubicados en el país así como la elaboración de perfiles que busquen predeterminar conductas, preferencias, hábitos o similares. 

2. Principios Rectores

• Transparencia: Impone informar de manera clara, fácil de entender y de forma accesible a los titulares sobre el tratamiento de sus datos personales, incluyendo los fines, plazos y derechos aplicables.
• Responsabilidad Proactiva (Accountability): Obliga a los responsables a demostrar el cumplimiento efectivo de la normativa mediante medidas técnicas, legales y organizativas.

3. Oficial de Protección de Datos Personales

• Designación Obligatoria:
  • Requerida para entidades que traten grandes volúmenes de datos personales o datos sensibles.
  • Puede ser un recurso interno o externo a la organización, y no necesariamente debe desempeñar de manera exclusiva sus funciones vinculadas a su designación.
• Plazos de Implementación:
  • Grandes empresas: 1 año.
  • Medianas empresas: 2 años.
  • Pequeñas empresas: 3 años.
  • Microempresas: 4 años.

4. Notificación de Incidentes de Seguridad

• Plazos:
  • Notificación a la Autoridad Nacional de Protección de Datos Personales: Máximo 48 horas desde la detección del incidente.
  • Información a los titulares afectados: En lenguaje claro y sin dilación indebida, si se afectan sus derechos o libertades.
  • Comunicación al Centro Nacional de Seguridad Digital: Requerida para incidentes en entornos digitales.
• Contenido de la Notificación:
  • Descripción del incidente, tipo y número de datos afectados.
  • Medidas adoptadas para mitigar el impacto.
  • Información de contacto del Oficial de Protección de Datos.

5. Derecho a la Portabilidad de Datos

Permite a los titulares obtener y reutilizar sus datos personales en un formato estructurado y de uso común; y será de aplicación cuando el tratamiento se base en consentimiento, contrato, o medios automatizados. Este derecho entrará en vigencia 6 meses después de la implementación general del Reglamento.

6. Tratamiento Automatizado y Elaboración de Perfiles

• Definiciones Específicas:
  • Elaboración de perfiles: Tratamiento automatizado para analizar o predecir aspectos de la persona.
  • Tratamiento Automatizado: Procesos sin intervención humana.
• Derechos de los Titulares:
  • Derecho a no ser objeto de decisiones exclusivamente automatizadas que generen efectos jurídicos o afecten significativamente.
  • Obligación de informar sobre la existencia de dichas decisiones.

7. Transferencias Internacionales de Datos

Se garantizan niveles adecuados de protección en transferencias a otros países, incluyendo cláusulas contractuales y mecanismos de certificación.

8. Régimen Sancionador y Nuevas Infracciones

Se incorporan nuevos supuestos sancionados y atenuantes.

9. Creación de la Plataforma Digital "Yo Cuido Mis Datos Personales"

Busca facilitar la presentación de denuncias de los titulares de los datos personales y atender reclamaciones de los mismos sobre la vulneración de sus derechos.

Recomendaciones para el Cumplimiento:

• Evaluación Interna: Las empresas deben realizar una auditoría interna para identificar brechas en el cumplimiento de las nuevas disposiciones.
• Designación de Responsables: Evaluar la necesidad de designar un Oficial de Protección de Datos y establecer funciones y responsabilidades claras.
• Actualización de Políticas y Procedimientos: Adaptar las políticas de privacidad, contratos y documentos internos a las nuevas exigencias.
• Capacitación: Formar al personal en materia de protección de datos personales y las nuevas obligaciones establecidas por el reglamento.
• Gestión de Incidentes: Implementar protocolos para la detección, gestión y notificación de incidentes de seguridad.