Análisis jurídico: Protección de datos personales en el entorno digital y los nuevos desafíos para ciudadanos y organizaciones

La transformación digital ha incrementado considerablemente la cantidad de información personal que es recopilada, almacenada, procesada y compartida por entidades públicas, empresas y plataformas digitales. En el Perú, este escenario se encuentra regulado principalmente por la Ley N.º 29733, Ley de Protección de Datos Personales, y su nuevo Reglamento, aprobado mediante D.S. N.º 016-2024-JUS, vigente desde el 31 de marzo de 2025. Este marco establece obligaciones relacionadas con el consentimiento, finalidad, proporcionalidad, seguridad, conservación, transferencias y ejercicio de derechos. A ello se suman los nuevos desafíos derivados de las filtraciones de información, la suplantación de identidad, el perfilamiento y el uso de inteligencia artificial, que exigen a las organizaciones adoptar una gestión preventiva, responsable y demostrable de la privacidad.

Análisis jurídico

La protección de los datos personales se ha convertido en uno de los principales desafíos jurídicos de la transformación digital. La expansión de las plataformas digitales, los servicios en línea, las aplicaciones, los sistemas automatizados y las herramientas de inteligencia artificial ha multiplicado las formas mediante las cuales puede recopilarse y utilizarse información relacionada con las personas.

Desde una perspectiva constitucional, la protección de los datos personales encuentra fundamento en el artículo 2, inciso 6, de la Constitución Política del Perú, que reconoce el derecho de toda persona a que los servicios informáticos, computarizados o no, públicos o privados, no suministren informaciones que afecten la intimidad personal y familiar.

Este derecho ha sido desarrollado mediante la Ley N.º 29733, Ley de Protección de Datos Personales, cuyo objetivo es garantizar el derecho fundamental a la protección de los datos personales mediante un adecuado tratamiento de la información.

El nuevo escenario regulatorio adquiere especial importancia con la entrada en vigencia, el 31 de marzo de 2025, del Reglamento de la Ley N.º 29733, aprobado mediante D.S. N.º 016-2024-JUS, que sustituyó al anterior Reglamento aprobado mediante D.S. N.º 003-2013-JUS.

La actualización normativa responde a un contexto en el que los datos personales circulan a través de múltiples sistemas y pueden ser utilizados para finalidades que van mucho más allá de la simple identificación de una persona.

1. ¿Qué debe entenderse por dato personal en el entorno digital?

Uno de los primeros aspectos que debe considerarse es la amplitud del concepto de dato personal.

La información protegida no comprende únicamente elementos evidentes como el nombre, número de documento de identidad, domicilio, teléfono o correo electrónico. En determinados contextos también pueden constituir datos personales aquellos elementos que permitan identificar o hacer identificable a una persona, como las direcciones IP, identificadores de cookies, identificadores de dispositivos, datos de geolocalización, historial de navegación, patrones de consumo y determinados metadatos.

Esta realidad demuestra que la protección de datos no se limita a documentos físicos o bases de datos tradicionales.

En el entorno digital, una persona puede proporcionar información personal sin percibir necesariamente la cantidad de datos que está generando. La utilización de una aplicación, la navegación por una página web, una compra en línea o la utilización de determinados dispositivos pueden producir información susceptible de tratamiento.

Por ello, las organizaciones deben identificar qué información recopilan, cuál es su origen, con qué finalidad será utilizada y durante cuánto tiempo será conservada.

2. Los datos sensibles y su protección reforzada

Una especial consideración corresponde a los denominados datos sensibles, debido al impacto que su tratamiento puede producir sobre derechos fundamentales.

Dentro de esta categoría se encuentran, entre otros, los datos relacionados con el origen racial o étnico, ingresos económicos, convicciones políticas, religiosas, filosóficas o morales, afiliación sindical, vida sexual, salud, así como determinados datos biométricos y genéticos.

Su tratamiento se encuentra sujeto a una protección reforzada y, como regla general, requiere un consentimiento expreso y por escrito, sin perjuicio de las excepciones establecidas por el ordenamiento jurídico.

La importancia de esta protección radica en que una utilización indebida de este tipo de información puede generar consecuencias especialmente relevantes para la vida privada, la dignidad y otros derechos de las personas.

En consecuencia, las organizaciones que procesen información sensible deben adoptar medidas que permitan reducir los riesgos asociados con su acceso, almacenamiento, transferencia y utilización.

3. Principios que deben regir el tratamiento de datos personales

El tratamiento legítimo de datos personales no depende únicamente de que una organización haya obtenido determinada información. También debe respetar los principios establecidos por el marco jurídico.

Entre ellos destacan la legalidad, consentimiento, finalidad, proporcionalidad, calidad, seguridad y transparencia.

El principio de finalidad adquiere particular importancia. Los datos deben ser utilizados para objetivos determinados, explícitos y lícitos. Una organización que obtiene información para prestar un determinado servicio no puede asumir automáticamente que está autorizada para utilizarla posteriormente con cualquier finalidad.

Por ejemplo, una base de datos recopilada para gestionar un servicio podría pretender utilizarse posteriormente para campañas comerciales, elaboración de perfiles o transferencia a terceros. En estos casos debe analizarse si dicho tratamiento adicional cuenta con la correspondiente base jurídica y respeta la finalidad originalmente informada.

La proporcionalidad también resulta fundamental. La organización debe evitar recopilar información innecesaria respecto de la finalidad perseguida.

En consecuencia, el cumplimiento no consiste simplemente en acumular la mayor cantidad posible de información, sino en determinar qué datos resultan realmente necesarios y cómo deben ser gestionados.

4. Conservación, seguridad y responsabilidad de las organizaciones

La conservación de información durante períodos prolongados constituye otro de los desafíos del entorno digital.

Mantener bases de datos históricas sin criterios adecuados de depuración puede incrementar la cantidad de información expuesta ante una eventual vulneración de seguridad.

Por ello, las organizaciones deben establecer políticas de conservación y eliminación de información, además de mantener mecanismos que permitan conocer qué datos poseen y quiénes pueden acceder a ellos.

Entre las herramientas de gestión adquieren importancia los inventarios de bancos de datos, la inscripción correspondiente en el Registro Nacional, los documentos de seguridad actualizados, los registros de acceso y las constancias de destrucción o anonimización cuando corresponda.

La seguridad, por tanto, no debe entenderse exclusivamente como una cuestión tecnológica.

También implica establecer procedimientos internos, asignar responsabilidades, capacitar al personal, controlar a los proveedores y contar con mecanismos de respuesta ante incidentes.

Desde esta perspectiva, la protección de datos debe incorporarse a la gestión cotidiana de las organizaciones.

5. Derechos de los titulares de los datos personales

El marco jurídico peruano reconoce diversos derechos a las personas cuyos datos son objeto de tratamiento.

Entre ellos se encuentran los derechos de información, acceso, rectificación, cancelación, oposición, portabilidad y tratamiento objetivo, además de las vías de tutela e indemnización previstas legalmente.

Estos derechos permiten que el titular pueda conocer cómo se utilizan sus datos y, cuando corresponda, solicitar determinadas actuaciones al responsable del tratamiento.

De acuerdo con la información analizada, existen plazos específicos para la atención de las solicitudes: ocho días hábiles para solicitudes de información, veinte días para solicitudes de acceso y diez días para rectificación, cancelación y oposición.

La existencia de estos mecanismos refleja que la protección de datos no se limita a establecer obligaciones para las organizaciones. También proporciona herramientas jurídicas para que las personas puedan ejercer control sobre la información que les pertenece.

Cuando el derecho no es atendido, el titular puede recurrir a los mecanismos de tutela correspondientes, entre ellos el reclamo ante el responsable del tratamiento, el procedimiento trilateral de tutela ante la Autoridad Nacional de Protección de Datos Personales y el proceso constitucional de hábeas data.

La tutela ante la Autoridad Nacional de Protección de Datos Personales constituye, además, una vía gratuita y no requiere abogado.

6. Brechas de seguridad: una obligación de respuesta inmediata

Uno de los aspectos que mayor relevancia adquiere en el entorno digital es la gestión de las brechas de seguridad.

Una filtración, pérdida, destrucción, acceso no autorizado o divulgación indebida puede comprometer información personal y generar consecuencias tanto para los titulares como para las organizaciones responsables del tratamiento.

El Reglamento establece obligaciones específicas frente a estos incidentes. Entre ellas se encuentra el deber de notificar a la autoridad dentro del plazo de 48 horas desde que se toma conocimiento del incidente, cuando corresponda.

La gestión de una brecha exige una respuesta organizada que comprenda, entre otros aspectos, la detección, contención, evaluación, notificación y remediación del incidente.

La información comunicada debe permitir conocer la naturaleza del hecho, los titulares potencialmente afectados, los riesgos identificados y las medidas adoptadas.

Cuando exista un riesgo alto para los derechos y libertades de las personas afectadas, también corresponde adoptar medidas de comunicación hacia los titulares.

Esto demuestra que la seguridad de los datos no puede reducirse a prevenir incidentes. Las organizaciones deben estar preparadas para actuar cuando estos ocurran.

7. Régimen sancionador y consecuencias del incumplimiento

El cumplimiento de las normas de protección de datos también tiene una dimensión sancionadora.

De acuerdo con la información proporcionada, las infracciones pueden clasificarse como leves, graves y muy graves, con multas de 0,5 a 5 UIT, de 5 a 50 UIT y de 50 a 100 UIT, respectivamente.

Tomando como referencia una UIT de S/ 5.500 para 2026, una infracción muy grave podría alcanzar los S/ 550.000.

Sin embargo, las consecuencias del incumplimiento no se limitan a las multas económicas. También pueden imponerse medidas correctivas relacionadas con el cese del tratamiento, eliminación de información o atención de determinados derechos.

Por ello, desde una perspectiva de gestión pública y empresarial, el cumplimiento de la normativa de protección de datos debe ser entendido como un componente permanente de la administración de riesgos jurídicos.

8. Inteligencia artificial y protección de datos personales

La incorporación de inteligencia artificial introduce nuevos desafíos para el tratamiento de información personal.

En el Perú, este escenario se encuentra relacionado con la Ley N.º 31814 y su Reglamento, aprobado mediante D.S. N.º 115-2025-PCM, que incorpora disposiciones vinculadas con la gobernanza, transparencia, usos de alto riesgo y supervisión humana.

La utilización de inteligencia artificial no desplaza la aplicación de las normas de protección de datos personales.

Cuando un sistema de inteligencia artificial procesa información personal, deben analizarse cuestiones relacionadas con la base jurídica del tratamiento, la finalidad, la proporcionalidad y la protección de los derechos fundamentales.

Esto resulta particularmente relevante en procesos como el entrenamiento de modelos, el análisis automatizado de información, la elaboración de perfiles, el reconocimiento facial y la adopción de decisiones automatizadas.

Entre los principales desafíos identificados se encuentran la base legal para entrenar modelos de inteligencia artificial, la extracción masiva de información disponible en internet, las decisiones automatizadas, los riesgos de sesgo y discriminación, el reconocimiento facial y los deepfakes o sistemas de voz sintética.

Un aspecto particularmente importante es que la disponibilidad pública de determinada información en internet no significa automáticamente que pueda utilizarse sin restricciones para cualquier finalidad.

9. Responsabilidad proactiva: del cumplimiento formal a la gestión demostrable

Uno de los cambios más importantes en materia de protección de datos consiste en la necesidad de avanzar desde un cumplimiento meramente documental hacia una verdadera gestión preventiva.

No basta con que una organización tenga una política de privacidad publicada en su página web. También debe encontrarse en capacidad de demostrar cómo gestiona efectivamente los datos personales.

Esto puede comprender inventarios, evaluaciones de impacto, privacidad desde el diseño, registros, auditorías, documentos de seguridad, controles de acceso y protocolos de respuesta ante incidentes.

La responsabilidad proactiva implica que las organizaciones deben anticiparse a los riesgos y adoptar medidas antes de que se produzca una vulneración.

En este contexto también adquiere importancia la figura del Oficial de Datos Personales, cuando su designación resulte obligatoria, así como la adecuada regulación de la relación con encargados del tratamiento y de las transferencias internacionales de datos.

10. Fiscalización y fortalecimiento institucional

La protección de datos personales también ha adquirido una dimensión institucional cada vez mayor a través de las actividades de fiscalización de la Autoridad Nacional de Protección de Datos Personales.

Según el balance presentado por la ANPD-MINJUSDH, durante 2025 fueron fiscalizadas 760 entidades y se tramitaron 647 denuncias. Asimismo, entre 2018 y 2025 se impusieron aproximadamente S/ 50 millones en multas, de los cuales se recaudaron alrededor de S/ 12 millones.

Estas cifras permiten observar que la protección de datos ha dejado de ser un asunto exclusivamente asociado con determinadas empresas tecnológicas.

Actualmente comprende a entidades públicas, empresas privadas y organizaciones que realizan operaciones de tratamiento de información personal.

La fiscalización, en este sentido, constituye uno de los mecanismos mediante los cuales el Estado busca garantizar el cumplimiento del marco jurídico.

Una lectura integral de la protección de datos en la sociedad digital

Los diferentes elementos analizados muestran que la protección de datos personales atraviesa prácticamente todas las actividades desarrolladas en el entorno digital.

Desde una compra por internet hasta la utilización de una aplicación, un sistema biométrico, una plataforma educativa, un servicio público digital o una herramienta de inteligencia artificial pueden involucrar el tratamiento de información personal.

Por ello, el análisis jurídico no puede limitarse a determinar si una organización recopiló legítimamente determinada información.

También debe examinarse para qué la utiliza, cuánto tiempo la conserva, quién puede acceder a ella, si la comparte con terceros, qué medidas de seguridad aplica y qué mecanismos ofrece para que el titular pueda ejercer sus derechos.

Esta visión resulta especialmente relevante frente a fenómenos como la comercialización de bases de datos, las filtraciones masivas, la suplantación de identidad y el desarrollo de sistemas capaces de procesar grandes cantidades de información.

El desafío consiste en lograr que la innovación tecnológica pueda desarrollarse sin que ello implique una reducción de las garantías jurídicas reconocidas a las personas.

Conclusión jurídica

La protección de datos personales constituye actualmente una dimensión esencial de los derechos fundamentales en la sociedad digital.

El marco peruano, integrado principalmente por la Ley N.º 29733 y su nuevo Reglamento aprobado mediante D.S. N.º 016-2024-JUS, establece obligaciones destinadas a garantizar que el tratamiento de información personal se realice bajo criterios de legalidad, finalidad, proporcionalidad, seguridad y transparencia.

El desarrollo de nuevas tecnologías, particularmente la inteligencia artificial, incrementa la complejidad de este escenario. El procesamiento masivo de información, la elaboración de perfiles, las decisiones automatizadas, el reconocimiento facial y los sistemas de generación de contenido plantean nuevos interrogantes que deben ser analizados desde la perspectiva de los derechos fundamentales y de las obligaciones de quienes realizan el tratamiento.

Para las organizaciones, esto significa conocer qué información poseen, determinar la base jurídica que permite su tratamiento, limitar la recopilación a lo necesario, implementar medidas técnicas y organizativas de seguridad, supervisar a sus proveedores y establecer protocolos de respuesta frente a incidentes.

Para los ciudadanos, supone conocer los derechos que les reconoce el ordenamiento jurídico y utilizar los mecanismos disponibles cuando consideren que sus datos han sido utilizados de manera indebida.

La transformación digital modifica las herramientas, los procedimientos y los riesgos, pero no elimina los principios jurídicos que gobiernan el tratamiento de información personal. Finalidad, proporcionalidad, seguridad, transparencia y responsabilidad proactiva continúan siendo elementos fundamentales para determinar si el tratamiento de datos se desarrolla dentro del marco jurídico peruano.

En este escenario, la protección de datos personales no debe ser considerada únicamente como una obligación de cumplimiento normativo, sino como una garantía necesaria para preservar la privacidad, la autonomía y otros derechos fundamentales de las personas frente a los nuevos desafíos de la sociedad digital.

Fuentes

• Constitución Política del Perú, artículo 2, inciso 6.
• Ley N.º 29733, Ley de Protección de Datos Personales.
• Decreto Supremo N.º 016-2024-JUS, Reglamento de la Ley N.º 29733.
• Decreto Supremo N.º 003-2013-JUS, anterior Reglamento de la Ley de Protección de Datos Personales.
• Ley N.º 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país.
• Decreto Supremo N.º 115-2025-PCM, Reglamento de la Ley N.º 31814.
• Autoridad Nacional de Protección de Datos Personales – Ministerio de Justicia y Derechos Humanos.

Patrocinado