Inicio / Recursos / Perú
Perú · Recursos
Desde el 30 de marzo de 2025 rige en Perú el nuevo Reglamento de la Ley 29733 de Protección de Datos Personales, aprobado por el Decreto Supremo 016-2024-JUS. Al mismo tiempo, la Ley 30424 sigue ofreciendo a las personas jurídicas la posibilidad de implementar un modelo de prevención de delitos. Este recurso explica ambos marcos y cómo abordarlos de forma ordenada.
Actualizado: octubre de 2026 · Fuentes oficiales al final del artículo
La Ley 29733 de Protección de Datos Personales regula el tratamiento de datos personales en Perú. Su nuevo Reglamento, aprobado por el Decreto Supremo 016-2024-JUS y vigente desde el 30 de marzo de 2025, sustituye al reglamento anterior y actualiza las reglas para responder a entornos digitales, servicios en la nube y nuevas formas de tratamiento.
Entre los aspectos que las empresas deben revisar destacan:
Si su empresa adecuó su política de datos al reglamento anterior, es recomendable revisarla de nuevo. Los cambios afectan tanto a la documentación como a la operación diaria: quién decide ante un incidente, cómo se registran las solicitudes de los titulares y qué exigencias se trasladan a los proveedores que tratan datos por cuenta de la empresa. Las obligaciones concretas, como los plazos de comunicación de incidentes o los supuestos en que se requiere un oficial de datos personales, deben verificarse en el texto oficial del Reglamento.
La figura del oficial de datos personales, exigible en los supuestos que el Reglamento establece.
La gestión de incidentes de seguridad, incluida su comunicación a la Autoridad Nacional de Protección de Datos Personales y, cuando corresponda, a los titulares, en los plazos reglamentarios.
Las medidas de seguridad y la documentación que permite demostrarlas.
La atención de los derechos de los titulares y los procedimientos internos para responder en plazo.
Las relaciones con encargados de tratamiento y las transferencias de datos, incluidas las internacionales.
La Ley 30424 regula la responsabilidad administrativa de las personas jurídicas por determinados delitos, como el cohecho y el lavado de activos, entre otros previstos en la propia ley y sus modificaciones. Su reglamento fue aprobado por el Decreto Supremo 002-2019-JUS.
La ley prevé que la persona jurídica puede quedar exenta de responsabilidad si, con anterioridad a la comisión del delito, adoptó e implementó un modelo de prevención adecuado a su naturaleza, riesgos, necesidades y características, en los términos y con las condiciones que la ley establece. No se trata de una exención automática: depende de que el modelo sea adecuado y de que haya funcionado en la práctica.
Cuando el modelo se adopta o acredita después del hecho, puede tener el efecto jurídico que proceda conforme a la ley y al caso concreto. Por eso conviene implantarlo y documentarlo antes de que surja cualquier incidente.
La Ley 30424 y su reglamento describen los elementos mínimos que debe contener el modelo, que se adaptan al tamaño y la complejidad de cada empresa:
Un encargado de prevención, designado por el máximo órgano de administración, con autonomía.
Identificación, evaluación y mitigación de riesgos de comisión de los delitos previstos.
Procedimientos de denuncia.
Difusión y capacitación periódica del modelo.
Evaluación y monitoreo continuo del modelo.
Ambos marcos tienen naturaleza distinta y conviene no mezclarlos:
Obligación legal: el cumplimiento de la Ley 29733 y su Reglamento es exigible a quien trata datos personales en los términos de la norma.
Aplicabilidad: algunas exigencias del Reglamento, como el oficial de datos personales, dependen del tipo de entidad, del volumen o de la naturaleza del tratamiento. En la Ley 30424, debe revisarse qué delitos y qué riesgos son relevantes para la actividad de la empresa.
Estándar voluntario: con carácter general, la implementación del modelo de prevención de la Ley 30424 es una decisión de la empresa, aunque puede ser requerida en determinadas contrataciones o relaciones comerciales. Normas como ISO 37001 pueden servir de referencia, sin sustituir los requisitos legales.
Buena práctica: integrar en una misma gobernanza la gestión de riesgos de datos personales y de delitos, con responsables, controles y evidencias comunes, evita duplicidades.
Para muchas empresas medianas, el punto de partida es similar en los dos casos: conocer los riesgos, asignar responsables y poder demostrar que los controles funcionan. Una secuencia razonable es:
Esta secuencia no es un requisito legal, sino una forma práctica de ordenar el trabajo. El ritmo y la profundidad dependen del tamaño de la empresa, de su sector y de los riesgos identificados en el diagnóstico.
Inventariar los tratamientos de datos personales y los procesos expuestos a riesgos penales.
Revisar la aplicabilidad del oficial de datos personales y la designación del encargado de prevención.
Definir el procedimiento de incidentes de seguridad y el canal de denuncias.
Aprobar políticas y procedimientos proporcionales, comunicarlos y formar a las áreas clave.
Programar revisiones y conservar evidencias de funcionamiento.
Compliance360 LATAM acompaña a su empresa en la adecuación al Reglamento de la Ley 29733 y en el diseño e implantación de un modelo de prevención conforme a la Ley 30424, con un enfoque de riesgos, controles, responsables y evidencias. La participación de profesionales locales se confirma en la propuesta de cada proyecto.
Compliance360 PYME ayuda a organizar tareas, documentos, evidencias, responsables y revisiones de ambos programas. No garantiza la exención de responsabilidad ni sustituye la valoración que corresponda a las autoridades. Si quiere conocer el punto de partida de su empresa, puede solicitar un diagnóstico inicial.
Servicio relacionado
Modelo de prevención de delitos
Diseñamos e implantamos modelos de prevención proporcionales a la actividad de su empresa, con controles operativos, responsables definidos y evidencias que permitan acreditar su funcionamiento.
Fuentes oficiales
Diario Oficial El Peruano. Decreto Supremo 016-2024-JUS, Reglamento de la Ley 29733
Gobierno del Perú. Modelo de prevención de delitos
Actualizado: octubre de 2026. Contenido informativo general. No sustituye el asesoramiento jurídico sobre su caso concreto.
FAQ
¿Desde cuándo está vigente el nuevo Reglamento de la Ley 29733?
El Reglamento aprobado por el Decreto Supremo 016-2024-JUS está vigente desde el 30 de marzo de 2025 y sustituye al reglamento anterior.
¿El modelo de prevención exime automáticamente de responsabilidad?
No. Conforme a la Ley 30424, la persona jurídica puede quedar exenta de responsabilidad si adoptó e implementó un modelo adecuado antes del delito, en los términos que la ley establece. La valoración depende del caso concreto.
¿Puedo gestionar datos personales y modelo de prevención con un mismo equipo?
Sí, es posible integrar la gobernanza, siempre que se respeten las funciones y requisitos específicos de cada figura, como el oficial de datos personales y el encargado de prevención.
Solicite un diagnóstico inicial y revisaremos su situación en Perú.
