Nuevo reglamento de protección de datos en Perú: qué cambia para tu web y tus campañas

Si tu empresa capta leads con formularios, guarda clientes en un CRM o hace remarketing, la protección de datos ya no es un tema solo del área legal. Desde el 30 de marzo de 2025 rige en Perú el nuevo reglamento de la Ley N.° 29733, aprobado por el Decreto Supremo 016-2024-JUS, que reemplazó al reglamento de 2013.

Este artículo resume lo que más afecta al marketing digital. No es asesoría legal: para tu caso concreto, valida con un abogado especializado.

Qué norma es y desde cuándo rige

• Norma: Decreto Supremo 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024.
• Vigencia: 120 días después de su publicación, es decir, desde el 30 de marzo de 2025.
• Algunas obligaciones tienen plazos propios, como el derecho de portabilidad (desde el 30 de septiembre de 2025) y el oficial de datos personales (escalonado según el tamaño de la empresa).

Los cambios que más afectan al marketing

1. Aplica también a empresas extranjeras que venden en Perú

El reglamento alcanza a organizaciones de fuera del país que, por ejemplo, ofrecen bienes o servicios a personas en Perú o analizan su comportamiento. Esas empresas deben designar un representante.

2. Transparencia y responsabilidad proactiva

Se incorporan como principios la transparencia y la responsabilidad proactiva: no basta con cumplir, hay que poder demostrar que se cumple. En la práctica, eso significa documentar qué datos recoges, para qué y quién accede a ellos.

3. Incidentes de seguridad: 48 horas para avisar

Si hay una brecha (por ejemplo, una filtración de tu base de leads), debe notificarse a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas posteriores a detectarla. Además, el documento de seguridad debe estar aprobado formalmente e incluir un inventario de los datos y sistemas que usas.

4. Oficial de datos personales, con plazos según ventas

Las empresas privadas que tratan grandes volúmenes de datos, afectan a muchas personas o manejan datos sensibles deben designar un oficial de datos personales. Los plazos dependen de las ventas anuales:

Tamaño (ventas anuales)	Plazo para designarlo
Más de 2300 UIT	30 de noviembre de 2025
Más de 1700 y hasta 2300 UIT	30 de noviembre de 2026
Más de 150 y hasta 1700 UIT	30 de noviembre de 2027
Hasta 150 UIT	30 de noviembre de 2028

5. Nuevo derecho de portabilidad

Las personas pueden pedir sus datos en un formato que les permita llevarlos a otro proveedor. Esto rige desde el 30 de septiembre de 2025.

6. Un canal digital para denuncias

Se crea la plataforma «Yo cuido mis datos personales» para que cualquier persona presente reclamos y denuncias. Es decir: reclamar será más fácil para tus usuarios.

Qué revisar en tu web y en tus campañas

1. Formularios: casilla de consentimiento sin marcar por defecto, texto claro sobre para qué usarás los datos y enlace a tu política de privacidad.
2. Política de privacidad: que diga quién es el responsable, qué datos recoges, con qué finalidad, con quién los compartes (incluidas herramientas como tu CRM o plataforma de email) y cómo ejercer los derechos.
3. Base de leads y clientes: saber dónde está, quién tiene acceso y desde cuándo guardas cada registro.
4. Herramientas de terceros: píxeles, CRM y email marketing tratan datos por encargo tuyo; revisa sus condiciones y dónde almacenan la información.
5. Plan ante incidentes: quién detecta, quién decide y quién notifica en 48 horas.

En resumen

El nuevo reglamento no impide hacer marketing con datos, pero exige hacerlo ordenado y demostrable. La buena noticia es que una medición bien implementada (consentimiento claro, datos mínimos y herramientas configuradas) también da mejores datos para optimizar campañas.

Fuentes: Decreto Supremo 016-2024-JUS en gob.pe · Cuatrecasas: Nuevo Reglamento de la Ley de Protección de Datos Personales · CMS: Nuevo reglamento de protección de datos personales