En el ecosistema corporativo actual, la información de clientes, prospectos y trabajadores constituye el activo más valioso de cualquier organización. Sin embargo, en el Perú, recopilar, almacenar y procesar esta información sin autorización expone a las empresas a uno de los riesgos legales más severos del mercado.
La Autoridad Nacional de Protección de Datos Personales (ANPD), ente adscrito al Ministerio de Justicia, ha endurecido sus procesos de fiscalización. Muchas compañías asumen erróneamente que la Ley de Protección de Datos Personales (Ley N° 29733) solo aplica a corporaciones tecnológicas o bancos. La realidad es que cualquier negocio que maneje una planilla de empleados, un CRM de ventas o cámaras de videovigilancia está obligado a cumplir la norma.
Implementar un compliance de datos riguroso dejó de ser una formalidad para convertirse en un escudo financiero. A continuación, detallamos los requisitos obligatorios para evitar auditorías y multas millonarias.
Obligaciones principales de las empresas peruanas ante la ANPD
Para garantizar la legalidad operativa, la gerencia general y el área de TI deben asegurar el cumplimiento de cuatro pilares normativos ineludibles:
1. Registro de bancos de datos personales
El primer gran error corporativo es no registrar la información. La ley define como «banco de datos» a todo conjunto organizado de datos personales, automatizado o físico. Esto significa que la base de datos de tu software contable, los archivadores con los contratos de tu personal, e incluso el registro de ingreso en la recepción de tu oficina son bancos de datos. Todos deben ser inscritos formalmente ante la Dirección de Registros de la ANPD, declarando su finalidad y tiempo de almacenamiento.
2. Recopilación mediante consentimiento expreso
Recopilar información «por si acaso» es ilegal. Las empresas deben obtener el consentimiento previo, informado,expreso e inequívoco del titular antes de tratar sus datos. En el entorno digital B2B o B2C, esto se traduce en incluir casillas de verificación (checkboxes) desmarcadas por defecto en los formularios web, asegurando que el cliente autorice recibir correos comerciales o ceder sus datos a terceros.
3. Implementación de Políticas de Privacidad y Derechos ARCO
Toda empresa con presencia en internet debe exhibir una Política de Privacidad visible y actualizada. Asimismo, la organización está obligada a implementar canales directos para que los ciudadanos ejerzan sus derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), y debe responder a estas solicitudes dentro de los plazos estrictos que marca la ley (entre 5 y 10 días hábiles, según el requerimiento).
4. Declaración de flujo transfronterizo de datos
Si tu empresa utiliza servidores alojados en el exterior, plataformas de correo electrónico internacionales o nubes como AWS, Azure o Google Cloud, estás realizando un «flujo transfronterizo de datos». Este procedimiento es totalmente lícito, pero constituye una obligación legal declararlo al momento de registrar el banco de datos en el Perú, asumiendo la responsabilidad por las medidas de seguridad del proveedor extranjero.
Escala de multas de la ANPD por incumplimiento
Ignorar la normativa tiene un impacto directo en el flujo de caja. La Dirección de Fiscalización e Instrucción de la ANPD califica las infracciones en tres niveles, cuyas multas se calculan en base a la Unidad Impositiva Tributaria (UIT):
- Infracciones Leves (de 0.5 a 5 UIT): Se aplican por errores operativos, como no atender las solicitudes de derechos ARCO dentro del plazo legal o no inscribir actualizaciones menores del banco de datos.
- Infracciones Graves (de 5 a 50 UIT): Sanciones aplicadas por recopilar datos sin el consentimiento expreso del titular, no registrar los bancos de datos ante la autoridad competente o no contar con las medidas de seguridad informática mínimas requeridas.
- Infracciones Muy Graves (de 50 a 100 UIT): El escenario más crítico. Se imponen por transferir bases de datos a terceros sin autorización, darle a la información un uso comercial totalmente distinto al pactado o negarse a cooperar durante una inspección de la ANPD.
Preguntas Frecuentes sobre la Protección de Datos
¿Qué es exactamente un banco de datos personales según la ley?
Es cualquier conjunto estructurado de datos que identifique a una persona física (nombre, DNI, huella, imagen, salario). No se limita al ámbito digital; los documentos físicos y contratos impresos también constituyen bancos de datos.
¿Las cámaras de seguridad de la empresa deben ser registradas?
Sí. El sistema de circuito cerrado de televisión (CCTV) capta imágenes y, en muchos casos, datos biométricos. Este constituye un banco de datos de videovigilancia que debe ser declarado, y se deben colocar carteles informativos visibles en las instalaciones.
¿Es obligatorio cumplir la ley si soy una PYME o Startup?
Totalmente. La Ley 29733 no hace excepciones por volumen de facturación o tamaño de la empresa. Si tu startup recopila correos electrónicos de prospectos o inversores,debes cumplir con el registro y las políticas de privacidad.
¿Cuánto tiempo tarda el trámite de registro ante la ANPD?
Por lo general, tras presentar los formularios técnicos,legales y realizar el pago de la tasa administrativa correspondiente, la autoridad tiene un plazo promedio de 30 días hábiles para emitir la resolución de inscripción, siempre que no existan observaciones.
El Compliance de datos como blindaje corporativo
El cumplimiento de la ley de protección de datos ha dejado de ser un trámite burocrático para convertirse en un estándar de calidad indispensable en el entorno de negocios del Perú. Mantener las bases de datos registradas y las políticas de privacidad actualizadas no solo previene multas asfixiantes, sino que proyecta transparencia institucional,eleva la confianza de los inversionistas y protege la reputación de la empresa ante sus clientes.
