Página traducida y verificada automáticamente. Prevalece la versión en inglés. Algunas partes siguen en inglés mientras se verifica su traducción. Ver en inglés · Informar un error de traducción
Regulaciones › Resto del mundo › Perú
LPDP
Ley de Protección de Datos Personales n.º 29733
CuándoLey publicada el 3 de jul. de 2011 y plenamente vigente tras su primer reglamento (2013). El nuevo Reglamento (DS 016-2024-JUS, publicado el 30 de nov. de 2024) entró en vigor el 30 de mar. de 2025 y sustituyó al DS 003-2013-JUS; las obligaciones del DPO se implementan de forma gradual hasta el 30 de nov. de 2028.
Quién la aplicaAutoridad Nacional de Protección de Datos Personales (ANPD), Ministerio de Justicia y Derechos Humanos
A quién se aplicaTratamiento público y privado de datos personales en Perú, y responsables extranjeros que se dirigen a personas en Perú o elaboran sus perfiles.
Informar al reguladorNotificar a la Autoridad en un plazo de 48 horas los incidentes que cumplan los criterios (gran escala, datos sensibles o m…
DPO obligatorioDelegado de protección de datos obligatorio para entidades públicas, tratamientos a gran escala o de datos sensibles, y…
RegistroDeben inscribirse la creación, modificación y cancelación de bancos de datos personales (gratuito, automá…
Transferencias al extranjeroTransferencias permitidas a países adecuados o con garantías como las cláusulas modelo
Plazo de solicitudesInformación en 8 días hábiles, acceso en 20 días hábiles, rectificación, cancelación u op…
Multa máximaHasta 100 UIT (unos PEN 535,000, aproximadamente USD 145,000), sin exceder el 10% de los ingresos brutos del año ant…
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Alcance y base jurídica
Alcance extraterritorial
2
Covers non-established controllers that offer goods or services to, or profile, people in Peru; they must appoint a representative.Reg. Arts. VI, VII · source ↗
Base jurídica
3
Consent is the default basis; exceptions listed in the Law (public entities, public sources, contracts, health, anonymized data). No legitimate interests.Law arts. 13, 14 · secondary source · source ↗
Law text read from a reproduction of the official statute.
Consentimiento
2
Consent must be free, prior, express, unequivocal and informed; it may be verbal, written or by click. Controller bears burden of proof.Reg. arts. 2, 5, 9 · source ↗
Datos sensibles
2
Sensitive data, including biometric, genetic and neural data, requires written consent by signature or equivalent.Law art. 13; Reg. arts. III, 8 · source ↗
Niños
2
Minors 14 to 18 may consent if information is understandable; under 14 needs parental or guardian consent; reasonable age verification required.Reg. arts. 22, 25 · source ↗
Derechos de las personas
Derechos
3
Information, access, portability, rectification, cancellation, opposition, and objective treatment (no solely automated decisions with significant effects).Law arts. 18-23; Reg. arts. 74-76 · source ↗
Portability enforceable from 30 Sep 2025 (Cuatrecasas).
Plazo de solicitudes
2
Information within 8 business days, access 20 business days, rectification, cancellation or opposition 10 business days; one equal extension.Reg. arts. 69, 71 · source ↗
Scored on the 20-day access deadline; other requests fall under 21 days.
Marketing
3
Consent for marketing must be obtained directly; one first contact allowed to seek it, no further contact if refused; opt-outs handled within 10 days.Reg. art. 26 · source ↗
Gobernanza
DPO obligatorio
1
Data protection officer required for public entities, large-scale or sensitive processing, and core sensitive-data activities; phased in by company size through Nov 2028.Reg. art. 37 · source ↗
Phase-in by annual sales: over 2,300 UIT by 30 Nov 2025; down to micro firms by 30 Nov 2028 (Cuatrecasas).
Requisitos del DPO
1
Regulation sets a DPO profile and functions; contact details must be communicated to the Authority within 15 days.Reg. arts. 37(4)-(5), 38, 39 · source ↗
Content of the art. 38 profile not confirmed.
Registro
2
Creation, modification and cancellation of personal data banks must be registered (free, automatic approval) with the National Registry.Law art. 34; Reg. arts. 42-45 · source ↗
DPIA
1
Impact assessment is optional, suggested for sensitive data, profiling, vulnerable groups or large volumes.Reg. art. 40(1) · source ↗
Registros
2
A dated security document must include an inventory of personal data and processing systems, kept for Authority review.Reg. (article not confirmed) · secondary source · source ↗
Conservación
2
Indefinite retention generally prohibited; processors keep data at most 2 years after the engagement ends; access logs kept at least 2 years.Reg. arts. 31(2), 46(3) · source ↗
Violaciones de datos
Informar al regulador
2
Notify the Authority within 48 hours of qualifying incidents (large-scale, sensitive data or many affected); digital incidents also to the National Digital Security Center.Reg. art. 34(1), (5) · source ↗
Informar a las personas
3
Notify affected individuals within 48 hours, in plain language, when their rights are affected.Reg. art. 34(3)-(4) · source ↗
Transferencias
Transferencias al extranjero
2
Transfers allowed to adequate countries or with safeguards such as model clauses; every cross-border flow must be notified to the Authority.Law art. 15; Reg. arts. 18-21 · source ↗
Aplicación de la ley
Multa máxima
2
Up to 100 UIT (about PEN 535,000, roughly USD 145,000), not exceeding 10% of prior-year gross income.Law art. 39 · secondary source · source ↗
Peso estimate uses the 2025 UIT of PEN 5,350.
Responsabilidad penal
2
Penal Code offense for selling or trading non-public personal data without authorization: 2 to 5 years' imprisonment.Penal Code art. 154-A · secondary source · source ↗
Acción privada
2
Anyone harmed may claim compensation; denied rights can be pursued before the Authority or by habeas data action.Law arts. 24, 25 · secondary source · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Biblioteca de regulaciones
Todas las leyes estatales de privacidad de EE. UU., en un mapa
24 estados tienen una ley integral de privacidad en la biblioteca, junto con las leyes de la UE, del Reino Unido, federales de EE. UU. y globales: 102 en total, cada una explicada en palabras sencillas con sus fuentes. Seleccione un estado para ver qué se aplica allí.
- En vigor
- Entrada en vigor
- Leyes sectoriales