Ley N.º 29733 comentada Artículos 1 a 12: objeto, definiciones, ámbito y principios

Sentido y alcance

Fija el objeto de la Ley: garantizar el derecho fundamental a la protección de datos personales del art. 2.6 de la Constitución «a través de su adecuado tratamiento», «en un marco de respeto de los demás derechos fundamentales».

Estructura

Norma de finalidad: no impone una conducta concreta. Enuncia el propósito de la Ley.

Concordancias

Constitución, art. 2.6. Reglamento, art. I y art. II (objeto y finalidad).

Notas

La Ley no define qué es un tratamiento «adecuado». El principio de seguridad (art. 9) usa un calificativo cercano: exige medidas «apropiadas».

Doctrina

• Eguiguren Praeli (2015, p. 132) explica que la Constitución reconoce a toda persona el poder de «ejercer control sobre el registro, tratamiento y difusión de sus datos personales».
• Eguiguren Praeli (2015, p. 134) califica la Ley 29733 como una norma «cuya naturaleza jurídica puede calificarse como de ley de desarrollo constitucional».
• Landa Arroyo (2017, p. 76) destaca la dimensión objetiva del derecho: «Como institución objetiva o principio, la autodeterminación informativa o protección de datos personales impone una serie de obligaciones» al Estado y a los particulares.
• Franco García y Quintanilla Perea (2020, p. 278) lo vinculan con el sistema interamericano: es un derecho «tutelado bajo el amparo del artículo 11 de la CADH».

Criterios de la Autoridad y del Tribunal Constitucional

• Tribunal Constitucional, Exp. 04739-2007-PHD/TC (15/10/2007), FJ 2: el derecho consiste en «la serie de facultades que tiene toda persona para ejercer control sobre la información personal que le concierne». Es anterior a la Ley.
• OC 03-2021-JUS/DGTAIPD (15/02/2021), párr. 19: el derecho fundamental a la protección de datos «persigue garantizar un poder de control sobre los datos personales, sobre su uso y destino». Lo distingue del derecho al secreto de las comunicaciones.

Sentido y alcance

Contiene diecinueve definiciones legales que rigen «para todos los efectos» de la Ley. El D. Leg. 1353 reordenó la lista, incorporó «Días» (hábiles), «Encargado de tratamiento de datos personales» (en lugar de «encargado del banco de datos») y «Encargo de tratamiento», y suprimió el párrafo final que permitía al reglamento desarrollar las definiciones.

Estructura

Norma definitoria. No crea obligaciones por sí misma: delimita a quién y a qué se aplican las demás normas.

Concordancias

Reglamento, art. III (definiciones complementarias), art. 41 (disociación).

Relación con el Reglamento

Datos sensibles. El Reglamento (art. III, numeral 6) define «datos sensibles» con una lista distinta: incluye los datos genéticos, neuronales y morales o emocionales, y no menciona el origen racial y étnico, los ingresos económicos, las opiniones o convicciones ni la vida sexual, que sí figuran en el numeral 5 de este artículo. El Reglamento declara que sus definiciones se aplican «complementariamente» a las de la Ley.

Medidas de seguridad. La Ley atribuye la determinación de las medidas de seguridad al titular del banco de datos (numeral 17). El Reglamento exige el documento de seguridad al «responsable del tratamiento» (art. 47), que define como quien «decide sobre la finalidad y medios del tratamiento», sin restringirse al titular del banco (art. III, numeral 22).

Notas

Tres definiciones delimitan quién está obligado: titular del banco de datos (numeral 17), encargado de tratamiento (numeral 7) y tratamiento (numeral 19), que incluye el almacenamiento y la conservación.

Doctrina

• Zamudio Salinas (2022, p. 68) da ejemplos de datos personales: «nombres; direcciones; correos electrónicos; estado civil; edad; números telefónicos; números de cuentas bancarias; ingresos económicos; ideología».
• Carrillo García, Alarcón Prieto y Bernales Mejía de Arata (2024, p. 9) describen los datos sensibles como aquellos que «merecen especial protección para garantizar la privacidad máxima de la persona».

Criterios de la Autoridad y del Tribunal Constitucional

• OC 024-2021-JUS/DGTAIPD (02/07/2021), párr. 13: los datos sensibles «requieren mayor protección, debido a que su vulneración ocasiona daños con mayor gravedad».

Sentido y alcance

La Ley se aplica a los datos contenidos o destinados a estar en bancos de datos públicos o privados, cuyo tratamiento se realiza en el territorio nacional, y declara a los datos sensibles «objeto de especial protección». Excluye los bancos creados para fines exclusivamente personales o familiares y los bancos públicos estrictamente necesarios para la defensa nacional, la seguridad pública y la investigación y represión del delito. El texto modificado por el D. Leg. 1353 reproduce el original.

Estructura

Norma de ámbito. Supuesto: dato en un banco de datos y tratamiento en el territorio nacional. Consecuencia: sujeción a la Ley. Las excepciones son taxativas.

Concordancias

Reglamento, art. IV (aplicación aun sin banco de datos), art. V (excepciones) y art. VI (aplicación extraterritorial).

Relación con el Reglamento

El Reglamento se aplica al tratamiento de datos «aun cuando no se encuentren en un banco de datos personales» (art. IV.1) y regula su aplicación a responsables no establecidos en el Perú (art. VI). El art. 3 de la Ley se refiere a datos en bancos de datos cuyo tratamiento se realiza en el territorio nacional.

Notas

El Reglamento tipifica como infracción grave el incumplimiento de las medidas de seguridad en el tratamiento de datos sensibles (art. 133.5), y como muy grave cuando además genera un perjuicio al titular o una exposición no autorizada (art. 134.4).

Doctrina

• Eguiguren Praeli (2015, p. 134): «Nos parece acertada la exclusión del ámbito de aplicación de la LPDP de los bancos de datos creados por personas naturales, para su uso personal o familiar».
• Eguiguren Praeli (2015, p. 135) advierte, sobre los bancos excluidos por defensa y seguridad, que «los titulares de dichos datos personales no podrán ejercer sus derechos».

Sentido y alcance

El tratamiento se rige por la ley, y se prohíbe recopilar datos «por medios fraudulentos, desleales o ilícitos».

Estructura

Principio que incorpora una regla prohibitiva sobre la recopilación.

Concordancias

Ley, art. 28.2 y art. 12. Reglamento, art. 134.1 (infracción muy grave).

Doctrina

• Zamudio Salinas (2022, p. 79): «cualquier actividad de tratamiento de los datos personales debe hacerse respetando lo establecido en la Ley y, por ende, el Reglamento».

Sentido y alcance

Regla general: todo tratamiento requiere el consentimiento del titular de los datos. Las excepciones están en el art. 14.

Estructura

Principio que opera como regla. Se dirige a quien trata los datos; las excepciones son de origen legal.

Concordancias

Ley, art. 13.5, 13.6, art. 14 y art. 28.1. Reglamento, art. 1 a art. 10 y art. 133.3 (infracción grave).

Notas

Cuando una misma conducta califica como más de una infracción, se aplica la multa de la infracción más grave; cuando son conductas independientes, se suman (art. 117 del Reglamento).

Doctrina

• Eguiguren Praeli (2015, p. 137): «la regla general contenida en la LPDP es que para el tratamiento de los datos personales se deberá contar con el consentimiento y la autorización previa y expresa del titular».

Criterios de la Autoridad y del Tribunal Constitucional

• OC 024-2021-JUS/DGTAIPD (02/07/2021), párr. 16: el consentimiento «debe ser previo, informado, expreso e inequívoco», y por escrito en el caso de datos sensibles.
• OC 027-2022-JUS/DGTAIPD (27/07/2022), párr. 13: la forma de solicitar el consentimiento expreso y por escrito «debe siempre implicar una acción por parte del interesado».
• STC 03700-2010-PHD/TC (Equifax, 07/08/2014): «el consentimiento expreso para el tratamiento de datos se constituye, hoy, en la piedra angular para la creación de bases de datos».
• Absolución de consulta de la DGPDP sobre el consentimiento en el envío de publicidad comercial (2014; cargo de recepción del 13/01/2015), párr. 6: «la necesidad del consentimiento previo, no significa la prohibición absoluta de contacto, puesto que de lo contrario no será posible obtener el consentimiento».

Sentido y alcance

Los datos se recopilan para una finalidad «determinada, explícita y lícita» y no pueden usarse para otra, salvo actividades de valor histórico, estadístico o científico con disociación o anonimización.

Estructura

Principio que opera como regla, con una excepción.

Concordancias

Ley, art. 28.3 y 28.4. Reglamento, art. 132.1, art. 133.6 y 133.7.

Doctrina

• Eguiguren Praeli (2015, p. 137): los datos «estarán destinados a un fin explícito, determinado y lícito, sin que puedan utilizarse en otros fines».
• Zamudio Salinas (2022, p. 81): «El principio de finalidad va a acompañar a todo el tratamiento del dato personal».

Criterios de la Autoridad y del Tribunal Constitucional

• OC 13-2025-DGTAIPD (11/03/2025), párr. 23: los datos de fuentes de acceso público «podrán utilizarse únicamente dentro del marco y/o finalidad para el cual dicha fuente fue creada».
• STC 03700-2010-PHD/TC (Equifax, 07/08/2014): una central de riesgos no puede registrar ni comercializar datos ajenos a la finalidad crediticia, como el domicilio, el teléfono o las ocupaciones laborales.

Sentido y alcance

Todo tratamiento debe ser «adecuado, relevante y no excesivo» respecto de la finalidad.

Estructura

Principio de minimización de datos.

Concordancias

Ley, art. 8 y art. 28.3. Reglamento, art. 132.1, art. 133.6 y art. 122.2 (medida correctiva de cese del tratamiento desproporcionado).

Doctrina

• Zamudio Salinas (2022, p. 81): «el parámetro de la proporcionalidad lo da la finalidad que habilitó el tratamiento».

Criterios de la Autoridad y del Tribunal Constitucional

• OC 046-2022-JUS/DGTAIPD (22/12/2022), párr. 13: los datos de un trabajador que una empresa entrega a un tercero deben ser «la mínima imprescindible para facilitar el contacto».
• OC 13-2025-DGTAIPD (11/03/2025), párr. 25: se debe analizar «en cada caso concreto la necesidad de requerir la información, en cumplimiento del principio de proporcionalidad».
• STC 03700-2010-PHD/TC (Equifax, 07/08/2014): registrar el domicilio, el teléfono y las ocupaciones laborales del demandante «acredita un ejercicio desproporcionado del tratamiento de datos».

Sentido y alcance

Los datos deben ser veraces, exactos, actualizados, necesarios, pertinentes y adecuados. La segunda oración añade una regla de conservación: deben conservarse «de forma tal que se garantice su seguridad» y solo por el tiempo necesario.

Estructura

Principio con dos reglas: calidad del dato y conservación segura y limitada en el tiempo.

Concordancias

Ley, art. 9, art. 16 y art. 28. Reglamento, art. 48 a art. 51 (conservación, respaldo y recuperación), art. 132.2 y 132.3.

Notas

Además de los arts. 9 y 16, este artículo contiene un deber de seguridad: conservar los datos «de forma tal que se garantice su seguridad». El Reglamento regula la conservación, el respaldo y la recuperación en el art. 48, dentro del capítulo de medidas de seguridad.

Doctrina

• Carrillo García, Alarcón Prieto y Bernales Mejía de Arata (2024, p. 64) reportan sanciones por infringir este principio por «tener desactualizado el banco de datos personales de clientes».

Criterios de la Autoridad y del Tribunal Constitucional

• Tribunal Constitucional, Exp. 02379-2015-PHD/TC (Pleno, 23/11/2016), FJ 7 y 8: a partir del art. 8, «toda entidad pública está obligada a custodiar los datos personales que sustentan sus actuaciones».

Sentido y alcance

Obliga al titular del banco de datos y al encargado del tratamiento a adoptar «las medidas técnicas, organizativas y legales necesarias para garantizar la seguridad». Fija el estándar: las medidas «deben ser apropiadas y acordes con el tratamiento que se vaya a efectuar y con la categoría de datos personales de que se trate».

Estructura

Sujetos: titular del banco y encargado. Supuesto: todo tratamiento. Consecuencia: deber de adoptar medidas necesarias, cuya suficiencia se mide con dos variables, el tipo de tratamiento y la categoría de datos. La sanción se remite al Título VII y al Reglamento.

Concordancias

Ley, art. 8, art. 16, art. 17 y art. 28. Reglamento, art. IX.2 (responsabilidad proactiva), art. 46 a art. 58 (medidas de seguridad), art. 132.6, art. 133.4, 133.5 y art. 134.4. Directiva de Seguridad de la Información (R.D. 019-2013-JUS/DGPDP).

Notas

El art. 9 obliga al titular del banco de datos y al encargado; el art. 16 menciona solo al titular del banco. El Reglamento desarrolla los controles de seguridad en los art. 46 a art. 58 y exige al responsable ser capaz de demostrar el cumplimiento (art. IX.2). El art. 38 de la Ley y los art. 133.4, 133.5 y art. 134.4 del Reglamento regulan la responsabilidad y las infracciones por incumplir las medidas de seguridad.

Doctrina

• Díaz (2026, p. 13), citando a Alvarado, explica que se busca un «nivel de seguridad equilibrado entre los riesgos, las técnicas de seguridad y el costo».
• Zamudio Salinas (2022, p. 82) precisa que las medidas «variarán si el tratamiento de la información se hace en un banco de datos o fuera de él».

Criterios de la Autoridad y del Tribunal Constitucional

• OC 024-2021-JUS/DGTAIPD (02/07/2021): interpreta la Directiva de Seguridad de 2013 y sus categorías de tratamiento: básico, simple, intermedio, complejo y crítico.
• R.D. 1169-2020-JUS/DGTAIPD-DPDP (31/07/2020, Exp. 130-2019-JUS/DGTAIPD-PAS), párr. 53: «La confidencialidad de los datos personales debe ser entendida también como uno de los fines de la seguridad».

Sentido y alcance

Garantiza al titular vías administrativas o jurisdiccionales para reclamar cuando el tratamiento de sus datos vulnere sus derechos.

Estructura

Principio de garantía.

Concordancias

Ley, art. 24, art. 25 y art. 37. Reglamento, art. 88 a art. 94 (procedimiento de tutela).

Doctrina

• Landa Arroyo (2017, p. 77): «mediante el proceso constitucional de hábeas data, establecido en el inciso 3 del artículo 200 de la constitución, se asegura la protección judicial del derecho a la autodeterminación informativa».

Sentido y alcance

Para el flujo transfronterizo exige un nivel «suficiente» de protección o, por lo menos, equiparable al de la Ley o a los estándares internacionales.

Estructura

Principio aplicable al flujo transfronterizo de datos.

Concordancias

Ley, art. 2 (definición de «nivel suficiente de protección») y art. 15. Reglamento, art. 18 a art. 21.

Notas

La definición legal de «nivel suficiente de protección» (art. 2) incluye medidas técnicas de seguridad y confidencialidad «apropiadas según la categoría de datos», en términos similares al art. 9.

Doctrina

• Sanz Salguero (2025, p. 147) señala que, entre los países latinoamericanos con ley de protección de datos, «solo Argentina y Uruguay han sido considerados seguros para la transferencia» por la Unión Europea (derecho comparado).

Criterios de la Autoridad y del Tribunal Constitucional

• OC 024-2021-JUS/DGTAIPD (02/07/2021), párr. 31: «una forma de flujo transfronterizo es el almacenamiento en la nube cuando los servidores se encuentran fuera del país».

Sentido y alcance

Obliga a titulares, encargados y «todos los que intervengan» a ajustarse a los principios; declara que la lista es enunciativa y les asigna tres funciones: criterio de interpretación, parámetro para elaborar normas y medio para suplir vacíos. El D. Leg. 1353 solo cambió «encargados de los bancos de datos» por «encargados de tratamiento de datos personales».

Estructura

Norma sobre normas: vincula directamente a los sujetos con los principios.

Concordancias

Reglamento, art. IX (añade los principios de transparencia y de responsabilidad proactiva). Ley, art. 15.

Notas

El Reglamento añade como principios «específicos» la transparencia y la responsabilidad proactiva (art. IX); esta última dispone que el titular o responsable «debe ser capaz de demostrar» el cumplimiento (art. IX.2). La tipificación de infracciones se realiza por vía reglamentaria (art. 38).

Doctrina

• Zamudio Salinas (2022, p. 70) recuerda que los principios son obligatorios y «son de manera enunciativa»; y (p. 77) que ajustar el tratamiento a ellos «persigue no dejar sin contenido a este derecho fundamental».
• Carrillo García, Alarcón Prieto y Bernales Mejía de Arata (2024, p. 18) resumen sus funciones: sirven «como criterios interpretativos para la aplicación de la normativa, el desarrollo de nuevas disposiciones y para cubrir vacíos legales».

Criterios de la Autoridad y del Tribunal Constitucional

• OC 13-2025-DGTAIPD (11/03/2025), párr. 15: las excepciones al consentimiento «no exoneran del cumplimiento de los demás principios y disposiciones establecidas en la LPDP y su reglamento».
• OC 07-2019-JUS/DGTAIPD-DPDP (06/02/2019), párr. 7: las excepciones del art. 14 «no exoneran a quien realice tratamiento de datos personales de cumplir con las demás disposiciones de la LPDP y su reglamento», como el principio de finalidad. Es el antecedente del criterio de la OC 13-2025.