Al terminar, podrás determinar si una organización debe designar un oficial de datos personales, desde qué fecha y cómo debe designarlo y comunicarlo a la Autoridad.
01Mapa del tema
Toda la figura cabe en un esquema: de dónde sale, quién debe designarla y desde cuándo, qué perfil exige, qué hace y qué posición tiene. Selecciona cada nodo para ver su detalle.
02De dónde sale la figura
La Ley 29733 no menciona al oficial de datos personales (ODP). Su base legal es el deber de adoptar medidas organizativas de seguridad (arts. 9 y 16) y la potestad normativa de la Autoridad (art. 33).
| Nivel | Norma | Qué aporta sobre el ODP |
|---|---|---|
| Ley | Ley 29733 (2011), modificada por el D. Leg. 1353 | Principio de seguridad (art. 9), medidas de seguridad (art. 16), directivas de la ANPD (art. 33) y multas (art. 39) |
| Reglamento | D.S. 016-2024-JUS, publicado el 30/11/2024, vigente desde el 30/03/2025 | Definición (art. III.17), obligados (art. 37), perfil (art. 38), funciones (art. 39), cronograma (Primera DCF) e infracción (art. 132.9) |
| Directiva | M6.DGTAIPD.DI.001, aprobada por R.D. 100-2025-JUS/DGTAIPD (30/12/2025), publicada en El Peruano el 31/12/2025 | Forma de la designación, «grandes volúmenes» (Anexo 1), perfil mínimo, independencia, garantías, conflicto de intereses, comunicación y suplencia |
| Sector público | Reglamento de la Ley de Gobierno Digital, D.S. 029-2021-PCM, art. 68.6 | El ODP de cada entidad es un funcionario o servidor designado por la máxima autoridad administrativa |
La Directiva no crea obligaciones nuevas: «desarrolla y precisa» lo que ya exige el Reglamento, según la ANPD en sus Preguntas y respuestas sobre la Directiva (pregunta 7). Por eso se aplica también a quien designó un ODP antes de que existiera.
La Directiva se aplica «de manera supletoria» en lo que no prevean normas de mayor jerarquía (num. 8.2). Si la Directiva y el Reglamento dicen cosas distintas, prevalece el Reglamento.
03Quién debe designarlo: art. 37
Están obligados el titular del banco de datos o responsable y el encargado de tratamiento que caigan en alguno de tres supuestos: ser entidad pública, tratar grandes volúmenes o tener los datos sensibles en su actividad principal.
Reglamento de la Ley 29733, art. 37
37.1 El titular del banco de datos personales o responsable y el encargado de tratamiento deben designar a un Oficial de Datos Personales cuando:
1. El tratamiento lo lleve a cabo una entidad pública, de conformidad con lo establecido en el párrafo 68.6 del artículo 68 del Reglamento del Decreto Legislativo Nº 1412 […], aprobado por Decreto Supremo N.º 029-2021-PCM.
2. El titular del banco de datos o responsable del tratamiento o el encargado de tratamiento realicen tratamientos de grandes volúmenes de datos personales, en cantidad o tipo de datos, o que pueda afectar a un gran número de personas o cuando se trate de datos sensibles o cuando se produzca un perjuicio evidente a otros derechos o libertades del titular del dato personal.
3. El titular del banco de datos o responsable de tratamiento o el encargado del tratamiento realicen actividades principales o de giro de negocio que comprendan el tratamiento de datos sensibles.
37.2 Un grupo empresarial puede nombrar un único Oficial de datos personales siempre que sea fácil contactarlo desde cada establecimiento.
37.3 Cuando el titular del banco de datos o el responsable del tratamiento sea una autoridad u organismo público, se puede designar un único Oficial de datos personales para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño.
37.4 El titular del banco de datos o el responsable o encargado del tratamiento debe publicar los datos de contacto del Oficial de datos personales en un lugar visible que permita a los titulares de datos personales tomar conocimiento de ello.
37.5 Los datos de contacto del Oficial de datos personales designado, y cualquier actualización, deben ser comunicados a la Autoridad Nacional de Protección de Datos Personales dentro de los 15 días siguientes a la designación o actualización respectiva.
| Elemento | Qué dice | Qué precisa la Directiva |
|---|---|---|
| Sujetos obligados | Titular del banco de datos, responsable y encargado de tratamiento | Alcanza los datos que gestiona internamente y los que trata por encargo (def. 15) |
| Supuesto 1 | Toda entidad pública | Una por entidad; la sede central cubre a las dependencias sin autonomía (7.1.3) |
| Supuesto 2 | Grandes volúmenes de datos | Cinco criterios y reglas de decisión (7.1.4 y Anexo 1): ver la sección siguiente |
| Supuesto 3 | Datos sensibles en la actividad principal o giro de negocio | Criterio autónomo, sin cálculo de volúmenes (7.1.5) |
| ODP compartido | Grupo empresarial (37.2) y varias entidades públicas (37.3) | El ODP del grupo puede estar en el Perú o en el extranjero, pero debe ser accesible (7.6.6) |
| Publicidad | Datos de contacto en un lugar visible (37.4) | Como mínimo, nombre completo y correo, en la política de privacidad o documento idóneo (7.7.2) |
| Comunicación | A la ANPD dentro de 15 días (37.5) | Por la mesa de partes virtual del Minjusdh, con nombre, DNI, cargo y contacto (7.6.1 y 7.6.2) |
La actividad principal. Es la que está en el objeto social y genera la principal fuente de ingresos o es esencial para la misión institucional (Directiva, def. 1). El supuesto 3 alcanza también el tratamiento de datos sensibles que, sin ser la actividad principal, es «inescindible» de ella (7.1.5.2). No alcanza el tratamiento «incidental, accesorio u ocasional» (7.1.5.5).
Quién no está obligado. La persona natural que trata datos «de manera personal, directa o aislada» en su oficio o profesión, aunque trate datos sensibles o de muchos titulares (7.2.4). Las excepciones solo cubren los bancos públicos de defensa nacional, seguridad pública e investigación del delito (7.2.2).
Una clínica privada trata historias clínicas: el dato de salud es sensible y es su giro de negocio. Debe designar ODP por el supuesto 3, sin importar cuántos pacientes tenga. Una consultora que guarda certificados médicos de sus 40 trabajadores trata datos sensibles de forma accesoria: no entra en el supuesto 3 y debe revisarse si califica por grandes volúmenes.
El encargado evalúa su propia organización. Para el supuesto 2, los criterios se aplican al encargado como organización, «y no respecto al tratamiento de datos que ejecuta, como encargado, a nombre del titular» (Anexo 1, num. 9.1.d).
Designación voluntaria. Quien no está obligado puede designar un ODP como buena práctica (6.7). Según la ANPD, se le aplica el mismo estándar de requisitos (Preguntas y respuestas, pregunta 3).
04Grandes volúmenes: el Anexo 1
El supuesto 2 se evalúa con cinco criterios. A, B y C son determinantes; D y E son moduladores y no bastan por sí solos.
| Criterio | Nivel alto | Nivel medio | Nivel bajo |
|---|---|---|---|
| A. Número de titulares únicos (clientes, trabajadores, prospectos) | 50 000 o más | 10 000 a 49 999 | Menos de 10 000 |
| B. Tratamientos individuales de datos sensibles (si hay más de 1000 titulares con datos sensibles) | Más de 5000 | 1000 a menos de 5000 | Más de 100 y menos de 1000 |
| C. Finalidad y riesgo (desde 20 tratamientos individuales) | Perfilamiento o scoring, telemarketing, decisiones automatizadas con efectos legales, geolocalización constante, vigilancia intensiva | Gestión administrativa continua, estadística con datos seudonimizados, back office masivo | Mero almacenamiento: nóminas pequeñas, directorios, registros puntuales |
| D. Frecuencia y duración (modulador) | Continuo, diario, 24/7 o conservación prolongada sin depurar | Periódico: semanal, mensual, campañas recurrentes | Puntual u ocasional |
| E. Ubicación (modulador) | Servidores o nube fuera del Perú, o accesos remotos habituales desde el extranjero | Servidores en el Perú, con accesos remotos internos | Local, sin exposición a internet ni proveedores extranjeros |
- Un determinante alto basta. Si A, B o C está en nivel alto, hay gran volumen, cualquiera sea D o E.
- Dos determinantes medios bastan. Si al menos dos de A, B y C están en nivel medio, hay gran volumen.
- Un determinante medio más un modulador. Si uno de A, B o C está en nivel medio y D o E está en nivel medio o alto, hay gran volumen.
- Tres determinantes bajos: no hay gran volumen. Aunque D o E estén altos (Anexo 1, num. 9.3).
Tratamiento individual es cada operación con una finalidad determinada sobre los datos de un titular. Las operaciones técnicas de soporte (validaciones, índices, copias de respaldo) no cuentan aparte (Anexo 1 y Preguntas y respuestas, pregunta 15). Dos algoritmos distintos aplicados al mismo banco de datos son dos tratamientos individuales, si persiguen finalidades distintas (pregunta 16).
Una fintech con 80 000 clientes y scoring crediticio: el criterio A está en nivel alto (50 000 o más) y el C también (perfilamiento). Califica por grandes volúmenes sin necesidad de mirar D ni E.
05Desde cuándo: los plazos
Las entidades públicas están obligadas desde que el Reglamento entró en vigencia, el 30 de marzo de 2025. Para los supuestos 2 y 3, la obligación entra en vigencia por tamaño de empresa, contada desde la publicación del Reglamento (30/11/2024).
Reglamento, Primera Disposición Complementaria Final. […] Las disposiciones previstas para el titular del banco de datos personales, responsable o encargado de tratamiento que se encuentren comprendidos en los supuestos previstos en los numerales 2 y 3 del párrafo 37.1 del artículo 37 del presente Reglamento, referidas a la designación del Oficial de datos personales, entran en vigencia de modo progresivo, de acuerdo al siguiente cronograma: […]
Una vez designado el ODP, hay 15 días hábiles para comunicarlo a la ANPD (art. 37.5).
El cronograma no exime: posterga. Una pequeña empresa cuyo giro es tratar datos de salud está en el supuesto 3, pero su obligación es exigible desde el 30/11/2027.
«15 días» son días hábiles. La Ley define «Días» como días hábiles (art. 2, modificado por el D. Leg. 1353), y el Reglamento la desarrolla.
Organizaciones sin fines de lucro. Las «ventas anuales» se entienden como sus ingresos por donaciones, subvenciones, presupuesto ejecutado o financiamiento recibido (Directiva 8.3).
Quien ya tenía ODP. Tiene 180 días calendario para adecuar la designación y las funciones a la Directiva (8.4). La norma menciona a las entidades públicas, pero la ANPD lo lee como un plazo general (Preguntas y respuestas, pregunta 7).
06Cómo se designa y se comunica
- Acto formal del máximo órgano de administración. En empresas, el documento propio de su régimen societario: acuerdo, resolución, acta o equivalente, verificable por la ANPD (Directiva 7.1.1 y 7.1.2).
- Comunicación interna y publicación externa. Afuera, como mínimo, el nombre completo y un correo del ODP, en la política de privacidad o documento idóneo (7.7.1 y 7.7.2; Reglamento 37.4).
- Comunicación a la ANPD en 15 días hábiles. Por la mesa de partes virtual del Minjusdh, dirigida a la DGTAIPD, con nombres y apellidos, DNI, cargo o rol y datos de contacto (Reglamento 37.5; Directiva 7.6.1 y 7.6.2).
- Mantener los datos al día. Cada actualización se comunica en el mismo plazo (37.5). Si la obligación deja de ser exigible por cese o cambio de los tratamientos, se avisa a la ANPD en 10 días hábiles (8.5).
Grupos empresariales. Pueden designar un ODP común para todas o algunas de sus empresas, en el Perú o en el extranjero, siempre que sea accesible para la ANPD y para cada empresa (Reglamento 37.2; Directiva 7.6.6). Empresas de FONAFE: un ODP por cada empresa adscrita, incluido el propio fondo (Directiva 3.3).
07Caso resuelto
HechosUna cadena de gimnasios con ventas de 2000 UIT tiene 18 000 socios. Registra su huella dactilar para el acceso y una ficha médica de cada uno. Sus servidores están en la nube, fuera del Perú.
Pregunta¿Debe designar un oficial de datos personales y desde cuándo?
Ver solución
Supuesto 3El dato biométrico y la ficha médica son datos sensibles. El control de acceso por huella y la ficha médica forman parte de la prestación del servicio, no son un tratamiento ocasional: es razonable sostener que son inescindibles de su actividad (Directiva 7.1.5.2).
Supuesto 2Criterio A: 18 000 titulares, nivel medio. Criterio B: más de 1000 titulares con datos sensibles y al menos 18 000 tratamientos individuales, porque el registro de cada socio cuenta como uno (Preguntas y respuestas, pregunta 16): nivel alto. Basta un determinante alto (Anexo 1, num. 9.3).
FechaEs mediana empresa (más de 1700 hasta 2300 UIT): la obligación es exigible desde el 30/11/2026.
DespuésActo formal del directorio o la gerencia general, publicación del nombre y el correo del ODP en la política de privacidad y comunicación a la ANPD en 15 días hábiles.
08Autoevaluación
Responde las preguntas. Cada respuesta incluye un comentario.
Qué perfil exige la norma, qué hace el ODP y qué no, cómo se evita el conflicto de intereses y quién responde ante la ANPD.
09Fuentes
- Ley 29733 y su Reglamento, D.S. 016-2024-JUS, en las normas actualizadas de SIZIGIA Academy (SPIJ, versión del 25/09/2026).
- Resolución Directoral N.º 100-2025-JUS/DGTAIPD, 30/12/2025 (El Peruano, 31/12/2025).
- Directiva que establece disposiciones para la designación, desempeño y funciones del Oficial de Datos Personales, M6.DGTAIPD.DI.001, versión 01.
- ANPD, Preguntas y respuestas en relación a la directiva del ODP · página de la norma en gob.pe.
- Reglamento de la Ley de Gobierno Digital, D.S. 029-2021-PCM, art. 68.6 (citado según el Reglamento de la Ley 29733 y la ANPD).
Este texto es material académico de divulgación y no constituye asesoría legal para un caso concreto.