Al terminar, podrás evaluar si una persona cumple el perfil de oficial de datos personales, qué debe hacer y qué no, cómo se protege su independencia y quién responde ante la Autoridad.
01Mapa del tema
Esta parte desarrolla el lado derecho e inferior del mapa: perfil, funciones y posición del ODP. Selecciona cada nodo para ver su detalle.
02El perfil: art. 38
El ODP debe acreditar conocimientos y práctica en protección de datos. Puede tener otras funciones en la organización y, en el sector privado, puede ser externo.
Reglamento, art. 38
38.1 El Oficial de datos personales es designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos y práctica en materia de protección de datos personales, debidamente acreditados, lo cual le debe permitir desempeñar eficientemente las funciones del artículo 39 del presente Reglamento.
38.2 El Oficial de datos personales puede ser una persona que desempeñe otras funciones en la empresa, entidad pública, sin que sea necesario que desempeñe con exclusividad las funciones vinculadas a su designación, pudiendo incluso ser una persona externa a la organización privada.
| Requisito | Reglamento | Directiva |
|---|---|---|
| Quién | No lo precisa | Siempre una persona natural; puede actuar a través de una persona jurídica (7.3.2) |
| Experiencia general | «Práctica» acreditada | Mínimo 2 años en protección de datos o materias afines: seguridad de la información, ciberseguridad, gobierno digital, IA (7.3.3.1) |
| Experiencia específica | «Práctica» acreditada | Mínimo 1 año en protección de datos, continua o acumulada, nacional o internacional (7.3.3.2) |
| Formación | «Conocimientos» acreditados | Posgrado o grado afín; o certificado (90 horas) o diplomado (120 horas); o docencia o investigación en la materia (7.3.4) |
| Conocimientos | No lo precisa | Indispensable: normas internas de la organización. Orientativo: el sector y su regulación (7.3.5.1 y 7.3.5.2) |
| Idoneidad ética | No lo precisa | Sin condena firme por delito doloso, sin sanción o inhabilitación vigente, sin investigación o condena por delitos informáticos, sin sanción por faltas éticas en manejo de información (7.3.6.1) |
| Dedicación | No exclusiva | Igual; con suplencia temporal para vacancia o licencia (8.6) |
| Interno o externo | Externo, solo en organizaciones privadas | Si es externo, el contrato debe garantizar las condiciones para cumplir sus funciones (7.5.4) |
La ANPD distingue dos planos en sus Preguntas y respuestas. Conocimientos y experiencia práctica son concurrentes: hacen falta ambos (pregunta 5). Las vías para acreditar la formación son alternativas: basta una (preguntas 8 y 9).
Una abogada con dos años en cumplimiento normativo, de los cuales uno en protección de datos, y un diplomado de 120 horas en la materia cumple el perfil. Un ingeniero de sistemas con cinco años en ciberseguridad y un certificado de 90 horas en protección de datos también puede cumplirlo, si acredita un año de experiencia específica en la materia.
Entidades públicas. El ODP debe ser funcionario o servidor de la entidad, designado por la máxima autoridad administrativa. Puede ser el jefe de Asesoría Jurídica o de Tecnologías de la Información, pero no tiene que serlo (D.S. 029-2021-PCM, art. 68.6; Preguntas y respuestas, pregunta 6).
Los umbrales admiten ajustes. Según la ANPD, 90 y 120 horas acreditan la formación sin prueba en contrario, y el verbo «puede» le permite evaluar ajustes razonables (pregunta 10). Los certificados no caducan (pregunta 11); un crédito extranjero equivale a 16 horas como mínimo (pregunta 12).
Combinar el cargo con otro puesto. El art. 38.2 permite otras funciones, pero no cualquiera: ver Conflicto de intereses.
03Las funciones: art. 39
El ODP asesora, verifica, coopera con la Autoridad y es su punto de contacto. No decide los tratamientos ni los ejecuta.
Reglamento, art. 39
39.1 El Oficial de datos personales tiene como mínimo las siguientes funciones:
1. Informar y asesorar al titular del banco de datos personales o al responsable del tratamiento y a los empleados que se ocupen del tratamiento de los datos personales respecto de las obligaciones que les incumben en virtud de la Ley, el presente Reglamento y de otras disposiciones de protección de datos.
2. Verificar e informar sobre el cumplimiento de lo dispuesto en la Ley, el presente Reglamento y de otras disposiciones de protección de datos personales, así como del cumplimiento de las políticas del titular del banco de datos o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la sensibilización y formación del personal que participa en las operaciones de tratamiento, y las auditorías que se realicen.
3. Cooperar, en lo que resulte pertinente, con la Autoridad Nacional de Protección de Datos Personales para el desempeño de sus fines y atribuciones.
4. Actuar como punto de contacto de la Autoridad Nacional de Protección de Datos Personales para cuestiones relativas al tratamiento de datos personales.
39.2 El Oficial de datos personales desempeña sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento de datos personales, teniendo en cuenta la naturaleza, el alcance, el contexto y fines de tal tratamiento.
| Función (art. 39.1) | Destinatario | Cómo la concreta la Directiva |
|---|---|---|
| 1. Informar y asesorar | Titular o responsable y sus empleados | Orienta la metodología, el inventario de tratamientos y la formación (7.4.3); asesora en la evaluación de impacto (7.4.2) y en la atención de derechos ARCO (7.4.11) |
| 2. Verificar e informar | La organización | Recaba información de las áreas, la contrasta con la Ley y el Reglamento e informa a la alta dirección (7.4.4 c, d y e) |
| 3. Cooperar | La ANPD | Articula con la ANPD y con los actores de confianza y gobierno digital (7.5.3) |
| 4. Punto de contacto | La ANPD | Accesible de forma inmediata; si es externo, la persona natural designada es siempre el contacto (7.6.7 y 7.6.8) |
La lista es un mínimo. La Directiva agrega: coordinar la capacitación, gestionar un equipo de apoyo cuando la magnitud lo exija, revisar las resoluciones y guías de la ANPD y promover una cultura de protección de datos (7.4.4). El ODP también aparece en la notificación de incidentes: su nombre y contacto son parte de su contenido (Reglamento, art. 34).
Marketing quiere lanzar una campaña de llamadas con una base comprada. El ODP debe ser consultado antes (Directiva 7.7.3), revisa el origen del consentimiento y emite su recomendación. Si la gerencia decide seguir, se deja constancia de que no siguió la recomendación (7.7.4). La decisión y la responsabilidad son de la empresa.
Lo que el ODP no hace. No determina la finalidad, el contenido ni los medios del tratamiento, ni lo ejecuta (Directiva 6.4).
Confidencialidad. Guarda reserva sobre lo que conoce, bajo responsabilidad administrativa, civil o penal (7.4.6). La reserva no alcanza la rendición de cuentas a quien lo designó, salvo la identidad de quien denuncia hechos (7.4.9).
Autorrevisión. Quien verifica el cumplimiento no debería ser quien decidió o ejecuta el tratamiento verificado: ver Conflicto de intereses.
04Independencia y garantías
La Directiva protege el criterio técnico del ODP frente a la organización que lo designa, sin cambiar su lugar en el organigrama.
| Regla | Qué significa | Directiva |
|---|---|---|
| Independencia funcional | Nadie puede instruirlo sobre el contenido de sus opiniones o recomendaciones | 7.3.5.3 |
| Jerarquía intacta | La independencia no modifica la dependencia jerárquica ni la estructura | 7.3.5.4 |
| Sin represalias | No puede ser sancionado, removido ni perjudicado por el contenido de sus informes, sea servidor o tercero | 7.3.5.5 |
| Reporte al más alto nivel | Reporta funcionalmente a la máxima autoridad de administración | 7.3.5.6 |
| Garantías mínimas | Infraestructura, financiamiento y formación; acceso a la información; consulta oportuna en decisiones que afecten datos | 7.8.1 |
| Constancia del desacuerdo | Si no se siguen sus recomendaciones, se deja constancia expresa | 7.7.4 |
La independencia no lo exime de responsabilidad: responde por dolo, negligencia o incumplimiento de sus funciones, según su régimen (Código de Ética de la Función Pública o contrato) (7.3.5.7).
05Conflicto de intereses: autorrevisión, incompatibilidad y sesgo
El ODP «no debe incurrir en situaciones que hagan inviable dicho desempeño por un conflicto de intereses» (Directiva 7.9.1). Hay conflicto cuando sus intereses personales, profesionales o económicos interfieren «en el cumplimiento objetivo e independiente de sus funciones» (7.9.2). Detrás de esa regla hay tres riesgos distintos.
| Riesgo | Qué es | Base en la norma | Ejemplo |
|---|---|---|---|
| Autorrevisión | El ODP verifica tratamientos que él mismo decidió o ejecuta | El ODP no determina ni ejecuta los tratamientos (6.4); su función es verificar e informar (Reglamento 39.1.2; Directiva 7.4.4 d y e) | El jefe de TI que diseñó el sistema de videovigilancia y, como ODP, debe informar si cumple la norma |
| Incompatibilidad | Puestos cuya función choca con la del ODP | La organización identifica los «puestos sensibles o incompatibles», con la Ley 31564 como referencia (7.9.5); el Reglamento permite otras funciones, no cualquiera (38.2) | El gerente comercial que dirige las campañas de telemarketing |
| Sesgo | Intereses que inclinan el criterio técnico | Conflicto de intereses (7.9.2); independencia (7.3.5.3); sin represalias (7.3.5.5) ni instrucciones sobre su criterio (7.8.1) | El ODP externo que, a la vez, vende a la empresa el software cuyo cumplimiento debe evaluar |
Cómo se gestiona. Si el conflicto surge después de la designación, la organización adopta medidas correctivas o preventivas hasta que cese (7.9.3). Si no se resuelve en el corto plazo, sustituye al ODP (7.9.4).
La Directiva no usa las palabras «autorrevisión» ni «sesgo»: son nombres para los riesgos que la regla de conflicto de intereses busca evitar. En entidades públicas, la ANPD admite que el ODP sea el jefe de Asesoría Jurídica o de TI, sin que sea obligatorio (Preguntas y respuestas, pregunta 6); la compatibilidad del cargo se evalúa igual con el num. 7.9.
El Grupo de Trabajo del Artículo 29, en sus Directrices sobre los delegados de protección de datos (WP 243 rev.01, 2017, apartado 3.5), señaló que, como regla general, pueden ser incompatibles los cargos de alta dirección y las jefaturas de marketing, recursos humanos o TI, y también cargos de menor nivel si llevan a decidir fines y medios del tratamiento.
El Tribunal de Justicia de la Unión Europea, en la sentencia de 9 de febrero de 2023, X-FAB Dresden (C-453/21), declaró que puede haber conflicto cuando al delegado se le encomiendan otras funciones que lo llevan a determinar los fines y medios del tratamiento, y que debe apreciarse caso por caso (fallo, punto 2; apartados 44 y 45).
Estos criterios no obligan en el Perú; sirven para interpretar el num. 7.9 de la Directiva.
06Responsabilidad e infracciones
No designar al ODP cuando corresponde es una infracción leve, con multa de 0,5 a 5 UIT. La responsabilidad por el tratamiento sigue siendo de quien designa al ODP.
Reglamento, art. 132. Son infracciones leves, las siguientes: […] 9. No designar al Oficial de Datos Personales, cuando así corresponda.
Ley 29733, art. 39.1. Las infracciones leves son sancionadas con una multa mínima desde cero coma cinco de una unidad impositiva tributaria (UIT) hasta cinco unidades impositivas tributarias (UIT).
| Pregunta | Respuesta | Fuente |
|---|---|---|
| Qué se sanciona | No designar al ODP cuando corresponde | Reglamento, art. 132.9 |
| A quién | Al obligado: titular, responsable o encargado | Reglamento, art. 37.1 |
| Cuánto | De 0,5 a 5 UIT; nunca más del 10 % de los ingresos brutos del año anterior | Ley, art. 39 |
| ¿Traslada responsabilidad al ODP? | No: la designación no transfiere ni exonera las obligaciones del obligado | Directiva 6.5 |
| ¿Responde el ODP? | Por dolo, negligencia o incumplimiento de sus funciones, según su régimen | Directiva 7.3.5.7 |
La infracción tipificada es no designar. El Reglamento no tipifica por separado no publicar los datos de contacto, no comunicarlos o designar a alguien sin el perfil. Según la ANPD, un perfil inadecuado puede valorarse cuando evidencie la ausencia o ineficacia de medidas organizativas de seguridad (Preguntas y respuestas, pregunta 4); en ese caso, las infracciones aplicables son las de seguridad: arts. 132.6, 133.4, 133.5 y 134.4.
Concurso. Si una misma conducta califica como varias infracciones, se aplica la multa de la más grave; si son conductas independientes, se suman, hasta el doble de la más grave (Reglamento, art. 117).
07Criterios de la Autoridad y doctrina
El criterio más completo de la ANPD está en sus Preguntas y respuestas sobre la Directiva. No ubicamos todavía resoluciones sancionadoras sobre el art. 132.9.
| Tema | Criterio de la ANPD | Pregunta |
|---|---|---|
| Designación voluntaria | Mismo estándar de requisitos que la obligatoria | 3 |
| Perfil inadecuado | No configura por sí solo una infracción; se evalúa por su impacto en la seguridad | 4 |
| Conocimientos y práctica | Concurrentes: «no basta la sola formación teórica ni la experiencia desvinculada de la materia» | 5 |
| Entidad pública con ODP sin perfil | No invalida la designación; se adecua de forma progresiva | 6 |
| Plazo de 180 días | Plazo general de adecuación, también para organizaciones y empresas | 7 |
| Vías de formación | Alternativas: basta acreditar una | 8 y 9 |
| Tratamiento individual | Cada operación con una finalidad sobre los datos de un titular | 15 y 16 |
La estructura de los arts. 37 a 39 sigue la del delegado de protección de datos del Reglamento General de Protección de Datos de la Unión Europea (arts. 37 a 39): supuestos de designación obligatoria, delegado único para un grupo empresarial, perfil por cualidades profesionales y funciones mínimas con enfoque de riesgo.
08Caso resuelto y preguntas frecuentes
HechosUna empresa contrata como ODP externo a un abogado de un estudio. El abogado recomienda no usar una base de datos comprada; la gerencia lo ignora y, a la semana siguiente, le comunica que resolverá su contrato «por pérdida de confianza».
Pregunta¿Puede hacerlo? ¿Quién responde si la ANPD sanciona el uso de la base?
Ver solución
RepresaliaEl ODP no puede ser removido ni sufrir represalias por el contenido de sus recomendaciones, sea servidor o tercero (Directiva 7.3.5.5). Resolver el contrato por esa razón contradice la Directiva.
ConstanciaLa empresa debió dejar constancia de que no siguió la recomendación (7.7.4).
ResponsabilidadResponde la empresa: la designación no traslada sus obligaciones (6.5). Si designa a otro ODP, debe comunicar la actualización a la ANPD en 15 días hábiles (Reglamento 37.5).
| Pregunta | Respuesta breve | Base |
|---|---|---|
| ¿El ODP puede ser una empresa? | No: la designación recae siempre en una persona natural, aunque actúe a través de una persona jurídica | Directiva 7.3.2 |
| ¿Debe vivir en el Perú? | No necesariamente; debe ser contactable dentro del ámbito de la Ley | Directiva 7.6.4 |
| ¿Puede ser el gerente de TI o el jefe legal? | Puede, si cumple el perfil y su puesto no lo lleva a decidir los tratamientos que debe verificar. La organización debe identificar los puestos incompatibles | Reglamento 38.2; Directiva 6.4 y 7.9 |
| ¿Atiende él los derechos ARCO? | Orienta y supervisa a la unidad responsable; la atención es de la organización | Directiva 7.4.10 y 7.4.11 |
| ¿Un grupo empresarial necesita uno por empresa? | No: puede designar un ODP común, accesible para cada empresa y para la ANPD | Reglamento 37.2; Directiva 7.6.6 |
09Autoevaluación
Responde las preguntas. Cada respuesta incluye un comentario.
10Fuentes
- Ley 29733 y su Reglamento, D.S. 016-2024-JUS, en las normas actualizadas de SIZIGIA Academy (SPIJ, versión del 25/09/2026).
- Resolución Directoral N.º 100-2025-JUS/DGTAIPD, 30/12/2025 (El Peruano, 31/12/2025).
- Directiva que establece disposiciones para la designación, desempeño y funciones del Oficial de Datos Personales, M6.DGTAIPD.DI.001, versión 01.
- ANPD, Preguntas y respuestas en relación a la directiva del ODP · página de la norma en gob.pe.
- Reglamento de la Ley de Gobierno Digital, D.S. 029-2021-PCM, art. 68.6 (citado según el Reglamento de la Ley 29733 y la ANPD).
- Carrillo García, G. V.; Alarcón Prieto, N. J.; Bernales Mejía de Arata, L. R. (2024). El rol del Oficial de Datos Personales en el Perú. Lima: UPC.
- Grupo de Trabajo del Artículo 29, Directrices sobre los delegados de protección de datos, WP 243 rev.01, 2017, apartado 3.5 · TJUE, X-FAB Dresden, C-453/21, 9/02/2023.
Este texto es material académico de divulgación y no constituye asesoría legal para un caso concreto.