Oficial de datos personales en Perú: guía 2026

El Oficial de Datos Personales es la persona que asesora y supervisa que tu empresa cumpla la Ley 29733. El reglamento (DS 016-2024-JUS) lo exige a entidades públicas, a empresas que tratan grandes volúmenes de datos y a las que tienen como giro principal los datos sensibles, con fechas escalonadas según tus ventas anuales en UIT. Su designación se comunica a la Autoridad dentro de los 15 días siguientes.

Aviso: esta es una guía informativa y no es asesoría legal. Para decidir si tu empresa está obligada y a quién designar, consulta con un abogado especialista en protección de datos.

En resumen

No toda PYME debe tener un Oficial. Es obligatorio solo si tratas grandes volúmenes de datos personales, si tu giro principal exige datos sensibles (una clínica, por ejemplo) o si eres entidad pública.
Las fechas dependen de tus ventas anuales: 30 de noviembre de 2025, 2026, 2027 o 2028, según el tramo en UIT. Con la UIT de 2026 (S/ 5 500), el tramo de más de S/ 9 350 000 hasta S/ 12 650 000 vence el 30 de noviembre de 2026, en 27 días.
Puede ser alguien de tu equipo o un externo. Debe tener experiencia y formación acreditadas y no recibir instrucciones sobre sus opiniones técnicas.
No designarlo a tiempo es infracción leve: multa de hasta 5 UIT (S/ 27 500 con la UIT de 2026).
La designación es un acto formal y se comunica a la Autoridad Nacional de Protección de Datos Personales (ANPD).

¿Qué es el Oficial de Datos Personales?

Es la figura que el reglamento de la Ley 29733 creó dentro de las empresas y entidades. No es el dueño de los datos ni decide qué se hace con ellos: asesora y supervisa que quien sí decide (tu empresa) cumpla la norma. Su base es el artículo 37 del DS 016-2024-JUS, publicado el 30 de noviembre de 2024. La guía general de la Ley 29733 para empresas que usan chatbots explica el resto del reglamento.

El 31 de diciembre de 2025 se publicó en El Peruano la Directiva aprobada por la Resolución Directoral 100-2025-JUS/DGTAIPD. Esa directiva precisa cuándo hay que designarlo, qué perfil debe tener, qué hace y con cuánta independencia.

¿Quién está obligado a designar un Oficial de Datos Personales?

Según el artículo 37 del reglamento y la directiva, deben designarlo:

Las entidades públicas, como regla general.
Las empresas privadas que tratan grandes volúmenes de datos personales, que puedan afectar a muchas personas o que manejen datos sensibles.
Las empresas cuya actividad principal requiere tratar datos sensibles. Garrigues y Cuatrecasas citan como ejemplos clínicas, aseguradoras, laboratorios y empresas de seguridad.

¿Cómo se mide un "gran volumen"? Según El Peruano, la directiva considera el número de titulares, la sensibilidad o tipología del dato y la finalidad del tratamiento o el riesgo asociado. Según Garrigues, además hay criterios complementarios, como la frecuencia o duración y el ámbito territorial, y basta con que uno de los criterios principales salga en nivel alto, o con que varios salgan en nivel medio. El Peruano agrega que la norma busca que las micro y pequeñas empresas sin tratamientos intensivos o de alto impacto no enfrenten cargas innecesarias.

¿Desde cuándo es obligatorio? El cronograma por ventas en UIT

El reglamento escalona la fecha límite según las ventas anuales de la empresa. Recalculamos los montos con la UIT de 2026, que es de S/ 5 500 (DS 301-2025-EF):

Ventas anuales	En soles (UIT 2026)	Fecha límite para designar
Más de 2 300 UIT	Más de S/ 12 650 000	30 de noviembre de 2025
Más de 1 700 y hasta 2 300 UIT	Más de S/ 9 350 000 y hasta S/ 12 650 000	30 de noviembre de 2026
Más de 150 y hasta 1 700 UIT	Más de S/ 825 000 y hasta S/ 9 350 000	30 de noviembre de 2027
Hasta 150 UIT	Hasta S/ 825 000	30 de noviembre de 2028

(La conversión a soles es cálculo propio.) Estas fechas solo aplican si estás en alguno de los supuestos del artículo 37. Si no lo estás, no hay fecha porque no hay obligación.

Hay un matiz con el plazo de 180 días. La directiva rige desde el 1 de enero de 2026 y su numeral 8.4 da 180 días calendario de adecuación, que vencieron a fines de junio de 2026 (el 30 de junio según Garrigues y TYTL; el 29 de junio según LexLatin). Según TYTL, que resume la posición de la ANPD, ese plazo sirve para que quienes ya tenían un Oficial ajusten su designación al perfil de la directiva, y no amplía designaciones previas. Garrigues lo presenta como el plazo para las empresas de más de 2 300 UIT. No encontré una norma que mueva las fechas de los otros tramos, y LexLatin los sigue listando intactos. La lectura prudente es no esperar al último día.

La ANPD publica desde el 13 de abril de 2026 un listado de oficiales de datos personales (Garrigues), así que cualquiera puede revisar si tu empresa ya comunicó el suyo.

¿Qué funciones tiene el Oficial de Datos Personales?

Según los resúmenes de la directiva (CMS, Rubio Leguía Normand y Cuatrecasas) y de LexLatin sobre el reglamento, sus funciones son:

Asesorar y supervisar el cumplimiento de la normativa de protección de datos.
Orientar y coordinar la atención de los derechos ARCO (acceso, rectificación, cancelación y oposición).
Capacitar al personal y promover una cultura de protección de datos.
Recoger información de las áreas internas para verificar el cumplimiento y preparar informes.
Cooperar con la ANPD y ser su punto de contacto en temas de tratamiento de datos.

Dos puntos clave de la directiva:

Independencia funcional. El Oficial no recibe instrucciones sobre el contenido de sus opiniones y recomendaciones técnicas (Rubio y La Cámara). Garrigues agrega que se deben gestionar los conflictos de intereses.
La responsabilidad no se traslada. Según El Peruano, designarlo no exime ni traslada la responsabilidad de la empresa: el Oficial asesora y supervisa, y la empresa sigue siendo responsable. Según Garrigues, el Oficial responde además por sus propios actos u omisiones con dolo o negligencia.

Una consecuencia práctica, y esto es lectura nuestra, no texto de la norma: si el Oficial debe actuar con independencia, designar al dueño o al jefe de marketing que decide para qué se usan los datos puede generar un conflicto. Pídele a tu abogado que lo evalúe.

¿Qué perfil debe tener?

La directiva pide experiencia y formación acreditadas. Según CMS, Rubio y Garrigues:

Requisito	Qué piden
Experiencia general	Mínimo 2 años en labores de protección de datos y materias afines (por ejemplo, seguridad de la información, ciberseguridad, gobierno digital)
Experiencia específica	Mínimo 1 año en protección de datos personales
Formación	Estudios de posgrado, o certificación de al menos 90 horas, o diplomado de al menos 120 horas
Idoneidad ética	Sin antecedentes penales por delitos dolosos ni sanciones por faltas éticas ligadas al manejo de información

La Cámara redacta la experiencia como "2 años generales o 1 específico", mientras que CMS y Garrigues piden ambas. Hasta leer el texto completo de la directiva, planifica con el requisito más exigente.

¿Puede ser un externo o un servicio tercerizado?

Sí. Según Cuatrecasas, el Oficial debe ser una persona natural, aunque puede ser contratada a través de una persona jurídica externa. Si es externo:

El contrato debe fijar parámetros de accesibilidad para que pueda cumplir sus funciones (Garrigues).
Tu empresa sigue siendo la responsable.

También puede ser alguien de tu equipo que cumpla el perfil y no tenga conflicto de intereses.

¿Cómo se designa y cómo se comunica a la Autoridad?

Designación formal. Según El Peruano, el Oficial debe ser designado mediante un acto formal que corresponda al régimen societario interno de la empresa. Cuatrecasas añade que lo adopta el órgano de administración de mayor nivel. Guarda el acta o resolución para mostrarla a la ANPD.
Datos visibles. Según El Peruano, la empresa debe informar públicamente quién es su Oficial, con al menos su nombre y correo de contacto, disponibles en la política de privacidad.
Comunicación a la ANPD. Se hace por la mesa de partes virtual del Ministerio de Justicia y Derechos Humanos, con nombre completo, documento de identidad, cargo o rol y datos de contacto del Oficial (Cuatrecasas). El plazo viene del artículo 37 del reglamento: los datos de contacto deben comunicarse "dentro de los 15 días siguientes a la designación", según el texto reproducido por Informática Jurídica.

Una advertencia: ese texto no aclara si los 15 días son calendario o hábiles. La Cámara los lee como calendario y CMS como hábiles. No pude abrir el texto oficial completo del reglamento. Cuenta como si fueran calendario y confirma con tu abogado.

¿Qué pasa si no designo un Oficial y me corresponde?

Según El Peruano, la falta de designación dentro del plazo exigible es una infracción leve, sancionable con multa de hasta 5 UIT. IAPP indica que el reglamento la lista entre las infracciones leves (artículo 132). La escala de la Ley 29733 (artículo 39) y su equivalente con la UIT de 2026:

Infracción	Multa en UIT	Equivale a
Leve	0,5 hasta 5	S/ 2 750 hasta S/ 27 500
Grave	Más de 5 hasta 50	Más de S/ 27 500 hasta S/ 275 000
Muy grave	Más de 50 hasta 100	Más de S/ 275 000 hasta S/ 550 000

Ninguna multa puede exceder el 10 % de los ingresos brutos anuales del infractor en el ejercicio anterior. El monto final lo fija la autoridad.

Sin Oficial, nadie vigila lo demás (consentimiento, derechos ARCO, aviso de incidentes), y esas faltas sí pueden ser graves. Para el registro del banco de datos, revisa la guía sobre cómo registrar tu banco de datos personales.

Checklist para una PYME

Calcula tus ventas anuales y conviértelas a UIT (divide entre S/ 5 500). Ubica tu tramo y tu fecha.
Revisa si estás en un supuesto del artículo 37: ¿tratas muchos datos de muchas personas? ¿tu giro principal usa datos de salud u otros sensibles?
Si dudas, pide un dictamen escrito a tu abogado y guárdalo.
Elige al Oficial: persona de tu equipo sin conflicto de intereses, o un externo con contrato.
Verifica su perfil: experiencia, formación acreditada y sin antecedentes éticos.
Formaliza la designación con un acta o resolución interna.
Comunícala a la ANPD dentro de los 15 días siguientes, por la mesa de partes virtual del Ministerio. Cuéntalos como calendario.
Publica su nombre y correo en tu política de privacidad.
Dale acceso al canal de derechos ARCO y al registro de incidentes.
Revisa cada año, y cuando cambie tu volumen de datos o contrates un CRM o chatbot nuevo.

Preguntas frecuentes

¿Mi microempresa necesita un Oficial de Datos Personales?

Solo si está en alguno de los supuestos del artículo 37 (grandes volúmenes o giro principal con datos sensibles). Lo escalonado por ventas es la fecha, no la obligación. Si estás en los supuestos y facturas hasta 150 UIT, la fecha límite es el 30 de noviembre de 2028.

¿Puede ser el gerente o el dueño?

No lo pude confirmar en el texto oficial. La directiva pide independencia funcional, y si el dueño decide para qué se usan los datos, puede haber un conflicto. Consúltalo con tu abogado.

¿Cuál es el tope de una multa?

Hasta 100 UIT (S/ 550 000 con la UIT de 2026) en las infracciones muy graves, y nunca más del 10 % de los ingresos brutos anuales del ejercicio anterior. La infracción por no designar al Oficial es leve: hasta 5 UIT.

¿Se puede ver quién ya designó su Oficial?

Sí. Según Garrigues, desde el 13 de abril de 2026 la ANPD publica un listado de oficiales de datos personales.

¿Cómo empezar?

Si ya tienes claro tu tramo y tu Oficial, lo siguiente es ordenar el flujo de datos de tus canales: WhatsApp, CRM y formularios. Si quieres ver un agente de WhatsApp con aviso de privacidad y consentimiento guardado, escríbenos por contacto. El cumplimiento legal final lo define tu abogado.

Oficial de Datos Personales en Perú: quién debe designarlo, desde cuándo, qué funciones tiene y qué multa arriesgas si no lo haces