Por: Ivan Bejarano Olivares
Consultor en Innovación y Transformación Digital
En el vertiginoso camino hacia la digitalización y la adopción masiva de algoritmos, existe una tentación recurrente: ver a los datos únicamente como «el nuevo petróleo» o la materia prima para entrenar modelos de Inteligencia Artificial (IA). Sin embargo, ningún ecosistema digital puede prosperar si destruye su activo más valioso: la confianza ciudadana y de los clientes.
En el Perú, la piedra angular que garantiza este equilibrio ético y legal es la Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento (Decreto Supremo N° 003-2013-JUS). En este artículo, exploro los elementos clave de esta norma, los derechos de los ciudadanos, el régimen de sanciones y su rol imperativo en la nueva gobernanza del Gobierno Digital y la IA.
1. ¿Qué es la Ley N° 29733 y cuál es su alcance?
Promulgada para desarrollar el derecho fundamental consagrado en el numeral 6 del artículo 2 de la Constitución Política del Perú, la Ley N° 29733 tiene como objeto garantizar que el tratamiento de la información personal se realice en un marco de respeto a la dignidad y los derechos fundamentales de las personas.
La norma regula el tratamiento de datos personales contenidos o destinados a ser contenidos en bancos de datos de administración pública y privada, siempre que el tratamiento se ejecute en territorio nacional.
Categorías clave que todo funcionario público debe distinguir:
- Datos personales: Toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados (nombres, DNI, teléfono, correo, dirección).
- Datos sensibles: Aquella información que afecta la esfera más íntima de la persona o cuya utilización indebida puede dar origen a discriminación. Incluye datos biométricos, origen racial o étnico, ingresos económicos, opiniones políticas o religiosas, afiliación sindical e información de salud o vida sexual.
- Tratamiento: Cualquier operación técnica o procedimiento, automatizado o no, que permita la recopilación, registro, almacenamiento, procesamiento, consulta, transferencia o supresión de datos.
2. Los Principios Rectores: reglas de juego para las organizaciones
El tratamiento de datos no es libre; debe alinearse obligatoriamente a principios rectores que sirven también como parámetro legal de interpretación:
- Principio de Consentimiento: Es la regla de oro. El tratamiento de datos sólo es lícito si media el consentimiento libre, previo, informado, expreso e inequívoco del titular. En el caso de datos sensibles, el consentimiento debe ser otorgado por escrito (mediante firma manuscrita, digital o mecanismos equivalentes).
- Principio de Finalidad: Los datos deben recopilarse para un fin determinado, explícito y lícito. No pueden utilizarse para fines distintos a los informados originalmente.
- Principio de Proporcionalidad: La recolección de datos debe ser adecuada, relevante y no excesiva respecto a la finalidad perseguida.
- Principio de Calidad: Los datos deben ser veraces, exactos, necesarios y actualizados.
- Principio de Seguridad y Confidencialidad: Se deben implementar medidas técnicas, organizativas y legales para evitar accesos no autorizados, pérdidas o alteraciones de la información.
Excepciones al consentimiento: La ley establece supuestos específicos en los que no se requiere consentimiento, tales como el ejercicio de funciones de entidades públicas en sus competencias, fuentes accesibles al público o situaciones de salud de emergencia.
3. Los derechos ARCO y el tratamiento objetivo
La norma faculta al ciudadano (titular de los datos) a ejercer el control total sobre su información mediante los llamados Derechos ARCO, a los que se suman derechos clave para la era digital:
- Acceso e Información: Saber qué datos se tratan, con qué finalidad, de dónde se obtuvieron y a quiénes se han transferido.
- Rectificación e Inclusión: Actualizar o corregir información inexacta, errónea o incompleta.
- Cancelación o Supresión: Solicitar la eliminación de los datos cuando hayan dejado de ser necesarios para la finalidad recopilada o haya vencido el plazo legal.
- Oposición: Impedir el tratamiento de datos por motivos fundados y legítimos cuando no haya prestado consentimiento.
- Tratamiento Objetivo (Clave en IA): El ciudadano tiene derecho a no verse sometido a una decisión automatizada con efectos jurídicos o que le afecte significativamente, sustentada únicamente en el procesamiento de datos orientado a evaluar su conducta o personalidad.
4. La Autoridad Nacional (ANPDP) y el régimen de sanciones
La Autoridad Nacional de Protección de Datos Personales (ANPDP), órgano adscrito al Ministerio de Justicia y Derechos Humanos (MINJUSDH), es el ente rector encargado de supervisar y sancionar el cumplimiento normativo.
Entre sus funciones destaca la administración del Registro Nacional de Protección de Datos Personales, en el cual las empresas e instituciones están obligadas a inscribir sus bancos de datos.
Escala de Infracciones y Multas:
El incumplimiento de las disposiciones de la Ley N° 29733 conlleva responsabilidades administrativas objetivas e imposición de multas cuantiosas:
- Infracciones Leves: Multas desde 0.5 hasta 5 UIT (Ej. no rectificar datos obsoletos o incumplir medidas básicas de seguridad).
- Infracciones Graves: Multas de más de 5 hasta 50 UIT (Ej. tratar datos personales sin consentimiento previo, vulnerar la confidencialidad o no realizar la evaluación de impacto).
- Infracciones Muy Graves: Multas de más de 50 hasta 100 UIT (Ej. recopilar datos por medios fraudulentos o atentar de forma sistemática contra derechos fundamentales).
5. La Ley N° 29733 en la era de la Inteligencia Artificial y el Gobierno Digital
Un error común en las estrategias de innovación es pensar que la Ley N° 29733 pertenece al pasado o que la Ley de Inteligencia Artificial (Ley N° 31814) la reemplaza. Nada más lejos de la realidad.
El Reglamento de la Ley N° 31814 (Decreto Supremo N° 115-2025-PCM) y la Ley de Gobierno Digital (Decreto Legislativo N° 1412) vinculan de manera directa e irrestricta la adopción de tecnologías emergentes con el cumplimiento de la Ley N° 29733:
- Privacidad desde el Diseño: Toda solución de IA en el sector público o privado debe estructurarse minimizando la recolección de datos e integrando técnicas de anonimización o disociación desde la fase conceptual.
- Prohibición de Uso Indebido: El Reglamento de IA prohíbe categóricamente utilizar algoritmos o modelos para analizar o inferir datos sensibles (origen étnico, convicciones políticas, religión u orientación sexual) mediante patrones biométricos.
- Oficial de Datos Personales: Se formaliza la exigencia institucional de contar con un Oficial de Datos Personales, rol responsable de verificar, asesorar y certificar la legalidad de los datasets utilizados para entrenar o desplegar soluciones algorítmicas.
Conclusión: Del cumplimiento a la ventaja competitiva
La Ley N° 29733 no debe ser interpretada como un freno burocrático para la transformación digital, sino como el estándar indispensable de confianza y gobernanza de datos.
En un entorno donde las organizaciones implementan modelos predictivos, chatbots y analítica avanzada, contar con un banco de datos correctamente registrado, políticas de privacidad transparentes y evaluaciones de impacto rigurosas es la mejor carta de presentación. La innovación tecnológica solo es verdaderamente sostenible cuando respeta, defiende y protege la privacidad de las personas.
