Jurisdicción seleccionada: Perú — Ley N° 29733, Ley de Protección de Datos Personales, y su Reglamento (D.S. N° 016-2024-JUS)
Concepto clave 1 — Datos personales
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
Concepto clave 2 — Datos sensibles
Los datos sensibles (también llamados categorías especiales de datos personales) pueden llevar a discriminación, exclusión u otros daños graves. Las categorías varían de una ley a otra, así que revise siempre la lista local.
Qué significa en la práctica: condiciones más estrictas, como el consentimiento expreso o por escrito, más seguridad, acceso solo para quien lo necesita y, en muchas leyes, una evaluación de riesgos antes de empezar.
Datos sensibles (art. 2 de la Ley 29733). Su tratamiento requiere, por regla general, el consentimiento por escrito del titular.
Concepto clave 3 — Tratamiento y roles
El tratamiento abarca todo el ciclo de vida: recopilar, registrar, almacenar, usar, compartir, modificar y suprimir datos, en papel o en sistemas informáticos. Cada tratamiento tiene roles claros.
La Ley 29733 se aplica a los datos personales contenidos en bancos de datos de entidades públicas y privadas tratados en el Perú, y a los tratamientos en el extranjero dirigidos a personas en el Perú. Protege a las personas naturales.
Concepto clave 4 — Los principios básicos
Los nombres cambian de una ley a otra, pero las ideas son casi universales. Los talleres siguientes convierten cada principio en medidas concretas.
Principio en foco — Licitud
La licitud significa que cada tratamiento necesita una base legal o una justificación. Es el punto en que más difieren las leyes: algunas se basan en el consentimiento, otras ofrecen varias bases legales equivalentes.
El consentimiento válido es libre, específico, informado e inequívoco, y puede revocarse en cualquier momento. Las casillas premarcadas y el consentimiento escondido en los términos y condiciones no cuentan.
El consentimiento es la regla general: libre, previo, expreso, informado e inequívoco, y por escrito para los datos sensibles. La ley prevé excepciones, p. ej. los datos necesarios para una relación contractual, el cumplimiento de obligaciones legales o los datos de fuentes accesibles al público.
Concepto clave 5 — Transferencias de datos
Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.
Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.
El flujo transfronterizo solo está permitido hacia países con un nivel de protección adecuado, o si el exportador garantiza que el destinatario protegerá los datos como exige la Ley 29733, p. ej. mediante cláusulas contractuales. Entre las excepciones están el consentimiento y la ejecución de un contrato. Documente los flujos, porque el Reglamento exige comunicarlos a la ANPDP.
Concepto clave 6 — Consecuencias del incumplimiento
La mayoría de los casos sancionadores empiezan con algo evitable: una brecha de seguridad, una base legal que falta, una solicitud de un cliente sin responder o la queja de un empleado.
Autoridad de control: Autoridad Nacional de Protección de Datos Personales (ANPDP), Ministerio de Justicia y Derechos Humanos
Su jurisdicción de un vistazo — Perú
Autoridad: Autoridad Nacional de Protección de Datos Personales (ANPDP), Ministerio de Justicia y Derechos Humanos
Compruebe lo aprendido y próximos pasos
Resultado esperado de la Tarea 1: todos los miembros del equipo del proyecto entienden los términos y principios clave de la protección de datos en los que se basan los talleres siguientes.