Este artículo es informativo y no constituye asesoría legal. Cada empresa debe revisar su caso con un especialista en protección de datos personales.
El 30 de noviembre de 2026 vence un nuevo plazo del Reglamento de la Ley de Protección de Datos Personales (Decreto Supremo N.° 016-2024-JUS): más empresas medianas que tratan datos personales deberán contar con un Oficial de Datos Personales (ODP). Aunque tu empresa no esté en este grupo, el trabajo de fondo que pide la norma empieza en tus sistemas, y conviene adelantarlo.
Qué es el Oficial de Datos Personales
El nuevo Reglamento, publicado en noviembre de 2024, introdujo la obligación de designar un ODP para determinados titulares de bancos de datos personales, responsables y encargados del tratamiento. Es la persona que vela por que la empresa trate los datos personales de clientes, trabajadores y proveedores como manda la ley.
Quién debe designarlo antes del 30 de noviembre
Según el análisis del estudio PRCP Abogados, la obligación se aplica de forma progresiva según las ventas anuales. El 30 de noviembre de 2026 les toca a las empresas medianas con ventas anuales de más de 1700 UIT y hasta 2300 UIT que estén en alguno de los supuestos que exigen un ODP.
Esos supuestos, en resumen, son dos:
Tratar grandes volúmenes de datos personales (por tipo o cantidad de datos).
Que las actividades principales o el giro del negocio impliquen tratar datos sensibles.
Es decir, no basta con mirar las ventas: hay que revisar qué datos maneja la empresa y cuántos. Ese análisis, y la definición de si tu caso califica, debe hacerlo un especialista.
Qué pasa si no se cumple
PRCP señala que, si una empresa obligada no designa a su ODP, comete una infracción leve sancionable con hasta 5 UIT. También indica que el ODP debe contar con conocimientos especializados y experiencia práctica en protección de datos, idoneidad ética e independencia funcional.
El trabajo de fondo está en tus sistemas
Designar a una persona es solo una parte. Para que pueda hacer su trabajo, la empresa necesita responder preguntas muy concretas, y casi todas se resuelven en sus sistemas:
1. Qué datos tienes y dónde están
Clientes, trabajadores, proveedores: ¿en qué sistemas, hojas de cálculo, correos o chats están sus datos? Un inventario ordenado es el punto de partida.
2. Quién accede y a qué
Cada persona con su propio usuario y un rol que le dé acceso solo a lo que necesita. Nada de cuentas compartidas.
3. Qué queda registrado
Un historial de quién vio o cambió qué, y cuándo, permite detectar problemas y responder con evidencia.
4. Qué haces si algo falla
Respaldos que se prueban y un protocolo claro ante una filtración o un acceso indebido: quién decide, a quién se avisa y cómo se recupera la operación.
5. Qué hacen tus proveedores con los datos
Si un proveedor de software, nube o soporte trata datos de tus clientes, conviene saber qué hace con ellos y bajo qué condiciones.
Si quieres profundizar en usuarios, roles y respaldos, revisa también cómo vender en digital con más seguridad y por qué ponerle límites a los agentes de IA antes de conectarlos.
Si no te toca este año
La obligación sigue avanzando por tramos de ventas, así que otras empresas tendrán plazos posteriores. Ordenar los datos y los accesos toma tiempo, y hacerlo con calma siempre sale mejor que a última hora.
En resumen
El 30 de noviembre llega un nuevo hito para las medianas empresas que tratan grandes volúmenes de datos o datos sensibles. Revisa con un especialista si tu empresa está obligada y, mientras tanto, empieza por lo que sí depende de tus sistemas: saber qué datos tienes, quién entra, qué queda registrado y cómo respondes ante un incidente.
En Komarca Labs desarrollamos software a medida y sistemas de gestión con usuarios, roles e historial de accesos, ordenamos bases de datos y damos soporte TI con respaldos. Si quieres revisar cómo están tus sistemas, escríbenos al WhatsApp 934 970 002 (lunes a viernes, de 9 a. m. a 6 p. m., hora de Perú).
Fuentes
Decreto Supremo N.° 016-2024-JUS, Reglamento de la Ley N.° 29733 (ANPD, gob.pe): https://www.gob.pe/institucion/anpd/normas-legales/6554453-n-016-2024-jus
PRCP Abogados, «El universo de empresas que debe designar un Oficial de Datos Personales se amplía» (13 oct 2026): https://www.prcp.com.pe/blog/el-universo-de-empresas-que-debe-designar-un-oficial-de-datos-personales-se-amplia/