Ley Proteccion Datos Personales

Aprueban Texto Único Ordenado de la Ley Nº 27806, Ley de Transparencia y Acceso a la
Información Pública
DECRETO SUPREMO Nº 043-2003-PCM
CONCORDANCIAS: D.S. N° 072-2003-PCM (REGLAMENTO)
OTRAS CONCORDANCIAS
EL PRESIDENTE DE LA REPÚBLICA
CONSIDERANDO:
Que, mediante Ley Nº 27806, Ley de Transparencia y Acceso a la Información Pública, se

promueve la transparencia de los actos del Estado y regula el derecho fundamental del acceso a la
información consagrado en el numeral 5 del artículo 2 de la Constitución Política del Perú;
Que, mediante Ley Nº 27927 se modifican y agregan algunos artículos a la Ley Nº 27806, Ley
de Transparencia y Acceso a la Información Pública, facultándose al Poder Ejecutivo a publicar, a
través de Decreto Supremo, el Texto Único Ordenado correspondiente;
De conformidad con el artículo 118 inciso 8 de la Constitución Política del Perú, el artículo 3
inciso 2 del Decreto Legislativo Nº 560 y el artículo 2 de la Ley Nº 27927;
DECRETA:
Artículo 1.- Apruébase el Texto Único Ordenado de la Ley Nº 27806, Ley de Transparencia y
Acceso a la Información Pública, que consta de cuatro (4) Títulos, dos (2) Capítulos, treintiseis (36)
Artículos, y tres (3) Disposiciones Transitorias, Complementarias y Finales, los cuales forman parte
integrante del presente Decreto Supremo.
Artículo 2.- El presente Decreto Supremo será refrendado por el Presidente del Consejo de
Ministros.
Dado en la Casa de Gobierno, en Lima, a los veintidós días del mes de abril del año dos mil
tres.
ALEJANDRO TOLEDO
Presidente Constitucional de la República
LUIS SOLARI DE LA FUENTE
Presidente del Consejo de Ministros
TEXTO ÚNICO ORDENADO DE LA LEY Nº 27806, LEY DE TRANSPARENCIA Y ACCESO A LA

INFORMACIÓN PÚBLICA
TÍTULO I
DISPOSICIONES GENERALES
Artículo 1.- Alcance de la Ley
La presente Ley tiene por finalidad promover la transparencia de los actos del Estado y regular
el derecho fundamental del acceso a la información consagrado en el numeral 5 del artículo 2 de la
Constitución Política del Perú.
El derecho de acceso a la información de los Congresistas de la República se rige conforme a lo

dispuesto por la Constitución Política del Perú y el Reglamento del Congreso.
Artículo 2.- Entidades de la Administración Pública
Para efectos de la presente Ley se entiende por entidades de la Administración Pública a las
señaladas en el Artículo I del Título Preliminar de la Ley Nº 27444, Ley del Procedimiento
Administrativo General.
Artículo 3.- Principio de publicidad
Todas las actividades y disposiciones de las entidades comprendidas en la presente Ley están
sometidas al principio de publicidad.
Los funcionarios responsables de brindar la información correspondiente al área de su

competencia deberán prever una adecuada infraestructura, así como la organización,
sistematización y publicación de la información a la que se refiere esta Ley.
En consecuencia:
1. Toda información que posea el Estado se presume pública, salvo las excepciones
expresamente previstas por el artículo 15 de la presente Ley.
2. El Estado adopta medidas básicas que garanticen y promuevan la transparencia en la

actuación de las entidades de la Administración Pública.
3. El Estado tiene la obligación de entregar la información que demanden las personas en

aplicación del principio de publicidad.
La entidad pública designará al funcionario responsable de entregar la información solicitada.
CONCORDANCIAS: R. N° 065-2003-CNI, Art. 1

R.J. Nº 004-2008-SIS
R.J. Nº 037-2008-INDECI
Artículo 4.- Responsabilidades y Sanciones
Todas las entidades de la Administración Pública quedan obligadas a cumplir lo estipulado en la

presente norma.
Los funcionarios o servidores públicos que incumplieran con las disposiciones a que se refiere
esta Ley serán sancionados por la comisión de una falta grave, pudiendo ser incluso denunciados
penalmente por la comisión de delito de Abuso de Autoridad a que hace referencia el artículo 377
del Código Penal.
El cumplimiento de esta disposición no podrá dar lugar a represalias contra los funcionarios
responsables de entregar la información solicitada.
CONCORDANCIAS: R.M. N° 293-2006-PCM, Art. 11 (Procedimiento para el ingreso y publicación de los TUPAS en el
Portal de Servicios al Ciudadano y Empresas)
R. Nº 021-2008-DP
TÍTULO II
PORTAL DE TRANSPARENCIA
CONCORDANCIAS: R.J. N° 234-2001-INEI (Normas técnicas de contenidos de páginas web en la Administración

Pública)
Artículo 5.- Publicación en los portales de las dependencias públicas
Las entidades de la Administración Pública establecerán progresivamente, de acuerdo a su

presupuesto, la difusión a través de Internet de la siguiente información:
1. Datos generales de la entidad de la Administración Pública que incluyan principalmente las

disposiciones y comunicados emitidos, su organización, organigrama, procedimientos, el marco
legal al que está sujeta y el Texto Único Ordenado de Procedimientos Administrativos, que la
regula, si corresponde.
2. La información presupuestal que incluya datos sobre los presupuestos ejecutados, proyectos de inversión, partidas salariales
y los beneficios de los altos funcionarios y el personal en general, así como sus remuneraciones. (*)
(*) Numeral modificado por la Décimo Segunda Disposición Complementaria Modificatoria

de la Ley Nº 29973, publicada el 24 diciembre 2012, cuyo texto es el siguiente:
“2. La información presupuestal que incluya datos sobre los presupuestos ejecutados, proyectos
de inversión, partidas salariales y los beneficios de los altos funcionarios y el personal en general,
así como sus remuneraciones y el porcentaje de personas con discapacidad del total de personal
que labora en la entidad, con precisión de su situación laboral, cargos y nivel remunerativo.”
3. Las adquisiciones de bienes y servicios que realicen. La publicación incluirá el detalle de los
montos comprometidos, los proveedores, la cantidad y calidad de bienes y servicios adquiridos.
4. Actividades oficiales que desarrollarán o desarrollaron los altos funcionarios de la respectiva

entidad, entendiéndose como tales a los titulares de la misma y a los cargos del nivel subsiguiente.
5. La información adicional que la entidad considere pertinente.
Lo dispuesto en este artículo no exceptúa de la obligación a la que se refiere el Título IV de esta

Ley relativo a la publicación de la información sobre las finanzas públicas.
La entidad pública deberá identificar al funcionario responsable de la elaboración de los portales

de Internet.(*)
(*) De conformidad con el Artículo 1 de la Resolución Ministerial Nº 280-2007-PCM, publicada

el 21 septiembre 2007, se precisa que corresponde al Jefe de la Oficina de Sistemas de la
Presidencia del Consejo de Ministros dar cumplimiento a lo dispuesto por el presente
artículo, en lo que respecta a los portales de Internet de la Presidencia del Consejo de
Ministros.
CONCORDANCIAS: R.D. N° 109-2004-DVMPEMPE-ATU, Art. 1
R.M. N° 687-2006-MINSA
R.M. N° 293-2006-PCM, Art. 2 (Procedimiento para el ingreso y publicación de los TUPAS en el Portal de
Servicios al Ciudadano y Empresas)
Ley N° 29091, Art. 6

D.S. Nº 004-2008-PCM, Art. 5
CIRCULAR Nº 001-2008-SUNAT-A
D.S. Nº 002-2009-MINAM, Art. 20
Artículo 6.- De los plazos de la Implementación
Las entidades públicas deberán contar con portales en Internet en los plazos que a continuación
se indican:
a) Entidades del Gobierno Central, organismos autónomos y descentralizados, a partir del 1 de

julio de 2003.
b) Gobiernos Regionales, hasta un año después de su instalación.
c) Entidades de los Gobiernos Locales Provinciales y organismos desconcentrados a nivel

provincial, hasta un año desde el inicio del nuevo período municipal, salvo que las posibilidades
tecnológicas y/o presupuestales hicieran imposible su instalación.
d) Entidades de los Gobiernos Locales Distritales, hasta dos años contados desde el inicio del
nuevo período municipal, salvo que las posibilidades tecnológicas y/o presupuestales hicieran
imposible su instalación.
e) Entidades privadas que presten servicios públicos o ejerzan funciones administrativas, hasta
el 1 de julio de 2003.
Las autoridades encargadas de formular los presupuestos tomarán en cuenta estos plazos en la
asignación de los recursos correspondientes.
TÍTULO III
ACCESO A LA INFORMACIÓN PÚBLICA DEL ESTADO
CONCORDANCIAS: R.ADM. N° 005-2005-CE-PJ
Artículo 7.- Legitimación y requerimiento inmotivado
Toda persona tiene derecho a solicitar y recibir información de cualquier entidad de la

Administración Pública. En ningún caso se exige expresión de causa para el ejercicio de este
derecho.
CONCORDANCIAS CON EL TLC PERÚ - ESTADOS UNIDOS DE NORTEAMÉRICA

Artículo 8.- Entidades obligadas a informar
Las entidades obligadas a brindar información son las señaladas en el artículo 2 de la presente
Ley.
Dichas entidades identificarán, bajo responsabilidad de su máximo representante, al funcionario

responsable de brindar información solicitada en virtud de la presente Ley. En caso de que éste no
hubiera sido designado las responsabilidades administrativas y penales recaerán en el secretario
general de la institución o quien haga sus veces.
Las empresas del Estado están sujetas al procedimiento de acceso a la información establecido
en la presente Ley.
CONCORDANCIAS: R.ADM. N° 040-2003-CE-PJ
R.D. N° 010-2003-AG-CONACS-DT
R. N° 339-2003-INPE-P
R.M. N° 0553-2003-AG
R.SBS N° 960-2003
R.D. N° 000700-2003-D-DEL
R.M. N° 261-2003-PCM
R. N° 055-2003-EF-94.10
R. N° 012-2003-UIF
R.J. N° 323-2003-PRONAA-J
R. N° 001-2003-PD-OSITRAN
R. N° 091-2003-INDECOPI-DIR
R. N° 081-2003-AMAG-CD-P
R. N° 416-2003-P-IPD
R. N° 066-2003-02.00
R. N° 054-2003-CNM
R. N° 567-2003-INPE-P
R. N° 449-2003-SUNARP-SN
R.M. N° 417-2003-MEM-DM
R. N° 053-2003-OS-PRES
R. N° 474-2003-P-IPD
R.M. N° 868-2003-MTC-01
R.C.D. N° 012-2003-CD-FHH
R.M. N° 092-2004-TR, Art. 2
R.M. N° 304-2004-DE-CCFFAA
R. N° 025-2004-PATPAL-DE
R. N° 020-2004-MTC-INICTEL-PE
R. N° 003-2004-PD-CONIDA
R. N° 1009-2003-ANR
R.D. N° 109-2004-DVMPEMPE-ATU, Arts. 2 y 3
R. N° 591-2006-OS-CD
R.M. Nº 280-2007-PCM
R.J. Nº 004-2008-SIS
Artículo 9.- Personas jurídicas sujetas al régimen privado que prestan servicios públicos
Las personas jurídicas sujetas al régimen privado descritas en el inciso 8) del Artículo I del
Título Preliminar de la Ley Nº 27444 que gestionen servicios públicos o ejerzan funciones
administrativas del sector público bajo cualquier modalidad están obligadas a informar sobre las
características de los servicios públicos que presta, sus tarifas y sobre las funciones
administrativas que ejerce.
Artículo 10.- Información de acceso público
Las entidades de la Administración Pública tienen la obligación de proveer la información

requerida si se refiere a la contenida en documentos escritos, fotografías, grabaciones, soporte
magnético o digital, o en cualquier otro formato, siempre que haya sido creada u obtenida por ella o
que se encuentre en su posesión o bajo su control.
Asimismo, para los efectos de esta Ley, se considera como información pública cualquier tipo de
documentación financiada por el presupuesto público que sirva de base a una decisión de
naturaleza administrativa, así como las actas de reuniones oficiales. (*)
(*) De conformidad con el Artículo 2 del Decreto Supremo N° 110-2018-PCM, publicada el 05

noviembre 2018, se ratifica el procedimiento administrativo: “Acceso a la información
pública creada u obtenida por la entidad, que se encuentre o posee bajo su control”
establecido en el presente artículo.
Artículo 11.- Procedimiento
El acceso a la información pública se sujeta al siguiente procedimiento:
a) Toda solicitud de información debe ser dirigida al funcionario designado por la entidad de la Administración Pública para
realizar esta labor. En caso de que éste no hubiera sido designado, la solicitud se dirige al funcionario que tiene en su poder la
información requerida o al superior inmediato.
b) La entidad de la Administración Pública a la cual se haya presentado la solicitud de información deberá otorgarla en un plazo
no mayor de siete (7) días útiles; plazo que se podrá prorrogar en forma excepcional por cinco (5) días útiles adicionales, de mediar
circunstancias que hagan inusualmente difícil reunir la información solicitada. En este caso, la entidad deberá comunicar por escrito,
antes del vencimiento del primer plazo, las razones por las que hará uso de tal prórroga, de no hacerlo se considera denegado el
pedido.
CONCORDANCIAS: D.S. N° 072-2003-PCM, Art. 11 y 14
En el supuesto de que la entidad de la Administración Pública no posea la información solicitada y de conocer su ubicación y
destino, esta circunstancia deberá ser puesta en conocimiento del solicitante.
c) La denegatoria al acceso a la información se sujeta a lo dispuesto en el segundo párrafo del artículo 13 de la presente Ley.
d) De no mediar respuesta en los plazos previstos en el inciso b), el solicitante puede considerar denegado su pedido.
e) En los casos señalados en los incisos c) y d) del presente artículo, el solicitante puede considerar denegado su pedido para
los efectos de dar por agotada la vía administrativa, salvo que la solicitud haya sido cursada a un órgano sometido a superior
jerarquía, en cuyo caso deberá interponer el recurso de apelación para agotarla.
f) Si la apelación se resuelve en sentido negativo, o la entidad correspondiente no se pronuncia en un plazo de diez (10) días
útiles de presentado el recurso, el solicitante podrá dar por agotada la vía administrativa.
g) Agotada la vía administrativa el solicitante que no obtuvo la información requerida podrá optar por iniciar el proceso
contencioso administrativo, de conformidad con lo señalado en la Ley Nº 27584 u optar por el proceso constitucional del Hábeas
Data, de acuerdo a lo señalado por la Ley Nº 26301. (*)
(*) Artículo modificado por la Primera Disposición Complementaria Modificatoria del Decreto
Legislativo N° 1353, publicado el 07 enero 2017, la misma que entró en vigencia al día
siguiente de la publicación del Decreto Supremo que aprueba su Reglamento y la
modificación del Reglamento de Organización y Funciones del Ministerio de Justicia y
Derechos Humanos, cuyo texto es el siguiente:
“Artículo 11.- Procedimiento
El acceso a la información pública se sujeta al siguiente procedimiento:
a) Toda solicitud de información debe ser dirigida al funcionario designado por la entidad de la
Administración Pública para realizar esta labor. En caso de que este no hubiera sido designado, la
solicitud se dirige al funcionario que tiene en su poder la información requerida o al superior
inmediato. Las dependencias de la entidad tienen la obligación de encausar las solicitudes al
funcionario encargado.
b) La entidad de la Administración Pública a la cual se haya presentado la solicitud de

información debe otorgarla en un plazo no mayor de diez (10) días hábiles, sin perjuicio de lo
establecido en el literal g).
En el supuesto que la entidad de la Administración Pública no esté obligada a poseer la

información solicitada y de conocer su ubicación o destino, debe reencausar la solicitud hacia la
entidad obligada o hacia la que la posea, y poner en conocimiento de dicha circunstancia al
solicitante. (*) RECTIFICADO POR FE DE ERRATAS
c) La denegatoria al acceso a la información se sujeta a lo dispuesto en el segundo párrafo del

artículo 13 de la presente Ley.
d) De no mediar respuesta en el plazo previsto en el inciso b), el solicitante puede considerar

denegado su pedido.
e) En los casos señalados en los incisos c) y d) del presente artículo, el solicitante en un plazo no mayor de quince (15) días
calendarios puede interponer el recurso de apelación ante el Tribunal de Transparencia y Acceso a la Información Pública, el cual
deberá resolver dicho recurso en el plazo máximo de diez (10) días hábiles, bajo responsabilidad. (*)
(*) Literal modificado por la Única Disposición Complementaria Modificatoria Decreto

Legislativo N° 1416, publicado el 13 septiembre 2018, el mismo que entró en vigencia al día
siguiente de la publicación del Decreto Supremo que modifica el Reglamento del Decreto
Legislativo Nº 1353, cuyo texto es el siguiente:
"e) En los casos señalados en los literales c) y d) del presente artículo, el solicitante en un plazo
no mayor de quince (15) días calendario puede interponer el recurso de apelación ante el Tribunal,
asimismo en caso se haya presentado ante la entidad que emitió el acto impugnado, ésta debe
elevarlo al Tribunal conforme lo establecido en el Texto Único Ordenado de la Ley Nº 27444,
aprobado mediante Decreto Supremo Nº 006-2017-JUS. El Tribunal de Transparencia y Acceso a
la Información Pública resuelve dicho recurso en el plazo máximo de diez (10) días hábiles, bajo
responsabilidad."
f) Si el Tribunal, no resuelve el recurso de apelación en el plazo previsto, el solicitante podrá

dar por agotada la vía administrativa. (*) RECTIFICADO POR FE DE ERRATAS
g) Excepcionalmente, cuando sea materialmente imposible cumplir con el plazo señalado en el

literal b) debido a causas justificadas relacionadas a la comprobada y manifiesta falta de capacidad
logística u operativa o de recursos humanos de la entidad o al significativo volumen de la
información solicitada, por única vez la entidad debe comunicar al solicitante la fecha en que
proporcionará la información solicitada de forma debidamente fundamentada, en un plazo máximo
de dos (2) días hábiles de recibido el pedido de información. El incumplimiento del plazo faculta al
solicitante a recurrir ante Autoridad Nacional de Transparencia y Acceso a la Información Pública."
(*)
(*) De conformidad con el Artículo 2 del Decreto Supremo N° 110-2018-PCM, publicada el 05

noviembre 2018, se ratifica el procedimiento administrativo: “Acceso a la información
pública creada u obtenida por la entidad, que se encuentre o posee bajo su control”
establecido en el presente artículo.
CONCORDANCIAS: D.S. Nº 002-2009-MINAM, Art. 12 (Decreto Supremo que aprueba el Reglamento sobre
Transparencia, Acceso a la Información Pública Ambiental y
Participación y Consulta Ciudadana en Asuntos Ambientales)
Artículo 12.- Acceso directo
Sin perjuicio de lo dispuesto en el artículo anterior, las entidades de la Administración Pública

permitirán a los solicitantes el acceso directo y de manera inmediata a la información pública
durante las horas de atención al público.
Artículo 13.- Denegatoria de acceso
La entidad de la Administración Pública a la cual se solicite información no podrá negar la misma basando su decisión en la
identidad del solicitante.
La denegatoria al acceso a la información solicitada debe ser debidamente fundamentada en las excepciones de los artículos 15
a 17 de esta Ley, señalándose expresamente y por escrito las razones por las que se aplican esas excepciones y el plazo por el
que se prolongará dicho impedimento.
La solicitud de información no implica la obligación de las entidades de la Administración Pública de crear o producir información
con la que no cuente o no tenga obligación de contar al momento de efectuarse el pedido. En este caso, la entidad de la
Administración Pública deberá comunicar por escrito que la denegatoria de la solicitud se debe a la inexistencia de datos en su
poder respecto de la información solicitada. Esta Ley tampoco permite que los solicitantes exijan a las entidades que efectúen
evaluaciones o análisis de la información que posean.
Si el requerimiento de información no hubiere sido satisfecho o si la respuesta hubiere sido ambigua, se considerará que existió
negativa tácita en brindarla.(*)
(*) Artículo modificado por la Primera Disposición Complementaria Modificatoria del Decreto
Legislativo N° 1353, publicado el 07 enero 2017, la misma que entró en vigencia al día
siguiente de la publicación del Decreto Supremo que aprueba su Reglamento y la
Derechos Humanos, cuyo texto es el siguiente:
“Artículo 13.- Denegatoria de acceso
La entidad de la Administración Pública a la cual se solicite información no podrá negar la

misma basando su decisión en la identidad del solicitante.
La denegatoria al acceso a la información solicitada debe ser debidamente fundamentada

porlas(*)NOTA SPIJ excepciones de los artículos 15 a 17 de esta Ley; y el plazo por el que se
prolongará dicho impedimento.
La solicitud de información no implica la obligación de las entidades de la Administración Pública

de crear o producir información con la que no cuente o no tenga obligación de contar al momento
de efectuarse el pedido. En este caso, la entidad de la Administración Pública deberá comunicar
por escrito que la denegatoria de la solicitud se debe a la inexistencia de datos en su poder
respecto de la información solicitada.
Esta Ley no faculta que los solicitantes exijan a las entidades que efectúen evaluaciones o
análisis de la información que posean. No califica en esta limitación el procesamiento de datos
preexistentes de acuerdo con lo que establezcan las normas reglamentarias, salvo que ello
implique recolectar o generar nuevos datos.
No se podrá negar información cuando se solicite que esta sea entregada en una determinada
forma o medio, siempre que el solicitante asuma el costo que suponga el pedido.
Cuando una entidad de la Administración Pública no localiza información que está obligada a
poseer o custodiar, deberá acreditar que ha agotado las acciones necesarias para obtenerla a fin
brindar una respuesta al solicitante.
Si el requerimiento de información no hubiere sido satisfecho, la respuesta hubiere sido

ambiguao(*)NOTA SPIJ no se hubieren cumplido las exigencias precedentes, se considerará que
existió negativa en brindarla”.
Artículo 14.- Responsabilidades
El funcionario público responsable de dar información que de modo arbitrario obstruya el acceso
del solicitante a la información requerida, o la suministre en forma incompleta u obstaculice de
cualquier modo el cumplimiento de esta Ley, se encontrará incurso en los alcances del artículo 4 de
la presente Ley.
Artículo 15.- Excepciones al ejercicio del derecho
El derecho de acceso a la información pública no podrá ser ejercido respecto a la información

expresamente clasificada como secreta, que se sustente en razones de seguridad nacional, en
concordancia con el artículo 163 de la Constitución Política del Perú, que además tenga como base
fundamental garantizar la seguridad de las personas y cuya revelación originaría riesgo para la
integridad territorial y/o subsistencia del sistema democrático, así como respecto a las actividades
de inteligencia y contrainteligencia del CNI dentro del marco que establece el Estado de Derecho
en función de las situaciones expresamente contempladas en esta Ley. En consecuencia la
excepción comprende únicamente los siguientes supuestos:
1. Información clasificada en el ámbito militar, tanto en el frente interno como externo:
a) Planes de defensa militar contra posibles agresiones de otros Estados, logísticos, de reserva
y movilización y de operaciones especiales así como oficios y comunicaciones internas que hagan
referencia expresa a los mismos.
CONCORDANCIAS: D.S. Nº 012-2009-DE, Art. 3
b) Las operaciones y planes de inteligencia y contrainteligencia militar.
c) Desarrollos técnicos y/o científicos propios de la defensa nacional.
d) Órdenes de operaciones, logísticas y conexas, relacionadas con planes de defensa militar

contra posibles agresiones de otros Estados o de fuerzas irregulares militarizadas internas y/o
externas, así como de operaciones en apoyo a la Policía Nacional del Perú, planes de movilización
y operaciones especiales relativas a ellas.
e) Planes de defensa de bases e instalaciones militares.
f) El material bélico, sus componentes, accesorios, operatividad y/o ubicación cuyas

características pondrían en riesgo los planes de defensa militar contra posibles agresiones de otros
Estados o de fuerzas irregulares militarizadas internas y/o externas, así como de operación en
apoyo a la Policía Nacional del Perú, planes de movilización y operaciones especiales relativas a
ellas.
g) Información del Personal Militar que desarrolla actividades de Seguridad Nacional y que
pueda poner en riesgo la vida e integridad de las personas involucradas.
2. Información clasificada en el ámbito de inteligencia tanto en el frente externo como interno:
a) Los planes estratégicos y de inteligencia, así como la información que ponga en riesgo sus
fuentes.
b) Los informes que de hacerse públicos, perjudicarían la información de inteligencia.
c) Aquellos informes oficiales de inteligencia que, de hacerse públicos, incidirían negativamente

en las excepciones contempladas en el inciso a) del artículo 15 de la presente Ley.
d) Información relacionada con el alistamiento del personal y material.
e) Las actividades y planes estratégicos de inteligencia y contrainteligencia, de los organismos

conformantes del Sistema de Inteligencia Nacional (SINA), así como la información que ponga en
riesgo sus fuentes.
f) Información del personal civil o militar que desarrolla actividades de Seguridad Nacional y que
pueda poner en riesgo la vida e integridad de las personas involucradas.
g) La información de inteligencia que contemple alguno de los supuestos contenidos en el
artículo 15 numeral 1.
En los supuestos contenidos en este artículo los responsables de la clasificación son los
titulares del sector o pliego respectivo, o los funcionarios designados por éste.
Con posterioridad a los cinco años de la clasificación a la que se refiere el párrafo anterior,
cualquier persona puede solicitar la información clasificada como secreta, la cual será entregada si
el titular del sector o pliego respectivo considera que su divulgación no pone en riesgo la seguridad
de las personas, la integridad territorial y/o subsistencia del sistema democrático. En caso contrario
deberá fundamentar expresamente y por escrito las razones para que se postergue la clasificación
y el período que considera que debe continuar clasificado. Se aplican las mismas reglas si se
requiere una nueva prórroga por un nuevo período. El documento que fundamenta que la
información continúa como clasificada se pone en conocimiento del Consejo de Ministros, el cual
puede desclasificarlo. Dicho documento también es puesto en conocimiento de la comisión
ordinaria a la que se refiere el artículo 36 de la Ley Nº 27479 dentro de los diez (10) días
posteriores a su pronunciamiento. Lo señalado en este párrafo no impide que el Congreso de la
República acceda a la información clasificada en cualquier momento de acuerdo a lo señalado en
el artículo 18 de la presente Ley.
"La Ley del Sistema de Inteligencia Nacional - SINA y de la Dirección Nacional de Inteligencia -
DINI señala el plazo de vigencia de la clasificación secreta, respecto de la información que produce
el sistema; y el trámite para desclasificar, renovar y/o modificar la misma. La clasificación es objeto
de revisión cada cinco años por el Consejo de Seguridad Nacional.” (*)
(*) Párrafo adicionado por la Quinta Disposición Complementaria de la Ley Nº 28664,

publicada el 04 enero 2006.
CONCORDANCIAS: R.J. Nº 004-2008-SIS, nums. 5.2, 5.4.1, 5.9 (Aprueban la Directiva Nº 001-2008-SIS-GM “Acceso de los
Usuarios a la Información Pública del
Seguro Integral de Salud” y sus anexos)
D.S. Nº 002-2009-MINAM, Art. 6 (Decreto Supremo que aprueba el Reglamento sobre Transparencia, Acceso a la
Información Pública Ambiental y
R. Nº 048-2011-SERVIR-PE, Art. Sexto (Disponen que las Entidades de la Administración Pública remitan a
SERVIR la información referida a las personas que prestan servicios al Estado en
sus dependencias)
D.S. Nº 069-2011-PCM, Art. 7 (Crean el Portal de la Información de Datos Espaciales del Perú (GEOIDEP))
D.S.N° 106-2017-PCM, Segunda Disp. Comp. Final (Clasificación de la información)
Artículo 16.- Excepciones al ejercicio del derecho: Información reservada
El derecho de acceso a la información pública no podrá ser ejercido respecto de la información

clasificada como reservada. En consecuencia la excepción comprende únicamente los siguientes
supuestos:
1. La información que por razones de seguridad nacional en el ámbito del orden interno cuya
revelación originaría un riesgo a la integridad territorial y/o la subsistencia del sistema democrático.
En consecuencia se considera reservada la información que tiene por finalidad prevenir y reprimir
la criminalidad en el país y cuya revelación puede entorpecerla y comprende únicamente:
a) Los planes de operaciones policiales y de inteligencia, así como aquellos destinados a
combatir el terrorismo, tráfico ilícito de drogas y organizaciones criminales, así como los
oficios, partes y comunicaciones que se refieran expresamente a ellos.
CONCORDANCIAS: D.S. Nº 007-2006-MTC, Art. 4, numeral 4.3
b) Las informaciones que impidan el curso de las investigaciones en su etapa policial dentro de
los límites de la ley, incluyendo los sistemas de recompensa, colaboración eficaz y protección de
testigos, así como la interceptación de comunicaciones amparadas por la ley.
c) Los planes de seguridad y defensa de instalaciones policiales, establecimientos

penitenciarios, locales públicos y los de protección de dignatarios, así como los oficios, partes y
comunicaciones que se refieran expresamente a ellos.
CONCORDANCIAS: D.S. Nº 007-2006-MTC, Art. 4, numeral 4.3
d) El movimiento del personal que pudiera poner en riesgo la vida e integridad de las personas
involucradas o afectar la seguridad ciudadana.
e) El armamento y material logístico comprometido en operaciones especiales y planes de

seguridad y defensa del orden interno.
CONCORDANCIAS: D.S. N° 011-2008-DE-, Art. 2
“f) La información contenida en los Reportes de actividades con las sustancias químicas tóxicas
y sus precursores listados en la Convención sobre la Prohibición del Desarrollo, la Producción, el
Almacenamiento y el Empleo de Armas Químicas y sobre su Destrucción; la información contenida
en los Reportes sobre las instalaciones de producción de las sustancias químicas orgánicas
definidas; la información relacionada con las inspecciones nacionales e inspecciones realizadas
por la Secretaría Técnica de la Organización para la Prohibición de las Armas Químicas; la
información concerniente a los procesos productivos en donde intervienen sustancias químicas
tóxicas y sus precursores de las Listas 1, 2 y 3 de dicha Convención; y la información concerniente
al empleo de las sustancias químicas tóxicas y sus precursores de las Listas 1 y 2 de dicha
Convención”. (*)
(*) Inciso incluido por la Ùnica Disposición Complementaria Modificatoria de la Ley N° 29239,
publicada el 29 mayo 2008. La citada Ley entra en vigencia a los ciento veinte (120) días
desde la publicación de su reglamento, de conformidad con la Segunda Disposición
Complementaria y Final de la citada Ley.
2. Por razones de seguridad nacional y de eficacia de la acción externa del Estado, se

considerará información clasificada en el ámbito de las relaciones externas del Estado, toda
aquella cuya revelación originaría un riesgo a la seguridad e integridad territorial del Estado y la
defensa nacional en el ámbito externo, al curso de las negociaciones internacionales y/o la
subsistencia del sistema democrático. Estas excepciones son las siguientes:
a) Elementos de las negociaciones internacionales que de revelarse perjudicarían los procesos

negociadores o alteraran los acuerdos adoptados, no serán públicos por lo menos en el curso de
las mismas.
b) Información que al ser divulgada oficialmente por el Ministerio de Relaciones Exteriores

pudiera afectar negativamente las relaciones diplomáticas con otros países.
c) La información oficial referida al tratamiento en el frente externo de la información clasificada
en el ámbito militar, de acuerdo a lo señalado en el inciso a) del numeral 1 del artículo 15 de la
presente Ley.
“d) Los contratos de asesoría financiera o legal para realizar operaciones de Endeudamiento o administración de deuda del
Gobierno Nacional; que de revelarse, perjudicarían o alterarían los mercados financieros, se harán públicos una vez concretadas
dichas operaciones.” (1)(2)
(1) Incluido por la Décimo Octava Disposición Transitoria de la Ley N° 28423, publicada el
21-12-2004, vigente a partir del 01-01-2005
(2)(*) NOTA DE EDITOR De conformidad con la Primera Disposición Complementaria y Transitoria

de la Ley N° 28563, publicada el 01 Julio 2005, se incluye dentro del presente Artículo el
inciso d), lo que modificaría el inciso d) incluido por la Décimo Octava Disposición
Transitoria de la Ley N° 28423, cuyo texto es el siguiente:
“d. Los contratos de asesoría financiera o legal para realizar operaciones de endeudamiento
público o administración de deuda del Gobierno Nacional; que de revelarse, perjudicarían o
alterarían los mercados financieros, no serán públicos por lo menos hasta que se concreten las
mismas.”
En los casos contenidos en este artículo los responsables de la clasificación son los titulares del
sector correspondiente o los funcionarios designados por éste. Una vez que desaparezca la causa
que motivó la clasificación, la información reservada es de acceso público.
" La Ley del Sistema de Inteligencia Nacional - SINA y de la Dirección Nacional de Inteligencia -
DINI señala el plazo de vigencia de la información de inteligencia producida por el sistema y
clasificada como reservada, en los supuestos de los numerales 1 literales a, c y d; y 2 literal c, del
presente artículo. Asimismo norma el trámite para desclasificar, renovar y/o modificar la misma. La
clasificación es objeto de revisión cada cinco años por el Consejo de Seguridad Nacional.” (*)
(*) Párrafo adicionado por la Sexta Disposición Complementaria de la Ley Nº 28664,

CONCORDANCIAS: R.J. Nº 004-2008-SIS, nums. 5.2, 5.4.1, 5.9 (Aprueban la Directiva Nº 001-2008-SIS-GM “Acceso de los
Usuarios a la Información Pública del
R. Nº 048-2011-SERVIR-PE, Art. Sexto (Disponen que las Entidades de la Administración Pública remitan a
SERVIR la información referida a las personas que prestan servicios al Estado en
sus dependencias)
Artículo 17.- Excepciones al ejercicio del derecho: Información confidencial
El derecho de acceso a la información pública no podrá ser ejercido respecto de lo siguiente:
1. La información que contenga consejos, recomendaciones u opiniones producidas como parte

del proceso deliberativo y consultivo previo a la toma de una decisión de gobierno, salvo que dicha
información sea pública. Una vez tomada la decisión, esta excepción cesa si la entidad de la
Administración Pública opta por hacer referencia en forma expresa a esos consejos,
recomendaciones u opiniones.
CONCORDANCIAS: D.S. Nº 125-2008-EF, Art. 17 (Clasificación de la información)

R.M.Nº 271-2012-PCM (Aprueban Directiva “Lineamientos para la cautela y tratamiento de la información a que
se refiere la excepción señalada en el numeral 1 del
artículo 17 del Texto Único Ordenado de la Ley Nº 27806, Ley de Transparencia y Acceso a la Información Pública,
en el ámbito del Consejo de Ministros”)
2. La información protegida por el secreto bancario, tributario, comercial, industrial, tecnológico y

bursátil que están regulados, unos por el inciso 5 del artículo 2 de la Constitución, y los demás por
la legislación pertinente.
3. La información vinculada a investigaciones en trámite referidas al ejercicio de la potestad

sancionadora de la Administración Pública, en cuyo caso la exclusión del acceso termina cuando la
resolución que pone fin al procedimiento queda consentida o cuando transcurren más de seis (6)
meses desde que se inició el procedimiento administrativo sancionador, sin que se haya dictado
resolución final.
CONCORDANCIAS: R.N° 006-2017-SUNEDU-CD, Tercera Disp. Comp. Final (Información Confidencial)
4. La información preparada u obtenida por asesores jurídicos o abogados de las entidades de

la Administración Pública cuya publicidad pudiera revelar la estrategia a adoptarse en la tramitación
o defensa en un proceso administrativo o judicial, o de cualquier tipo de información protegida por
el secreto profesional que debe guardar el abogado respecto de su asesorado. Esta excepción
termina al concluir el proceso.
CONCORDANCIAS: D.S. Nº 125-2008-EF, Art. 17 (Clasificación de la información)
5. La información referida a los datos personales cuya publicidad constituya una invasión de la intimidad personal y familiar. La
información referida a la salud personal, se considera comprendida dentro de la intimidad personal. En este caso, sólo el juez puede
ordenar la publicación sin perjuicio de lo establecido en el inciso 5 del artículo 2 de la Constitución Política del Estado. (*)
(*) Numeral modificado por la Tercera Disposición Complementaria Modificatoria del Decreto
Legislativo Nº 1106, publicado el 19 abril 2012, cuyo texto es el siguiente:
"5. La información referida a los datos personales cuya publicidad constituya una invasión de la
intimidad personal y familiar. La información referida a la salud personal, se considera comprendida
dentro de la intimidad personal. En este caso, sólo el juez puede ordenar la publicación sin
perjuicio de lo establecido en el inciso 5 del artículo 2 de la Constitución Política del Estado. (*)
(*) De conformidad con la Octava Disposición Complementaria Final de la Ley Nº 29733,

publicada el 03 julio 2011, se precisa que la información confidencial a que se refiere el
presente numeral, constituye dato sensible conforme a los alcances de la citada Ley, la
misma que entra en vigencia en el plazo de treinta días hábiles, contado a partir de la
publicación del reglamento de la citada Ley.
Por su parte, no opera la presente reserva cuando la Superintendencia de Banca, Seguros y

Administradoras Privadas de Fondos de Pensiones requiera información respecto a los bienes e
ingresos de los funcionarios públicos, o cuando requiera otra información pertinente para el
cumplimiento de las funciones de la Unidad de Inteligencia Financiera del Perú - UIF-Perú."
CONCORDANCIAS: R.ADM. N° 176-2006-CED-CSJLI-PJ

6. Aquellas materias cuyo acceso esté expresamente exceptuado por la Constitución o por una
Ley aprobada por el Congreso de la República.
"La Ley del Sistema de Inteligencia Nacional - SINA y de la Dirección Nacional de Inteligencia -
DINI señala el plazo de vigencia de la información de inteligencia producida por el sistema y
clasificada como confidencial, a que se refiere el numeral 1 del presente artículo, siempre que se
refiera a temas de seguridad nacional. Asimismo norma el trámite para desclasificar, renovar y/o
modificar la misma. La clasificación es objeto de revisión cada cinco años por el Consejo de
Seguridad Nacional.” (*)
(*) Párrafo adicionado por la Sétima Disposición Complementaria de la Ley Nº 28664,

CONCORDANCIAS: R. N° 307-2004-OS-CD, Art. Único

R. Nº 748-2007-OS-CD
R.J. Nº 004-2008-SIS, nums. 5.2, 5.4.1, 5.9 (Aprueban la Directiva Nº 001-2008-SIS-GM “Acceso de los Usuarios a la
Información Pública del
D.S. N° 002-2008-MIMDES, Art. 7
R. Nº 202-2010-OS-CD (Aprueban Procedimiento para la Determinación, Registro y Resguardo de la Información

Confidencial)
Artículo 18.- Regulación de las excepciones
Los casos establecidos en los artículos 15, 16 y 17 son los únicos en los que se puede limitar el derecho al acceso a la
información pública, por lo que deben ser interpretados de manera restrictiva por tratarse de una limitación a un derecho
fundamental. No se puede establecer por una norma de menor jerarquía ninguna excepción a la presente Ley.
La información contenida en las excepciones señaladas en los artículos 15, 16 y 17 son accesibles para el Congreso de la
República, el Poder Judicial, el Contralor General de la República y el Defensor del Pueblo.
Para estos efectos, el Congreso de la República sólo tiene acceso mediante una Comisión Investigadora formada de acuerdo al
artículo 97 de la Constitución Política del Perú y la Comisión establecida por el artículo 36 de la Ley Nº 27479. Tratándose del Poder
Judicial de acuerdo a las normas que regulan su funcionamiento, solamente el juez en ejercicio de sus atribuciones jurisdiccionales
en un determinado caso y cuya información sea imprescindible para llegar a la verdad, puede solicitar la información a que se
refiere cualquiera de las excepciones contenidas en este artículo. El Contralor General de la República tiene acceso a la
información contenida en este artículo solamente dentro de una acción de control de su especialidad. El Defensor del Pueblo tiene
acceso a la información en el ámbito de sus atribuciones de defensa de los derechos humanos.
Los funcionarios públicos que tengan en su poder la información contenida en los artículos 15, 16 y 17 tienen la obligación de
que ella no sea divulgada, siendo responsables si esto ocurre.
El ejercicio de estas entidades de la administración pública se enmarca dentro de las limitaciones que señala la Constitución
Política del Perú.
Las excepciones señaladas en los puntos 15 y 16 incluyen los documentos que se generen sobre estas materias y no se
considerará como información clasificada, la relacionada a la violación de derechos humanos o de las Convenciones de Ginebra de
1949 realizada en cualquier circunstancia, por cualquier persona. Ninguna de las excepciones señaladas en este artículo pueden
ser utilizadas en contra de lo establecido en la Constitución Política del Perú. (*)
(*) Artículo modificado por la Tercera Disposición Complementaria Modificatoria del Decreto
Legislativo Nº 1106, publicado el 19 abril 2012, cuyo texto es el siguiente:
“Artículo 18.- Regulación de las excepciones
Los casos establecidos en los artículos 15, 16 y 17 son los únicos en los que se puede limitar el
derecho al acceso a la información pública, por lo que deben ser interpretados de manera
restrictiva por tratarse de una limitación a un derecho fundamental. No se puede establecer por una
norma de menor jerarquía ninguna excepción a la presente Ley.
La información contenida en las excepciones señaladas en los artículos 15, 16 y 17 son

accesibles para el Congreso de la República, el Poder Judicial, el Contralor General de la
República; el Defensor del Pueblo y el Superintendente de Banca, Seguros y Administradoras
Privadas de Fondos de Pensiones.
Para estos efectos, el Congreso de la República sólo tiene acceso mediante una Comisión
Investigadora formada de acuerdo al artículo 97 de la Constitución Política del Perú y la Comisión
establecida por el artículo 36 de la Ley Nº 27479. Tratándose del Poder Judicial de acuerdo a las
normas que regulan su funcionamiento, solamente el juez en ejercicio de sus atribuciones
jurisdiccionales en un determinado caso y cuya información sea imprescindible para llegar a la
verdad, puede solicitar la información a que se refiere cualquiera de las excepciones contenidas en
este artículo. El Contralor General de la República tiene acceso a la información contenida en este
artículo solamente dentro de una acción de control de su especialidad. El Defensor del Pueblo
tiene acceso a la información en el ámbito de sus atribuciones de defensa de los derechos
humanos. El Superintendente de Banca, Seguros y Administradoras Privadas de Fondos de
Pensiones tiene acceso a la información siempre que ésta sea necesaria para el cumplimiento de
las funciones de la Unidad de Inteligencia Financiera del Perú - UIF-Perú.
Los funcionarios públicos que tengan en su poder la información contenida en los artículos 15,
16 y 17 tienen la obligación de que ella no sea divulgada, siendo responsables si esto ocurre.
El ejercicio de estas entidades de la administración pública se enmarca dentro de las

limitaciones que señala la Constitución Política del Perú.
Las excepciones señaladas en los puntos 15 y 16 incluyen los documentos que se generen
sobre estas materias y no se considerará como información clasificada, la relacionada a la
violación de derechos humanos o de las Convenciones de Ginebra de 1949 realizada en cualquier
circunstancia, por cualquier persona. Ninguna de las excepciones señaladas en este artículo
pueden ser utilizadas en contra de lo establecido en la Constitución Política del Perú.”
Artículo 19.- Información parcial
En caso de que un documento contenga, en forma parcial, información que, conforme a los
artículos 15, 16 y 17 de esta Ley, no sea de acceso público, la entidad de la Administración Pública
deberá permitir el acceso a la información disponible del documento.
Artículo 20.- Tasa aplicable
El solicitante que requiera la información deberá abonar solamente el importe correspondiente a

los costos de reproducción de la información requerida. El monto de la tasa debe figurar en el Texto
Único de Procedimientos Administrativos (TUPA) de cada entidad de la Administración Pública.
Cualquier costo adicional se entenderá como una restricción al ejercicio del derecho regulado por
esta Ley, aplicándose las sanciones correspondientes.
CONCORDANCIAS: R. Nº 022-2008-DP
Artículo 21.- Conservación de la información
Es responsabilidad del Estado crear y mantener registros públicos de manera profesional para
que el derecho a la información pueda ejercerse a plenitud. En ningún caso la entidad de la
Administración Pública podrá destruir la información que posea.
La entidad de la Administración Pública deberá remitir al Archivo Nacional la información que

obre en su poder, en los plazos estipulados por la Ley de la materia. El Archivo Nacional podrá
destruir la información que no tenga utilidad pública, cuando haya transcurrido un plazo razonable
durante el cual no se haya requerido dicha información y de acuerdo a la normatividad por la que
se rige el Archivo Nacional.”
CONCORDANCIAS: R.D. Nº 025-2005-DP, Art. Tercero, Numeral 1, inc. e)

Ley Nº 29733, Art. 20 (Ley de protección de datos personales)
Artículo 22.- Informe anual al Congreso de la República
La Presidencia del Consejo de Ministros remite un informe anual al Congreso de la República

en el que da cuenta sobre las solicitudes pedidos de información atendidos y no atendidos.
Para efectos de lo señalado en el párrafo anterior la Presidencia del Consejo de Ministros se

encarga de reunir de todas las entidades de la Administración Pública la información a que se
refiere el párrafo anterior.
CONCORDANCIAS: D.S. N° 072-2003-PCM, Art. 22
R. D. Nº 025-2005-DP, Art. Tercero, Numeral 2
R.M. Nº 301-2009-PCM (Aprueban la Directiva Nº 003-2009-PCM/SGP “Lineamientos para el reporte de

solicitudes de Acceso a la Información a ser
remitidos a la Presidencia del Consejo de Ministros”)
TÍTULO IV
TRANSPARENCIA SOBRE EL MANEJO DE LAS FINANZAS PÚBLICAS
Artículo 23.- Objeto
Este título tiene como objeto fundamental otorgar mayor transparencia al manejo de las
Finanzas Públicas, a través de la creación de mecanismos para acceder a la información de
carácter fiscal, a fin de que los ciudadanos puedan ejercer supervisión sobre las Finanzas Públicas
y permitir una adecuada rendición de cuentas.
El presente título utiliza los términos que se señala a continuación:
a) Información de finanzas públicas: aquella información referida a materia presupuestaria,

financiera y contable del Sector Público.
b) Gasto Tributario: se refiere a las exenciones de la base tributaria, deducciones autorizadas de
la renta bruta, créditos fiscales deducidos de los impuestos por pagar, deducciones de las tasas
impositivas e impuestos diferidos.
c) Gobierno General y Sector Público Consolidado: Se utilizarán las definiciones establecidas en

la Ley Nº 27245, Ley de Prudencia y Transparencia Fiscal.
Artículo 24.- Mecanismos de Publicación y Metodología
La publicación de la información a la que se refiere esta norma podrá ser realizada a través de
los portales de Internet de las entidades, o a través de los diarios de mayor circulación en las
localidades, donde éstas se encuentren ubicadas, así como a través de otros medios de acuerdo a
la infraestructura de la localidad. El reglamento establecerá los mecanismos de divulgación en
aquellas localidades en las que el número de habitantes no justifiquen la publicación por dichos
medios.
La metodología y denominaciones empleadas en la elaboración de la información, deberán ser

publicadas expresamente, a fin de permitir un apropiado análisis de la información.
Cuando la presente norma disponga que la información debe ser divulgada trimestralmente,
ésta deberá publicarse dentro de los treinta (30) días calendario siguientes de concluido cada
trimestre, y comprenderá, para efectos de comparación, la información de los dos períodos
anteriores.
CAPÍTULO I
PUBLICACIÓN DE INFORMACIÓN SOBRE FINANZAS PÚBLICAS
Artículo 25.- Información que deben publicar todas las Entidades de la Administración
Pública
Toda Entidad de la Administración Pública publicará, trimestralmente, lo siguiente:
1. Su Presupuesto, especificando: los ingresos, gastos, financiamiento, y resultados operativos

de conformidad con los clasificadores presupuestales vigentes.
2. Los proyectos de inversión pública en ejecución, especificando: el presupuesto total de

proyecto, el presupuesto del período correspondiente y su nivel de ejecución y el presupuesto
acumulado.
3. Información de su personal especificando: personal activo y, de ser el caso, pasivo, número

de funcionarios, directivos, profesionales, técnicos, auxiliares, sean éstos nombrados o contratados
por un período mayor a tres (3) meses en el plazo de un año, sin importar el régimen laboral al que
se encuentren sujetos, o la denominación del presupuesto o cargo que desempeñen; rango salarial
por categoría y el total del gasto de remuneraciones, bonificaciones, y cualquier otro concepto de
índole remunerativo, sea pensionable o no.
4. Información contenida en el Registro de procesos de selección de contrataciones y

adquisiciones, especificando: los valores referenciales, nombres de contratistas, montos de los
contratos, penalidades y sanciones y costo final, de ser el caso.
5. Los progresos realizados en los indicadores de desempeño establecidos en los planes
estratégicos institucionales o en los indicadores que les serán aplicados, en el caso de entidades
que hayan suscrito Convenios de Gestión.
Las Entidades de la Administración Pública están en la obligación de remitir la referida

información al Ministerio de Economía y Finanzas, para que éste la incluya en su portal de Internet,
dentro de los cinco (5) días calendario siguientes a su publicación.
CONCORDANCIAS: R.M. N° 687-2006-MINSA
Artículo 26.- Información que debe publicar el Ministerio de Economía y Finanzas
El Ministerio de Economía y Finanzas publicará, adicionalmente a lo establecido en el artículo

anterior, la siguiente información:
1. El Balance del Sector Público Consolidado, dentro de los noventa (90) días calendario de
concluido el ejercicio fiscal, conjuntamente con los balances de los dos ejercicios anteriores.
2. Los ingresos y gastos del Gobierno Central e Instancias Descentralizadas comprendidas en

la Ley de Presupuesto del Sector Público, de conformidad con los Clasificadores de Ingresos,
Gastos y Financiamiento vigente, trimestralmente, incluyendo: el presupuesto anual y el
devengado, de acuerdo a los siguientes criterios (i) identificación institucional; (ii) clasificador
funcional (función/programa); (iii) por genérica de gasto; y (iv) por fuente de financiamiento.
3. Los proyectos de la Ley de Endeudamiento, Equilibrio Financiero y Presupuesto y su

exposición de motivos, dentro de los dos (2) primeros días hábiles de setiembre, incluyendo: los
cuadros generales sobre uso y fuentes y distribución funcional por genérica del gasto e
institucional, a nivel de pliego.
4. Información detallada sobre el saldo y perfil de la deuda pública externa e interna concertada
o garantizada por el Sector Público Consolidado, trimestralmente, incluyendo: el tipo de acreedor,
el monto, el plazo, la tasa de amortización pactada, el capital y los intereses pagados y por
devengarse.
5. El cronograma de desembolsos y amortizaciones realizadas, por cada fuente de

financiamiento, trimestralmente, incluyendo: operaciones oficiales de crédito, otros depósitos y
saldos de balance.
6. Información sobre los proyectos de inversión pública cuyos estudios o ejecución hubiesen
demandado recursos iguales o superiores a mil doscientas (1 200) Unidades Impositivas
Tributarias, trimestralmente, incluyendo: el presupuesto total del proyecto, el presupuesto
ejecutado acumulado y presupuesto ejecutado anual.
7. El balance del Fondo de Estabilización Fiscal (FEF) dentro de los treinta (30) días calendario
de concluido el ejercicio fiscal.
8. Los resultados de la evaluación obtenida de conformidad con los indicadores aplicados,

dentro de los noventa (90) días calendario siguientes de concluido el ejercicio fiscal.
Artículo 27.- Información que debe publicar el Fondo Nacional de Financiamiento de la

Actividad Empresarial del Estado (FONAFE)
El FONAFE publicará, adicionalmente a lo establecido en el artículo 25, la siguiente información
sobre las entidades bajo su ámbito:
1. El presupuesto en forma consolidada, antes del 31 de diciembre del año previo al inicio del
período de ejecución presupuestal.
2. El Balance, así como la Cuenta de Ahorro, Inversión y Financiamiento, trimestralmente.
3. Los Estados Financieros auditados, dentro de los ciento veinte (120) días calendario de
concluido el ejercicio fiscal.
4. Los indicadores de gestión que le serán aplicados, cuando se hayan celebrado Convenios de
Gestión.
5. Los resultados de la evaluación obtenida de conformidad con los indicadores aplicados,

dentro de los noventa (90) días calendario siguientes de concluido el ejercicio fiscal.
Artículo 28.- Información que debe publicar la Oficina de Normalización Previsional (ONP)
La ONP, en calidad de Secretaría Técnica del Fondo Consolidado de Reserva Previsional

(FCR), publicará, adicionalmente a lo establecido en el artículo 25, lo siguiente:
1. Los Estados Financieros de cierre del ejercicio fiscal de Fondo Consolidado de Reserva
Previsional (FCR) y del Fondo Nacional de Ahorro Público (FONAHPU), antes del 31 de marzo de
cada año.
2. Información referente a la situación de los activos financieros del FCR y del FONAHPU,
colocados en las entidades financieras y no financieras y en organismos multilaterales donde se
encuentren depositados los recursos de los referidos Fondos, así como los costos de
administración, las tasas de interés, y los intereses devengados, trimestralmente.
Artículo 29.- Información que debe publicar el Consejo Superior de Contrataciones y

Adquisiciones del Estado (CONSUCODE) (*) NOTA SPIJ
El CONSUCODE publicará, trimestralmente, información de las adquisiciones y contrataciones

realizadas por las Entidades de la Administración Pública, cuyo valor referencial haya sido igual o
superior a cincuenta (50) Unidades Impositivas Tributarias. Para tal fin, la información deberá estar
desagregada por Pliego, cuando sea aplicable, detallando: el número del proceso, el valor
referencial, el proveedor o contratista, el monto del contrato, las valorizaciones aprobadas, de ser
el caso, el plazo contractual, el plazo efectivo de ejecución, y el costo final.
CONCORDANCIAS: D.S. N° 072-2003-PCM, Art. 19

D.S. Nº 063-2010-PCM, Quinta Disp.Complem.Final (Decreto Supremo que aprueba la implementación del Portal
de Transparencia Estándar
en las Entidades de la Administración Pública)
CAPÍTULO II
DE LA TRANSPARENCIA FISCAL EN EL PRESUPUESTO, EL MARCO MACROECONÓMICO Y

LA RENDICIÓN DE CUENTAS
Artículo 30.- Información sobre Impacto Fiscal

1. Conjuntamente con la Ley de Presupuesto, la Ley de Equilibrio Financiero y la Ley de
Endeudamiento Interno y Externo, el Poder Ejecutivo remitirá al Congreso un estimado del efecto
que tendrá el destino del Gasto Tributario, por regiones, sectores económicos y sociales, según su
naturaleza.
2. Asimismo, todo proyecto de Ley que modifique el Gasto Tributario, deberá estar acompañado
de una estimación anual del impacto que dicha medida tendría sobre el presupuesto público y su
efecto por regiones, sectores económicos y sociales, según su naturaleza.
CONCORDANCIAS: D.S. Nº 063-2010-PCM, Quinta Disp.Complem.Final (Decreto Supremo que aprueba la

implementación del Portal de Transparencia Estándar
Artículo 31.- Información Adicional al Marco Macroeconómico Multianual
El Marco Macroeconómico Multianual deberá contener, además de lo dispuesto por el artículo 10 de la Ley Nº 27245, Ley de
Prudencia y Transparencia Fiscal, la siguiente información:
1. Un análisis sobre riesgos fiscales por variaciones sustanciales en los supuestos macroeconómicos, conteniendo una
indicación sobre las medidas contingentes a adoptar ante éstas.
2. Una relación completa de las exoneraciones, subsidios y otros tipos de Gasto Tributario que el Sector Público mantenga, con
un estimado del costo fiscal de cada uno de ellos, así como un estimado del costo total por región y por sector económico y social,
según su naturaleza. (*)
(*) El presente Artículo quedó derogado por la Única Disposición Complementaria

Derogatoria de la Ley 30099, publicada el 31 octubre 2013, que entró en vigencia a partir del
01 enero 2015.

Artículo 32.- Consistencia del Marco Macroeconómico Multianual con los Presupuestos y
otras Leyes Anuales
1. La exposición de motivos de la Ley Anual de Presupuesto, incluirá un cuadro de consistencia

con el Marco Macroeconómico Multianual, desagregado los ingresos, gastos y resultado
económico para el conjunto de las entidades dentro del ámbito de la Ley Anual de Presupuesto, del
resto de entidades que conforman el Sector Público Consolidado.
2. La exposición de motivos de la Ley Anual de Endeudamiento, incluirá la sustentación de su

compatibilidad con el déficit y el consiguiente aumento de deuda previsto en el Marco
Macroeconómico Multianual.

Artículo 33.- Responsabilidad respecto del Marco Macroeconómico Multianual
1. La Declaración de Principios de Política Fiscal, a que hace referencia el artículo 10 de la Ley Nº 27245 será aprobada por el
Ministerio de Economía y Finanzas, mediante Resolución Ministerial.
2. Toda modificación al Marco Macroeconómico Multianual que implique la alteración de los parámetros establecidos en la Ley
Nº 27245, deberá ser realizada de conformidad con lo establecido en el artículo 5 de la referida Ley y previa sustentación de las
medidas que se adoptarán para realizar las correcciones. (*)
01 enero 2015.
Artículo 34.- Rendición de cuentas de las Leyes Anuales de Presupuesto y de Endeudamiento
1. Antes del último día hábil del mes de marzo de cada año, el Banco Central de Reserva del Perú remitirá a la Contraloría
General de la República y al Ministerio de Economía y Finanzas la evaluación sobre el cumplimiento de los compromisos
contenidos en el Marco Macroeconómico del año anterior, así como sobre las reglas macrofiscales establecidas en la Ley Nº 27245.
Dicho informe, conjuntamente con la evaluación del presupuesto a que se refiere la Ley Nº 27209, será remitido al Congreso a más
tardar el último día de abril.
2. El Ministro de Economía y Finanzas sustentará ante el Pleno del Congreso, dentro de los 15 días siguientes a su remisión, la
Declaración de Cumplimiento de acuerdo a lo establecido en la Ley Nº 27245. La Declaración de Cumplimiento contendrá un
análisis sobre el incremento en la deuda bruta, las variaciones en los depósitos, haciendo explícita la evolución de los avales,
canjes de deuda, y obligaciones pensionarias, así como el grado de desviación con relación a lo previsto.
3. En la misma oportunidad a que se refiere el numeral precedente, el Ministro informará sobre el cumplimiento de la asignación
presupuestal, con énfasis en la clasificación funcional, y el endeudamiento por toda fuente, así como de los avales otorgados por la
República. (*)

01 enero 2015..
Artículo 35.- Informe preelectoral
La Presidencia del Consejo de Ministros, con una anticipación no menor de tres (3) meses a la
fecha establecida para las elecciones generales, publicará una reseña de lo realizado durante su
administración y expondrá sus proyecciones sobre la situación económica, financiera y social de
los próximos cinco (5) años. El informe deberá incluir, además, el análisis de los compromisos de
inversión ya asumidos para los próximos años, así como de las obligaciones financieras,
incluyendo las contingentes y otras, incluidas o no en el Presupuesto.
CONCORDANCIAS: Informe Preelectoral Administración 2011-2016
Artículo 36.- Elaboración de Presupuestos y ampliaciones presupuestarias
1. Las entidades de la Administración Pública cuyo presupuesto no forme parte del Presupuesto
General de la República, deben aprobar éste a más tardar al 15 de diciembre del año previo a su
entrada en vigencia, por el órgano correspondiente establecido en las normas vigentes.
2. Toda ampliación presupuestaria, o de los topes de endeudamiento establecidos en la Ley

correspondiente, se incluirán en un informe trimestral que acompañará la información a que se
refiere el artículo precedente, listando todas las ampliaciones presupuestarias y analizando las
implicancias de éstas sobre los lineamientos del Presupuesto y el Marco Macroeconómico.
“TÍTULO V
RÉGIMEN SANCIONADOR
(*) NOTA SPIJ
Artículo 34.- Ámbito de aplicación

El presente régimen sancionador es aplicable a las acciones u omisiones que infrinjan el
régimen jurídico de la transparencia y acceso a la información pública, tipificadas en este Título, de
conformidad con el artículo 4 de la presente Ley.
Artículo 35.- Clases de sanciones
35.1 Las sanciones que pueden imponerse por las infracciones previstas en el presente régimen
sancionador son las siguientes:
a) Amonestación escrita.
b) Suspensión sin goce de haber entre diez y ciento ochenta días.
c) Multa no mayor de cinco unidades impositivas tributarias.
d) Destitución.
e) Inhabilitación.
35.2 Las personas jurídicas bajo el régimen privado que prestan servicios públicos o ejercen
función administrativa, en virtud de concesión, delegación o autorización del Estado están sujetas a
la sanción de multa, conforme a la normativa de la materia.
Artículo 36.- Tipificación de infracciones
Las infracciones se clasifican en leves, graves y muy graves, las cuales son tipificadas vía
reglamentaria, de acuerdo a lo establecido en el numeral 4) del artículo 230 de la Ley Nº 27444,
Ley del Procedimiento Administrativo General, mediante Decreto Supremo refrendado por el
Ministerio de Justicia y Derechos Humanos.
Sin perjuicio de las sanciones que en el marco de su competencia impongan las autoridades
competentes, pueden ordenar la implementación de una o más medidas correctivas, con el objetivo
de corregir o revertir los efectos que la conducta infractora hubiere ocasionado o evitar que ésta se
produzca nuevamente.
Artículo 37.- Responsabilidad
La responsabilidad de los funcionarios y servidores públicos por el incumplimiento de

obligaciones derivadas de las normas sobre transparencia y acceso de la información pública, es
subjetiva."(*)
(*) Título V incorporado por la Segunda Disposición Complementaria Modificatoria del

Decreto Legislativo N° 1353, publicado el 07 enero 2017, la misma que entró en vigencia al
día siguiente de la publicación del Decreto Supremo que aprueba su Reglamento y la
Derechos Humanos.
DISPOSICIONES TRANSITORIAS, COMPLEMENTARIAS Y FINALES
Primera.- La Administración Pública contará con un plazo de ciento cincuenta (150) días a partir
de la publicación de la presente Ley para acondicionar su funcionamiento de acuerdo a las
obligaciones que surgen de su normativa. Regirán dentro de ese plazo las disposiciones del
Decreto Supremo Nº 018-2001-PCM, del Decreto de Urgencia Nº 035-2001 y de todas las normas
que regulan el acceso a la información. Sin embargo, los artículos 8, 11 y 20 referidos a entidades
obligadas a informar, al procedimiento y, el costo de reproducción respectivamente, entran en
vigencia al día siguiente de la publicación de la presente Ley. El Poder Ejecutivo, a través de los
Ministerios respectivos y del Consejo Nacional de Inteligencia, en su calidad de órgano rector del
más alto nivel del Sistema de Inteligencia Nacional (SINA), elaborará el reglamento de la presente
Ley, el cual será aprobado por el Consejo de Ministros y publicado en un plazo no mayor de
noventa (90) días contados a partir de la vigencia de la presente Ley.
Segunda.- Las entidades del Estado que cuenten con procedimientos aprobados referidos al
acceso a la información, deberán adecuarlos a lo señalado en la presente Ley.
Tercera.- Deróganse todas las normas que se opongan a la presente Ley.
Ley de protección de datos personales
LEY Nº 29733
CONCORDANCIAS: D.S. Nº 003-2013-JUS (REGLAMENTO)

OTRAS CONCORDANCIAS
EL PRESIDENTE DE LA REPUBLICA
POR CUANTO:
El Congreso de la República
ha dado la Ley siguiente:
EL CONGRESO DE LA REPÚBLICA;
Ha dado la Ley siguiente:
LEY DE PROTECCIÓN DE DATOS PERSONALES
Título Preliminar: Disposiciones generales.
Título I: Principios rectores.
Título II: Tratamiento de datos personales.
Título III: Derechos del titular de datos personales.
Título IV: Obligaciones del titular y del encargado del banco de datos personales.
Título V: Bancos de datos personales.

Título VI: Autoridad Nacional de Protección de Datos Personales.
Título VII: Infracciones y sanciones administrativas.
Disposiciones complementarias finales
TÍTULO PRELIMINAR
DISPOSICIONES GENERALES
Artículo 1. Objeto de la Ley
La presente Ley tiene el objeto de garantizar el derecho fundamental a la protección de

los datos personales, previsto en el artículo 2 numeral 6 de la Constitución Política del
Perú, a través de su adecuado tratamiento, en un marco de respeto de los demás derechos
fundamentales que en ella se reconocen.
Artículo 2. Definiciones
Para todos los efectos de la presente Ley, se entiende por:
1. Banco de datos personales. Conjunto organizado de datos personales, automatizado o no, independientemente del soporte, sea este físico,
magnético, digital, óptico u otros que se creen, cualquiera fuere la forma o modalidad de su creación, formación, almacenamiento, organización y
acceso.
2. Banco de datos personales de administración privada. Banco de datos personales cuya titularidad corresponde a una persona natural o a
una persona jurídica de derecho privado, en cuanto el banco no se encuentre estrictamente vinculado al ejercicio de potestades de derecho
público.
3. Banco de datos personales de administración pública. Banco de datos personales cuya titularidad corresponde a una entidad pública.
4. Datos personales. Toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser
razonablemente utilizados.
5. Datos sensibles. Datos personales constituidos por los datos biométricos que por sí mismos pueden identificar al titular; datos referidos al
origen racial y étnico; ingresos económicos, opiniones o convicciones políticas, religiosas, filosóficas o morales; afiliación sindical; e
información relacionada a la salud o a la vida sexual.
6. Encargado del banco de datos personales. Toda persona natural, persona jurídica de derecho privado o entidad pública que sola o
actuando conjuntamente con otra realiza el tratamiento de los datos personales por encargo del titular del banco de datos personales.
7. Entidad pública. Entidad comprendida en el artículo I del Título Preliminar de la Ley 27444, Ley del Procedimiento Administrativo
General, o la que haga sus veces.
8. Flujo transfronterizo de datos personales. Transferencia internacional de datos personales a un destinatario situado en un país distinto al
país de origen de los datos personales, sin importar el soporte en que estos se encuentren, los medios por los cuales se efectuó la transferencia ni
el tratamiento que reciban.
CONCORDANCIAS : D.S.Nº 007-2013-MINCETUR, Art. 10 (Confidencialidad de la información)
9. Fuentes accesibles para el público. Bancos de datos personales de administración pública o privada, que pueden ser consultados por
cualquier persona, previo abono de la contraprestación correspondiente, de ser el caso. Las fuentes accesibles para el público son determinadas
en el reglamento.
10. Nivel suficiente de protección para los datos personales. Nivel de protección que abarca por lo menos la consignación y el respeto de los
principios rectores de esta Ley, así como medidas técnicas de seguridad y confidencialidad, apropiadas según la categoría de datos de que se
trate.
11. Persona jurídica de derecho privado. Para efectos de esta Ley, la persona jurídica no comprendida en los alcances del artículo I del Título
Preliminar de la Ley 27444, Ley del Procedimiento Administrativo General.
12. Procedimiento de anonimización. Tratamiento de datos personales que impide la identificación o que no hace identificable al titular de
estos. El procedimiento es irreversible.
13. Procedimiento de disociación. Tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos.
El procedimiento es reversible.
14. Titular de datos personales. Persona natural a quien corresponde los datos personales.
15. Titular del banco de datos personales. Persona natural, persona jurídica de derecho privado o entidad pública que determina la finalidad
y contenido del banco de datos personales, el tratamiento de estos y las medidas de seguridad.
16. Transferencia de datos personales. Toda transmisión, suministro o manifestación de datos personales, de carácter nacional o
internacional, a una persona jurídica de derecho privado, a una entidad pública o a una persona natural distinta del titular de datos personales.
17. Tratamiento de datos personales. Cualquier operación o procedimiento técnico, automatizado o no, que permite la recopilación, registro,
organización, almacenamiento, conservación, elaboración, modificación, extracción, consulta, utilización, bloqueo, supresión, comunicación por
transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso, correlación o interconexión de los datos personales.
El reglamento de esta Ley puede realizar un mayor desarrollo de las definiciones existentes. (*)
(*) Artículo modificado por la Tercera Disposición Complementaria Modificatoria del

Decreto Legislativo Nº 1353, publicado el 07 enero 2017, la misma que entró en
vigencia al día siguiente de la publicación del Decreto Supremo que aprueba su
Reglamento y la modificación del Reglamento de Organización y Funciones del
Ministerio de Justicia y Derechos Humanos, cuyo texto es el siguiente:
“Artículo 2. Definiciones
Para todos los efectos de la presente Ley, se entiende por:
1. Banco de datos personales. Conjunto organizado de datos personales, automatizado o no,

independientemente del soporte, sea este físico, magnético, digital, óptico u otros que se creen,
cualquiera fuere la forma o modalidad de su creación, formación, almacenamiento, organización y
acceso.
2. Banco de datos personales de administración privada. Banco de datos personales cuya

titularidad corresponde a una persona natural o a una persona jurídica de derecho privado, en
cuanto el banco no se encuentre estrictamente vinculado al ejercicio de potestades de derecho
público.
3. Banco de datos personales de administración pública. Banco de datos personales cuya

titularidad corresponde a una entidad pública.
4. Datos personales. Toda información sobre una persona natural que la identifica o la hace
identificable a través de medios que pueden ser razonablemente utilizados.
5. Datos sensibles. Datos personales constituidos por los datos biométricos que por sí mismos
pueden identificar al titular; datos referidos al origen racial y étnico; ingresos económicos; opiniones
o convicciones políticas, religiosas, filosóficas o morales; afiliación sindical; e información
relacionada a la salud o a la vida sexual.
6. Días. Días hábiles.
7. Encargado de tratamiento de datos personales. Toda persona natural, persona jurídica de

derecho privado o entidad pública que sola o actuando conjuntamente con otra realiza el
tratamiento de los datos personales por encargo del titular del banco de datos personales en virtud
de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación. Incluye a
quien realice el tratamiento sin la existencia de un banco de datos personales.
8. Encargo de tratamiento. Entrega por parte del titular del banco de datos personales a un
encargado de tratamiento de datos personales en virtud de una relación jurídica que los vincula.
Dicha relación jurídica delimita el ámbito de actuación del encargado de tratamiento de los datos
personales.
9. Entidad pública. Entidad comprendida en el artículo I del Título Preliminar de la Ley 27444,
Ley del Procedimiento Administrativo General, o la que haga sus veces.
10. Flujo transfronterizo de datos personales. Transferencia internacional de datos

personales a un destinatario situado en un país distinto al país de origen de los datos personales,
sin importar el soporte en que estos se encuentren, los medios por los cuales se efectuó la
transferencia ni el tratamiento que reciban.
11. Fuentes accesibles para el público. Bancos de datos personales de administración

pública o privada, que pueden ser consultados por cualquier persona, previo abono de la
contraprestación correspondiente, de ser el caso. Las fuentes accesibles para el público son
determinadas en el reglamento.
12. Nivel suficiente de protección para los datos personales. Nivel de protección que abarca
por lo menos la consignación y el respeto de los principios rectores de esta Ley, así como medidas
técnicas de seguridad y confidencialidad, apropiadas según la categoría de datos de que se trate.
13. Persona jurídica de derecho privado. Para efectos de esta Ley, la persona jurídica no
comprendida en los alcances del artículo I del Título Preliminar de la Ley 27444, Ley del
Procedimiento Administrativo General.
14. Procedimiento de anonimización. Tratamiento de datos personales que impide la

identificación o que no hace identificable al titular de estos. El procedimiento es irreversible.
15. Procedimiento de disociación. Tratamiento de datos personales que impide la

identificación o que no hace identificable al titular de estos. El procedimiento es reversible.
16. Titular de datos personales. Persona natural a quien corresponde los datos personales.
17. Titular del banco de datos personales. Persona natural, persona jurídica de derecho
privado o entidad pública que determina la finalidad y contenido del banco de datos personales, el
tratamiento de estos y las medidas de seguridad.
18. Transferencia de datos personales. Toda transmisión, suministro o manifestación de datos

personales, de carácter nacional o internacional, a una persona jurídica de derecho privado, a una
entidad pública o a una persona natural distinta del titular de datos personales.
19. Tratamiento de datos personales. Cualquier operación o procedimiento técnico,
automatizado o no, que permite la recopilación, registro, organización, almacenamiento,
conservación, elaboración, modificación, extracción, consulta, utilización, bloqueo, supresión,
comunicación por transferencia o por difusión o cualquier otra forma de procesamiento que facilite
el acceso, correlación o interconexión de los datos personales ”.
CONCORDANCIAS: D.S. Nº 003-2013-JUS (Reglamento) Art. 2
Artículo 3. Ámbito de aplicación
La presente Ley es de aplicación a los datos personales contenidos o destinados a ser contenidos en bancos de datos personales de
administración pública y de administración privada, cuyo tratamiento se realiza en el territorio nacional. Son objeto de especial protección los
datos sensibles.
Las disposiciones de esta Ley no son de aplicación a los siguientes datos personales:
1. A los contenidos o destinados a ser contenidos en bancos de datos personales creados por personas naturales para fines exclusivamente
relacionados con su vida privada o familiar.
2. A los contenidos o destinados a ser contenidos en bancos de datos de administración pública, solo en tanto su tratamiento resulte necesario
para el estricto cumplimiento de las competencias asignadas por ley a las respectivas entidades públicas, para la defensa nacional, seguridad
pública, y para el desarrollo de actividades en materia penal para la investigación y represión del delito. (*)

“Artículo 3. Ámbito de aplicación
La presente Ley es de aplicación a los datos personales contenidos o destinados a ser

contenidos en bancos de datos personales de administración pública y de administración privada,
cuyo tratamiento se realiza en el territorio nacional. Son objeto de especial protección los datos
sensibles.
Las disposiciones de esta Ley no son de aplicación a los siguientes datos personales:
1. A los contenidos o destinados a ser contenidos en bancos de datos personales creados por
personas naturales para fines exclusivamente relacionados con su vida privada o familiar.
2. A los contenidos o destinados a ser contenidos en bancos de datos de administración pública,

solo en tanto su tratamiento resulte necesario para el estricto cumplimiento de las competencias
asignadas por ley a las respectivas entidades públicas, para la defensa nacional, seguridad
pública, y para el desarrollo de actividades en materia penal para la investigación y represión del
delito”.
TÍTULO I
PRINCIPIOS RECTORES
Artículo 4. Principio de legalidad
El tratamiento de los datos personales se hace conforme a lo establecido en la ley. Se

prohíbe la recopilación de los datos personales por medios fraudulentos, desleales o ilícitos.
Artículo 5. Principio de consentimiento
Para el tratamiento de los datos personales debe mediar el consentimiento de su titular.

Artículo 6. Principio de finalidad
Los datos personales deben ser recopilados para una finalidad determinada, explícita y
lícita. El tratamiento de los datos personales no debe extenderse a otra finalidad que no
haya sido la establecida de manera inequívoca como tal al momento de su recopilación,
excluyendo los casos de actividades de valor histórico, estadístico o científico cuando se
utilice un procedimiento de disociación o anonimización.
Artículo 7. Principio de proporcionalidad
Todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la

finalidad para la que estos hubiesen sido recopilados.
CONCORDANCIAS: D.S. Nº 040-2014-PCM, Art. 132 (Protección de Información del Legajo)
Artículo 8. Principio de calidad
Los datos personales que vayan a ser tratados deben ser veraces, exactos y, en la medida
de lo posible, actualizados, necesarios, pertinentes y adecuados respecto de la finalidad para
la que fueron recopilados. Deben conservarse de forma tal que se garantice su seguridad y
solo por el tiempo necesario para cumplir con la finalidad del tratamiento.
Artículo 9. Principio de seguridad
El titular del banco de datos personales y el encargado de su tratamiento deben adoptar

las medidas técnicas, organizativas y legales necesarias para garantizar la seguridad de los
datos personales. Las medidas de seguridad deben ser apropiadas y acordes con el
tratamiento que se vaya a efectuar y con la categoría de datos personales de que se trate.
Artículo 10. Principio de disposición de recurso

Todo titular de datos personales debe contar con las vías administrativas o
jurisdiccionales necesarias para reclamar y hacer valer sus derechos, cuando estos sean
vulnerados por el tratamiento de sus datos personales.
Artículo 11. Principio de nivel de protección adecuado
Para el flujo transfronterizo de datos personales, se debe garantizar un nivel suficiente

de protección para los datos personales que se vayan a tratar o, por lo menos, equiparable a
lo previsto por esta Ley o por los estándares internacionales en la materia.
Artículo 12. Valor de los principios
La actuación de los titulares y encargados de los bancos de datos personales y, en general, de todos los que intervengan con relación a datos
personales, debe ajustarse a los principios rectores a que se refiere este Título. Esta relación de principios rectores es enunciativa.
Los principios rectores señalados sirven también de criterio interpretativo para resolver las cuestiones que puedan suscitarse en la aplicación
de esta Ley y de su reglamento, así como de parámetro para la elaboración de otras disposiciones y para suplir vacíos en la legislación sobre la
materia. (*)

“Artículo 12. Valor de los principios
La actuación de los titulares y encargados de tratamiento de datos personales y, en general, de

todos los que intervengan con relación a datos personales, debe ajustarse a los principios rectores
a que se refiere este Título. Esta relación de principios rectores es enunciativa.
Los principios rectores señalados sirven también de criterio interpretativo para resolver las
cuestiones que puedan suscitarse en la aplicación de esta Ley y de su reglamento, así como de
parámetro para la elaboración de otras disposiciones y para suplir vacíos en la legislación sobre la
materia”.
TÍTULO II
TRATAMIENTO DE DATOS PERSONALES
Artículo 13. Alcances sobre el tratamiento de datos personales
13.1 El tratamiento de datos personales debe realizarse con pleno respeto de los
derechos fundamentales de sus titulares y de los derechos que esta Ley les confiere. Igual
regla rige para su utilización por terceros.
13.2 Las limitaciones al ejercicio del derecho fundamental a la protección de datos

personales solo pueden ser establecidas por ley, respetando su contenido esencial y estar
justificadas en razón del respeto de otros derechos fundamentales o bienes
constitucionalmente protegidos.
13.3 Mediante reglamento se dictan medidas especiales para el tratamiento de los datos
personales de los niños y de los adolescentes, así como para la protección y garantía de sus
derechos. Para el ejercicio de los derechos que esta Ley reconoce, los niños y los
adolescentes actúan a través de sus representantes legales, pudiendo el reglamento
determinar las excepciones aplicables, de ser el caso, teniendo en cuenta para ello el interés
superior del niño y del adolescente.
13.4 Las comunicaciones, telecomunicaciones, sistemas informáticos o sus

instrumentos, cuando sean de carácter privado o uso privado, solo pueden ser abiertos,
incautados, interceptados o intervenidos por mandamiento motivado del juez o con
autorización de su titular, con las garantías previstas en la ley. Se guarda secreto de los
asuntos ajenos al hecho que motiva su examen. Los datos personales obtenidos con
violación de este precepto carecen de efecto legal.
13.5 Los datos personales solo pueden ser objeto de tratamiento con consentimiento de
su titular, salvo ley autoritativa al respecto. El consentimiento debe ser previo, informado,
expreso e inequívoco.
13.6 En el caso de datos sensibles, el consentimiento para efectos de su tratamiento,

además, debe efectuarse por escrito. Aun cuando no mediara el consentimiento del titular,
el tratamiento de datos sensibles puede efectuarse cuando la ley lo autorice, siempre que
ello atienda a motivos importantes de interés público.
13.7 El titular de datos personales puede revocar su consentimiento en cualquier

momento, observando al efecto los mismos requisitos que con ocasión de su otorgamiento.
13.8 El tratamiento de datos personales relativos a la comisión de infracciones penales o

administrativas solo puede ser efectuado por las entidades públicas competentes, salvo
convenio de encargo de gestión conforme a la Ley 27444, Ley del Procedimiento
Administrativo General, o la que haga sus veces. Cuando se haya producido la cancelación
de los antecedentes penales, judiciales, policiales y administrativos, estos datos no pueden
ser suministrados salvo que sean requeridos por el Poder Judicial o el Ministerio Público,
conforme a ley.
13.9 La comercialización de datos personales contenidos o destinados a ser contenidos

en bancos de datos personales se sujeta a los principios previstos en la presente Ley.
Artículo 14. Limitaciones al consentimiento para el tratamiento de datos personales
No se requiere el consentimiento del titular de datos personales, para los efectos de su tratamiento, en los siguientes casos:
1. Cuando los datos personales se recopilen o transfieran para el ejercicio de las funciones de las entidades públicas en el ámbito de sus
competencias.
2. Cuando se trate de datos personales contenidos o destinados a ser contenidos en fuentes accesibles para el público.
3. Cuando se trate de datos personales relativos a la solvencia patrimonial y de crédito, conforme a ley.
4. Cuando medie norma para la promoción de la competencia en los mercados regulados emitida en ejercicio de la función normativa por los
organismos reguladores a que se refiere la Ley 27332, Ley Marco de los Organismos Reguladores de la Inversión Privada en los Servicios
Públicos, o la que haga sus veces, siempre que la información brindada no sea utilizada en perjuicio de la privacidad del usuario.
5. Cuando los datos personales sean necesarios para la ejecución de una relación contractual en la que el titular de datos personales sea
parte, o cuando se trate de datos personales que deriven de una relación científica o profesional del titular y sean necesarios para su desarrollo o
cumplimiento.
6. Cuando se trate de datos personales relativos a la salud y sea necesario, en circunstancia de riesgo, para la prevención, diagnóstico y
tratamiento médico o quirúrgico del titular, siempre que dicho tratamiento sea realizado en establecimientos de salud o por profesionales en
ciencias de la salud, observando el secreto profesional; o cuando medien razones de interés público previstas por ley o cuando deban tratarse por
razones de salud pública, ambas razones deben ser calificadas como tales por el Ministerio de Salud; o para la realización de estudios
epidemiológicos o análogos, en tanto se apliquen procedimientos de disociación adecuados.
7. Cuando el tratamiento sea efectuado por organismos sin fines de lucro cuya finalidad sea política, religiosa o sindical y se refiera a los
datos personales recopilados de sus respectivos miembros, los que deben guardar relación con el propósito a que se circunscriben sus actividades,
no pudiendo ser transferidos sin consentimiento de aquellos.
8. Cuando se hubiera aplicado un procedimiento de anonimización o disociación.
9. Cuando el tratamiento de los datos personales sea necesario para salvaguardar intereses legítimos del titular de datos personales por parte
del titular de datos personales o por el encargado de datos personales.
10. Otros establecidos por ley, o por el reglamento otorgado de conformidad con la presente Ley. (*)

“Artículo 14. Limitaciones al consentimiento para el tratamiento de datos personales
No se requiere el consentimiento del titular de datos personales, para los efectos de su

tratamiento, en los siguientes casos:
1. Cuando los datos personales se recopilen o transfieran para el ejercicio de las funciones de
las entidades públicas en el ámbito de sus competencias.
CONCORDANCIAS: R.Nº 002-2018-PCM-SEGDI, Art. 7 (Protección de datos personales e interoperabilidad entre las entidades de la
Administración Pública)
2. Cuando se trate de datos personales contenidos o destinados a ser contenidos en fuentes

accesibles para el público.
3. Cuando se trate de datos personales relativos a la solvencia patrimonial y de crédito,

conforme a ley.
4. Cuando medie norma para la promoción de la competencia en los mercados regulados

emitida en ejercicio de la función normativa por los organismos reguladores a que se refiere la Ley
27332, Ley Marco de los Organismos Reguladores de la Inversión Privada en los Servicios
Públicos, o la que haga sus veces, siempre que la información brindada no sea utilizada en
perjuicio de la privacidad del usuario.
5. Cuando los datos personales sean necesarios para la preparación, celebración y ejecución
de una relación contractual en la que el titular de datos personales sea parte, o cuando se trate de
datos personales que deriven de una relación científica o profesional del titular y sean necesarios
para su desarrollo o cumplimiento.
6. Cuando se trate de datos personales relativos a la salud y sea necesario, en circunstancia de

riesgo, para la prevención, diagnóstico y tratamiento médico o quirúrgico del titular, siempre que
dicho tratamiento sea realizado en establecimientos de salud o por profesionales en ciencias de la
salud, observando el secreto profesional; o cuando medien razones de interés público previstas por
ley o cuando deban tratarse por razones de salud pública, ambas razones deben ser calificadas
como tales por el Ministerio de Salud; o para la realización de estudios epidemiológicos o análogos,
en tanto se apliquen procedimientos de disociación adecuados.
7. Cuando el tratamiento sea efectuado por organismos sin fines de lucro cuya finalidad sea
política, religiosa o sindical y se refiera a los datos personales recopilados de sus respectivos
miembros, los que deben guardar relación con el propósito a que se circunscriben sus actividades,
no pudiendo ser transferidos sin consentimiento de aquellos.
8. Cuando se hubiera aplicado un procedimiento de anonimización o disociación.
9. Cuando el tratamiento de los datos personales sea necesario para salvaguardar intereses
legítimos del titular de datos personales por parte del titular de datos personales o por el encargado
de tratamiento de datos personales.
10. Cuando el tratamiento sea para fines vinculados al sistema de prevención de lavado de
activos y financiamiento del terrorismo u otros que respondan a un mandato legal.
11. En el caso de grupos económicos conformados por empresas que son consideradas sujetos
obligados a informar, conforme a las normas que regulan a la Unidad de Inteligencia Financiera,
que éstas puedan compartir información entre sí de sus respectivos clientes para fines de
prevención de lavado de activos y financiamiento del terrorismo, así como otros de cumplimiento
regulatorio, estableciendo las salvaguardas adecuadas sobre la confidencialidad y uso de la
información intercambiada.
12. Cuando el tratamiento se realiza en ejercicio constitucionalmente válido del derecho

fundamental a la libertad de información.
13. Otros que deriven del ejercicio de competencias expresamente establecidas por Ley ”.
CONCORDANCIAS: D.S. Nº 003-2013-JUS (Reglamento) Arts. 11 y 17
Artículo 15. Flujo transfronterizo de datos personales
El titular y el encargado del banco de datos personales deben realizar el flujo transfronterizo de datos personales solo si el país destinatario
mantiene niveles de protección adecuados conforme a la presente Ley.
En caso de que el país destinatario no cuente con un nivel de protección adecuado, el emisor del flujo transfronterizo de datos personales debe
garantizar que el tratamiento de los datos personales se efectúe conforme a lo dispuesto por la presente Ley.
No se aplica lo dispuesto en el segundo párrafo en los siguientes casos:
1. Acuerdos en el marco de tratados internacionales sobre la materia en los cuales la República del Perú sea parte.
2. Cooperación judicial internacional.

3. Cooperación internacional entre organismos de inteligencia para la lucha contra el terrorismo, tráfico ilícito de drogas, lavado de activos,
corrupción, trata de personas y otras formas de criminalidad organizada.
4. Cuando los datos personales sean necesarios para la ejecución de una relación contractual en la que el titular de datos personales sea
parte, incluyendo lo necesario para actividades como la autentificación de usuario, mejora y soporte del servicio, monitoreo de la calidad del
servicio, soporte para el mantenimiento y facturación de la cuenta y aquellas actividades que el manejo de la relación contractual requiera.
5. Cuando se trate de transferencias bancarias o bursátiles, en lo relativo a las transacciones respectivas y conforme a la ley aplicable.
6. Cuando el flujo transfronterizo de datos personales se realice para la protección, prevención, diagnóstico o tratamiento médico o quirúrgico
de su titular; o cuando sea necesario para la realización de estudios epidemiológicos o análogos, en tanto se apliquen procedimientos de
disociación adecuados.
7. Cuando el titular de los datos personales haya dado su consentimiento previo, informado, expreso e inequívoco.
8. Otros que establezca el reglamento de la presente Ley, con sujeción a lo dispuesto en el artículo 12. (*)

“Artículo 15. Flujo transfronterizo de datos personales
El titular y el encargado de tratamiento de datos personales deben realizar el flujo

transfronterizo de datos personales solo si el país destinatario mantiene niveles de protección
adecuados conforme a la presente Ley.
En caso de que el país destinatario no cuente con un nivel de protección adecuado, el emisor
del flujo transfronterizo de datos personales debe garantizar que el tratamiento de los datos
personales se efectúe conforme a lo dispuesto por la presente Ley.
No se aplica lo dispuesto en el segundo párrafo en los siguientes casos:
1. Acuerdos en el marco de tratados internacionales sobre la materia en los cuales la República

del Perú sea parte.
2. Cooperación judicial internacional.
3. Cooperación internacional entre organismos de inteligencia para la lucha contra el terrorismo,

tráfico ilícito de drogas, lavado de activos, corrupción, trata de personas y otras formas de
criminalidad organizada.
4. Cuando los datos personales sean necesarios para la ejecución de una relación contractual
en la que el titular de datos personales sea parte, incluyendo lo necesario para actividades como la
autentificación de usuario, mejora y soporte del servicio, monitoreo de la calidad del servicio,
soporte para el mantenimiento y facturación de la cuenta y aquellas actividades que el manejo de
la relación contractual requiera.
5. Cuando se trate de transferencias bancarias o bursátiles, en lo relativo a las transacciones

respectivas y conforme a la ley aplicable.
6. Cuando el flujo transfronterizo de datos personales se realice para la protección, prevención,
diagnóstico o tratamiento médico o quirúrgico de su titular; o cuando sea necesario para la
realización de estudios epidemiológicos o análogos, en tanto se apliquen procedimientos de
disociación adecuados.
7. Cuando el titular de los datos personales haya dado su consentimiento previo, informado,
expreso e inequívoco.
8. Otros que establezca el reglamento de la presente Ley, con sujeción a lo dispuesto en el

artículo 12”. (*) RECTIFICADO POR FE DE ERRATAS
Artículo 16. Seguridad del tratamiento de datos personales
Para fines del tratamiento de datos personales, el titular del banco de datos personales
debe adoptar medidas técnicas, organizativas y legales que garanticen su seguridad y eviten
su alteración, pérdida, tratamiento o acceso no autorizado.
Los requisitos y condiciones que deben reunir los bancos de datos personales en materia
de seguridad son establecidos por la Autoridad Nacional de Protección de Datos Personales,
salvo la existencia de disposiciones especiales contenidas en otras leyes.
Queda prohibido el tratamiento de datos personales en bancos de datos que no reúnan

los requisitos y las condiciones de seguridad a que se refiere este artículo.
Artículo 17. Confidencialidad de datos personales
El titular del banco de datos personales, el encargado y quienes intervengan en cualquier

parte de su tratamiento están obligados a guardar confidencialidad respecto de los mismos y
de sus antecedentes. Esta obligación subsiste aun después de finalizadas las relaciones con
el titular del banco de datos personales.
El obligado puede ser relevado de la obligación de confidencialidad cuando medie

consentimiento previo, informado, expreso e inequívoco del titular de los datos personales,
resolución judicial consentida o ejecutoriada, o cuando medien razones fundadas relativas a
la defensa nacional, seguridad pública o la sanidad pública, sin perjuicio del derecho a
guardar el secreto profesional.
TÍTULO III
DERECHOS DEL TITULAR DE DATOS PERSONALES
Artículo 18. Derecho de información del titular de datos personales
El titular de datos personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequívoca y de manera previa a su
recopilación, sobre la finalidad para la que sus datos personales serán tratados; quiénes son o pueden ser sus destinatarios, la existencia del
banco de datos en que se almacenarán, así como la identidad y domicilio de su titular y, de ser el caso, del encargado del tratamiento de sus datos
personales; el carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles;
la transferencia de los datos personales; las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo; el tiempo durante el
cual se conserven sus datos personales; y la posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello.
Si los datos personales son recogidos en línea a través de redes de comunicaciones electrónicas, las obligaciones del presente artículo pueden
satisfacerse mediante la publicación de políticas de privacidad, las que deben ser fácilmente accesibles e identificables .(*)

“Artículo 18. Derecho de información del titular de datos personales El titular de datos
personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequívoca y de
manera previa a su recopilación, sobre la finalidad para la que sus datos personales serán
tratados; quiénes son o pueden ser sus destinatarios, la existencia del banco de datos en que se
almacenarán, así como la identidad y domicilio de su titular y, de ser el caso, del o de los
encargados del tratamiento de sus datos personales; el carácter obligatorio o facultativo de sus
respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles; la
transferencia de los datos personales; las consecuencias de proporcionar sus datos personales y
de su negativa a hacerlo; el tiempo durante el cual se conserven sus datos personales; y la
posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello.
Si los datos personales son recogidos en línea a través de redes de comunicaciones

electrónicas, las obligaciones del presente artículo pueden satisfacerse mediante la publicación de
políticas de privacidad, las que deben ser fácilmente accesibles e identificables.
En el caso que el titular del banco de datos establezca vinculación con un encargado de
tratamiento de manera posterior al consentimiento, el accionar del encargado queda bajo
responsabilidad del Titular del Banco de Datos, debiendo establecer un mecanismo de información
personalizado para el titular de los datos personales sobre dicho nuevo encargado de tratamiento.
Si con posterioridad al consentimiento se produce la transferencia de datos personales por

fusión, adquisición de cartera, o supuestos similares, el nuevo titular del banco de datos debe
establecer un mecanismo de información eficaz para el titular de los datos personales sobre dicho
nuevo encargado de tratamiento”.
Artículo 19. Derecho de acceso del titular de datos personales
El titular de datos personales tiene derecho a obtener la información que sobre sí mismo
sea objeto de tratamiento en bancos de datos de administración pública o privada, la forma
en que sus datos fueron recopilados, las razones que motivaron su recopilación y a solicitud
de quién se realizó la recopilación, así como las transferencias realizadas o que se prevén
hacer de ellos.
Artículo 20. Derecho de actualización, inclusión, rectificación y supresión

El titular de datos personales tiene derecho a la actualización, inclusión, rectificación y supresión de sus datos personales materia de
tratamiento, cuando estos sean parcial o totalmente inexactos, incompletos, cuando se hubiere advertido omisión, error o falsedad, cuando hayan
dejado de ser necesarios o pertinentes a la finalidad para la cual hayan sido recopilados o cuando hubiera vencido el plazo establecido para su
tratamiento.
Si sus datos personales hubieran sido transferidos previamente, el encargado del banco de datos personales debe comunicar la actualización,
inclusión, rectificación o supresión a quienes se hayan transferido, en el caso que se mantenga el tratamiento por este último, quien debe también
proceder a la actualización, inclusión, rectificación o supresión, según corresponda.
Durante el proceso de actualización, inclusión, rectificación o supresión de datos personales, el encargado del banco de datos personales
dispone su bloqueo, quedando impedido de permitir que terceros accedan a ellos. Dicho bloqueo no es aplicable a las entidades públicas que
requieren de tal información para el adecuado ejercicio de sus competencias, según ley, las que deben informar que se encuentra en trámite
cualquiera de los mencionados procesos.
La supresión de datos personales contenidos en bancos de datos personales de administración pública se sujeta a lo dispuesto en el artículo 21
del Texto Único Ordenado de la Ley 27806, Ley de Transparencia y Acceso a la Información Pública, o la que haga sus veces. (*)

“Artículo 20. Derecho de actualización, inclusión, rectificación y supresión
El titular de datos personales tiene derecho a la actualización, inclusión, rectificación y

supresión de sus datos personales materia de tratamiento, cuando estos sean parcial o totalmente
inexactos, incompletos, cuando se hubiere advertido omisión, error o falsedad, cuando hayan
dejado de ser necesarios o pertinentes a la finalidad para la cual hayan sido recopilados o cuando
hubiera vencido el plazo establecido para su tratamiento.
Si sus datos personales hubieran sido transferidos previamente, el encargado de tratamiento de

datos personales debe comunicar la actualización, inclusión, rectificación o supresión a quienes se
hayan transferido, en el caso que se mantenga el tratamiento por este último, quien debe también
proceder a la actualización, inclusión, rectificación o supresión, según corresponda.
Durante el proceso de actualización, inclusión, rectificación o supresión de datos personales, el

encargado de tratamiento de datos personales dispone su bloqueo, quedando impedido de permitir
que terceros accedan a ellos. Dicho bloqueo no es aplicable a las entidades públicas que requieren
de tal información para el adecuado ejercicio de sus competencias, según ley, las que deben
informar que se encuentra en trámite cualquiera de los mencionados procesos.
La supresión de datos personales contenidos en bancos de datos personales de administración

pública se sujeta a lo dispuesto en el artículo 21 del Texto Único Ordenado de la Ley 27806, Ley de
Transparencia y Acceso a la Información Pública, o la que haga sus veces ”.
Artículo 21. Derecho a impedir el suministro
El titular de datos personales tiene derecho a impedir que estos sean suministrados, especialmente cuando ello afecte sus derechos
fundamentales. El derecho a impedir el suministro no aplica para la relación entre el titular del banco de datos personales y el encargado del
banco de datos personales para los efectos del tratamiento de estos. (*)

“Artículo 21. Derecho a impedir el suministro
El titular de datos personales tiene derecho a impedir que estos sean suministrados,
especialmente cuando ello afecte sus derechos fundamentales. El derecho a impedir el suministro
no aplica para la relación entre el titular del banco de datos personales y el encargado de
tratamiento de datos personales para los efectos del tratamiento de estos ”.
Artículo 22. Derecho de oposición
Siempre que, por ley, no se disponga lo contrario y cuando no hubiera prestado consentimiento, el titular de datos personales puede oponerse
a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En caso de oposición justificada, el
titular o el encargado del banco de datos personales, según corresponda, debe proceder a su supresión, conforme a ley. (*)

“Artículo 22. Derecho de oposición
Siempre que, por ley, no se disponga lo contrario y cuando no hubiera prestado consentimiento,
el titular de datos personales puede oponerse a su tratamiento cuando existan motivos fundados y
legítimos relativos a una concreta situación personal. En caso de oposición justificada, el titular o el
encargado de tratamiento de datos personales, según corresponda, debe proceder a su supresión,
conforme a ley”.
Artículo 23. Derecho al tratamiento objetivo
El titular de datos personales tiene derecho a no verse sometido a una decisión con
efectos jurídicos sobre él o que le afecte de manera significativa, sustentada únicamente en
un tratamiento de datos personales destinado a evaluar determinados aspectos de su
personalidad o conducta, salvo que ello ocurra en el marco de la negociación, celebración o
ejecución de un contrato o en los casos de evaluación con fines de incorporación a una
entidad pública, de acuerdo a ley, sin perjuicio de la posibilidad de defender su punto de
vista, para salvaguardar su legítimo interés.
Artículo 24. Derecho a la tutela
En caso de que el titular o el encargado del banco de datos personales deniegue al titular
de datos personales, total o parcialmente, el ejercicio de los derechos establecidos en esta
Ley, este puede recurrir ante la Autoridad Nacional de Protección de Datos Personales en
vía de reclamación o al Poder Judicial para los efectos de la correspondiente acción de
hábeas data.
El procedimiento a seguir ante la Autoridad Nacional de Protección de Datos Personales
se sujeta a lo dispuesto en los artículos 219 y siguientes de la Ley 27444, Ley del
Procedimiento Administrativo General, o la que haga sus veces.
La resolución de la Autoridad Nacional de Protección de Datos Personales agota la vía

administrativa y habilita la imposición de las sanciones administrativas previstas en el
artículo 39. El reglamento determina las instancias correspondientes.
Contra las resoluciones de la Autoridad Nacional de Protección de Datos Personales

procede la acción contencioso-administrativa.
Artículo 25. Derecho a ser indemnizado
El titular de datos personales que sea afectado a consecuencia del incumplimiento de la presente Ley por el titular o por el encargado del
banco de datos personales o por terceros, tiene derecho a obtener la indemnización correspondiente, conforme a ley. (*)

“Artículo 25. Derecho a ser indemnizado
El titular de datos personales que sea afectado a consecuencia del incumplimiento de la

presente Ley por el titular o por el encargado de tratamiento de datos personales o por terceros,
tiene derecho a obtener la indemnización correspondiente, conforme a ley ”.
Artículo 26. Contraprestación
La contraprestación que debe abonar el titular de datos personales por el ejercicio de los
derechos contemplados en los artículos 19, 20, 21, 22 y 23 ante los bancos de datos
personales de administración pública se sujeta a las disposiciones previstas en la Ley
27444, Ley del Procedimiento Administrativo General.
Ante los bancos de datos personales de administración privada, el ejercicio de los

derechos mencionados se sujeta a lo dispuesto por las normas especiales sobre la materia.
Artículo 27. Limitaciones
Los titulares y encargados de los bancos de datos personales de administración pública pueden denegar el ejercicio de los derechos de acceso,
supresión y oposición por razones fundadas en la protección de derechos e intereses de terceros o cuando ello pueda obstaculizar actuaciones
judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales, a las
investigaciones penales sobre la comisión de faltas o delitos, al desarrollo de funciones de control de la salud y del medio ambiente, a la
verificación de infracciones administrativas, o cuando así lo disponga la ley. (*)

“Artículo 27. Limitaciones
Los titulares y los encargados de tratamiento de datos personales de administración pública

pueden denegar el ejercicio de los derechos de acceso, supresión y oposición por razones
fundadas en la protección de derechos e intereses de terceros o cuando ello pueda obstaculizar
actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el
cumplimiento de obligaciones tributarias o previsionales, a las investigaciones penales sobre la
comisión de faltas o delitos, al desarrollo de funciones de control de la salud y del medio ambiente,
a la verificación de infracciones administrativas, o cuando así lo disponga la ley ”.
TÍTULO IV
OBLIGACIONES DEL TITULAR Y DEL ENCARGADO DEL BANCO DE DATOS PERSONALES (*)
(*) Denominación modificada por la Cuarta Disposición Complementaria

Modificatoria del Decreto Legislativo Nº 1353, publicado el 07 enero 2017, la misma
que entró en vigencia al día siguiente de la publicación del Decreto Supremo que
aprueba su Reglamento y la modificación del Reglamento de Organización y
Funciones del Ministerio de Justicia y Derechos Humanos, cuyo texto es el siguiente:
"TÍTULO IV
OBLIGACIONES DEL TITULAR Y DEL ENCARGADO DE TRATAMIENTO DE DATOS

PERSONALES"
Artículo 28. Obligaciones
El titular y el encargado del banco de datos personales, según sea el caso, tienen las siguientes obligaciones:
1. Efectuar el tratamiento de datos personales, solo previo consentimiento informado, expreso e inequívoco del titular de los datos personales,
salvo ley autoritativa, con excepción de los supuestos consignados en el artículo 14 de la presente Ley.
2. No recopilar datos personales por medios fraudulentos, desleales o ilícitos.
3. Recopilar datos personales que sean actualizados, necesarios, pertinentes y adecuados, con relación a finalidades determinadas, explícitas
y lícitas para las que se hayan obtenido.
4. No utilizar los datos personales objeto de tratamiento para finalidades distintas de aquellas que motivaron su recopilación, salvo que medie
procedimiento de anonimización o disociación.
5. Almacenar los datos personales de manera que se posibilite el ejercicio de los derechos de su titular.
6. Suprimir y sustituir o, en su caso, completar los datos personales objeto de tratamiento cuando tenga conocimiento de su carácter inexacto
o incompleto, sin perjuicio de los derechos del titular al respecto.
7. Suprimir los datos personales objeto de tratamiento cuando hayan dejado de ser necesarios o pertinentes a la finalidad para la cual
hubiesen sido recopilados o hubiese vencido el plazo para su tratamiento, salvo que medie procedimiento de anonimización o disociación.
8. Proporcionar a la Autoridad Nacional de Protección de Datos Personales la información relativa al tratamiento de datos personales que
esta le requiera y permitirle el acceso a los bancos de datos personales que administra, para el ejercicio de sus funciones, en el marco de un
procedimiento administrativo en curso solicitado por la parte afectada.
9. Otras establecidas en esta Ley y en su reglamento. (*)
(*) Artículo modificado por la Cuarta Disposición Complementaria Modificatoria del

"Artículo 28. Obligaciones
El titular y el encargado de tratamiento de datos personales, según sea el caso, tienen las
siguientes obligaciones:
1. Efectuar el tratamiento de datos personales, solo previo consentimiento informado, expreso e

inequívoco del titular de los datos personales, salvo ley autoritativa, con excepción de los
supuestos consignados en el artículo 14 de la presente Ley.
2. No recopilar datos personales por medios fraudulentos, desleales o ilícitos.
3. Recopilar datos personales que sean actualizados, necesarios, pertinentes y adecuados, con
relación a finalidades determinadas, explícitas y lícitas para las que se hayan obtenido.
4. No utilizar los datos personales objeto de tratamiento para finalidades distintas de aquellas
que motivaron su recopilación, salvo que medie procedimiento de anonimización o disociación.
5. Almacenar los datos personales de manera que se posibilite el ejercicio de los derechos de
su titular.
6. Suprimir y sustituir o, en su caso, completar los datos personales objeto de tratamiento

cuando tenga conocimiento de su carácter inexacto o incompleto, sin perjuicio de los derechos del
titular al respecto.
7. Suprimir los datos personales objeto de tratamiento cuando hayan dejado de ser necesarios o
pertinentes a la finalidad para la cual hubiesen sido recopilados o hubiese vencido el plazo para su
tratamiento, salvo que medie procedimiento de anonimización o disociación.
8. Proporcionar a la Autoridad Nacional de Protección de Datos Personales la información

relativa al tratamiento de datos personales que esta le requiera y permitirle el acceso a los bancos
de datos personales que administra, para el ejercicio de sus funciones, en el marco de un
procedimiento administrativo en curso solicitado por la parte afectada.
9. Otras establecidas en esta Ley y en su reglamento ”.
TÍTULO V
BANCOS DE DATOS PERSONALES

Artículo 29. Creación, modificación o cancelación de bancos de datos personales
La creación, modificación o cancelación de bancos de datos personales de

administración pública y de administración privada se sujetan a lo que establezca el
reglamento, salvo la existencia de disposiciones especiales contenidas en otras leyes. En
todo caso, se garantiza la publicidad sobre su existencia, finalidad, identidad y el domicilio
de su titular y, de ser el caso, de su encargado.
Artículo 30. Prestación de servicios de tratamiento de datos personales
Cuando, por cuenta de terceros, se presten servicios de tratamiento de datos personales,

estos no pueden aplicarse o utilizarse con un fin distinto al que figura en el contrato o
convenio celebrado ni ser transferidos a otras personas, ni aun para su conservación.
Una vez ejecutada la prestación materia del contrato o del convenio, según el caso, los
datos personales tratados deben ser suprimidos, salvo que medie autorización expresa de
aquel por cuenta de quien se prestan tales servicios cuando razonablemente se presuma la
posibilidad de ulteriores encargos, en cuyo caso se pueden conservar con las debidas
condiciones de seguridad, hasta por el plazo que determine el reglamento de esta Ley.
Artículo 31. Códigos de conducta
Las entidades representativas de los titulares o encargados de bancos de datos personales de administración privada pueden elaborar códigos
de conducta que establezcan normas para el tratamiento de datos personales que tiendan a asegurar y mejorar las condiciones de operación de
los sistemas de información en función de los principios rectores establecidos en esta Ley. (*)

“Artículo 31. Códigos de conducta
31.1 Las entidades representativas de los titulares o encargados de tratamiento de datos

personales administración privada pueden elaborar códigos de conducta que establezcan normas
para el tratamiento de datos personales que tiendan a asegurar y mejorar las condiciones de
operación de los sistemas de información en función de los principios rectores establecidos en esta
Ley."
TÍTULO VI
AUTORIDAD NACIONAL DE PROTECCIÓN DE DATOS PERSONALES
Artículo 32. Órgano competente y régimen jurídico

El Ministerio de Justicia, a través de la Dirección Nacional de Justicia, es la Autoridad
Nacional de Protección de Datos Personales. Para el adecuado desempeño de sus funciones,
puede crear oficinas en todo el país.
La Autoridad Nacional de Protección de Datos Personales se rige por lo dispuesto en

esta Ley, en su reglamento y en los artículos pertinentes del Reglamento de Organización y
Funciones del Ministerio de Justicia.
Corresponde a la Autoridad Nacional de Protección de Datos Personales realizar todas

las acciones necesarias para el cumplimiento del objeto y demás disposiciones de la
presente Ley y de su reglamento. Para tal efecto, goza de potestad sancionadora, de
conformidad con la Ley 27444, Ley del Procedimiento Administrativo General, o la que
haga sus veces, así como de potestad coactiva, de conformidad con la Ley 26979, Ley de
Procedimiento de Ejecución Coactiva, o la que haga sus veces.
La Autoridad Nacional de Protección de Datos Personales debe presentar

periódicamente un informe sobre sus actividades al Ministro de Justicia.
Para el cumplimiento de sus funciones, la Autoridad Nacional de Protección de Datos

Personales cuenta con el apoyo y asesoramiento técnico de la Oficina Nacional de
Gobierno Electrónico e Informática (ONGEI) de la Presidencia del Consejo de Ministros, o
la que haga sus veces.
Artículo 33. Funciones de la Autoridad Nacional de Protección de Datos Personales
La Autoridad Nacional de Protección de Datos Personales ejerce las funciones

administrativas, orientadoras, normativas, resolutivas, fiscalizadoras y sancionadoras
siguientes:
1. Representar al país ante las instancias internacionales en materia de protección de

datos personales.
2. Cooperar con las autoridades extranjeras de protección de datos personales para el

cumplimiento de sus competencias y generar mecanismos de cooperación bilateral y
multilateral para asistirse entre sí y prestarse debido auxilio mutuo cuando se requiera.
3. Administrar y mantener actualizado el Registro Nacional de Protección de Datos

Personales.
4. Publicitar, a través del portal institucional, la relación actualizada de bancos de datos

personales de administración pública y privada.
5. Promover campañas de difusión y promoción sobre la protección de datos personales.
6. Promover y fortalecer una cultura de protección de los datos personales de los niños y
de los adolescentes.
7. Coordinar la inclusión de información sobre la importancia de la vida privada y de la
protección de datos personales en los planes de estudios de todos los niveles educativos y
fomentar, asimismo, la capacitación de los docentes en estos temas.
8. Supervisar el cumplimiento de las exigencias previstas en esta Ley, para el flujo

transfronterizo de datos personales.
9. Emitir autorizaciones, cuando corresponda, conforme al reglamento de esta Ley.
10. Absolver consultas sobre protección de datos personales y el sentido de las normas
vigentes en la materia, particularmente sobre las que ella hubiera emitido.
11. Emitir opinión técnica respecto de los proyectos de normas que se refieran total o
parcialmente a los datos personales, la que es vinculante.
12. Emitir las directivas que correspondan para la mejor aplicación de lo previsto en esta
Ley y en su reglamento, especialmente en materia de seguridad de los bancos de datos
personales, así como supervisar su cumplimiento, en coordinación con los sectores
involucrados.
13. Promover el uso de mecanismos de autorregulación como instrumento

complementario de protección de datos personales.
14. Celebrar convenios de cooperación interinstitucional o internacional con la finalidad

de velar por los derechos de las personas en materia de protección de datos personales que
son tratados dentro y fuera del territorio nacional.
15. Atender solicitudes de interés particular del administrado o general de la

colectividad, así como solicitudes de información.
16. Conocer, instruir y resolver las reclamaciones formuladas por los titulares de datos
personales por la vulneración de los derechos que les conciernen y dictar las medidas
cautelares o correctivas que establezca el reglamento.
17. Velar por el cumplimiento de la legislación vinculada con la protección de datos

personales y por el respeto de sus principios rectores.
18. En el marco de un procedimiento administrativo en curso, solicitado por la parte

afectada, obtener de los titulares de los bancos de datos personales la información que
estime necesaria para el cumplimiento de las normas sobre protección de datos personales y
el desempeño de sus funciones.
19. Supervisar la sujeción del tratamiento de los datos personales que efectúen el titular
y el encargado del banco de datos personales a las disposiciones técnicas que ella emita y,
en caso de contravención, disponer las acciones que correspondan conforme a ley.
20. Iniciar fiscalizaciones de oficio o por denuncia de parte por presuntos actos
contrarios a lo establecido en la presente Ley y en su reglamento y aplicar las sanciones
administrativas correspondientes, sin perjuicio de las medidas cautelares o correctivas que
establezca el reglamento.
21. Las demás funciones que le asignen esta Ley y su reglamento.
Artículo 34. Registro Nacional de Protección de Datos Personales
Créase el Registro Nacional de Protección de Datos Personales como registro de carácter administrativo a cargo de la Autoridad Nacional de
Protección de Datos Personales, con la finalidad de inscribir en forma diferenciada, a nivel nacional, lo siguiente:
1. Los bancos de datos personales de administración pública o privada, así como los datos relativos a estos que sean necesarios para el
ejercicio de los derechos que corresponden a los titulares de datos personales, conforme a lo dispuesto en esta Ley y en su reglamento.
El ejercicio de esta función no posibilita el conocimiento del contenido de los bancos de datos personales por parte de la Autoridad Nacional
de Protección de Datos Personales, salvo procedimiento administrativo en curso.
2. Las autorizaciones emitidas conforme al reglamento de la presente Ley.
3. Las sanciones, medidas cautelares o correctivas impuestas por la Autoridad Nacional de Protección de Datos Personales conforme a esta
Ley y a su reglamento.
4. Los códigos de conducta de las entidades representativas de los titulares o encargados de bancos de datos personales de administración
privada.
5. Otros actos materia de inscripción conforme al reglamento.
Cualquier persona puede consultar en el Registro Nacional de Protección de Datos Personales la existencia de bancos de datos personales,
sus finalidades, así como la identidad y domicilio de sus titulares y, de ser el caso, de sus encargados. (*)

“Artículo 34. Registro Nacional de Protección de Datos Personales
Créase el Registro Nacional de Protección de Datos Personales como registro de carácter

administrativo a cargo de la Autoridad Nacional de Protección de Datos Personales, con la finalidad
de inscribir en forma diferenciada, a nivel nacional, lo siguiente:
1. Los bancos de datos personales de administración pública o privada, así como los datos
relativos a estos que sean necesarios para el ejercicio de los derechos que corresponden a los
titulares de datos personales, conforme a lo dispuesto en esta Ley y en su reglamento.
El ejercicio de esta función no posibilita el conocimiento del contenido de los bancos de datos
personales por parte de la Autoridad Nacional de Protección de Datos Personales, salvo
procedimiento administrativo en curso.
2. Las comunicaciones de flujo transfronterizo de datos personales.

3. Las sanciones, medidas cautelares o correctivas impuestas por la Autoridad Nacional de
Protección de Datos Personales conforme a esta Ley y a su reglamento.
Cualquier persona puede consultar en el Registro Nacional de Protección de Datos Personales

la existencia de bancos de datos personales, sus finalidades, así como la identidad y domicilio de
sus titulares y, de ser el caso, de sus encargados”.
Artículo 35. Confidencialidad
El personal de la Autoridad Nacional de Protección de Datos Personales está sujeto a la

obligación de guardar confidencialidad sobre los datos personales que conozca con motivo
de sus funciones. Esta obligación subsiste aun después de finalizada toda relación con dicha
autoridad nacional, bajo responsabilidad.
Artículo 36. Recursos de la Autoridad Nacional de Protección de Datos Personales
Son recursos de la Autoridad Nacional de Protección de Datos Personales los siguientes:
1. Las tasas por concepto de derecho de trámite de los procedimientos administrativos y

servicios de su competencia.
2. Los montos que recaude por concepto de multas.
3. Los recursos provenientes de la cooperación técnica internacional no reembolsable.
4. Los legados y donaciones que reciba.
5. Los recursos que se le transfieran conforme a ley.
Los recursos de la Autoridad Nacional de Protección de Datos Personales son destinados

a financiar los gastos necesarios para el desarrollo de sus operaciones y para su
funcionamiento.
TÍTULO VII
INFRACCIONES Y SANCIONES ADMINISTRATIVAS
Artículo 37. Procedimiento sancionador
El procedimiento sancionador se inicia de oficio, por la Autoridad Nacional de

Protección de Datos Personales o por denuncia de parte, ante la presunta comisión de actos
contrarios a lo dispuesto en la presente Ley o en su reglamento, sin perjuicio del
procedimiento seguido en el marco de lo dispuesto en el artículo 24.
Las resoluciones de la Autoridad Nacional de Protección de Datos Personales agotan la

vía administrativa.
Contra las resoluciones de la Autoridad Nacional de Protección de Datos Personales
procede la acción contencioso-administrativa.
Artículo 38. Infracciones
Constituye infracción sancionable toda acción u omisión que contravenga o incumpla alguna de las disposiciones contenidas en esta Ley o en
su reglamento.
Las infracciones se califican como leves, graves y muy graves.
1. Son infracciones leves:
a. Dar tratamiento a datos personales sin recabar el consentimiento de sus titulares, cuando el mismo sea necesario conforme a lo dispuesto
en esta Ley.
b. No atender, impedir u obstaculizar el ejercicio de los derechos del titular de datos personales reconocidos en el título III, cuando legalmente
proceda.
c. Obstruir el ejercicio de la función fiscalizadora de la Autoridad Nacional de Protección de Datos Personales.
2. Son infracciones graves:
a. Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás
disposiciones o las de su Reglamento.
b. Incumplir la obligación de confidencialidad establecida en el artículo 17.
c. No atender, impedir u obstaculizar, en forma sistemática, el ejercicio de los derechos del titular de datos personales reconocidos en el título
III, cuando legalmente proceda.
d. Obstruir, en forma sistemática, el ejercicio de la función fiscalizadora de la Autoridad Nacional de Protección de Datos Personales.
e. No inscribir el banco de datos personales en el Registro Nacional de Protección de Datos Personales.
3. Son infracciones muy graves:
a. Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás
disposiciones o las de su Reglamento, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales.
b. Crear, modificar, cancelar o mantener bancos de datos personales sin cumplir con lo establecido por la presente Ley o su reglamento.
c. Suministrar documentos o información falsa o incompleta a la Autoridad Nacional de Protección de Datos Personales.
d. No cesar en el tratamiento ilícito de datos personales, cuando existiese un previo requerimiento de la Autoridad Nacional de Protección de
Datos Personales para ello.
e. No inscribir el banco de datos personales en el Registro Nacional de Protección de Datos Personales, no obstante haber sido requerido
para ello por la Autoridad Nacional de Protección de Datos Personales.
La calificación, la graduación del monto de las multas, el procedimiento para su aplicación y otras tipificaciones se efectúan en el reglamento
de la presente Ley. (*)

“Artículo 38.- Tipificación de infracciones
Las infracciones se clasifican en leves, graves y muy graves, las cuales son tipificadas vía
reglamentaria, de acuerdo a lo establecido en el numeral 4) del artículo 230 de la Ley Nº 27444,
Ley del Procedimiento Administrativo General, mediante Decreto Supremo con el voto aprobatorio
del Consejo de Ministros.
Sin perjuicio de las sanciones que en el marco de su competencia imponga la autoridad

competente, esta puede ordenar la implementación de una o más medidas correctivas, con el
objetivo de corregir o revertir los efectos que la conducta infractora hubiere ocasionado o evitar que
ésta se produzca nuevamente.
Los administrados son responsables objetivamente por el incumplimiento de obligaciones

derivadas de las normas sobre protección de datos personales”.
Artículo 39. Sanciones administrativas
En caso de violación de las normas de esta Ley o de su reglamento, la Autoridad

Nacional de Protección de Datos Personales puede aplicar las siguientes multas:
1. Las infracciones leves son sancionadas con una multa mínima desde cero coma cinco
de una unidad impositiva tributaria (UIT) hasta cinco unidades impositivas tributarias
(UIT).
2. Las infracciones graves son sancionadas con multa desde más de cinco unidades
impositivas tributarias (UIT) hasta cincuenta unidades impositivas tributarias (UIT).
3. Las infracciones muy graves son sancionadas con multa desde más de cincuenta
unidades impositivas tributarias (UIT) hasta cien unidades impositivas tributarias (UIT).
En ningún caso, la multa impuesta puede exceder del diez por ciento de los ingresos
brutos anuales que hubiera percibido el presunto infractor durante el ejercicio anterior.
La Autoridad Nacional de Protección de Datos Personales determina la infracción

cometida y el monto de la multa imponible mediante resolución debidamente motivada.
Para la graduación del monto de las multas, se toman en cuenta los criterios establecidos en
el artículo 230, numeral 3), de la Ley 27444, Ley del Procedimiento Administrativo
General, o la que haga sus veces.
La imposición de la multa se efectúa sin perjuicio de las sanciones disciplinarias sobre el

personal de las entidades públicas en los casos de bancos de datos personales de
administración pública, así como de la indemnización por daños y perjuicios y de las
sanciones penales a que hubiera lugar.
Artículo 40. Multas coercitivas

En aplicación de lo dispuesto en el artículo 199 de la Ley 27444, Ley del Procedimiento
Administrativo General, o la que haga sus veces, la Autoridad Nacional de Protección de
Datos Personales puede imponer multas coercitivas por un monto que no supere las diez
unidades impositivas tributarias (UIT), frente al incumplimiento de las obligaciones
accesorias a la sanción, impuestas en el procedimiento sancionador. Las multas coercitivas
se imponen una vez vencido el plazo de cumplimiento.
La imposición de las multas coercitivas no impide el ejercicio de otro medio de

ejecución forzosa, conforme a lo dispuesto en el artículo 196 de la Ley 27444, Ley del
Procedimiento Administrativo General.
El reglamento de la presente Ley regula lo concerniente a la aplicación de las multas

coercitivas.
DISPOSICIONES COMPLEMENTARIAS FINALES
PRIMERA. Reglamento de la Ley
Para la elaboración del proyecto de reglamento, se constituye una comisión

multisectorial, la que es presidida por la Autoridad Nacional de Protección de Datos
Personales.
El proyecto de reglamento es elaborado en un plazo máximo de ciento veinte días

hábiles, a partir de la instalación de la comisión multisectorial, lo que debe ocurrir en un
plazo no mayor de quince días hábiles, contado a partir del día siguiente de la publicación
de la presente Ley.
CONCORDANCIAS: R.S. Nº 180-2011-PCM (Constituyen Comisión Multisectorial encargada de elaborar el proyecto de Reglamento
de la Ley Nº 29733, Ley de
Protección de Datos Personales)
SEGUNDA. Directiva de seguridad
La Autoridad Nacional de Protección de Datos Personales elabora la directiva de

seguridad de la información administrada por los bancos de datos personales en un plazo no
mayor de ciento veinte días hábiles, contado a partir del día siguiente de la publicación de
la presente Ley.
En tanto se apruebe y rija la referida directiva, se mantienen vigentes las disposiciones

sectoriales sobre la materia.
TERCERA. Adecuación de documentos de gestión y del Texto Único de

Procedimientos Administrativos del Ministerio de Justicia
Estando a la creación de la Autoridad Nacional de Protección de Datos Personales, en un

plazo máximo de ciento veinte días hábiles, contado a partir del día siguiente de la
publicación de la presente Ley, el Ministerio de Justicia elabora las modificaciones
pertinentes en sus documentos de gestión y en su Texto Único de Procedimientos
Administrativos.
CUARTA. Adecuación normativa
Dentro del plazo de sesenta días hábiles, el Poder Ejecutivo remite al Congreso de la
República un proyecto de ley que contenga las modificaciones necesarias a las leyes
existentes a efectos de su adecuación a la presente Ley.
Para las normas de rango inferior, las entidades públicas competentes revisan la
normativa correspondiente y elaboran las propuestas necesarias para su adecuación a lo
dispuesto en esta Ley.
En ambos casos se requiere la opinión técnica favorable previa de la Autoridad Nacional

de Protección de Datos Personales, de conformidad con el artículo 33 numeral 11.
QUINTA. Bancos de datos personales preexistentes
Los bancos de datos personales creados con anterioridad a la presente Ley y sus
respectivos reglamentos deben adecuarse a esta norma dentro del plazo que establezca el
reglamento. Sin perjuicio de ello, sus titulares deben declararlos ante la Autoridad Nacional
de Protección de Datos Personales, con sujeción a lo dispuesto en el artículo 29.
SEXTA. Hábeas data
Las normas establecidas en el Código Procesal Constitucional sobre el proceso de

hábeas data se aplican en el ámbito constitucional, independientemente del ámbito
administrativo materia de la presente Ley. El procedimiento administrativo establecido en
la presente Ley no constituye vía previa para el ejercicio del derecho vía proceso
constitucional.
SÉTIMA. Competencias del Instituto Nacional de Defensa de la Competencia y de

la Protección de la Propiedad Intelectual (Indecopi)
La Autoridad Nacional de Protección de Datos Personales es competente para

salvaguardar los derechos de los titulares de la información administrada por las Centrales
Privadas de Información de Riesgos (Cepirs) o similares conforme a los términos
establecidos en la presente Ley.
Sin perjuicio de ello, en materia de infracción a los derechos de los consumidores en

general mediante la prestación de los servicios e información brindados por las Cepirs o
similares, en el marco de las relaciones de consumo, son aplicables las normas sobre
protección al consumidor, siendo el ente competente de manera exclusiva y excluyente para
la supervisión de su cumplimiento la Comisión de Protección al Consumidor del Instituto
Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual
(Indecopi), la que debe velar por la idoneidad de los bienes y servicios en función de la
información brindada a los consumidores.
OCTAVA. Información sensible
Para los efectos de lo dispuesto en la Ley 27489, Ley que Regula las Centrales Privadas
de Información de Riesgos y de Protección al Titular de la Información, se entiende por
información sensible la definida como dato sensible por la presente Ley.
Igualmente, precísase que la información confidencial a que se refiere el numeral 5) del

artículo 17 del Texto Único Ordenado de la Ley 28706 (*)NOTA SPIJ, Ley de Transparencia y
Acceso a la Información Pública, constituye dato sensible conforme a los alcances de esta
Ley.
NOVENA. Inafectación de facultades de la administración tributaria
Lo dispuesto en la presente Ley no se debe interpretar en detrimento de las facultades de

la administración tributaria respecto de la información que obre y requiera para sus
registros, o para el cumplimiento de sus funciones.
DÉCIMA. Financiamiento
La realización de las acciones necesarias para la aplicación de la presente Ley se ejecuta

con cargo al presupuesto institucional del pliego Ministerio de Justicia y de los recursos a
los que hace referencia el artículo 36, sin demandar recursos adicionales al Tesoro Público.
DUODÉCIMA. Vigencia de la Ley
La presente Ley entra en vigencia conforme a lo siguiente:
1. Las disposiciones previstas en el Título II, en el primer párrafo del artículo 32 y en las
primera, segunda, tercera, cuarta, novena y décima disposiciones complementarias finales
rigen a partir del día siguiente de la publicación de esta Ley.
2. Las demás disposiciones rigen en el plazo de treinta días hábiles, contado a partir de
la publicación del reglamento de la presente Ley.
Comuníquese al señor Presidente de la República para su promulgación.
En Lima, a los veintiún días del mes de junio de dos mil once.
CÉSAR ZUMAETA FLORES
Presidente del Congreso de la República
ALDA LAZO RÍOS DE HORNUNG

Segunda Vicepresidenta del Congreso de la República
AL SEÑOR PRESIDENTE CONSTITUCIONAL DE LA REPÚBLICA
POR TANTO:
Mando se publique y cumpla.
Dado en la Casa de Gobierno, en Lima, a los dos días del mes de julio del año dos mil
once.
ALAN GARCÍA PÉREZ
ROSARIO DEL PILAR FERNÁNDEZ FIGUEROA
Presidenta del Consejo de Ministros y Ministra de Justicia
Aprueban Reglamento de la Ley Nº 29733, Ley de Protección de Datos Personales
DECRETO SUPREMO Nº 003-2013-JUS
CONCORDANCIAS: R.D. N° 060-2014-JUS-DGPDP (Aprueban Directiva Nº 001-2014-JUS-DGPDP sobre protección de

datos personales en el marco de los procedimientos para la construcción, administración, sistematización y actualización
de bases de datos personales vinculados con programas sociales y subsidios
que administra el Estado)

D.S.N° 039-2015-SA (Aprueba el Reglamento de la Ley Nº 30024, Ley que crea el Registro Nacional de Historias
Clínicas Electrónicas)
R.A.N° 065-2016-CE-PJ (Aprueban “Directiva sobre el Tratamiento y Protección de Datos Personales en el

Poder Judicial”)
D.S.N° 007-2016-MIDIS (Aprueba el Reglamento de la Ley Nº 30435, Ley que crea el Sistema Nacional de
Focalización (SINAFO))
D.S.N° 009-2016-MIDIS (Establecen el Repositorio Digital de Información Multisectorial en

Materia de Intervenciones Sociales - RedInforma)
Enlace Web: EXPOSICIÓN DE MOTIVOS - PDF.
EL PRESIDENTE DE LA REPÚBLICA
CONSIDERANDO:
Que, el artículo 2 numeral 6 de la Constitución Política del Perú señala que toda persona tiene
derecho a que los servicios informáticos, computarizados o no, públicos o privados, no suministren
informaciones que afecten la intimidad personal y familiar;
Que, la Ley Nº 29733, Ley de Protección de Datos Personales, tiene el objeto de garantizar el
derecho fundamental a la protección de los datos personales, previsto en la Constitución Política
del Perú;
Que, el artículo 32 de la acotada Ley Nº 29733, dispone que el Ministerio de Justicia y Derechos
Humanos asume la Autoridad Nacional de Protección de Datos Personales;
Que, la Primera Disposición Complementaria Final de la Ley Nº 29733, dispuso que se

constituya una Comisión Multisectorial, presidida por la Autoridad Nacional de Protección de Datos
Personales, para la elaboración del correspondiente Reglamento;
Que, la Comisión Multisectorial conformada mediante Resolución Suprema Nº 180-2011-PCM

ha elaborado el proyecto de Reglamento de la Ley Nº 29733, Ley de Protección de Datos
Personales, el que ha sido prepublicado conforme a ley, recibiéndose los aportes de la ciudadanía
y comunidad en general;
Que, en tal sentido, corresponde aprobar el Reglamento de la Ley Nº 29733, Ley de Protección
de Datos Personales;
De conformidad con lo establecido por la Ley Nº 29733, Ley de Protección de Datos

Personales; la Ley Nº 29158, Ley Orgánica del Poder Ejecutivo; y la Ley Nº 29809, Ley de
Organización y Funciones del Ministerio de Justicia y Derechos Humanos;
DECRETA:
Artículo 1.- Aprobación
Apruébese el Reglamento de la Ley Nº 29733, Ley de Protección de Datos Personales, que

consta de VI Títulos, ciento treinta y un (131) Artículos, tres (03) Disposiciones Complementarias
Finales y tres (03) Disposiciones Complementarias Transitorias, que forma parte integrante del
presente Decreto Supremo.
Artículo 2.- Publicación
El presente Decreto Supremo y el Reglamento de la Ley Nº 29733, Ley de Protección de Datos

Personales, aprobado por el artículo precedente, deberán ser publicados en el Portal Institucional
del Ministerio de Justicia y Derechos Humanos (www.minjus.gob.pe).
Artículo 3.- Vigencia
El Reglamento aprobado entrará en vigencia en el plazo de treinta (30) días hábiles contados a
partir del día siguiente de la publicación del presente Decreto Supremo en el Diario Oficial El
Peruano.
Artículo 4.- Refrendo
El presente Decreto Supremo será refrendado por la Ministra de Justicia y Derechos Humanos.
Dado en la Casa de Gobierno, en Lima, a los veintiún días del mes de marzo del año dos mil
trece.
OLLANTA HUMALA TASSO

EDA A. RIVAS FRANCHINI
Ministra de Justicia y Derechos Humanos
REGLAMENTO DE LA LEY Nº 29733
LEY DE PROTECCIÓN DE DATOS PERSONALES
Índice
Título I Disposiciones generales.
Título II Principios rectores.
Título III Tratamiento de datos personales.
Capítulo I Consentimiento.
Capítulo II Limitaciones al consentimiento.
Capítulo III Transferencia de datos personales.
Capítulo IV Tratamientos especiales de datos personales.
Capítulo V Medidas de seguridad.
Título IV Derechos del titular de datos personales.
Capítulo I Disposiciones generales.
Capítulo II Disposiciones especiales.
Capítulo III Procedimiento de tutela.

Título V Registro Nacional de Protección de Datos Personales.
Capítulo I Disposiciones generales.
Capítulo II Procedimiento de inscripción.
Capítulo III Procedimiento de inscripción de los códigos de conducta.
Título VI Infracciones y sanciones.
Capítulo I Procedimiento fiscalizador.
Capítulo II Procedimiento sancionador.
Capítulo III Sanciones.
Disposiciones Complementarias Finales y Transitorias
TÍTULO I
Disposiciones generales
Artículo 1.- Objeto.
El presente reglamento tiene por objeto desarrollar la Ley Nº 29733, Ley de Protección de Datos
Personales, en adelante la Ley, a fin de garantizar el derecho fundamental a la protección de datos
personales, regulando un adecuado tratamiento, tanto por las entidades públicas, como por las
instituciones pertenecientes al sector privado. Sus disposiciones constituyen normas de orden
público y de cumplimiento obligatorio.
Artículo 2.- Definiciones.
Para los efectos de la aplicación del presente reglamento, sin perjuicio de las definiciones
contenidas en la Ley, complementariamente, se entiende las siguientes definiciones:
1. Banco de datos personales no automatizado: Conjunto de datos de personas naturales no

computarizado y estructurado conforme a criterios específicos, que permita acceder sin esfuerzos
desproporcionados a los datos personales, ya sea aquel centralizado, descentralizado o repartido
de forma funcional o geográfica.
2. Bloqueo: Es la medida por la que el encargado del banco de datos personales impide el
acceso de terceros a los datos y éstos no pueden ser objeto de tratamiento, durante el periodo en
que se esté procesando alguna solicitud de actualización, inclusión, rectificación o supresión, en
concordancia con lo que dispone el tercer párrafo del artículo 20 de la Ley.
Se dispone también como paso previo a la cancelación por el tiempo necesario para determinar
posibles responsabilidades en relación a los tratamientos, durante el plazo de prescripción legal o
previsto contractualmente.
3. Cancelación: Es la acción o medida que en la Ley se describe como supresión, cuando se

refiere a datos personales, que consiste en eliminar o suprimir los datos personales de un banco de
datos.
4. Datos personales: Es aquella información numérica, alfabética, gráfica, fotográfica, acústica,

sobre hábitos personales, o de cualquier otro tipo concerniente a las personas naturales que las
identifica o las hace identificables a través de medios que puedan ser razonablemente utilizados.
5. Datos personales relacionados con la salud: Es aquella información concerniente a la

salud pasada, presente o pronosticada, física o mental, de una persona, incluyendo el grado de
discapacidad y su información genética.
6. Datos sensibles: Es aquella información relativa a datos personales referidos a las

características físicas, morales o emocionales, hechos o circunstancias de su vida afectiva o
familiar, los hábitos personales que corresponden a la esfera más íntima, la información relativa a
la salud física o mental u otras análogas que afecten su intimidad.
7. Días: Días hábiles.
8. Dirección General de Protección de Datos Personales: Es el órgano encargado de ejercer

la Autoridad Nacional de Protección de Datos Personales a que se refiere el artículo 32 de la Ley,
pudiendo usarse indistintamente cualquiera de dichas denominaciones.
9. Emisor o exportador de datos personales: Es el titular del banco de datos personales o

aquél que resulte responsable del tratamiento situado en el Perú que realice, conforme a lo
dispuesto en el presente reglamento, una transferencia de datos personales a otro país.
10. Encargado del tratamiento: Es quien realiza el tratamiento de los datos personales,
pudiendo ser el propio titular del banco de datos personales o el encargado del banco de datos
personales u otra persona por encargo del titular del banco de datos personales en virtud de una
relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación. Incluye a quien
realice el tratamiento de datos personales por orden del responsable del tratamiento cuando este
se realice sin la existencia de un banco de datos personales.
11. Receptor o importador de datos personales: Es toda persona natural o jurídica de

derecho privado, incluyendo las sucursales, filiales, vinculadas o similares; o entidades públicas,
que recibe los datos en caso de transferencia internacional, ya sea como titular o encargado del
banco de datos personales, o como tercero.
12. Rectificación: Es aquella acción genérica destinada a afectar o modificar un banco de

datos personales ya sea para actualizarlo incluir información en él o específicamente rectificar su
contenido con datos exactos.
13. Repertorio de jurisprudencia: Es el banco de resoluciones judiciales o administrativas que
se organizan como fuente de consulta y destinadas al conocimiento público.
14. Responsable del tratamiento: Es aquél que decide sobre el tratamiento de datos
personales, aun cuando no se encuentren en un banco de datos personales.
15. Tercero: Es toda persona natural, persona jurídica de derecho privado o entidad pública,
distinta del titular de datos personales, del titular o encargado del banco de datos personales y del
responsable del tratamiento, incluyendo a quienes tratan los datos bajo autoridad directa de
aquellos.
La referencia a “tercero” que hace el artículo 30 de la Ley constituye una excepción al

significado previsto en este numeral.
Artículo 3.- Ámbito de aplicación.
El presente reglamento es de aplicación al tratamiento de los datos personales contenidos en

un banco de datos personales o destinados a ser contenidos en bancos de datos personales.
Conforme a lo dispuesto por el numeral 6 del artículo 2 de la Constitución Política del Perú y el
artículo 3 de la Ley, el presente reglamento se aplicará a toda modalidad de tratamiento de datos
personales, ya sea efectuado por personas naturales, entidades públicas o instituciones del sector
privado e independientemente del soporte en el que se encuentren.
La existencia de normas o regímenes particulares o especiales, aun cuando incluyan

regulaciones sobre datos personales, no excluye a las entidades públicas o instituciones privadas a
las que dichos regímenes se aplican del ámbito de aplicación de la Ley y del presente reglamento.
Lo dispuesto en el párrafo precedente no implica la derogatoria o inaplicación de las normas

particulares, en tanto su aplicación no genere la afectación del derecho a la protección de datos
personales.
Artículo 4.- Excepciones al ámbito de aplicación.
Las disposiciones de este reglamento no serán de aplicación a:
1. El tratamiento de datos personales realizado por personas naturales para fines

exclusivamente domésticos, personales o relacionados con su vida privada o familiar.
2. Los contenidos o destinados a ser contenidos en bancos de datos personales de la

administración pública, solo en tanto su tratamiento resulte necesario para el estricto cumplimiento
de competencias asignadas por ley a las respectivas entidades públicas siempre que tengan por
objeto:
2.1 La defensa nacional.
2.2 La seguridad pública y,
2.3 El desarrollo de actividades en materia penal para la investigación y represión del delito.
Artículo 5.- Ámbito de aplicación territorial.

Las disposiciones de la Ley y del presente reglamento son de aplicación al tratamiento de datos
personales cuando:
1. Sea efectuado en un establecimiento ubicado en territorio peruano correspondiente al titular

del banco de datos personales o de quien resulte responsable del tratamiento.
2. Sea efectuado por un encargado del tratamiento, con independencia de su ubicación, a

nombre de un titular de banco de datos personales establecido en territorio peruano o de quien sea
el responsable del tratamiento.
3. El titular del banco de datos personales o quien resulte responsable del tratamiento no esté
establecido en territorio peruano, pero le resulte aplicable la legislación peruana, por disposición
contractual o del derecho internacional; y
4. El titular del banco de datos personales o quien resulte responsable no esté establecido en
territorio peruano, pero utilice medios situados en dicho territorio, salvo que tales medios se utilicen
únicamente con fines de tránsito que no impliquen un tratamiento.
Para estos efectos, el responsable deberá proveer los medios que resulten necesarios para el
efectivo cumplimiento de las obligaciones que imponen la Ley y el presente reglamento y designará
un representante o implementar los mecanismos suficientes para estar en posibilidades de cumplir
de manera efectiva, en territorio peruano, con las obligaciones que impone la legislación peruana.
Cuando el titular del banco de datos personales o quien resulte el responsable del tratamiento
no se encuentre establecido en territorio peruano, pero el encargado del tratamiento lo esté, a este
último le serán aplicables las disposiciones relativas a las medidas de seguridad contenidas en el
presente reglamento.
En el caso de personas naturales, el establecimiento se entenderá como el local en donde se

encuentre el principal asiento de sus negocios, o el que utilicen para el desempeño de sus
actividades o su domicilio.
Tratándose de personas jurídicas, se entenderá como el establecimiento el local en el que se

encuentre la administración principal del negocio. Si se trata de personas jurídicas residentes en el
extranjero, se entenderá que es el local en el que se encuentre la administración principal del
negocio en territorio peruano, o en su defecto el que designen, o cualquier instalación estable que
permita el ejercicio efectivo o real de una actividad.
Si no fuera posible establecer la dirección del domicilio o del establecimiento, se le considerará

con domicilio desconocido en territorio peruano.
TÍTULO II
Principios rectores
Artículo 6.- Principios rectores.
El titular del banco de datos personales, o en su caso, quien resulte responsable del
tratamiento, debe cumplir con los principios rectores de la protección de datos personales, de
conformidad con lo establecido en la Ley, aplicando los criterios de desarrollo que se establecen en
el presente título del reglamento.
Artículo 7.- Principio de consentimiento.

En atención al principio de consentimiento, el tratamiento de los datos personales es lícito
cuando el titular del dato personal hubiere prestado su consentimiento libre, previo, expreso,
informado e inequívoco. No se admiten fórmulas de consentimiento en las que éste no sea
expresado de forma directa, como aquellas en las que se requiere presumir, o asumir la existencia
de una voluntad que no ha sido expresa. Incluso el consentimiento prestado con otras
declaraciones, deberá manifestarse en forma expresa y clara.
Artículo 8.- Principio de finalidad.
En atención al principio de finalidad se considera que una finalidad está determinada cuando
haya sido expresada con claridad, sin lugar a confusión y cuando de manera objetiva se especifica
el objeto que tendrá el tratamiento de los datos personales.
Tratándose de banco de datos personales que contengan datos sensibles, su creación solo
puede justificarse si su finalidad además de ser legítima, es concreta y acorde con las actividades o
fines explícitos del titular del banco de datos personales.
Los profesionales que realicen el tratamiento de algún dato personal, además de estar limitados
por la finalidad de sus servicios, se encuentran obligados a guardar secreto profesional.
Artículo 9.- Principio de calidad.
En atención al principio de calidad, los datos contenidos en un banco de datos personales,

deben ajustarse con precisión a la realidad. Se presume que los datos directamente facilitados por
el titular de los mismos son exactos.
Artículo 10.- Principio de seguridad.
En atención al principio de seguridad, en el tratamiento de los datos personales deben

adoptarse las medidas de seguridad que resulten necesarias a fin de evitar cualquier tratamiento
contrario a la Ley o al presente reglamento, incluyéndose en ellos a la adulteración, la pérdida, las
desviaciones de información, intencionales o no, ya sea que los riesgos provengan de la acción
humana o del medio técnico utilizado.
TÍTULO III
Tratamiento de datos personales
Capítulo I
Consentimiento
Artículo 11.- Disposiciones generales sobre el consentimiento para el tratamiento de

datos personales.
El titular del banco de datos personales o quien resulte como responsable del tratamiento,
deberá obtener el consentimiento para el tratamiento de los datos personales, de conformidad con
lo establecido en la Ley y en el presente reglamento, salvo los supuestos establecidos en el
artículo 14 de la Ley, en cuyo numeral 1) queda comprendido el tratamiento de datos personales
que resulte imprescindible para ejecutar la interoperabilidad entre las entidades públicas.
La solicitud del consentimiento deberá estar referida a un tratamiento o serie de tratamientos

determinados, con expresa identificación de la finalidad o finalidades para las que se recaban los
datos; así como las demás condiciones que concurran en el tratamiento o tratamientos, sin
perjuicio de lo dispuesto en el artículo siguiente sobre las características del consentimiento.
Cuando se solicite el consentimiento para una forma de tratamiento que incluya o pueda incluir
la transferencia nacional o internacional de los datos, el titular de los mismos deberá ser informado
de forma que conozca inequívocamente tal circunstancia, además de la finalidad a la que se
destinarán sus datos y el tipo de actividad desarrollada por quien recibirá los mismos.
Artículo 12.- Características del consentimiento.
Además de lo dispuesto en el artículo 18 de la Ley y en el artículo precedente del presente

reglamento, la obtención del consentimiento debe ser:
1. Libre: Sin que medie error, mala fe, violencia o dolo que puedan afectar la manifestación de
voluntad del titular de los datos personales.
La entrega de obsequios o el otorgamiento de beneficios al titular de los datos personales con

ocasión de su consentimiento no afectan la condición de libertad que tiene para otorgarlo, salvo en
el caso de menores de edad, en los supuestos en que se admite su consentimiento, en que no se
considerará libre el consentimiento otorgado mediando obsequios o beneficios.
El condicionamiento de la prestación de un servicio, o la advertencia o amenaza de denegar el

acceso a beneficios o servicios que normalmente son de acceso no restringido, sí afecta la libertad
de quien otorga consentimiento para el tratamiento de sus datos personales, si los datos solicitados
no son indispensables para la prestación de los beneficios o servicios.
2. Previo: Con anterioridad a la recopilación de los datos o en su caso, anterior al tratamiento

distinto a aquel por el cual ya se recopilaron.
3. Expreso e Inequívoco: Cuando el consentimiento haya sido manifestado en condiciones que

no admitan dudas de su otorgamiento.
Se considera que el consentimiento expreso se otorgó verbalmente cuando el titular lo

exterioriza oralmente de manera presencial o mediante el uso de cualquier tecnología que permita
la interlocución oral.
Se considera consentimiento escrito a aquél que otorga el titular mediante un documento con su
firma autógrafa, huella dactilar o cualquier otro mecanismo autorizado por el ordenamiento jurídico
que queda o pueda ser impreso en una superficie de papel o similar.
La condición de expreso no se limita a la manifestación verbal o escrita.
En sentido restrictivo y siempre de acuerdo con lo dispuesto por el artículo 7 del presente
reglamento, se considerará consentimiento expreso a aquel que se manifieste mediante la
conducta del titular que evidencie que ha consentido inequívocamente, dado que de lo contrario su
conducta, necesariamente, hubiera sido otra.
Tratándose del entorno digital, también se considera expresa la manifestación consistente en

“hacer clic”, “cliquear” o “pinchar”, “dar un toque”, “touch” o “pad” u otros similares.
En este contexto el consentimiento escrito podrá otorgarse mediante firma electrónica, mediante
escritura que quede grabada, de forma tal que pueda ser leída e impresa, o que por cualquier otro
mecanismo o procedimiento establecido permita identificar al titular y recabar su consentimiento, a
través de texto escrito. También podrá otorgarse mediante texto preestablecido, fácilmente visible,
legible y en lenguaje sencillo, que el titular pueda hacer suyo, o no, mediante una respuesta
escrita, gráfica o mediante clic o pinchado.
La sola conducta de expresar voluntad en cualquiera de las formas reguladas en el presente

numeral no elimina, ni da por cumplidos, los otros requisitos del consentimiento referidos a la
libertad, oportunidad e información.
4. Informado: Cuando al titular de los datos personales se le comunique clara, expresa e

indubitablemente, con lenguaje sencillo, cuando menos de lo siguiente:
a. La identidad y domicilio o dirección del titular del banco de datos personales o del
responsable del tratamiento al que puede dirigirse para revocar el consentimiento o ejercer sus
derechos.
b. La finalidad o finalidades del tratamiento a las que sus datos serán sometidos.
c. La identidad de los que son o pueden ser sus destinatarios, de ser el caso.
d. La existencia del banco de datos personales en que se almacenarán, cuando corresponda.
e. El carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga,

cuando sea el caso.
f. Las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo.
g. En su caso, la transferencia nacional e internacional de datos que se efectúen.
Artículo 13.- Políticas de privacidad.
La publicación de políticas de privacidad, de acuerdo a lo previsto en el segundo párrafo del

artículo 18 de la Ley, debe entenderse como una forma de cumplimiento del deber de información
que no exonera del requisito de obtener el consentimiento del titular de los datos personales.
Artículo 14.- Consentimiento y datos sensibles.
Tratándose de datos sensibles, el consentimiento debe ser otorgado por escrito, a través de su
firma manuscrita, firma digital o cualquier otro mecanismo de autenticación que garantice la
voluntad inequívoca del titular.
Artículo 15.- Consentimiento y carga de la prueba.
Para efectos de demostrar la obtención del consentimiento en los términos establecidos en la

Ley y en el presente reglamento, la carga de la prueba recaerá en todos los casos en el titular del
banco de datos personales o quien resulte el responsable del tratamiento.
Artículo 16.- Negación, revocación y alcances del consentimiento.
El titular de los datos personales podrá revocar su consentimiento para el tratamiento de sus
datos personales en cualquier momento, sin justificación previa y sin que le atribuyan efectos
retroactivos. Para la revocación del consentimiento se cumplirán los mismos requisitos observados
con ocasión de su otorgamiento, pudiendo ser estos más simples, si así se hubiera señalado en tal
oportunidad.
El titular de los datos personales podrá negar o revocar su consentimiento al tratamiento de sus
datos personales para finalidades adicionales a aquellas que dan lugar a su tratamiento autorizado,
sin que ello afecte la relación que da lugar al consentimiento que sí ha otorgado o no ha revocado.
En caso de revocatoria, es obligación de quien efectúa el tratamiento de los datos personales
adecuar los nuevos tratamientos a la revocatoria y los tratamientos que estuvieran en proceso de
efectuarse, en el plazo que resulte de una actuación diligente, que no podrá ser mayor a cinco (5)
días.
Si la revocatoria afecta la totalidad del tratamiento de datos personales que se venía haciendo,
el titular o encargado del banco de datos personales, o en su caso el responsable del tratamiento,
aplicará las reglas de cancelación o supresión de datos personales.
El titular del banco de datos personales o quien resulte responsable del tratamiento debe
establecer mecanismos fácilmente accesibles e incondicionales, sencillos, rápidos y gratuitos para
hacer efectiva la revocación.
Capítulo II
Limitaciones al consentimiento
Artículo 17.- Fuentes accesibles al público.
Para los efectos del artículo 2, inciso 9) de la Ley, se considerarán fuentes accesibles al público,
con independencia de que el acceso requiera contraprestación, las siguientes:
1. Los medios de comunicación electrónica, óptica y de otra tecnología, siempre que el lugar en
el que se encuentren los datos personales esté concebido para facilitar información al público y
esté abierto a la consulta general.
2. Las guías telefónicas, independientemente del soporte en el que estén a disposición y en los
términos de su regulación específica.
3. Los diarios y revistas independientemente del soporte en el que estén a disposición y en los
términos de su regulación específica.
4. Los medios de comunicación social.
5. Las listas de personas pertenecientes a grupos profesionales que contengan únicamente los
datos de nombre, título, profesión, actividad, grado académico, dirección postal, número telefónico,
número de fax, dirección de correo electrónico y aquellos que establezcan su pertenencia al grupo.
En el caso de colegios profesionales, podrán indicarse además los siguientes datos de sus
miembros: número de colegiatura, fecha de incorporación y situación gremial en relación al
ejercicio profesional.
6. Los repertorios de jurisprudencia, debidamente anonimizados.
7. Los Registros Públicos administrados por la Superintendencia Nacional de Registros Públicos

- SUNARP, así como todo otro registro o banco de datos calificado como público conforme a ley.
8. Las entidades de la Administración Pública, en relación a la información que deba ser
entregada en aplicación de la Ley Nº 27806, Ley de Transparencia y Acceso a la Información
Pública.
Lo dispuesto en el numeral precedente no quiere decir que todo dato personal contenido en
información administrada por las entidades sujetas a la Ley de Transparencia y Acceso a la
Información Pública sea considerado información pública accesible. La evaluación del acceso a
datos personales en posesión de entidades de administración pública se hará atendiendo a las
circunstancias de cada caso concreto.
El tratamiento de los datos personales obtenidos a través de fuentes de acceso público deberá
respetar los principios establecidos en la Ley y en el presente reglamento.
Capítulo III
Transferencia de datos personales
Artículo 18.- Disposiciones generales.
La transferencia de datos personales implica la comunicación de datos personales dentro o

fuera del territorio nacional realizada a persona distinta al titular de los datos personales, al
encargado del banco de datos personales o al encargado del tratamiento de datos personales.
Se denomina flujo transfronterizo de datos personales a la transferencia de datos personales

fuera del territorio nacional.
Aquél a quien se transfieran los datos personales se obliga, por el solo hecho de la
transferencia, a la observancia de las disposiciones de la Ley y del presente reglamento.
Artículo 19.- Condiciones para la transferencia.
Toda transferencia de datos personales requiere el consentimiento de su titular, salvo las

excepciones previstas en el artículo 14 de la Ley y debe limitarse a la finalidad que la justifique.
Artículo 20.- Prueba del cumplimiento de las obligaciones en materia de transferencias.
Para efectos de demostrar que la transferencia se realizó conforme a lo que establece la Ley y
el presente reglamento, la carga de la prueba recaerá, en todos los casos, en el emisor de datos.
Artículo 21.- Transferencia dentro de un sector o grupo empresarial y código de

conducta.
En el caso de transferencias de datos personales dentro de grupos empresariales, sociedades

subsidiarias afiliadas o vinculadas bajo el control común del mismo grupo del titular del banco de
datos personales o responsable del tratamiento, o a aquellas afiliadas o vinculadas a una sociedad
matriz o a cualquier sociedad del mismo grupo del titular del banco de datos o responsable del
tratamiento, se cumple con garantizar el tratamiento de datos personales, si se cuenta con un
código de conducta que establezca las normas internas de protección de datos personales con el
contenido previsto por el artículo 31 de la Ley, e inscrito según lo previsto por los artículos 89 a 97
del presente reglamento.
Artículo 22.- Receptor de los datos personales.

El receptor de los datos personales asume la condición de titular del banco de datos personales
o responsable del tratamiento en lo que se refiere la Ley y el presente reglamento, y deberá
realizar el tratamiento de los datos personales cumpliendo lo establecido en la información que el
emisor dio de manera previa al consentimiento recabado del titular de los datos personales.
Artículo 23.- Formalización de las transferencias nacionales.
La transferencia deberá formalizarse mediante mecanismos que permitan demostrar que el

titular del banco de datos personales o el responsable del tratamiento comunicó al responsable
receptor las condiciones en las que el titular de los datos personales consintió el tratamiento de los
mismos.
Artículo 24.- Flujo transfronterizo de datos personales.
Los flujos transfronterizos de datos personales serán posibles cuando el receptor o importador
de los datos personales asuma las mismas obligaciones que corresponden al titular del banco de
datos personales o responsable del tratamiento que como emisor o exportador transfirió los datos
personales.
De conformidad con el artículo 15 de la Ley, además de los supuestos previstos en el primer y

tercer párrafo de dicho artículo, lo dispuesto en el segundo párrafo del mismo tampoco aplica
cuando se traten de datos personales que deriven de una relación científica o profesional del titular
y sean necesarios para su desarrollo o cumplimiento.
Artículo 25.- Formalización del flujo transfronterizo de datos personales.
Para los efectos del artículo precedente, el emisor o exportador podrá valerse de cláusulas
contractuales u otros instrumentos jurídicos en los que se establezcan cuando menos las mismas
obligaciones a las que se encuentra sujeto, así como las condiciones en las que el titular consintió
el tratamiento de sus datos personales.
Artículo 26.- Participación de la Dirección General de Protección de Datos Personales

respecto del flujo transfronterizo de datos personales.
Los titulares del banco de datos personales o responsables del tratamiento, podrán solicitar la
opinión de la Dirección General de Protección de Datos Personales respecto a si el flujo
transfronterizo de datos personales que realiza o realizará cumple con lo dispuesto por la Ley y el
En cualquier caso, el flujo transfronterizo de datos personales se pondrá en conocimiento de la

Dirección General de Protección de Datos Personales, incluyendo la información que se requiere
para la transferencia de datos personales y el registro de banco de datos.
Capítulo IV
Tratamientos especiales de datos personales
Artículo 27.- Tratamiento de los datos personales de menores.
Para el tratamiento de los datos personales de un menor de edad, se requerirá el

consentimiento de los titulares de la patria potestad o tutores, según corresponda.
Artículo 28.- Consentimiento excepcional.

Podrá hacerse tratamiento de los datos personales de mayores de catorce y menores de
dieciocho años con su consentimiento, siempre que la información proporcionada haya sido
expresada en un lenguaje comprensible por ellos, salvo en los casos que la ley exija para su
otorgamiento la asistencia de los titulares de la patria potestad o tutela.
En ningún caso el consentimiento para el tratamiento de datos personales de menores de edad

podrá otorgarse para que accedan a actividades, vinculadas con bienes o servicios que están
restringidos para mayores de edad.
Artículo 29.- Prohibición de recopilación.
En ningún caso se podrá recabar de un menor de edad datos que permitan obtener información
sobre los demás miembros de su grupo familiar, como son los datos relativos a la actividad
profesional de sus progenitores, información económica, datos sociológicos o cualquier otro, sin el
consentimiento de los titulares de tales datos.
Sólo podrá recabarse los datos de identidad y dirección de los padres o de los tutores con la
finalidad de obtener el consentimiento a que se refiere el artículo 27 del presente reglamento.
Artículo 30.- Fomento de la protección.
Es obligación de todos los titulares de bancos de datos personales y especialmente de las

entidades públicas colaborar con el fomento del conocimiento del derecho a la protección de datos
personales de los niños, niñas y adolescentes, así como de la necesidad de que su tratamiento se
realice con especial responsabilidad y seguridad.
Artículo 31.- Tratamiento de datos personales en el sector comunicaciones y

telecomunicaciones.
Los operadores de los servicios de comunicaciones o telecomunicaciones tienen la

responsabilidad de velar por la confidencialidad, seguridad, uso adecuado e integridad de los datos
personales que obtengan de sus abonados y usuarios, en el curso de sus operaciones
comerciales. En tal sentido, no podrán realizar un tratamiento de los citados datos personales para
finalidades distintas a las autorizadas por su titular, salvo orden judicial o mandato legal expreso.
Artículo 32.- Confidencialidad y seguridad.
Los operadores de comunicaciones o telecomunicaciones deberán velar por la confidencialidad,

seguridad y uso adecuado de cualquier dato personal obtenido como consecuencia de su actividad
y adoptarán las medidas técnicas, legales y organizativas, conforme a lo establecido en la Ley y el
presente reglamento, sin perjuicio de las medidas establecidas en las normas del sector de
comunicaciones y telecomunicaciones que no se opongan a lo establecido en la Ley y el presente
reglamento.
Artículo 33.- Tratamiento de los datos personales por medios tecnológicos tercerizados.
El tratamiento de datos personales por medios tecnológicos tercerizados, entre los que se
encuentran servicios, aplicaciones, infraestructura, entre otros, está referido a aquellos, en los que
el procesamiento es automático, sin intervención humana.
Para los casos en los que en el tratamiento exista intervención humana se aplican los artículos
37 y 38.
El tratamiento de datos personales por medios tecnológicos tercerizados, sea completo o
parcial, podrá ser contratado por el responsable del tratamiento de datos personales siempre y
cuando para la ejecución de aquel se garantice el cumplimiento de lo establecido en la Ley y el
Artículo 34.- Criterios a considerar para el tratamiento de datos personales por medios
tecnológicos tercerizados.
Al realizar el tratamiento de los datos personales por medios tecnológicos tercerizados se

deberá considerar como prestaciones mínimas las siguientes:
1. Informar con transparencia las subcontrataciones que involucren la información sobre la que
presta el servicio.
2. No incluir condiciones que autoricen o permitan al prestador asumir la titularidad sobre los
bancos de datos personales tratados en la tercerización.
3. Garantizar la confidencialidad respecto de los datos personales sobre los que preste el
servicio.
4. Mantener el control, las decisiones y la responsabilidad sobre el proceso mediante el cual se

realiza el tratamiento de los datos personales.
5. Garantizar la destrucción o la imposibilidad de acceder a los datos personales después de

concluida la prestación.
Artículo 35.- Mecanismos para la prestación del servicio de tratamiento de datos

personales por medios tecnológicos tercerizados.
El prestador del servicio deberá contar con los siguientes mecanismos:
1. Dar a conocer los cambios en sus políticas de privacidad o en las condiciones del servicio
que presta al responsable del tratamiento, para obtener el consentimiento si ello significara
incrementar sus facultades de tratamiento.
2. Permitir al responsable del tratamiento limitar el tipo de tratamiento de los datos personales
sobre los que presta el servicio.
3. Establecer y mantener medidas de seguridad adecuadas para la protección de los datos

personales sobre los que presta el servicio.
4. Garantizar la supresión de los datos personales una vez que haya concluido el servicio
prestado al responsable y que este último los haya podido recuperar.
5. Impedir el acceso a los datos personales a quienes no cuenten con privilegios de acceso, o
bien en caso sea solicitada por la autoridad competente informar de ese hecho al responsable.
Artículo 36.- Prestación de servicios o tratamiento por encargo.
Para efectos de la Ley, la entrega de datos personales del titular del banco de datos personales
al encargado no constituye transferencia de datos personales.
El encargado del banco de datos personales se encuentra prohibido de transferir a terceros los
datos personales objeto de la prestación de servicios de tratamiento, a menos que el titular del
banco de datos personales que le encargó el tratamiento lo haya autorizado y el titular del dato
personal haya brindado su consentimiento, en los supuestos que dicho consentimiento sea
requerido conforme a Ley.
El plazo para la conservación de los datos será de dos (2) años contado desde la finalización
del último encargo realizado.
Lo dispuesto en el presente artículo será aplicable, en lo que corresponda, a la subcontratación

de la prestación de servicios de tratamiento de datos personales.
Artículo 37.- Tratamiento a través de subcontratación.
El tratamiento de datos personales puede realizarse por un tercero diferente al encargado del
tratamiento, a través de un convenio o contrato entre estos dos.
Para este supuesto se requerirá de manera previa una autorización por parte del titular del
banco de datos personales o responsable del tratamiento. Dicha autorización se entenderá también
concedida si estaba prevista en el instrumento jurídico mediante el cual se formalizó la relación
entre el responsable del tratamiento y el encargado del mismo. El tratamiento que haga el
subcontratista se realizará en nombre y por cuenta del responsable del tratamiento, pero la carga
de probar la autorización le corresponde al encargado del tratamiento.
Artículo 38.- Responsabilidad del tercero subcontratado.
La persona natural o jurídica subcontratada asume las mismas obligaciones que se establezcan
para el encargado del tratamiento en la Ley, el presente reglamento y demás disposiciones
aplicables. Sin embargo, asumirá las obligaciones del titular del banco de datos personales o
encargado del tratamiento cuando:
1. Destine o utilice los datos personales con una finalidad distinta a la autorizada por el titular
del banco de datos o responsable del tratamiento; o
2. Efectúe una transferencia, incumpliendo las instrucciones del titular del banco de datos
personales, aun cuando sea para la conservación de dichos datos.
Capítulo V
Medidas de seguridad
Artículo 39.- Seguridad para el tratamiento de la información digital.
Los sistemas informáticos que manejen bancos de datos personales deberán incluir en su
funcionamiento:
1. El control de acceso a la información de datos personales incluyendo la gestión de accesos

desde el registro de un usuario, la gestión de los privilegios de dicho usuario, la identificación del
usuario ante el sistema, entre los que se encuentran usuario-contraseña, uso de certificados
digitales, tokens, entre otros, y realizar una verificación periódica de los privilegios asignados, los
cuales deben estar definidos mediante un procedimiento documentado a fin de garantizar su
idoneidad.
2. Generar y mantener registros que provean evidencia sobre las interacciones con los datos
lógicos, incluyendo para los fines de la trazabilidad, la información de cuentas de usuario con
acceso al sistema, horas de inicio y cierre de sesión y acciones relevantes. Estos registros deben
ser legibles, oportunos y tener un procedimiento de disposición, entre los que se encuentran el
destino de los registros, una vez que éstos ya no sean útiles, su destrucción, transferencia,
almacenamiento, entre otros.
Asimismo, se deben establecer las medidas de seguridad relacionadas con los accesos
autorizados a los datos mediante procedimientos de identificación y autenticación que garanticen la
seguridad del tratamiento de los datos personales.
Artículo 40.- Conservación, respaldo y recuperación de los datos personales.
Los ambientes en los que se procese, almacene o transmita la información deberán ser
implementados, con controles de seguridad apropiados, tomando como referencia las
recomendaciones de seguridad física y ambiental recomendados en la “NTP ISO/IEC 17799 EDI.
Tecnología de la Información. Código de Buenas Prácticas para la Gestión de Seguridad de la
Información.” en la edición que se encuentre vigente.
Adicionalmente, se deben contemplar los mecanismos de respaldo de seguridad de la

información de la base de datos personales con un procedimiento que contemple la verificación de
la integridad de los datos almacenados en el respaldo, incluyendo cuando sea pertinente, la
recuperación completa ante una interrupción o daño, garantizando el retorno al estado en el que se
encontraba al momento en que se produjo la interrupción o daño.
Artículo 41.- Transferencia lógica o electrónica de los datos personales.
El intercambio de datos personales desde los ambientes de procesamiento o almacenamiento

hacia cualquier destino fuera de las instalaciones físicas de la entidad, solo procederá con la
autorización del titular del banco de datos personales y se hará utilizando los medios de transporte
autorizados por el mismo, tomando las medidas necesarias, entre las que se encuentran cifrado de
datos, firmas digitales, información, checksum de verificación, entre otros, destinados a evitar el
acceso no autorizado, pérdida o corrupción durante el tránsito hacia su destino.
Artículo 42.- Almacenamiento de documentación no automatizada.
Los armarios, archivadores u otros elementos en los que se almacenen documentos no

automatizados con datos personales deberán encontrarse en áreas en las que el acceso esté
protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo
equivalente. Dichas áreas deberán permanecer cerradas cuando no sea preciso el acceso a los
documentos incluidos en el banco de datos.
Si por las características de los locales que se dispusiera no fuera posible cumplir lo establecido
en el apartado anterior, se adoptarán las medidas alternativas, conforme a las directivas de la
Dirección General de Protección de Datos Personales.
Artículo 43.- Copia o reproducción.
La generación de copias o la reproducción de los documentos únicamente podrán ser

realizadas bajo el control del personal autorizado.
Deberá procederse a la destrucción de las copias o reproducciones desechadas de forma que

se evite el acceso a la información contenida en las mismas o su recuperación posterior.
Artículo 44.- Acceso a la documentación.
El acceso a la documentación se limitará exclusivamente al personal autorizado.
Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de

documentos que puedan ser utilizados por múltiples usuarios.
El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente

registrado de acuerdo a las directivas de seguridad que emita la Dirección General de Protección
de Datos Personales.
Artículo 45.- Traslado de documentación no automatizada.
Siempre que se proceda al traslado físico de la documentación contenida en un banco de datos,

deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto
de traslado.
Artículo 46.- Prestaciones de servicios sin acceso a datos personales.
El responsable o el encargado de la información o tratamiento adoptarán las medidas

adecuadas para limitar el acceso del personal a datos personales, a los soportes que los
contengan o a los recursos del sistema de información, para la realización de trabajos que no
impliquen el tratamiento de datos personales.
Cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá

expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto
a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio.
TÍTULO IV
Derechos del titular de datos personales
Capítulo I
Artículo 47.- Carácter personal.
Los derechos de información, acceso, rectificación, cancelación, oposición y tratamiento objetivo

de datos personales sólo pueden ser ejercidos por el titular de datos personales, sin perjuicio de
las normas que regulan la representación.
Artículo 48.- Ejercicio de los derechos del titular de datos personales.
El ejercicio de alguno o algunos de los derechos no excluye la posibilidad de ejercer alguno o

algunos de los otros, ni puede ser entendido como requisito previo para el ejercicio de cualquiera
de ellos.
Artículo 49.- Legitimidad para ejercer los derechos.
El ejercicio de los derechos contenidos en el presente título se realiza:

1. Por el titular de datos personales, acreditando su identidad y presentando copia del
Documento Nacional de Identidad o documento equivalente.
El empleo de la firma digital conforme a la normatividad vigente, sustituye la presentación del

Documento Nacional de Identidad y su copia.
2. Mediante representante legal acreditado como tal.
3. Mediante representante expresamente facultado para el ejercicio del derecho, adjuntando la

copia de su Documento Nacional de Identidad o documento equivalente, y del título que acredite la
representación.
Cuando el titular del banco de datos personales sea una entidad pública, podrá acreditarse la
representación por cualquier medio válido en derecho que deje constancia fidedigna, conforme al
artículo 115 de la Ley Nº 27444, Ley del Procedimiento Administrativo General.
4. En caso se opte por el procedimiento señalado en el artículo 51 del presente reglamento, la

acreditación de la identidad del titular se sujetará a lo dispuesto en dicha disposición.
Artículo 50.- Requisitos de la solicitud.
El ejercicio de los derechos se lleva a cabo mediante solicitud dirigida al titular del banco de
datos personales o responsable del tratamiento, la misma que contendrá:
1. Nombres y apellidos del titular del derecho y acreditación de los mismos, y en su caso de su
representante conforme al artículo precedente.
2. Petición concreta que da lugar a la solicitud.
3. Domicilio, o dirección que puede ser electrónica, a efectos de las notificaciones que
correspondan.
4. Fecha y firma del solicitante.
5. Documentos que sustenten la petición, de ser el caso.
6. Pago de la contraprestación, tratándose de entidades públicas siempre que lo tengan previsto

en sus procedimientos de fecha anterior a la vigencia del presente reglamento.
Artículo 51.- Servicios de atención al público.
Cuando el titular del banco de datos personales o responsable del tratamiento disponga de
servicios de cualquier naturaleza para la atención a su público o el ejercicio de reclamaciones
relacionadas con el servicio prestado o productos ofertados, podrá también atender las solicitudes
para el ejercicio de los derechos comprendidos en el presente título a través de dichos servicios,
siempre que los plazos no sean mayores a los establecidos en el presente reglamento.
En este caso, la identidad del titular de datos personales se considera acreditada por los medios
establecidos por el titular del banco de datos personales o responsable del tratamiento para la
identificación de aquél, siempre que se acredite la misma, conforme a la naturaleza de la
prestación del servicio o producto ofertado.
Artículo 52.- Recepción y subsanación de la petición.
Deben ser recibidas todas las solicitudes presentadas, dejándose constancia de su recepción
por parte del titular del banco de datos personales o responsable del tratamiento. En caso de que
la solicitud no cumpla con los requisitos señalados en el artículo anterior, el titular del banco de
datos personales o responsable de su tratamiento, en un plazo de cinco (5) días, contado desde el
día siguiente de la recepción de la solicitud, formula las observaciones por incumplimiento que no
puedan ser salvadas de oficio, invitando al titular a subsanarlas dentro de un plazo máximo de
cinco (5) días.
Transcurrido el plazo señalado sin que ocurra la subsanación se tendrá por no presentada la
solicitud.
Las entidades públicas aplican el artículo 126 de la Ley Nº 27444, Ley del Procedimiento
Administrativo General, sobre observaciones a la documentación presentada.
Artículo 53.- Facilidades para el ejercicio del derecho.
El titular del banco de datos personales o responsable del tratamiento está obligado a
establecer un procedimiento sencillo para el ejercicio de los derechos. Sin perjuicio de lo señalado
e independientemente de los medios o mecanismos que la Ley y el presente reglamento
establezcan para el ejercicio de los derechos correspondientes al titular de datos personales, el
titular del banco de datos personales o el responsable del tratamiento, podrá ofrecer mecanismos
que faciliten el ejercicio de tales derechos en beneficio del titular de datos personales.
Para efectos de la contraprestación que debe abonar el titular de datos personales para el
ejercicio de sus derechos ante la administración pública se estará a lo dispuesto en el primer
párrafo del artículo 26 de la Ley.
El ejercicio por el titular de datos personales de sus derechos ante los bancos de datos
personales de administración privada será de carácter gratuito, salvo lo establecido en normas
especiales de la materia. En ningún caso el ejercicio de estos derechos implicará ingreso adicional
para el titular del banco de datos personales o responsable del tratamiento ante el cual se ejercen.
No se podrá establecer como medios para el ejercicio de los derechos ninguno que implique el
cobro de una tarifa adicional al solicitante o cualquier otro medio que suponga un costo excesivo.
Artículo 54.- Forma de la respuesta.
El titular del banco de datos personales o responsable del tratamiento deberá dar respuesta a la
solicitud en la forma y plazo establecido en el presente reglamento, con independencia de que
figuren o no datos personales del titular de los mismos en los bancos de datos personales que
administre.
La respuesta al titular de datos personales deberá referirse únicamente a aquellos datos que
específicamente se hayan indicado en su solicitud y deberá presentarse en forma clara, legible,
comprensible y de fácil acceso.
En caso de ser necesario el empleo de claves o códigos, deberán proporcionarse los

significados correspondientes.
Corresponderá al titular del banco de datos personales o responsable del tratamiento la prueba
del cumplimiento del deber de respuesta, debiendo conservar los medios para hacerlo. Lo
señalado será de aplicación, en lo que fuera pertinente, para acreditar la realización de lo
establecido en el segundo párrafo del artículo 20 de la Ley.
Artículo 55.- Plazos de respuesta.
1. El plazo máximo de respuesta del titular del banco de datos personales o responsable del
tratamiento ante el ejercicio del derecho de información será de ocho (08) días contados desde el
día siguiente de la presentación de la solicitud correspondiente.
2. El plazo máximo para la respuesta del titular del banco de datos personales o responsable
del tratamiento ante el ejercicio del derecho de acceso será de veinte (20) días contados desde el
día siguiente de la presentación de la solicitud por el titular de datos personales.
Si la solicitud fuera estimada y el titular del banco de datos personales o responsable del
tratamiento no acompañase a su respuesta la información solicitada, el acceso será efectivo dentro
de los diez (10) días siguientes a dicha respuesta.
3. Tratándose del ejercicio de los otros derechos como los de rectificación, cancelación u
oposición, el plazo máximo de respuesta del titular del banco de datos personales o responsable
del tratamiento será de diez (10) días contados desde el día siguiente de la presentación de la
solicitud correspondiente.
Artículo 56.- Requerimiento de información adicional.
En el caso que la información proporcionada en la solicitud sea insuficiente o errónea de forma

que no permita su atención, el titular del banco de datos personales podrá requerir dentro de los
siete (7) días siguientes de recibida la solicitud, documentación adicional al titular de los datos
personales para atenderla.
En un plazo de diez (10) días de recibido el requerimiento, contado desde el día siguiente de la
recepción del mismo, el titular de datos personales acompañará la documentación adicional que
estime pertinente para fundamentar su solicitud. En caso contrario, se tendrá por no presentada
dicha solicitud.
Artículo 57.- Ampliación de los plazos.
Salvo el plazo establecido para el ejercicio del derecho de información, los plazos que
correspondan para la respuesta o la atención de los demás derechos, podrán ser ampliados una
sola vez, y por un plazo igual, como máximo, siempre y cuando las circunstancias lo justifiquen.
La justificación de la ampliación del plazo deberá comunicarse al titular del dato personal dentro
del plazo que se pretenda ampliar.
Artículo 58.- Aplicación de legislación específica.
Cuando las disposiciones aplicables a determinados bancos de datos personales conforme a la

legislación especial que los regule establezcan un procedimiento específico para el ejercicio de los
derechos regulados en el presente título, serán de aplicación las mismas en cuanto ofrezcan
iguales o mayores garantías al titular de los datos personales y no contravengan lo dispuesto en la
Ley y el presente reglamento.
Artículo 59.- Denegación parcial o total ante el ejercicio de un derecho.

La respuesta total o parcialmente negativa por parte del titular del banco de datos personales o
del responsable del tratamiento ante la solicitud de un derecho del titular de datos personales, debe
estar debidamente justificada y debe señalar el derecho que le asiste al mismo para recurrir ante la
Dirección General de Protección de Datos Personales en vía de reclamación, en los términos del
artículo 24 de la Ley y del presente reglamento.
Capítulo II
Disposiciones especiales
Artículo 60.- Derecho a la información.
El titular de datos personales tiene derecho, en vía de acceso, a que se le brinde toda la
información señalada en el artículo 18 de la Ley y el numeral 4 del artículo 12 del presente
reglamento.
La respuesta contendrá los extremos previstos en los artículos citados en el párrafo anterior,
salvo que el titular haya solicitado la información referida sólo a alguno de ellos.
Será de aplicación para la respuesta al ejercicio del derecho a la información, en lo que fuere
pertinente, lo establecido en los artículos 62 y 63 del presente reglamento.
Artículo 61.- Derecho de acceso.
Sin perjuicio de lo señalado en el artículo 19 de la Ley, el titular de los datos personales tiene
derecho a obtener del titular del banco de datos personales o responsable del tratamiento la
información relativa a sus datos personales, así como a todas las condiciones y generalidades del
tratamiento de los mismos.
Artículo 62.- Medios para el cumplimiento del derecho de acceso.
La información correspondiente al derecho de acceso, a opción del titular de los datos

personales, podrá suministrarse por escrito, por medios electrónicos, telefónicos, de imagen u otro
idóneo para tal fin.
El titular de los datos personales podrá optar a través de algunos o varios de las siguientes
formas:
1. Visualización en sitio.
2. Escrito, copia, fotocopia o facsímil.
3. Transmisión electrónica de la respuesta, siempre que esté garantizada la identidad del

interesado y la confidencialidad, integridad y recepción de la información.
4. Cualquier otra forma o medio que sea adecuado a la configuración o implantación material
del banco de datos personales o a la naturaleza del tratamiento, establecido por el titular del banco
de datos personales o responsable del tratamiento.
Cualquiera sea la forma a emplear, el acceso debe ser en formato claro, legible e inteligible, sin
utilizar claves o códigos que requieran de dispositivos mecánicos para su adecuada comprensión y
en su caso acompañada de una explicación. Asimismo, el acceso debe ser en lenguaje accesible al
conocimiento medio de la población, de los términos que se utilicen. Sin perjuicio de lo cual, con el
objeto de usar los medios de comunicación más ecológicos disponibles en cada caso, el
responsable del tratamiento podrá acordar con el titular el uso de medios de reproducción de la
información distintos a los establecidos en el presente reglamento.
Artículo 63.- Contenido de la información.
La información que con ocasión del ejercicio del derecho de acceso se ponga a disposición del
titular de los datos personales, debe ser amplia y comprender la totalidad del registro
correspondiente al titular de datos personales, aun cuando el requerimiento sólo comprenda un
aspecto de dichos datos. El informe no podrá revelar datos pertenecientes a terceros, aun cuando
se vinculen con el interesado.
Artículo 64.- Actualización.
Es derecho del titular de datos personales, en vía de rectificación, actualizar aquellos datos que
han sido modificados a la fecha del ejercicio del derecho.
La solicitud de actualización deberá señalar a qué datos personales se refiere, así como la
modificación que haya de realizarse en ellos, acompañando la documentación que sustente la
procedencia de la actualización solicitada.
Artículo 65.- Rectificación.
Es derecho del titular de datos personales que se modifiquen los datos que resulten ser
inexactos, erróneos o falsos.
La solicitud de rectificación deberá indicar a qué datos personales se refiere, así como la
corrección que haya de realizarse en ellos, acompañando la documentación que sustente la
procedencia de la rectificación solicitada.
Artículo 66.- Inclusión.
Es derecho del titular de datos personales que, en vía de rectificación, sus datos sean
incorporados a un banco de datos personales, así como que al tratamiento de sus datos
personales se incorpore aquella información faltante que la hace incompleta, omitida o eliminada
en atención a su relevancia para dicho tratamiento.
La solicitud de inclusión deberá indicar a qué datos personales se refiere, así como la
incorporación que haya de realizarse en ellos, acompañando la documentación que sustente la
procedencia e interés fundado para el mismo.
Artículo 67.- Supresión o cancelación.
El titular de los datos personales podrá solicitar la supresión o cancelación de sus datos
personales de un banco de datos personales cuando éstos hayan dejado de ser necesarios o
pertinentes para la finalidad para la cual hayan sido recopilados, cuando hubiere vencido el plazo
establecido para su tratamiento, cuando ha revocado su consentimiento para el tratamiento y en
los demás casos en los que no están siendo tratados conforme a la Ley y al presente reglamento.
La solicitud de supresión o cancelación podrá referirse a todos los datos personales del titular
contenidos en un banco de datos personales o sólo a alguna parte de ellos.
Dentro de lo establecido por el artículo 20 de la Ley y el numeral 3) del artículo 2 del presente
reglamento, la solicitud de supresión implica el cese en el tratamiento de los datos personales a
partir de un bloqueo de los mismos y su posterior eliminación.
Artículo 68.- Comunicación de la supresión o cancelación.
El titular del banco de datos personales o responsable del tratamiento deberá documentar ante
el titular de los datos personales haber cumplido con lo solicitado e indicar las transferencias de los
datos suprimidos, identificando a quién o a quiénes fueron transferidos, así como la comunicación
de la supresión correspondiente.
Artículo 69.- Improcedencia de la supresión o cancelación.
La supresión no procederá cuando los datos personales deban ser conservados en virtud de
razones históricas, estadísticas o científicas de acuerdo con la legislación aplicable o, en su caso,
en las relaciones contractuales entre el responsable y el titular de los datos personales, que
justifiquen el tratamiento de los mismos.
Artículo 70.- Protección en caso de denegatoria de supresión o cancelación.
Siempre que sea posible, según la naturaleza de las razones que sustenten la denegatoria
prevista en el párrafo precedente, se deberán emplear medios de disociación o anonimización para
continuar el tratamiento.
Artículo 71.- Oposición.
El titular de datos personales tiene derecho a que no se lleve a cabo el tratamiento de sus datos
personales o se cese en el mismo, cuando no hubiere prestado su consentimiento para su
recopilación por haber sido tomados de fuente de acceso al público.
Aun cuando hubiera prestado consentimiento, el titular de datos personales tiene derecho a
oponerse al tratamiento de sus datos, si acredita la existencia de motivos fundados y legítimos
relativos a una concreta situación personal que justifiquen el ejercicio de este derecho.
En caso que la oposición resulte justificada el titular del banco de datos personales o
responsable de su tratamiento deberá proceder al cese del tratamiento que ha dado lugar a la
oposición.
Artículo 72.- Derecho al tratamiento objetivo de datos personales.
Para garantizar el ejercicio del derecho al tratamiento objetivo de conformidad con lo

establecido en el artículo 23 de la Ley, cuando se traten datos personales como parte de un
proceso de toma de decisiones sin participación del titular de los datos personales, el titular del
banco de datos personales o responsable del tratamiento deberá informárselo a la brevedad
posible, sin perjuicio de lo regulado para el ejercicio de los demás derechos en la Ley y el presente
reglamento.
Capítulo III
Procedimiento de tutela
Artículo 73.- Procedimiento de tutela directa.

El ejercicio de los derechos regulados por la Ley y el presente reglamento se inicia con la
solicitud que el titular de los datos personales debe dirigir directamente al titular del banco de datos
personales o responsable del tratamiento, de acuerdo a las características que se regulan en los
artículos precedentes del presente título.
El titular del banco de datos personales o responsable del tratamiento deberá dar respuesta, en
los plazos previstos en el artículo 55 del presente reglamento, expresando lo correspondiente a
cada uno de los extremos de la solicitud. Transcurrido el plazo sin haber recibido la respuesta el
solicitante podrá considerar denegada su solicitud.
La denegatoria o la respuesta insatisfactoria habilitan al solicitante a iniciar el procedimiento

administrativo ante la Dirección General de Protección de Datos Personales, de acuerdo al artículo
74 del presente reglamento.
Artículo 74.- Procedimiento trilateral de tutela.
El procedimiento administrativo de tutela de los derechos regulados por la Ley y el presente

reglamento, se sujeta a lo dispuesto por los artículos 219 al 228 de la Ley Nº 27444, Ley del
Procedimiento Administrativo General en lo que le sea aplicable, y será resuelto mediante
resolución del Director General de Protección de Datos Personales. Contra esta resolución solo
procede recurso de reconsideración, el que, una vez resuelto, agota la vía administrativa.
Para iniciar el procedimiento administrativo a que se refiere este artículo, sin perjuicio de los
requisitos generales previstos en el presente reglamento, el titular de los datos personales deberá
presentar con su solicitud de tutela:
1. El cargo de la solicitud que previamente envió al titular del banco de datos personales o
responsable del tratamiento para obtener de él, directamente, la tutela de sus derechos.
2. El documento que contenga la respuesta del titular del banco de datos personales o
responsable del tratamiento que, a su vez, contenga la denegatoria de su pedido o la respuesta
que considere no satisfactoria, de haberla recibido.
El plazo máximo en que debe resolverse la solicitud de tutela de derechos será treinta (30) días,
contado desde el día siguiente de recibida la contestación del reclamado o desde el vencimiento
del plazo para formularla y podrá ampliarse hasta por un máximo de treinta (30) días adicionales,
atendiendo a la complejidad del caso.
La orden de realizar la visita de fiscalización suspende el plazo previsto para resolver hasta que
se reciba el informe correspondiente.
Artículo 75.- Visita de fiscalización.
Para mejor resolver, se podrá ordenar a la Dirección de Supervisión y Control la realización de

una visita de fiscalización, que se efectuará conforme a lo previsto en los artículos 108 a 114 del
presente reglamento, dentro de los cinco (5) días siguientes de recibida la orden.
TÍTULO V
Registro Nacional de Protección de Datos Personales
Capítulo I
Artículo 76.- Inscripción registral.
El Registro Nacional de Protección de Datos Personales es la unidad de almacenamiento

destinada a contener principalmente la información sobre los bancos de datos personales de
titularidad pública o privada y tiene por finalidad dar publicidad de la inscripción de dichos bancos
de tal forma que sea posible ejercer los derechos de acceso a la información, rectificación,
cancelación, oposición y otros regulados en la Ley y el presente reglamento.
Artículo 77.- Actos y documentos inscribibles en el Registro.
Serán objeto de inscripción en el Registro Nacional de Protección de Datos Personales con

arreglo a lo dispuesto en la Ley y en este título:
1. Los bancos de datos personales de la administración pública, con las excepciones previstas
en la Ley y el presente reglamento.
2. Los bancos de datos personales de administración privada, con la excepción prevista en el

numeral 1) del artículo 3 de la Ley.
3. Los códigos de conducta a que se refiere el artículo 31 de la Ley.
4. Las sanciones, medidas cautelares o correctivas impuestas por la Dirección General de

Protección de Datos Personales conforme a la Ley y el presente reglamento.
5. Las comunicaciones referidas al flujo transfronterizo de datos personales.
Cualquier persona puede consultar la información a que se refiere el artículo 34 de la Ley y

cualquier otra contenida en el Registro.
Artículo 78.- Obligación de inscripción.
Las personas naturales o jurídicas del sector privado o entidades públicas que creen,
modifiquen o cancelen bancos de datos personales están obligadas a tramitar la inscripción de
estos actos ante el Registro Nacional de Protección de Datos Personales.
Capítulo II
Procedimiento de inscripción
Artículo 79.- Requisitos.
Los titulares de los bancos de datos personales deberán inscribirlos en el Registro Nacional de
Protección de Datos Personales proporcionando la siguiente información:
1. La denominación y ubicación del banco de datos personales, sus finalidades y los usos
previstos.
2. La identificación del titular del banco de datos personales, y en su caso, la identificación del
encargado del tratamiento.
3. Tipos de datos personales sometidos a tratamiento en dicho banco.

4. Procedimientos de obtención y el sistema de tratamiento de los datos personales.
5. La descripción técnica de las medidas de seguridad.
6. Los destinatarios de transferencias de datos personales.
Artículo 80.- Modelos o formularios.
La Dirección General de Protección de Datos Personales publicará mediante resolución los

modelos o formularios electrónicos de las solicitudes de creación, modificación o cancelación de
bancos de datos personales, que permitan su presentación a través de medios telemáticos o en
soporte papel, de conformidad al procedimiento establecido en el presente reglamento.
Los modelos o formularios electrónicos se podrán obtener gratuitamente en el Portal

Institucional del Ministerio de Justicia y Derechos Humanos.
Artículo 81.- Inicio.
El procedimiento se iniciará con la presentación, ante la Dirección de Registro Nacional de

Protección de Datos Personales, de la solicitud de creación, modificación o cancelación del banco
de datos personales formulada por su titular o representante debidamente acreditado.
Tratándose de la solicitud de inscripción deberá contener los requisitos exigidos por el presente
reglamento, de faltar alguno de los requisitos, se requerirá que se subsane la omisión, conforme a
lo dispuesto en el siguiente artículo.
Asimismo, tratándose de la solicitud de la modificación o cancelación de un banco de datos

personales, deberá indicarse en la misma el código de inscripción del banco de datos personales
en el Registro Nacional de Protección de Datos Personales.
En la solicitud, se deberá declarar un domicilio o dirección, a efectos de remitir las notificaciones

relativas al respectivo procedimiento.
Artículo 82.- Subsanación de los defectos y archivamiento.
Si la solicitud presentada no cumple con los requisitos exigidos por el reglamento, la Dirección
de Registro Nacional de Protección de Datos Personales requerirá al solicitante que en el plazo de
diez (10) días subsane la omisión. Vencido el plazo máximo, sin que el interesado haya cumplido
con subsanar dicha omisión, se procederá al archivamiento de la solicitud.
Artículo 83.- Resolución de inscripción.
El Director de la Dirección de Registro Nacional de Protección de Datos Personales emitirá la

resolución disponiendo la inscripción del banco de datos personales, siempre que se ajuste a los
requisitos exigidos en la Ley y el presente reglamento.
La resolución debe consignar:
1. El código asignado por el Registro.
2. La identificación del banco de datos personales.

3. La descripción de la finalidad y usos previstos.
4. La identificación del titular del banco de datos personales.
5. La categoría de los datos personales que contiene.
6. Los procedimientos de obtención.
7. El sistema de tratamiento de los datos personales y la indicación de las medidas de

seguridad.
Asimismo, se incluirán, en su caso, la identificación del encargado del tratamiento en donde se

encuentre ubicado el banco de datos personales y los receptores de los datos personales y del
flujo transfronterizo.
Una vez inscrito el banco de datos personales en el Registro Nacional de Protección de Datos,
se notificará la decisión al interesado.
La inscripción de un banco de datos personales en el Registro Nacional de Protección de Datos

no exime al titular del cumplimiento del resto de las obligaciones previstas en la Ley y el presente
reglamento.
Artículo 84.- Modificación o cancelación de bancos de datos personales.
La inscripción de un banco de datos personales deberá mantenerse actualizada en todo

momento. Cualquier modificación que afecte al contenido de la inscripción deberá ser previamente
comunicada a la Dirección de Registro Nacional de Protección de Datos Personales para su
inscripción.
Cuando el titular de un banco de datos personales decida su cancelación, deberá comunicarla a

la Dirección de Registro Nacional de Protección de Datos Personales, a efectos de que proceda a
la cancelación de la inscripción. El solicitante precisará el destino que va a darse a los datos o las
previsiones para su destrucción.
Artículo 85.- Duración del procedimiento.
El plazo máximo para emitir la resolución acerca de la inscripción, modificación o cancelación

será de treinta (30) días.
Si en dicho plazo no se hubiese emitido resolución expresa, se entenderá inscrito, modificado o

cancelado el banco de datos personales, para todos los efectos.
Artículo 86.- Improcedencia o denegación de la inscripción.
El Director de la Dirección de Registro Nacional de Protección de Datos emitirá resolución

denegando la inscripción cuando la solicitud no cumpla con los requisitos dispuestos en la Ley y en
el presente reglamento u otras disposiciones que dicte la Dirección General de Protección de Datos
Personales de conformidad a las facultades legales conferidas.
La resolución debe estar debidamente motivada, con indicación expresa de las causas que
impiden la inscripción, modificación o cancelación.
Artículo 87.- Impugnación.
Contra la resolución que deniega la inscripción proceden los recursos de reconsideración y

apelación, conforme al procedimiento señalado en la Ley Nº 27444, Ley del Procedimiento
Administrativo General.
Artículo 88.- Las instancias.
La Dirección de Registro Nacional de Protección de Datos Personales constituye la primera

instancia para efectos de atender los recursos administrativos interpuestos contra la denegatoria de
inscripción de un banco de datos personales. Resolverá los recursos de reconsideración y elevará
los de apelación a la Dirección General de Protección de Datos Personales que resolverá en última
instancia administrativa por la procedencia o improcedencia de la inscripción.
Capítulo III
Procedimiento de inscripción de los códigos de conducta
Artículo 89.- Ámbito de aplicación de los códigos de conducta.
1. Los códigos de conducta tendrán carácter voluntario.
2. Los códigos de conducta de carácter sectorial podrán referirse a la totalidad o a parte de los
tratamientos llevados a cabo por el sector, debiendo ser formulados por organizaciones
representativas del mismo.
3. Los códigos de conducta promovidos por una empresa o grupo empresarial deberán referirse
a la totalidad de los tratamientos llevados a cabo por los mismos.
Artículo 90.- Contenido.
1. Los códigos de conducta deben estar redactados en términos claros y accesibles.
2. Los códigos de conducta deben estar adecuados a lo establecido en la Ley e incluir como
mínimo los siguientes aspectos:
2.1. La delimitación clara y precisa de su ámbito de aplicación, las actividades a que el código
se refiere y los tratamientos sometidos al mismo.
2.2. Las previsiones específicas para la aplicación de los principios de protección de datos
personales.
2.3. El establecimiento de estándares homogéneos para el cumplimiento por los adheridos al

código de las obligaciones establecidas en la Ley.
2.4. El establecimiento de procedimientos que faciliten el ejercicio por los afectados de sus
derechos de información, acceso, rectificación, cancelación y oposición.
2.5. La determinación de las transferencias nacionales e internacionales de datos personales

que, en su caso, se prevean con indicación de las garantías que deban adoptarse.
2.6. Las acciones de fomento y difusión en materia de protección de datos personales dirigidas
a quienes los traten, especialmente en cuanto a su relación con los afectados.
2.7. Los mecanismos de supervisión a través de los cuales se garantice el cumplimiento por los
adheridos de lo establecido en el código de conducta.
3. En particular, deberá consignarse en el código:
3.1 Cláusulas para la obtención del consentimiento de los titulares de los datos personales al
tratamiento o transferencia de sus datos personales.
3.2 Cláusulas para informar a los titulares de los datos personales del tratamiento, cuando los
datos no sean obtenidos de los mismos.
3.3 Modelos para el ejercicio por los afectados de sus derechos de información, acceso,
rectificación, cancelación y oposición.
3.4 De ser el caso, modelos de cláusulas para el cumplimiento de los requisitos formales
exigibles para la contratación de un encargado del tratamiento.
Artículo 91.- Inicio del procedimiento.
El procedimiento para la inscripción en el Registro Nacional de Protección de Datos Personales

de los códigos de conducta se iniciará siempre a solicitud de la entidad, órgano o asociación
promotora del código de conducta.
La solicitud, además de reunir los requisitos legalmente establecidos, cumplirá los siguientes
requisitos adicionales:
1. Acreditación de la representación con que cuente la persona que presente la solicitud.
2. Contenido del acuerdo, convenio o decisión por la que se aprueba en el ámbito

correspondiente el contenido del código de conducta presentado.
3. En caso de que el código de conducta proceda de un acuerdo sectorial o una decisión de

empresa, se adjuntará la certificación referida a la adopción del acuerdo y legitimación del órgano
que lo adoptó y copia de los estatutos de la asociación, organización sectorial o entidad en cuyo
marco haya sido aprobado el código.
4. En caso de códigos de conducta presentados por asociaciones u organizaciones de carácter

sectorial, se adjuntará documentación relativa a su representatividad en el sector.
5. En caso de códigos de conducta basados en decisiones de empresa, se adjuntará

descripción de los tratamientos a los que se refiere.
Artículo 92.- Subsanación de los defectos.
Analizados los aspectos sustantivos del código de conducta, si resultase necesaria la aportación
de nuevos documentos o la modificación de su contenido, la Dirección de Registro Nacional de
Protección de Datos Personales requerirá al solicitante que en el plazo de diez (10) días realice las
modificaciones precisadas.
Artículo 93.- Trámite.

Transcurrido el plazo señalado en el artículo anterior, la Dirección de Registro Nacional de
Protección de Datos Personales elaborará un informe sobre las características del proyecto de
código de conducta que será enviado a la Dirección de Normatividad y Asistencia Legal, para que
informe en el plazo de siete (07) días si cumple con lo requerido por la Ley y el presente
reglamento.
Artículo 94.- Emisión de la resolución.
Cumplido lo establecido en los artículos precedentes, el Director de la Dirección de Registro

Nacional de Protección de Datos Personales emitirá la resolución disponiendo la inscripción del
código de conducta, siempre que se ajuste a los requisitos exigidos en la Ley y el presente
reglamento.
Artículo 95.- Duración del procedimiento.
El plazo máximo para emitir la resolución será de treinta (30) días, contado desde la fecha de
presentación de la solicitud ante la Dirección de Registro Nacional de Protección de Datos
Personales. Si en dicho plazo no se hubiese emitido la resolución, el solicitante podrá considerar
estimada su solicitud.
Artículo 96.- Improcedencia o denegación de la inscripción.
La denegatoria de la inscripción del código de conducta será resuelta mediante resolución del
Director de la Dirección de Registro Nacional de Protección de Datos Personales, cuando dicha
solicitud no cumpla con los requisitos dispuestos en la Ley, el presente reglamento y aquellas
disposiciones que dicte la Dirección General de Protección de Datos Personales, en el marco de
sus competencias legales y estatutarias.
Contra la resolución que deniega la inscripción proceden los recursos de reconsideración y

apelación, conforme al procedimiento señalado en los artículos 87 y 88 del presente reglamento.
Artículo 97.- Publicidad
El Registro Nacional de Protección de Datos Personales dará publicidad al contenido de los

códigos de conducta utilizando para ello medios electrónicos o telemático.
TÍTULO VI
Infracciones y sanciones
Capítulo I
Procedimiento fiscalizador
Artículo 98.- Objeto.
El procedimiento de fiscalización tendrá por objeto determinar si concurren las circunstancias

que justifiquen la iniciación del procedimiento sancionador, con identificación del titular del banco
de datos personales o del responsable del tratamiento y la presunta comisión de actos contrarios a
la Ley y al presente reglamento.
Artículo 99.- Inicio del procedimiento de fiscalización.

El procedimiento de fiscalización se inicia siempre de oficio como consecuencia de:
1. Iniciativa directa de la Dirección de Supervisión y Control o del Director General de Protección

de Datos Personales.
2. Por denuncia de cualquier entidad pública, persona natural o jurídica.
En ambos casos, la Dirección de Supervisión y Control requerirá al titular del banco de datos
personales, al encargado o a quien resulte responsable, información relativa al tratamiento de
datos personales o la documentación necesaria. En el caso de las visitas de fiscalización a las
sedes de las entidades públicas o privadas donde se encuentren los bancos de datos personales
que administran, los fiscalizadores tendrán acceso a los mismos.
Artículo 100.- Reconducción del procedimiento.
En caso que, de la denuncia presentada pueda percibirse que no se dirige a los objetivos de un
procedimiento de fiscalización, sino a los de la tutela de derechos, se derivará al procedimiento
correspondiente.
Artículo 101.- Fe pública.
En el ejercicio de las funciones de fiscalización, el personal de la Dirección de Supervisión y

Control estará dotado de fe pública para constatar la veracidad de los hechos en relación con los
trámites a su cargo.
Artículo 102.- Requisitos de la denuncia.
La denuncia deberá indicar lo siguiente:
1. Nombre del denunciante y el domicilio para efectos de recibir las notificaciones.
2. Relación de los hechos en los que basa su denuncia y los documentos que la sustenten.
3. Nombre y domicilio del denunciado o, en su caso, datos para su ubicación.
Artículo 103.- Forma de la denuncia.
La denuncia podrá presentarse en soporte físico o según los formatos tipo automatizados, que
se exhiban en el Portal Institucional del Ministerio de Justicia y Derechos Humanos.
Cuando la denuncia se presente por medios electrónicos a través del sistema que establezca la
Dirección General de Protección de Datos Personales, se entenderá que se acepta que las
notificaciones sean efectuadas por dicho sistema o a través de otros medios electrónicos
generados por éste, salvo que se señale un medio distinto.
Artículo 104.- Requerimiento de información.
Cuando se formule denuncia, la Dirección de Supervisión y Control podrá solicitar la

documentación que estime oportuna al denunciante para el desarrollo del procedimiento.
Artículo 105.- Desarrollo de la fiscalización.

El procedimiento de fiscalización tendrá una duración máxima de noventa (90) días, este plazo
corre desde la fecha en que la Dirección de Supervisión y Control recibe la denuncia o da inicio de
oficio al procedimiento y concluirá con el informe que se pronunciará sobre la existencia de
elementos que sostengan o no, la presunta comisión de infracciones previstas en la Ley.
El plazo establecido podrá ser ampliado por una vez y hasta por un periodo de cuarenta y cinco
(45) días, por decisión motivada, atendiendo a la complejidad de la materia fiscalizada y con
conocimiento del Director General de Protección de Datos Personales.
Artículo 106.- Programa de visitas.
La fiscalización podrá incluir diversas visitas para obtener los elementos de convicción
necesarios, las cuales se desarrollarán con un plazo máximo de diez (10) días entre cada una.
Luego de la primera visita, se notificará un programa de visitas al titular del banco de datos
personales o al encargado o al responsable del tratamiento y, en su caso, al denunciante.
Artículo 107.- Identificación del personal fiscalizador.
Al iniciar la visita, el personal fiscalizador deberá exhibir credencial vigente con fotografía,
expedida por la Dirección General de Protección de Datos Personales que lo acredite como tal.
Artículo 108.- Visitas de fiscalización.
El personal que lleve a cabo las visitas de fiscalización deberá estar provisto de orden escrita
motivada con firma autógrafa del funcionario, de la que dejará copia, con cargo, a la persona que
atendió la visita.
En la orden deberá precisarse el lugar o los lugares en donde se encuentra la entidad pública o
privada o la persona natural que se fiscalizará, o donde se encuentren los bancos de datos
personales objeto de fiscalización, el objeto genérico de la visita y las disposiciones legales que lo
fundamenten.
Artículo 109.- Acta de fiscalización.
Las visitas de fiscalización requieren el levantamiento del acta correspondiente, en la que

quedará constancia de las actuaciones practicadas durante la visita de verificación. Dicha acta se
levantará en presencia de dos testigos propuestos por la persona con quien se entendió la
diligencia. Si se hubiera negado a proponerlos o no hubieran participado los propuestos, bastará la
firma de la persona con quien se entendió la diligencia o la constancia de su negativa a firmar, de
ser el caso.
El acta se elaborará por duplicado y será firmada por el personal fiscalizador y quienes hayan
participado en la diligencia. El acta puede incluir la manifestación que los participantes consideren
que conviene a su derecho.
Se entregará al fiscalizado uno de los originales del acta de fiscalización, incorporándose el otro
a los actuados.
Artículo 110.- Contenido de las actas de fiscalización.
En las actas de fiscalización se hará constar:
1. Nombre, denominación o razón social del fiscalizado.

2. Hora, día, mes y año en que se inicie y concluya la fiscalización.
3. Los datos que identifiquen plenamente el lugar donde se realizó la fiscalización, tales como
calle, avenida, pasaje, número, distrito, código postal, la entidad pública o privada en que se
encuentre ubicado el lugar en que se practicó la fiscalización, así como el número telefónico u otra
forma de comunicación disponible con el fiscalizado.
4. Número y fecha de la orden de fiscalización que la motivó.
5. Nombre y cargo de la persona que atendió a los fiscalizadores.
6. Nombre y domicilio de las personas que participaron como testigos.
7. Datos y detalles relativos a la actuación.
8. Declaración del fiscalizado si lo solicitase.
9. Nombre y firma de quienes intervinieron en la fiscalización, incluyendo los de quienes la

hubieran llevado a cabo. Si se negara a firmar el fiscalizado, su representante legal o la persona
que atendió al fiscalizador, ello no afectará la validez del acta, debiendo el personal fiscalizador
asentar la respectiva razón.
La firma del fiscalizado no supondrá su conformidad con el contenido, sino tan sólo su
participación y la recepción de la misma.
Artículo 111.- Obstrucción a la fiscalización.
Si el fiscalizado se negara directamente a colaborar u observara una conducta obstructiva,

demorando injustificadamente su colaboración, planteando cuestionamientos no razonables a la
labor fiscalizadora, desatendiendo las indicaciones de los fiscalizadores o cualquier otra conducta
similar o equivalente, se dejará constancia en el acta, con precisión del acto o los actos
obstructivos y de su naturaleza sistemática, de ser el caso.
Artículo 112.- Observaciones en el acto de fiscalización o posteriores.
Sin perjuicio de que los fiscalizados puedan formular observaciones en el acto de la fiscalización
y manifestar lo que a su derecho convenga en relación a los hechos contenidos en el acta, también
podrán hacerlo por escrito dentro del término de los cinco (5) días siguientes a la fecha en que se
hubiere levantado.
Artículo 113.- Informe.
El procedimiento de fiscalización concluirá con el informe que expida la Dirección de

Supervisión y Control, en el que determinará con carácter preliminar las circunstancias que
justifiquen la instauración del procedimiento sancionador o la ausencia de ellas.
De ser el caso, se establecerán las medidas que deberá ordenarse al presunto responsable, en
vía cautelar. La instrucción del procedimiento sancionador se llevará a cabo conforme a lo
dispuesto por la Ley y el presente reglamento.
La determinación de la presunta responsabilidad por actos contrarios a lo establecido en la Ley

y el presente reglamento contenida en el Informe, será notificada al fiscalizado y al denunciante, de
ser el caso, en un plazo que no excederá de cinco (5) días.
Artículo 114.- Improcedencia de medios de impugnación.
En contra del informe de fiscalización que expide la Dirección de Supervisión y Control no

procede la interposición de recurso alguno, la contradicción de su contenido y cualquier forma de
defensa respecto de él se harán valer en el procedimiento sancionador, de ser el caso.
Capítulo II
Procedimiento sancionador
Artículo 115.- Autoridades del procedimiento sancionador.
Para efectos de la aplicación de las normas sobre el procedimiento sancionador establecido en

la Ley, las autoridades son:
1. El Director de la Dirección de Sanciones es la autoridad que instruye y resuelve, en primera

instancia, sobre la existencia de infracción e imposición o no de sanciones y sobre obligaciones
accesorias tendientes a la protección de los datos personales. Asimismo, es competente para
conducir y desarrollar la fase de investigación, y es responsable de llevar a cabo las actuaciones
necesarias para determinar las circunstancias de la comisión, o no, de los actos contrarios a lo
establecido en la Ley y el presente reglamento.
2. El Director General de Protección de Datos Personales resuelve en segunda y última

instancia el procedimiento sancionador y su decisión agota la vía administrativa.
Artículo 116.- Inicio del procedimiento sancionador.
El procedimiento sancionador será promovido siempre de oficio, en atención a un informe de la

Dirección de Supervisión y Control que puede obedecer a una denuncia de parte o a decisión
motivada del Director General de Protección de Datos Personales.
Artículo 117.- Rechazo liminar.
La Dirección de Sanciones puede, mediante resolución expresa y motivada, decidir el

archivamiento de los casos que no ameriten el inicio del procedimiento sancionador, no obstante el
informe de la Dirección de Supervisión y Control. Contra esta decisión puede recurrir el
denunciante.
Artículo 118.- Medidas cautelares y correctivas.
Una vez iniciado el procedimiento sancionador, la Dirección de Sanciones podrá disponer,

mediante acto motivado, la adopción de medidas de carácter provisional que aseguren la eficacia
de la resolución final que pudiera recaer en el referido procedimiento, con observancia de las
normas aplicables de la Ley Nº 27444, Ley del Procedimiento Administrativo General.
Asimismo, sin perjuicio de la sanción administrativa que corresponda por una infracción a las
disposiciones contenidas en la Ley y el presente reglamento, se podrán dictar, cuando sea posible,
medidas correctivas destinadas a eliminar, evitar o detener los efectos de las infracciones.
Artículo 119.- Contenido de la resolución de inicio del procedimiento sancionador.
1. La Dirección de Sanciones notifica la resolución de inicio del procedimiento sancionador que

contendrá:
2. La identificación de la autoridad que emite la notificación.
3. La indicación del expediente correspondiente y la mención del acta de fiscalización, de ser el

caso.
4. La identificación de la entidad pública o privada a quien se le abre procedimiento.
5. La decisión de abrir procedimiento sancionador.
6. El relato de los antecedentes que motivan el inicio del procedimiento sancionador, que incluye
la manifestación de los hechos que se atribuyen al administrado y de la calificación de las
infracciones que tales hechos puedan constituir.
7. La sanción o sanciones, que en su caso se pudieran imponer.
8. El plazo para presentar los descargos y pruebas.
Artículo 120.- Presentación de descargos y pruebas.
El administrado en un plazo máximo de quince (15) días, contado a partir del día siguiente de la
notificación correspondiente presentará su descargo, en el cual podrá pronunciarse concretamente
respecto de cada uno de los hechos que se le imputan de manera expresa, afirmándolos,
negándolos, señalando que los ignora por no ser propios o exponiendo como ocurrieron, según sea
el caso. Asimismo podrá presentar los argumentos por medio de los cuales desvirtúe la infracción
que se presuma y las pruebas correspondientes.
En caso se ofrezca prueba pericial o testimonial, se precisarán los hechos sobre los que
versarán y se señalarán los nombres y domicilios del perito o de los testigos, exhibiéndose el
cuestionario o el interrogatorio respectivo en preparación de las mismas. Sin estos requisitos
dichas pruebas se tendrán por no ofrecidas.
Artículo 121.- Actuaciones para la instrucción de los hechos.
Vencido el plazo de los quince (15) días para la presentación del descargo, con o sin él, la
Dirección de Sanciones realizará de oficio todas las actuaciones necesarias para el examen de los
hechos y podrá disponer una visita de fiscalización a cargo de la Dirección de Supervisión y
Control, si no se hubiere hecho antes, con la finalidad de recabar la información que sea necesaria
o relevante para determinar, en su caso, la existencia de infracciones susceptibles de sanción.
Artículo 122.- Cierre de instrucción y término del procedimiento sancionador.
Concluidas las actuaciones instructivas, la Dirección de Sanciones emitirá resolución cerrando

la etapa instructiva dentro de los cincuenta (50) días contados desde el inicio del procedimiento.
Dentro de los veinte (20) días posteriores a la notificación de la resolución de cierre de la etapa
instructiva, la Dirección de Sanciones deberá resolver en primera instancia.
Podrá solicitarse informe oral dentro de los cinco (5) días posteriores a la notificación de la
resolución de cierre de la etapa instructiva.
Cuando haya causa justificada, la Dirección de Sanciones podrá ampliar por una vez y hasta
por un período igual, el plazo de cincuenta (50) días al que refiere el presente artículo.
La resolución que resuelve el procedimiento sancionador será notificada a todas las partes
intervinientes en el procedimiento.
Artículo 123.- Impugnación.
Contra la resolución que resuelve el procedimiento sancionador proceden los recursos de

reconsideración o apelación dentro de los quince (15) días de notificada la resolución al
administrado.
El recurso de reconsideración se sustentará en nueva prueba y será resuelto por la Dirección de

Sanciones en un plazo que no excederá de los treinta (30) días.
El recurso de apelación será resuelto por el Director General de Protección de Datos

Personales, debiendo dirigirse a la misma autoridad que expidió el acto que se impugna, para que
eleve lo actuado. El recurso de apelación deberá ser resuelto en un plazo no mayor de treinta (30)
días.
Capítulo III
Sanciones
Artículo 124.- Determinación de la sanción administrativa de multa.
Las multas se determinan en función a la Unidad Impositiva Tributaria vigente a la fecha en que
se cometió la infracción y cuando no sea posible establecer tal fecha, la que estuviere vigente a la
fecha en que la Dirección General de Protección de Datos Personales detectó la infracción.
Artículo 125.- Graduación del monto de la sanción administrativa de multa.
Para graduar la sanción a imponerse debe observarse el principio de razonabilidad de la

potestad sancionadora reconocido en el numeral 3 del artículo 230 de la Ley Nº 27444, Ley del
Procedimiento Administrativo General, así como la condición de sancionado reincidente y la
conducta procedimental del infractor.
En caso de que las infracciones continúen, luego de haber sido sancionado, debe imponerse
una sanción mayor a la previamente impuesta conforme a los términos establecidos en el numeral
7 del artículo 230 de la Ley Nº 27444, Ley del Procedimiento Administrativo General.
Artículo 126.- Atenuantes.
La colaboración con las acciones de la autoridad y el reconocimiento espontáneo de las

infracciones acompañado de acciones de enmienda se considerarán atenuantes. Atendiendo a la
oportunidad del reconocimiento y a las fórmulas de enmienda, la atenuación permitirá incluso la
reducción motivada de la sanción por debajo del rango previsto en la Ley.
Artículo 127.- Mora en el pago de las multas.
El administrado que no realiza el pago oportuno de las multas incurre en mora automática, en
consecuencia el monto de las multas impagas devengará interés moratorio que se aplicará
diariamente desde el día siguiente de la fecha del vencimiento del plazo de cancelación de la multa
hasta la fecha de pago inclusive, multiplicando el monto de la multa impaga por la Tasa de Interés
Moratoria (TIM) diaria vigente. La Tasa de Interés Moratoria (TIM) diaria vigente resulta de dividir la
Tasa de Interés Moratoria (TIM) vigente entre treinta (30).
Artículo 128.- Incentivos para el pago de la sanción de multa.
Se considerará que el sancionado ha cumplido con pagar la sanción de multa si, antes de
vencer el plazo otorgado para pagar la multa, deposita en la cuenta bancaria determinada por la
Dirección General de Protección de Datos Personales el sesenta por ciento (60%) de su monto.
Para que surta efecto dicho beneficio deberá comunicar tal hecho a la Dirección General de
Protección de Datos Personales, adjuntando el comprobante del depósito bancario
correspondiente. Luego de dicho plazo, el pago sólo será admitido por el íntegro de la multa
impuesta.
Artículo 129.- Ejecución de la sanción de multa.
La ejecución de la sanción de multa se rige por la ley de la materia referida al procedimiento de

ejecución coactiva.
Artículo 130.- Registro de sanciones, medidas cautelares y correctivas.
La Dirección de Registro Nacional de Protección de Datos Personales tendrá a su cargo el

Registro de Sancionados por incumplimiento de la Ley y el presente reglamento, el Registro de
Medidas Cautelares y el Registro de Medidas Correctivas, los mismos que serán publicados en el
Portal Institucional del Ministerio de Justicia y Derechos Humanos.
Artículo 131.- Aplicación de multas coercitivas
En caso de incumplimiento de obligaciones accesorias a la sanción de multa impuesta por

infracción a la Ley y el presente reglamento, la Dirección de Sanciones podrá imponer multas
coercitivas de acuerdo a la siguiente graduación:
1. Por incumplimiento de obligaciones accesorias a la sanción de multa impuestas por

infracciones leves, la multa coercitiva será desde cero coma dos a dos Unidades Impositivas
Tributarias (0,2 a 2 UIT).

infracciones graves, la multa coercitiva será de dos a seis Unidades Impositivas Tributarias (2 a 6
UIT).

infracciones muy graves, la multa coercitiva será de seis a diez Unidades Impositivas Tributarias (6
a 10 UIT).
"CAPÍTULO IV
INFRACCIONES (*)
(*) Capítulo IV) incorporado por la Tercera Disposición Complementaria Modificatoria del
Reglamento aprobado por el Artículo 1 del Decreto Supremo N° 019-2017-JUS, publicado el
15 septiembre 2017.
Artículo 132.- Infracciones
Las infracciones a la Ley Nº 29733, Ley de Protección de Datos Personales, o su Reglamento

se califican como leves, graves y muy graves y se sancionan con multa de acuerdo al artículo 39
de la citada Ley.
1. Son infracciones leves
a) Realizar tratamiento de datos personales incumpliendo las medidas de seguridad

establecidas en la normativa sobre la materia.
b) Recopilar datos personales que no sean necesarios, pertinentes ni adecuados con relación a
las finalidades determinadas, explícitas y lícitas para las que requieren ser obtenidos.
c) No modificar o rectificar los datos personales objeto de tratamiento cuando se tenga

conocimiento de su carácter inexacto o incompleto.
d) No suprimir los datos personales objeto de tratamiento cuando hayan dejado de ser
necesarios, pertinentes o adecuados para la finalidad para la cual fueron recopilados o cuando
hubiese vencido el plazo para su tratamiento. En estos casos, no se configura la infracción cuando
media procedimiento de anonimización o disociación.
e) No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la

Ley.
f) Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su

Reglamento.
2. Son infracciones graves:
a) No atender, impedir u obstaculizar el ejercicio de los derechos del titular de datos personales
de acuerdo a lo establecido en el Título III de la Ley Nº 29733 y su Reglamento.
b) Dar tratamiento a los datos personales sin el consentimiento libre, expreso, inequívoco,
previo e informado del titular, cuando el mismo sea necesario conforme a lo dispuesto en la Ley Nº
29733 y su Reglamento.
c) Realizar tratamiento de datos personales sensibles incumpliendo las medidas de seguridad

establecidas en la normativa sobre la materia.
d) Recopilar datos personales sensibles que no sean necesarios, pertinentes ni adecuados con
relación a las finalidades determinadas, explícitas y lícitas para las que requieren ser obtenidos.
e) Utilizar los datos personales obtenidos lícitamente para finalidades distintas de aquellas que
motivaron su recopilación, salvo que medie procedimiento de anonimización o disociación.
f) Obstruir el ejercicio de la función fiscalizadora de la Autoridad.
g) Incumplir la obligación de confidencialidad establecida en el artículo 17 de la Ley Nº 29733.
h) No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la

Ley Nº 29733, a pesar de haber sido requerido para ello por la Autoridad en el marco de un
procedimiento sancionador.
3. Son infracciones muy graves:

a) Dar tratamiento a los datos personales contraviniendo las obligaciones contenidas en la Ley
Nº 29733 y su Reglamento, cuando con ello se impida o se atente contra el ejercicio de otros
derechos fundamentales.
b) Recopilar datos personales mediante medios fraudulentos, desleales o ilícitos.
c) Suministrar documentos o información falsa a la Autoridad.
d) No cesar en el indebido tratamiento de datos personales cuando existiese un previo

requerimiento de la Autoridad como resultado de un procedimiento sancionador o de un
procedimiento trilateral de tutela.
e) No cumplir con las medidas correctivas establecidas por la Autoridad como resultado de un
procedimiento trilateral de tutela.
Artículo 133.- Graduación en caso de reincidencia
En caso de reincidencia en la comisión de dos (02) infracciones leves, en un mismo año, la

tercera infracción leve se sanciona como una infracción grave.
En caso de reincidencia en la comisión de dos (02) infracciones graves, en un mismo año, la

tercera infracción grave se sanciona como una infracción muy grave."(*)
(*) Capítulo IV) incorporado por la Tercera Disposición Complementaria Modificatoria del
Reglamento aprobado por el Artículo 1 del Decreto Supremo N° 019-2017-JUS, publicado
el 15 septiembre 2017.
DISPOSICIONES COMPLEMENTARIAS FINALES
PRIMERA.- Interoperabilidad entre entidades públicas.
La definición, los alcances y el contenido de la interoperabilidad, a que hace referencia el primer

párrafo del artículo 11 del presente reglamento, así como los lineamientos para su aplicación y
funcionamiento en concordancia con las normas de protección de datos personales, son
competencia de la Oficina Nacional de Gobierno Electrónico e Informática - ONGEI de la
Presidencia del Consejo de Ministros, en su calidad de Ente Rector del Sistema Nacional de
Informática. La interoperabilidad entre entidades se regulará en cuanto a su implementación en el
marco de lo dispuesto por el numeral 76.2.2 del inciso 76.2 del artículo 76 de la Ley Nº 27444, Ley
del Procedimiento Administrativo General.
SEGUNDA.- Protección de datos personales y competitividad.
Las competencias establecidas en el presente reglamento son ejercidas por la Autoridad

Nacional de Protección de Datos Personales, en concordancia con las políticas de competitividad
del país establecidas por el ente correspondiente.
TERCERA.- Protección de datos personales y programas sociales.
Conforme a lo previsto en el numeral 12 del artículo 33 de la Ley, los términos en que debe
concordarse el cumplimiento de la Ley y el presente Reglamento con las normas o políticas de
transparencia y fiscalización que rigen la administración de los bancos de datos vinculados con los
Programas Sociales y el Sistema de Focalización de Hogares serán desarrollados mediante
directiva y en coordinación con el Ministerio de Desarrollo e Inclusión Social - MIDIS.
DISPOSICIONES COMPLEMENTARIAS TRANSITORIAS
PRIMERA.- Adecuación de bancos de datos personales.
En el plazo de dos (2) años de la entrada en vigencia del presente reglamento, los bancos de
datos personales existentes, deben adecuarse a lo establecido por la Ley y el presente reglamento,
sin perjuicio de la inscripción a que se refiere la Quinta Disposición Complementaria Final de la Ley
Nº 29733, Ley de Protección de Datos Personales.
SEGUNDA.- Facultad sancionadora.
La facultad sancionadora de la Dirección General de Protección de Datos Personales, en

relación a los bancos de datos personales existentes a la fecha de la entrada en vigencia del
presente reglamento, queda suspendida hasta el vencimiento del plazo de adecuación establecido
en la Primera Disposición Complementaria Transitoria.
TERCERA.- Formatos.
La Dirección General de Protección de Datos Personales creará los formatos tipo necesarios
para la tramitación de los procedimientos regulados en el presente reglamento en un plazo que no
excederá de sesenta (60) días de la entrada en vigencia del presente reglamento.

Ley Proteccion Datos Personales

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Ley Proteccion Datos Personales

Transféré par

Droits d'auteur :

Formats disponibles

Aprueban Texto Único Ordenado de la Ley Nº 27806, Ley de Transparencia y Acceso a la

CONCORDANCIAS: D.S. N° 072-2003-PCM (REGLAMENTO)

Que, mediante Ley Nº 27806, Ley de Transparencia y Acceso a la Información Pública, se

Presidente Constitucional de la República

LUIS SOLARI DE LA FUENTE

Presidente del Consejo de Ministros

TEXTO ÚNICO ORDENADO DE LA LEY Nº 27806, LEY DE TRANSPARENCIA Y ACCESO A LA

Artículo 1.- Alcance de la Ley

El derecho de acceso a la información de los Congresistas de la República se rige conforme a lo

Artículo 2.- Entidades de la Administración Pública

Artículo 3.- Principio de publicidad

Los funcionarios responsables de brindar la información correspondiente al área de su

2. El Estado adopta medidas básicas que garanticen y promuevan la transparencia en la

3. El Estado tiene la obligación de entregar la información que demanden las personas en

La entidad pública designará al funcionario responsable de entregar la información solicitada.

CONCORDANCIAS: R. N° 065-2003-CNI, Art. 1

Artículo 4.- Responsabilidades y Sanciones

Todas las entidades de la Administración Pública quedan obligadas a cumplir lo estipulado en la

CONCORDANCIAS: R.J. N° 234-2001-INEI (Normas técnicas de contenidos de páginas web en la Administración

Artículo 5.- Publicación en los portales de las dependencias públicas

Las entidades de la Administración Pública establecerán progresivamente, de acuerdo a su

1. Datos generales de la entidad de la Administración Pública que incluyan principalmente las

(*) Numeral modificado por la Décimo Segunda Disposición Complementaria Modificatoria

4. Actividades oficiales que desarrollarán o desarrollaron los altos funcionarios de la respectiva

5. La información adicional que la entidad considere pertinente.

Lo dispuesto en este artículo no exceptúa de la obligación a la que se refiere el Título IV de esta

La entidad pública deberá identificar al funcionario responsable de la elaboración de los portales

(*) De conformidad con el Artículo 1 de la Resolución Ministerial Nº 280-2007-PCM, publicada

CONCORDANCIAS: R.D. N° 109-2004-DVMPEMPE-ATU, Art. 1

Ley N° 29091, Art. 6

Artículo 6.- De los plazos de la Implementación

a) Entidades del Gobierno Central, organismos autónomos y descentralizados, a partir del 1 de

b) Gobiernos Regionales, hasta un año después de su instalación.

c) Entidades de los Gobiernos Locales Provinciales y organismos desconcentrados a nivel

ACCESO A LA INFORMACIÓN PÚBLICA DEL ESTADO

CONCORDANCIAS: R.ADM. N° 005-2005-CE-PJ

Artículo 7.- Legitimación y requerimiento inmotivado

Toda persona tiene derecho a solicitar y recibir información de cualquier entidad de la

CONCORDANCIAS CON EL TLC PERÚ - ESTADOS UNIDOS DE NORTEAMÉRICA

Dichas entidades identificarán, bajo responsabilidad de su máximo representante, al funcionario

CONCORDANCIAS: R.ADM. N° 040-2003-CE-PJ

R.M. N° 092-2004-TR, Art. 2

R.D. N° 109-2004-DVMPEMPE-ATU, Arts. 2 y 3

Artículo 10.- Información de acceso público

Las entidades de la Administración Pública tienen la obligación de proveer la información

(*) De conformidad con el Artículo 2 del Decreto Supremo N° 110-2018-PCM, publicada el 05

Artículo 11.- Procedimiento

El acceso a la información pública se sujeta al siguiente procedimiento:

CONCORDANCIAS: D.S. N° 072-2003-PCM, Art. 11 y 14

“Artículo 11.- Procedimiento

El acceso a la información pública se sujeta al siguiente procedimiento:

b) La entidad de la Administración Pública a la cual se haya presentado la solicitud de

En el supuesto que la entidad de la Administración Pública no esté obligada a poseer la

c) La denegatoria al acceso a la información se sujeta a lo dispuesto en el segundo párrafo del

d) De no mediar respuesta en el plazo previsto en el inciso b), el solicitante puede considerar

(*) Literal modificado por la Única Disposición Complementaria Modificatoria Decreto

f) Si el Tribunal, no resuelve el recurso de apelación en el plazo previsto, el solicitante podrá

g) Excepcionalmente, cuando sea materialmente imposible cumplir con el plazo señalado en el

(*) De conformidad con el Artículo 2 del Decreto Supremo N° 110-2018-PCM, publicada el 05

Artículo 12.- Acceso directo

Sin perjuicio de lo dispuesto en el artículo anterior, las entidades de la Administración Pública

Artículo 13.- Denegatoria de acceso

“Artículo 13.- Denegatoria de acceso

La entidad de la Administración Pública a la cual se solicite información no podrá negar la