Oficial de datos personales: quién debe designarlo y por qué las medianas empresas tienen plazo hasta el 30 de noviembre

Desde el 31 de marzo de 2025 rige el nuevo Reglamento de la Ley N.° 29733, Ley de Protección de Datos Personales, aprobado por el Decreto Supremo N.° 016-2024-JUS y publicado el 30 de noviembre de 2024. Una de sus piezas centrales es el Oficial de Datos Personales (ODP), la persona que asesora a la organización, verifica que cumpla la norma y sirve de enlace con la Autoridad Nacional de Protección de Datos Personales (ANPD). En las empresas privadas, la obligación de designarlo llega por etapas según las ventas, y el plazo de las medianas vence el 30 de noviembre de 2026.

La fecha es lo fácil. Lo difícil es saber si tu empresa está obligada, porque el Reglamento habla de «grandes volúmenes» y de «datos sensibles» sin poner cifras. Esas cifras las puso la directiva aprobada por la Resolución Directoral N.° 100-2025-JUS/DGTAIPD, publicada el 31 de diciembre de 2025.

¿Quién está obligado a designar un Oficial de Datos Personales?

El numeral 37.1 del Reglamento obliga a designarlo en tres supuestos:

1. Cuando el tratamiento lo realiza una entidad pública.
2. Cuando se tratan grandes volúmenes de datos, en cantidad o tipo, o el tratamiento puede afectar a un gran número de personas, involucra datos sensibles o produce un perjuicio evidente a otros derechos del titular.
3. Cuando la actividad principal o el giro del negocio comprende el tratamiento de datos sensibles.

La obligación alcanza también al encargado, es decir, a quien trata datos por cuenta de otra empresa. Quedan fuera las personas naturales que tratan datos de manera personal y directa en su oficio o profesión, aunque sean sensibles (numeral 7.2.4 de la directiva): una abogada que ejerce de forma independiente no está obligada por su cartera de clientes.

¿Hasta cuándo hay plazo según el tamaño de la empresa?

Las entidades públicas están obligadas desde la entrada en vigor del Reglamento. Para las empresas de los supuestos 2 y 3, la Primera Disposición Complementaria Final fija este cronograma:

• Ventas anuales de más de 2,300 UIT: desde el 30 de noviembre de 2025.
• Medianas, de más de 1,700 y hasta 2,300 UIT: hasta el 30 de noviembre de 2026.
• Pequeñas, de más de 150 y hasta 1,700 UIT: hasta el 30 de noviembre de 2027.
• Microempresas, de hasta 150 UIT: hasta el 30 de noviembre de 2028.

Con la UIT de 2026 (S/ 5,500), el tramo de las medianas va de unos S/ 9.35 millones a S/ 12.65 millones de ventas anuales. El tamaño solo fija la fecha: una mediana empresa que no trata grandes volúmenes ni datos sensibles no está obligada, aunque puede designar un ODP como buena práctica, con los mismos requisitos (numeral 6.7).

¿Qué cuenta como grandes volúmenes? Los umbrales de la directiva

El Anexo 1 de la directiva de la ANPD evalúa cinco criterios. Los tres primeros son determinantes; los dos últimos solo modulan el resultado:

• A, número de titulares: personas únicas en todas las bases (clientes, trabajadores, prospectos), sin duplicados. Nivel alto, 50,000 o más; medio, de 10,000 a 49,999; bajo, menos de 10,000.
• B, datos sensibles: tratamientos individuales sobre datos sensibles. Nivel alto, más de 5,000; medio, de 1,000 a menos de 5,000; bajo, de más de 100 a menos de 1,000.
• C, finalidad: nivel alto para el perfilamiento o scoring, el telemarketing o las televentas, las decisiones automatizadas con efectos legales y la vigilancia intensiva; medio para la gestión administrativa continua; bajo para el simple almacenamiento. Cuenta cuando se superan 20 tratamientos individuales.
• D, frecuencia: alto si el tratamiento es continuo o diario.
• E, ubicación: alto si los datos están en servidores o nubes fuera del Perú, o se accede a ellos desde el extranjero; medio si están en servidores en el país.

En el criterio B hay un matiz. El anexo lo aplica cuando los tratamientos de datos sensibles corresponden a más de 1,000 titulares; las preguntas y respuestas que la ANPD publicó en febrero de 2026 lo explican como llegar a 1,000 titulares únicos con al menos un dato sensible.

Con esos niveles, el numeral 9.3 del anexo fija tres reglas. Hay gran volumen si al menos un criterio determinante está en nivel alto; si al menos dos están en nivel medio; o si uno está en nivel medio y la frecuencia o la ubicación están en nivel medio o alto. Solo queda fuera quien tiene los tres determinantes en nivel bajo.

La tercera regla, leída tal como está escrita, tiene una consecuencia práctica. Casi toda empresa guarda sus datos en servidores conectados a internet o en la nube, lo que deja el criterio E por lo menos en nivel medio; con eso, llegar a 10,000 titulares únicos puede bastar. Y quien hace televentas o califica a sus clientes con un scoring queda en nivel alto por la sola finalidad.

El tercer supuesto del Reglamento va por separado: si la actividad principal requiere datos sensibles, como en una clínica, la obligación existe sin pasar por el anexo (numeral 7.1.5.4), salvo que ese tratamiento sea incidental u ocasional.

Quién puede ser Oficial de Datos Personales

Siempre una persona natural: un trabajador que tenga otras funciones o un profesional externo (artículo 38.2 del Reglamento). Un grupo empresarial puede designar uno solo. La directiva pide:

• Experiencia general de dos años en protección de datos o materias afines, como seguridad de la información o ciberseguridad, y experiencia específica de un año en protección de datos.
• Formación por alguna de estas vías: posgrado afín, certificado de 90 horas lectivas, diplomado de 120 horas lectivas, o docencia o investigación en la materia. Según la ANPD, basta una.
• Idoneidad ética: entre otras condiciones, no tener condena firme por delito doloso.

El ODP actúa con independencia funcional, reporta a la máxima autoridad de administración y no puede ser sancionado ni removido por el contenido de sus opiniones (numerales 7.3.5.5 y 7.3.5.6). La ANPD precisó, además, que designar a alguien con un perfil incompleto no es, por sí solo, una infracción.

Qué hace el oficial y qué sigue a cargo de la empresa

El artículo 39 del Reglamento le asigna cuatro funciones mínimas: asesorar, verificar el cumplimiento, cooperar con la ANPD y ser su punto de contacto. Ese papel de enlace lo pone en el centro cuando hay que notificar un incidente con datos personales en 48 horas (numeral 34.1). En cambio, no decide para qué ni cómo se tratan los datos (numeral 6.4 de la directiva), y su designación no traslada la responsabilidad, que sigue siendo de la empresa (numeral 6.5). Si la gerencia no sigue una recomendación suya, debe quedar constancia expresa (numeral 7.7.4).

Cómo se designa y qué se arriesga si no se hace

1. Aprobar la designación por acto formal del máximo órgano de administración: acuerdo de directorio, acta o resolución (numerales 7.1.1 y 7.1.2).
2. Comunicarla a la ANPD dentro de los 15 días siguientes (numeral 37.5), por la mesa de partes virtual del Ministerio de Justicia y Derechos Humanos, con nombres, DNI, cargo y datos de contacto del oficial.
3. Publicar como mínimo su nombre completo y un correo en la política de privacidad de la web u otro documento visible (numeral 7.7.2).
4. Prever un suplente para vacaciones, licencias o renuncias (numeral 8.6).

No designar al Oficial cuando corresponde es infracción leve (artículo 132, inciso 9, del Reglamento). La Ley N.° 29733 sanciona las leves con multas de 0.5 a 5 UIT (S/ 2,750 a S/ 27,500 en 2026), con un tope del 10% de los ingresos brutos del ejercicio anterior (artículo 39). La exposición mayor está en las infracciones graves, de hasta 50 UIT, y en las muy graves, de hasta 100 UIT, que el oficial ayuda a prevenir.

Qué hacer antes del 30 de noviembre

1. Confirmar con contabilidad el tramo de ventas de la empresa.
2. Inventariar los bancos de datos: cuántas personas únicas hay entre clientes, trabajadores, postulantes y prospectos; qué datos sensibles se guardan; con qué finalidad y dónde están alojados.
3. Aplicar los criterios y las reglas del anexo, y dejar el resultado en un informe fechado y firmado. Si la conclusión es que no hay obligación, ese informe prueba que la empresa lo evaluó.
4. Si hay obligación, elegir a la persona, verificar su perfil, aprobar la designación, comunicarla y publicarla.

Si ya existe un sistema de gestión de seguridad de la información, el inventario está avanzado: sirve de base lo que revisa una auditoría ISO 27001, y la ISO/IEC 27701 para la privacidad agrega los controles de datos personales.

Esta nota resume la norma en términos generales y no constituye asesoría legal. Cada caso se revisa con el Reglamento, la directiva y su anexo; ante la duda, el criterio interpretativo lo fija la ANPD (numeral 6.9).