Incidente con datos personales: qué reportar en 48 horas, a quién y por qué canal

Supón que un lunes alguien del área comercial avisa que la base de clientes apareció en un foro de internet, o que el proveedor que administra tu nube informa que una cuenta con acceso a las planillas se usó desde otro país. Además de contener el daño, tu organización tiene desde ese momento una obligación con plazo: notificar el incidente de seguridad a la Autoridad Nacional de Protección de Datos Personales (ANPD) en un máximo de 48 horas, si cumple ciertas condiciones.

La regla está en el Reglamento de la Ley de Protección de Datos Personales, aprobado por el Decreto Supremo N.° 016-2024-JUS, que rige desde el 31 de marzo de 2025. Se habla mucho de lo que exige sobre el consentimiento y el oficial de datos personales, pero el artículo sobre incidentes es el que se pone a prueba en el peor día de la organización. Saber de antemano qué se notifica, quién lo hace y por qué canal es lo que permite cumplir sin improvisar.

¿Qué incidentes se notifican en 48 horas?

Solo los que cumplen al menos una de las condiciones del artículo 34.1 del Reglamento:

• Exponen grandes volúmenes de datos personales, por la cantidad o por el tipo de datos.
• Pueden afectar a un gran número de personas.
• Involucran datos sensibles. La Ley incluye en esa categoría, entre otros, la información de salud, los datos biométricos (como la huella del control de asistencia) y los ingresos económicos.
• Causan un perjuicio evidente a otros derechos o libertades de las personas.

El plazo corre desde que la organización toma conocimiento del incidente, y el Reglamento lo fija en horas: tu protocolo tiene que funcionar también un viernes por la noche. Si la notificación sale después de las 48 horas, debe explicar los motivos de la demora y acompañar el sustento. Y la obligación se mantiene aunque el incidente ya se haya resuelto internamente.

Los incidentes que no llegan a ese umbral no se notifican en ese plazo, pero tampoco se olvidan. El artículo 35 obliga a documentar cualquier incidente de seguridad, con los hechos, sus efectos y las medidas adoptadas. Ese registro es el que permite a la ANPD verificar que la organización cumplió.

¿Quién notifica: tu organización o el proveedor de TI?

Notifica el titular del banco de datos o responsable del tratamiento, es decir, la empresa o la entidad que decide para qué se usan los datos. Si una clínica guarda las historias de sus pacientes en un sistema que administra un proveedor, la notificación a la ANPD le corresponde a la clínica.

El proveedor tiene su propio deber. El artículo 36 obliga al encargado del tratamiento (quien procesa datos por cuenta de otro, como la empresa que administra tus servidores, tu nube o tu correo) a informar al responsable «de forma inmediata» de cualquier incidente que conozca. En la práctica, tus 48 horas dependen de cuánto tarde tu proveedor en avisarte.

Por eso conviene revisar los contratos con quienes manejan tus datos. Deberían decir a quién avisa el proveedor, por qué medio, en cuánto tiempo, qué información entrega y cómo colabora después. Si el contrato no menciona incidentes, esa conversación se tendrá el día del problema, con el plazo corriendo.

Qué datos debe llevar la notificación

El artículo 34.2 fija el contenido mínimo:

1. La naturaleza del incidente y, cuando sea posible, los tipos de datos y el número aproximado de personas afectadas.
2. El nombre y los datos de contacto del oficial de datos personales o de otro punto de contacto.
3. Las posibles consecuencias del incidente.
4. Las medidas adoptadas o propuestas para remediarlo y mitigar sus efectos.

El formulario oficial pide, además, los sistemas afectados, la fecha y la hora en que ocurrió el incidente y en que se detectó, y una descripción de los hechos. Buena parte de esa información puede quedar lista desde ahora: qué bancos de datos tiene la organización, en qué sistema vive cada uno y quién responde por ellos. Si todavía no tienes a esa persona, revisa quién debe designar un oficial de datos personales y en qué plazo.

A quién se notifica y por qué canal

La notificación va a la ANPD. Si el incidente ocurrió en el entorno digital o por medio de él (un sistema vulnerado, una cuenta de correo tomada, una base expuesta en internet), el artículo 34.5 manda notificar también al Centro Nacional de Seguridad Digital (CNSD) de la Presidencia del Consejo de Ministros, que lo incorpora al Registro Nacional de Incidentes de Seguridad Digital.

Para no duplicar el trámite, la PCM y el Ministerio de Justicia presentaron el 19 de septiembre de 2025 el Formulario Virtual Único de Registro de Incidentes de Seguridad de la Información, que la nota oficial de la PCM presenta como el canal oficial y unificado para cumplir ambas obligaciones. Conviene que quien vaya a usarlo lo conozca antes de necesitarlo.

Las entidades públicas y algunos proveedores tienen una obligación más amplia. El Decreto de Urgencia N.° 007-2020, que aprobó el Marco de Confianza Digital, ordena a las entidades de la administración pública y a los proveedores de servicios digitales de los sectores financiero, servicios básicos (electricidad, agua y gas), salud, transporte de personas, internet, actividades críticas y educación notificar al CNSD todo incidente de seguridad digital, haya o no datos personales de por medio.

¿Hay que avisar a las personas afectadas?

Sí, cuando el incidente las afecta en sus derechos. El artículo 34.3 pide comunicárselo a cada titular de los datos dentro de las 48 horas, en un lenguaje sencillo y claro, junto con las medidas tomadas para mitigar los efectos. Si el aviso se demora más, también hay que explicar por qué.

La excepción está en el artículo 34.4: si el incidente no llegó a afectar a las personas y las medidas adoptadas lo superaron por completo, ya no es obligatorio comunicárselo. Esa conclusión conviene dejarla por escrito en el registro del incidente. Y tener preparado de antemano un borrador del mensaje a clientes, pacientes o trabajadores ahorra horas que ese día valen mucho.

Qué pasa si no se notifica

No comunicar a la ANPD un incidente cuando corresponde es una infracción grave, según el artículo 133, numeral 12, del Reglamento. La Ley N.° 29733 sanciona las infracciones graves con multas de más de 5 hasta 50 UIT; con la UIT de 2026, de más de S/ 27,500 hasta S/ 275,000. En ningún caso la multa puede superar el 10% de los ingresos brutos del año anterior.

Qué hacer ahora: un protocolo para las primeras 48 horas

1. Una persona que decide. Designa a quien declara que hubo un incidente con datos personales y firma la notificación, con un reemplazo para cuando no esté. Sin esa decisión, el plazo corre mientras se discute de quién es el tema.
2. Contener y registrar desde el primer minuto. El equipo de TI o el proveedor contiene el problema y anota a qué hora se detectó, qué sistemas están involucrados y qué datos podrían estar expuestos.
3. Evaluar antes de las 24 horas. Con lo que se sabe, se decide si el incidente cumple alguno de los criterios del artículo 34.1. Si hay una duda razonable, prepara la notificación.
4. Notificar antes de las 48 horas. Se completa el formulario con la información disponible. El Reglamento pide los tipos de datos y el número de afectados «cuando sea posible», así que no hace falta esperar a tener todas las cifras.
5. Avisar a las personas afectadas cuando corresponda, en lenguaje claro.
6. Cerrar y documentar: qué pasó, qué efectos tuvo, qué se hizo y qué se cambia para que no se repita.

Un incidente puede empezar con un correo falso bien escrito o con un secuestro de información, y para ese segundo caso lo que más ayuda es tener respaldos que el atacante no pueda tocar. Si tu organización trabaja con ISO 27001, la gestión de incidentes es además uno de los temas que revisa una auditoría ISO 27001, así que el mismo protocolo y su registro sirven para las dos cosas.

El texto completo está en el Reglamento de la Ley N.° 29733 (artículos 34 a 36 y 133). Esta nota resume la norma en términos generales y no constituye asesoría legal: cada caso se revisa con el texto vigente, los contratos de la organización y, si hace falta, con un abogado.