Si tu chatbot de WhatsApp, tu CRM o un formulario web guardan nombres, teléfonos o mensajes de personas, la Ley 29733 te aplica. Debes pedir un consentimiento libre, previo, expreso e informado, inscribir tu banco de datos, proteger la información, avisar a la autoridad de un incidente grave en 48 horas y atender los derechos ARCO. El reglamento vigente es el DS 016-2024-JUS.
Aviso: esta es una guía informativa y no es asesoría legal. Para decidir cómo aplicarla a tu empresa, consulta con un abogado especialista en protección de datos.
En resumen
- La norma base es la Ley 29733. Su reglamento vigente es el DS 016-2024-JUS, publicado el 30 de noviembre de 2024 y en vigor desde fines de marzo de 2025 (120 días calendario después de su publicación). Derogó el reglamento de 2013.
- Un chatbot que pide nombre y teléfono ya trata datos personales. Quien los trata es quien debe poder probar que tiene el consentimiento.
- Inscribir los bancos de datos en el Registro Nacional de Protección de Datos Personales sigue siendo obligatorio, gratuito y de aprobación automática.
- Si el chatbot o el modelo de IA envía datos a un proveedor fuera del Perú, es un flujo transfronterizo con reglas propias.
- Las multas van de 0,5 a 100 UIT. Con la UIT de 2026 (S/ 5 500), son de S/ 2 750 a S/ 550 000, con tope del 10 % de los ingresos brutos anuales del año anterior.
¿Cuál es el reglamento vigente de la Ley 29733 en 2026 y qué cambió?
La Ley 29733 protege el derecho fundamental a los datos personales. La aplica el Ministerio de Justicia y Derechos Humanos (MINJUSDH) a través de la Autoridad Nacional de Protección de Datos Personales (ANPD). Su reglamento se renovó:
| Dato | Qué dice la norma |
|---|---|
| Norma | Decreto Supremo N.° 016-2024-JUS |
| Publicación | 30 de noviembre de 2024, en El Peruano |
| Vigencia | 120 días calendario siguientes a la publicación, es decir, desde fines de marzo de 2025 (las fuentes citan entre el 29 y el 31 de marzo; el texto no fija un día) |
| Qué derogó | El Decreto Supremo 003-2013-JUS |
| Portabilidad de datos | Seis meses después de la entrada en vigencia, es decir, desde fines de setiembre de 2025 |
| Oficial de Datos Personales | Escalonado según ventas anuales (ver más abajo) |
Lo que cambió y toca a un chatbot:
- Nuevos principios: transparencia y responsabilidad proactiva (aplicar medidas y poder demostrarlas).
- Notificación de incidentes: si una brecha expone grandes volúmenes de datos, afecta a muchas personas, toca datos sensibles o perjudica otros derechos, hay que avisar a la ANPD como máximo en 48 horas desde que te enteras. Si además se afectan otros derechos de las personas, también hay que comunicárselo a ellas dentro de las 48 horas.
- Oficial de Datos Personales: figura nueva, obligatoria en ciertos casos.
- Portabilidad: la persona puede pedir sus datos en formato de uso común.
¿Mi PYME está obligada si solo usa WhatsApp, un CRM o un formulario?
Sí. Un dato personal es cualquier información que identifica a una persona o la hace identificable. Un nombre con un número de WhatsApp cumple esa definición. El reglamento se aplica aun cuando los datos no estén en un banco formal, y alcanza a un encargado (por ejemplo, el proveedor del chatbot) que trabaja por cuenta de una empresa peruana, esté donde esté.
El responsable es tu empresa, que decide para qué se usan los datos. El encargado es quien los trata por tu cuenta: la agencia, el CRM, la plataforma del chatbot. Si ese tratamiento es automático, sin intervención humana, el reglamento lo llama "medios tecnológicos tercerizados" y exige informar las subcontrataciones, no ceder la titularidad de tus datos y garantizar confidencialidad, integridad y disponibilidad. Contratar a un proveedor no te quita la responsabilidad.
¿Qué es el consentimiento y cuándo hace falta?
Es la autorización de la persona para usar sus datos. Para ser válido debe ser:
- Libre: sin error, mala fe, violencia ni dolo. Condicionar un servicio a que entregue datos que no necesitas lo vuelve no libre.
- Previo: se pide antes de recopilar.
- Expreso e inequívoco: una acción clara. El reglamento admite hacer clic, firma digital o aceptación oral o escrita.
- Informado: en lenguaje sencillo, quién trata los datos, para qué, quién los recibe, si hay transferencia internacional o decisiones automatizadas, por cuánto tiempo y cómo ejercer derechos.
En un chatbot, esto significa un primer mensaje con aviso corto y enlace a tu política de privacidad, y una aceptación antes de pedir datos. Publicar la política no reemplaza el consentimiento. Guarda la fecha, la hora y el texto mostrado, porque la carga de la prueba es tuya. La persona puede revocarlo en cualquier momento.
¿Siempre hace falta? No. La Ley (artículo 14) lista excepciones. Una útil para una PYME: no se requiere consentimiento cuando los datos son necesarios para la ejecución de una relación contractual en la que la persona es parte, como la dirección para entregar un pedido.
Para publicidad y prospección comercial sí hace falta consentimiento directo. Si no lo da en el primer contacto, no es lícito volver a escribirle, y puede revocarlo con un medio simple y gratuito que debes atender en un máximo de 10 días.
¿Tengo que inscribir mi banco de datos? ¿Sigue siendo obligatorio?
Sí. El artículo 42 del nuevo reglamento obliga a las personas naturales y jurídicas privadas que creen, modifiquen o cancelen bancos de datos personales a tramitar la inscripción en el Registro Nacional de Protección de Datos Personales. Un banco de datos es cualquier conjunto organizado de datos personales: tu base de clientes del CRM o la lista de contactos del chatbot pueden serlo.
La inscripción es gratuita, de aprobación automática, y debe mantenerse actualizada. No inscribir o actualizar es infracción leve; si la ANPD te lo requiere y no cumples, es grave.
¿Qué pasa si mi chatbot usa servidores o modelos de IA fuera del Perú?
Enviar datos a un destinatario en otro país es un flujo transfronterizo. Si el chatbot guarda conversaciones en una nube extranjera o consulta un modelo de IA que corre fuera del Perú, probablemente estás en este caso. Pregunta a tu proveedor dónde se guardan y procesan los datos.
Lo que exige el reglamento:
- El destino debe tener nivel adecuado de protección. Si no lo tiene, quien envía debe dar garantías adecuadas, como cláusulas contractuales modelo que impongan al menos las mismas obligaciones.
- Al pedir el consentimiento, informa de forma inequívoca que los datos pueden transferirse, para qué y a quién.
- El flujo debe ponerse en conocimiento de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, y se inscribe en el Registro Nacional. No comunicarlo es infracción leve.
En octubre de 2022 la ANPD aprobó una guía de cláusulas contractuales modelo para estas transferencias (Resolución Directoral 74-2022-JUS/DGTAIPD). No encontré una lista oficial de países con nivel adecuado, así que no afirmo cuáles lo son: pídele a tu abogado que lo confirme. Sobre la regulación de la IA en sí, revisa la guía de la ley de inteligencia artificial en Perú.
¿Qué son los datos sensibles y qué cambia si soy una clínica?
La Ley define como sensibles los datos biométricos, el origen racial y étnico, los ingresos económicos, las convicciones políticas, religiosas, filosóficas o morales, la afiliación sindical y la información sobre salud o vida sexual.
Si tu chatbot agenda citas, recibe síntomas o exámenes, trata datos de salud:
- El consentimiento debe darse por escrito, con firma manuscrita, digital, electrónica u otra modalidad que garantice la voluntad de la persona (artículo 8). Consulta con tu abogado si un "acepto" en el chat basta en tu caso.
- La excepción de consentimiento para salud es estrecha: situaciones de riesgo y prevención, diagnóstico o tratamiento por establecimientos o profesionales de salud, o razones de salud pública calificadas por el Ministerio de Salud. Por lo que dice el texto, no parece pensada para un chatbot de captación.
- Si tu giro principal incluye tratar datos sensibles, como una clínica, debes designar un Oficial de Datos Personales.
¿Qué son los derechos ARCO y en qué plazos hay que responder?
ARCO es Acceso, Rectificación, Cancelación y Oposición. El reglamento suma información y portabilidad. Tu chatbot y tu CRM deben poder ver, corregir o borrar los datos de quien lo pida.
| Derecho | Plazo máximo (días hábiles) |
|---|---|
| Información | 8 días |
| Acceso | 20 días |
| Rectificación, cancelación y oposición | 10 días |
Si no atiendes, la persona puede reclamar ante la ANPD mediante la plataforma "Yo cuido mis datos personales". No atender estos derechos es infracción grave.
¿Cuándo debo designar un Oficial de Datos Personales?
No toda PYME debe tener uno. El artículo 37 lo exige a entidades públicas, a quienes tratan grandes volúmenes de datos o datos sensibles con riesgo para las personas, y a quienes tienen como giro principal tratar datos sensibles. Puede ser alguien de tu equipo con otras funciones, o externo. Sus datos de contacto deben ser visibles y comunicarse a la ANPD dentro de 15 días de la designación.
Para las empresas en esos supuestos, la obligación entra en vigencia según ventas anuales:
| Ventas anuales | Obligatorio desde |
|---|---|
| Más de 2 300 UIT | 30 de noviembre de 2025 |
| Más de 1 700 y hasta 2 300 UIT | 30 de noviembre de 2026 |
| Más de 150 y hasta 1 700 UIT | 30 de noviembre de 2027 |
| Hasta 150 UIT y equivalentes | 30 de noviembre de 2028 |
Con la UIT de 2026, 1 700 UIT son S/ 9 350 000 y 2 300 UIT son S/ 12 650 000 (cálculo propio): si facturas en ese tramo y estás en los supuestos, la obligación llega en unas semanas. Una directiva de la ANPD (Resolución Directoral 100-2025-JUS/DGTAIPD, publicada el 31 de diciembre de 2025) detalla cómo medir los "grandes volúmenes": usa criterios como el número de titulares, la sensibilidad o tipología del dato, y la frecuencia, duración y ámbito territorial del tratamiento.
¿Quién fiscaliza y cuánto son las multas?
Fiscaliza la ANPD, que ejerce el MINJUSDH. La Ley (artículo 39) fija la escala. Con la UIT de 2026 en S/ 5 500 (DS 301-2025-EF):
| Infracción | Multa en UIT | Equivale a |
|---|---|---|
| Leve | 0,5 hasta 5 | S/ 2 750 hasta S/ 27 500 |
| Grave | Más de 5 hasta 50 | Más de S/ 27 500 hasta S/ 275 000 |
| Muy grave | Más de 50 hasta 100 | Más de S/ 275 000 hasta S/ 550 000 |
Ninguna multa puede superar el 10 % de los ingresos brutos anuales del ejercicio anterior. La conversión a soles es cálculo nuestro; el monto final lo determina la autoridad.
Cómo clasifica el reglamento las faltas más comunes en un chatbot:
- Leve: no inscribir el banco de datos, no comunicar el flujo transfronterizo, no designar al Oficial cuando corresponde, atender fuera de plazo un derecho.
- Grave: tratar datos sin consentimiento cuando era necesario, informar tres o más condiciones de forma incompleta, usar datos para otra finalidad, no comunicar un incidente a la ANPD cuando corresponde.
- Muy grave: medios fraudulentos o ilícitos, o fallar en la seguridad de datos sensibles con perjuicio.
Según un balance de Garrigues de mayo de 2026, en incidentes de gran impacto la revisión de las primeras fiscalizaciones alcanza también a encargados y subcontratistas.
Checklist de 10 puntos para tu chatbot
- Mapea los datos: qué pide y guarda el chatbot, para qué y por cuánto tiempo.
- Aviso y consentimiento en el primer mensaje, antes de pedir datos. Guarda la prueba.
- Política de privacidad completa, con finalidades, destinatarios, transferencias, plazo y derechos.
- Consentimiento aparte para marketing, con baja simple atendida en 10 días.
- Inscribe tus bancos de datos en el Registro Nacional y actualízalos.
- Contrato con tu proveedor: actúa por tu cuenta, no se queda con tus datos, te avisa de inmediato de incidentes y los destruye al terminar.
- Dónde viven los datos: si es fuera del Perú, define garantías, informa al cliente y comunica el flujo.
- Seguridad básica: accesos por usuario, permisos mínimos y respaldos. Documéntalo.
- Plan de incidentes: quién decide y cómo se notifica a la ANPD en 48 horas. Documenta cada incidente.
- Derechos ARCO y Oficial de Datos: un canal de solicitudes, los plazos de 8, 10 y 20 días hábiles, y el Oficial designado si estás en el artículo 37.
Preguntas frecuentes
¿Necesito consentimiento para responder un mensaje que el cliente me envió primero?
Si los datos son necesarios para cumplir un pedido o contrato que él pidió, la Ley (artículo 14) exime el consentimiento para esa finalidad. Una consulta suelta es un caso menos claro: en la duda, avisa y pide la aceptación. Si después quieres usar su número para promociones, necesitas su consentimiento directo.
¿Tengo que avisar a la autoridad de cualquier incidente?
No. El aviso en 48 horas aplica a incidentes con grandes volúmenes de datos, muchas personas afectadas, datos sensibles o perjuicio a otros derechos. Aun así, documenta todo incidente.
¿Un formulario web con nombre y correo también se inscribe?
Si guardas esos datos de forma organizada (hoja, CRM o base), es un banco de datos y el artículo 42 exige inscribirlo.
¿El reglamento aplica a una microempresa?
Sí. Lo escalonado para las microempresas es la designación del Oficial de Datos Personales, y solo si están en los supuestos del artículo 37.
¿Cómo empezar?
Si quieres ver un agente de WhatsApp con aviso de privacidad, consentimiento guardado y control de quién ve las conversaciones, escríbenos por contacto. Antes puedes repasar la guía de agentes de IA para empresas en Perú. El cumplimiento legal final lo define tu abogado.
Fuentes (consultadas el 3 de noviembre de 2026)
- Decreto Supremo N.° 016-2024-JUS (ANPD, gob.pe)
- Texto del DS 016-2024-JUS, separata de El Peruano del 30/11/2024 (PDF)
- Compendio sobre Protección de Datos Personales, MINJUSDH, diciembre de 2025 (PDF)
- Cuatrecasas: Nuevo Reglamento de la Ley de Protección de Datos Personales
- Resolución Directoral 100-2025-JUS/DGTAIPD, directiva del Oficial de Datos Personales (El Peruano)
- Garrigues: balance de las primeras fiscalizaciones (mayo de 2026)
- MINJUSDH: guía de cláusulas contractuales modelo (25/10/2022)
- El Peruano: MEF fija la UIT 2026 en S/ 5 500 (DS 301-2025-EF)