El Reglamento de 2024 renovó el marco de la Ley 29733 y elevó la exigencia sobre el tratamiento de datos personales en tu organización. Te damos los programas de concientización, las evaluaciones y la evidencia de auditoría, mapeados a los artículos de la ley y segmentados por audiencia.
Solicitar una demoSegún el Informe DBIR de Verizon, el factor humano interviene en cerca de 6 de cada 10 brechas de seguridad. La Ley 29733 y su Reglamento convierten ese riesgo en obligaciones exigibles: notificar un incidente de seguridad de datos personales en 48 horas y sostener el deber de confidencialidad incluso después de que la persona deje la organización. Ese plazo de 48 horas solo se cumple si alguien adentro detecta y reporta a tiempo.
La Ley 29733 aplica a los bancos de datos personales de administración pública y privada tratados en territorio peruano, con protección especial de los datos sensibles. Tres obligaciones aterrizan directamente en tu programa de concientización. El régimen sancionador se mide en UIT, con multas de 0,5 a 5 por faltas leves, de 5 a 50 por graves y de 50 a 100 por muy graves, y un tope del 10% de los ingresos brutos anuales.
El consentimiento, la finalidad, la calidad y la seguridad son los principios rectores que fijan los artículos 5 a 9, y se cumplen o se rompen en decisiones cotidianas: a quién se le pide autorización, para qué se usa un dato, qué se guarda y por cuánto tiempo, y cómo se protege mientras está en uso.
El artículo 34 del Reglamento obliga a notificar el incidente de seguridad de datos personales a la Autoridad dentro de las 48 horas desde que se toma conocimiento, y a comunicarlo al titular cuando afecta sus derechos. La obligación no desaparece porque el incidente se haya resuelto adentro, así que el circuito de reporte interno es parte del cumplimiento.
El artículo 17 impone el deber de confidencialidad a quienes tratan datos personales, y ese deber subsiste aun después de terminada la relación con la organización. Es una obligación que viaja con cada persona y se sostiene con formación.
No tienes que armarlo desde cero. El contenido de la Ley 29733 ya viene preparado y segmentado por audiencia, en dos tracks que se asignan a cada grupo de personas.
Qué son los datos personales y qué los vuelve sensibles, consentimiento y finalidad en el día a día, confidencialidad y seguridad al manejar información de otras personas, y cuáles son tus propios derechos como titular. Son cuatro módulos con hábitos aplicables desde el primer día.
Son seis módulos que van de la norma a la mesa de decisiones: el contexto de la ley y su Reglamento con el régimen sancionador en UIT, los principios del tratamiento, el deber de seguridad, la notificación de incidentes en 48 horas, los derechos del titular y el encargo a terceros con el flujo transfronterizo.
Cada contenido está vinculado a los artículos de la ley que cubre. Son 15 los artículos de la Ley 29733 y su Reglamento mapeados en la plataforma. Desde la gestión de normativas de la plataforma verificas el grado de cumplimiento según el entrenamiento asignado a cada persona.
Y cada pieza deja trazabilidad: quién completó qué, qué resultado obtuvo y cómo evolucionó. Esa es la evidencia que convierte “capacitamos a la gente” en algo verificable.
Llevamos más de 10 años acompañando a organizaciones de banca, salud, sector público e infraestructura crítica a reducir el riesgo humano y a dejar evidencia auditable de que lo hacen. La diferencia frente a una campaña genérica es la trazabilidad: quién se capacitó, qué resultado obtuvo, cómo respondió ante una simulación de phishing o ransomware y cómo mejoró con el tiempo. Esa es la evidencia que la Autoridad va a pedir. Puedes ver el resto de los marcos que cubrimos en el centro de cumplimiento.
Déjanos tus datos y te mostramos cómo cubrir cada obligación de la ley con contenido mapeado a sus artículos, listo para tu organización.