El universo de empresas que debe designar un Oficial de Datos Personales se amplía

Con la publicación del nuevo Reglamento de la Ley de Protección de Datos Personales, Decreto Supremo N° 016-2024-JUS (el “Nuevo Reglamento”), se introdujo, entre otras novedades, la obligación de designar un Oficial de Datos Personales (el “ODP”) a determinados titulares de bancos de datos personales, responsables y encargados del tratamiento.

El Nuevo Reglamento estableció una aplicación progresiva de esta nueva obligación, en función a las ventas anuales de los administrados. En este contexto, el 30 de noviembre de 2026 se producirá un nuevo hito en cuanto a su implementación: las empresas medianas con ventas anuales superiores a 1700 UIT y hasta 2300 UIT que se encuentren comprendidas en los supuestos que requieren la designación de un ODP deberán contar con uno.

A continuación, detallamos los principales aspectos que deben considerar las empresas al momento de designar a un ODP.

¿Qué deben evaluar las empresas medianas para designar a un ODP?

Además de identificar si sus ventas anuales oscilan entre las 1700 UIT y 2300 UIT, las empresas deberán realizar un análisis sobre el tipo de tratamiento de datos que realicen. En específico, se deberá identificar si realizan tratamientos de grandes volúmenes de datos personales (por tipo o cantidad de datos), o si las actividades principales o giro de negocio comprenden el tratamiento de datos sensibles.

Para más información ver:

• Alcances de la Directiva sobre designación, desempeño y funciones del ODP
• Precisiones a la Directiva sobre designación, desempeño y funciones del ODP

¿Cuál es el perfil que debe cumplir un ODP?

• El ODP debe contar con conocimientos especializados y experiencia práctica en protección de datos personales. ¿Cómo se acredita?

a) Docencia en materias vinculadas a protección de datos personales.

b) Investigación académica especializada.

c) Capacitación formal acreditada mediante programas, cursos o certificaciones:

(i) Estudios de posgrado concluidos o un grado académico vinculado a datos personales o materias afines; o,

(ii) Programas de especialización vinculados a datos personales o materias afines, con una duración de 90 horas para los certificados y 120 horas para los diplomados.

• El ODP debe tener idoneidad moral y ética.
• El ODP debe tener independencia funcional.

¿Qué sucede si no se designa a un ODP?

Si la empresa está obligada a tener un ODP y no cumple con su designación, esto será considerado como una infracción leve sancionable con hasta 5 UIT (equivalente actualmente a S/ 27 500.00).

¿Qué sucede si el ODP no cumple con el perfil exigido?

La falta de adecuación del perfil del ODP no constituye por sí sola una infracción administrativa. Sin embargo, podría sancionarse si su falta de idoneidad evidencia una ausencia o ineficacia real de medidas de seguridad que afecte el tratamiento de datos personales.

A la fecha, la Autoridad Nacional de Protección de Datos Personales (la “ANPDP”) viene publicando información sobre los ODP designados. De acuerdo con el listado oficial, se habrían nombrado y registrado ante la ANPDP a trescientos cuarenta y tres (343) ODP en lo que va del año 2026.

La designación de ODP se viene realizando en distintos sectores económicos, incluyendo el sector de banca y seguros, retail, comercio electrónico, inmobiliario, tecnología, telecomunicaciones, energía, educación, salud, transporte, servicios profesionales, entre otros.

Ver listado oficial de ODP

Si necesitas asesoría, puedes contactarnos para acompañar a la organización en la evaluación respecto a la obligatoriedad o no de designar un ODP, revisar qué perfiles dentro de la compañía podrían asumir dicho rol, capacitar al potencial ODP, seguir los procesos y elaborar la documentación correspondiente para designar al nuevo oficial, entre otros.