Ley N° 29733 – Ley de Protección de Datos Personales
modificada por la tercera y cuarta disposición complementaria modificatoria del Decreto Legislativo N° 1353
Cuadro comparativo

Texto anterior

Texto actualTÍTULO PRELIMINARDISPOSICIONES GENERALESTITULO PRELIMINARDISPOSICIONES GENERALES

Artículo 2. Definiciones

Artículo 2. Definiciones

Para todos los efectos de la presente Ley, se entiende por:

Para todos los efectos de la presente Ley, se entiende por:

1.
Banco de datos personales. Conjunto organizado dedatos personales, automatizado o no, independientemente delsoporte, sea este físico, magnético, digital, óptico u otros que
se creen, cualquiera fuere la forma o modalidad de su creación,
formación, almacenamiento, organización y acceso.

1.
Banco de datos personales. Conjunto organizado dedatos personales, automatizado o no, independientemente delsoporte, sea este físico, magnético, digital, óptico u otros que
se creen, cualquiera fuere la forma o modalidad de su
creación, formación, almacenamiento, organización y acceso.

2.
Banco de datos personales de administración
privada. Banco de datos personales cuya titularidad
corresponde a una persona natural o a una persona jurídica dederecho privado, en cuanto el banco no se encuentre
estrictamente vinculado al ejercicio de potestades de derecho
público.

2.
Banco de datos personales de administración
privada. Banco de datos personales cuya titularidad
corresponde a una persona natural o a una persona jurídica dederecho privado, en cuanto el banco no se encuentre
estrictamente vinculado al ejercicio de potestades de derecho
público.

3.
Banco de datos personales de administración
pública. Banco de datos personales cuya titularidad
corresponde a una entidad pública.

3.
Banco de datos personales de administración
pública. Banco de datos personales cuya titularidad
corresponde a una entidad pública.

4.
Datos personales. Toda información sobre una persona
natural que la identifica o la hace identificable a través de4.
Datos personales. Toda información sobre una persona
natural que la identifica o la hace identificable a través de1
Departamento Legalmedios que pueden ser razonablemente utilizados.

medios que pueden ser razonablemente utilizados.

5.
Datos sensibles. Datos personales constituidos por losdatos biométricos que por sí mismos pueden identificar al
titular; datos referidos al origen racial y étnico; ingresos
económicos, opiniones o convicciones políticas, religiosas,
filosóficas o morales; afiliación sindical; e información
relacionada a la salud o a la vida sexual.

5.
Datos sensibles. Datos personales constituidos por losdatos biométricos que por sí mismos pueden identificar al
titular; datos referidos al origen racial y étnico; ingresos
económicos; opiniones o convicciones políticas, religiosas,
filosóficas o morales; afiliación sindical; e información
relacionada a la salud o a la vida sexual.
6. Días. Días hábiles.

6. Encargado de datos personales. Toda persona natural,persona jurídica de derecho privado o entidad pública que solao actuando conjuntamente con otra realiza el tratamiento de losdatos personales por encargo del titular del banco de datos
personales.

7. Encargado de tratamiento de datos personales. Toda
persona natural, persona jurídica de derecho privado o entidad
pública que sola o actuando conjuntamente con otra realiza eltratamiento de los datos personales por encargo del titular delbanco de datos personales en virtud de una relación jurídica
que le vincula con el mismo y delimita el ámbito de su
actuación. Incluye a quien realice el tratamiento sin laexistencia de un banco de datos personales.
8. Encargo de tratamiento. Entrega por parte del titular delbanco de datos personales a un encargado de tratamientode datos personales en virtud de una relación jurídica quelos vincula. Dicha relación jurídica delimita el ámbito deactuación del encargado de tratamiento de los datos
personales.

7. Entidad pública. Entidad comprendida en el artículo I del
Título Preliminar de la Ley 27444, Ley del Procedimiento
Administrativo General, o la que haga sus veces.

9. Entidad pública. Entidad comprendida en el artículo I del
Título Preliminar de la Ley 27444, Ley del Procedimiento
Administrativo General, o la que haga sus veces.

8. Flujo transfronterizo de datos personales. Transferencia
internacional de datos personales a un destinatario situado en
un país distinto al país de origen de los datos personales, sin
importar el soporte en que estos se encuentren, los medios por
los cuales se efectuó la transferencia ni el tratamiento que
reciban.

10. Flujo transfronterizo de datos personales. Transferencia
internacional de datos personales a un destinatario situado en
un país distinto al país de origen de los datos personales, sin
importar el soporte en que estos se encuentren, los medios por
los cuales se efectuó la transferencia ni el tratamiento que
reciban.

2
Departamento Legal

9. Fuentes accesibles para el público. Bancos de datos
personales de administración pública o privada, que pueden serconsultados por cualquier persona, previo abono de lacontraprestación correspondiente, de ser el caso. Las fuentes
accesibles para el público son determinadas en el reglamento.

11. Fuentes accesibles para el público. Bancos de datos
personales de administración pública o privada, que pueden
ser consultados por cualquier persona, previo abono de lacontraprestación correspondiente, de ser el caso. Las fuentes
accesibles para el público son determinadas en el reglamento.

10. Nivel suficiente de protección para los datos
personales. Nivel de protección que abarca por lo menos laconsignación y el respeto de los principios rectores de esta Ley,así como medidas técnicas de seguridad y confidencialidad,
apropiadas según la categoría de datos de que se trate.

12. Nivel suficiente de protección para los datos
personales. Nivel de protección que abarca por lo menos laconsignación y el respeto de los principios rectores de esta
Ley, así como medidas técnicas de seguridad y
confidencialidad, apropiadas según la categoría de datos deque se trate.

11. Persona jurídica de derecho privado. Para efectos deesta Ley, la persona jurídica no comprendida en los alcancesdel artículo I del Título Preliminar de la Ley 27444, Ley delProcedimiento Administrativo General.

13. Persona jurídica de derecho privado. Para efectos deesta Ley, la persona jurídica no comprendida en los alcancesdel artículo I del Título Preliminar de la Ley 27444, Ley delProcedimiento Administrativo General.

12. Procedimiento de anonimización. Tratamiento de datos
personales que impide la identificación o que no hace
identificable al titular de estos. El procedimiento es irreversible.

14. Procedimiento de anonimización. Tratamiento de datos
personales que impide la identificación o que no hace
identificable al titular de estos. El procedimiento es irreversible.

13. Procedimiento de disociación. Tratamiento de datos
personales que impide la identificación o que no hace
identificable al titular de estos. El procedimiento es reversible.

15. Procedimiento de disociación. Tratamiento de datos
personales que impide la identificación o que no hace
identificable al titular de estos. El procedimiento es reversible.

14. Titular de datos personales. Persona natural a quien
corresponde los datos personales.

16. Titular de datos personales. Persona natural a quien
corresponde los datos personales.

15. Titular del banco de datos personales. Persona natural,persona jurídica de derecho privado o entidad pública que
determina la finalidad y contenido del banco de datos
personales, el tratamiento de estos y las medidas de seguridad.

17. Titular del banco de datos personales. Persona natural,persona jurídica de derecho privado o entidad pública que
determina la finalidad y contenido del banco de datos
personales, el tratamiento de estos y las medidas deseguridad.

3
Departamento Legal16. Transferencia de datos personales. Toda transmisión,
suministro o manifestación de datos personales, de carácter
nacional o internacional, a una persona jurídica de derecho
privado, a una entidad pública o a una persona natural distinta
del titular de datos personales.

18. Transferencia de datos personales. Toda transmisión,
suministro o manifestación de datos personales, de carácter
nacional o internacional, a una persona jurídica de derecho
privado, a una entidad pública o a una persona natural distinta
del titular de datos personales.

17. Tratamiento de datos personales. Cualquier operación oprocedimiento técnico, automatizado o no, que permite larecopilación,
registro,organización,
almacenamiento,
conservación, elaboración, modificación, extracción, consulta,
utilización, bloqueo, supresión, comunicación por transferencia
o por difusión o cualquier otra forma de procesamiento que
facilite el acceso, correlación o interconexión de los datos
personales.

19. Tratamiento de datos personales. Cualquier operación oprocedimiento técnico, automatizado o no, que permite larecopilación,
registro,organización,
almacenamiento,
conservación, elaboración, modificación, extracción, consulta,
utilización, bloqueo, supresión, comunicación por transferencia
o por difusión o cualquier otra forma de procesamiento que
facilite el acceso, correlación o interconexión de los datos
personales.

Artículo 3. Ámbito de aplicación

Artículo 3. Ámbito de aplicación

La presente Ley es de aplicación a los datos personales
contenidos o destinados a ser contenidos en bancos de datos
personales de administración pública y de administración
privada, cuyo tratamiento se realiza en el territorio nacional. Son
objeto de especial protección los datos sensibles.

La presente Ley es de aplicación a los datos personales
contenidos o destinados a ser contenidos en bancos de datos
personales de administración pública y de administración
privada, cuyo tratamiento se realiza en el territorio nacional. Son
objeto de especial protección los datos sensibles.

Las disposiciones de esta Ley no son de aplicación a lossiguientes datos personales:

Las disposiciones de esta Ley no son de aplicación a lossiguientes datos personales:

1. A los contenidos o destinados a ser contenidos en bancos
de datos personales creados por personas naturales parafines exclusivamente relacionados con su vida privada ofamiliar.

1. A los contenidos o destinados a ser contenidos en bancos
de datos personales creados por personas naturales parafines exclusivamente relacionados con su vida privada ofamiliar.

2. A los contenidos o destinados a ser contenidos en bancos
de datos de administración pública, solo en tanto su
tratamiento resulte necesario para el estricto cumplimientode las competencias asignadas por ley a las respectivas
entidades públicas, para la defensa nacional, seguridad

2. A los contenidos o destinados a ser contenidos en bancos
de datos de administración pública, solo en tanto su
tratamiento resulte necesario para el estricto cumplimientode las competencias asignadas por ley a las respectivas
entidades públicas, para la defensa nacional, seguridad

4
Departamento Legalpública, y para el desarrollo de actividades en materia
penal para la investigación y represión del delito.

pública, y para el desarrollo de actividades en materia penalpara la investigación y represión del delito.
No introduce ningún cambioTÍTULO I
PRINCIPIOS RECTORESTÍTULO I
PRINCIPIOS RECTORES

Artículo 12. Valor de los principios

Artículo 12. Valor de los principios

La actuación de los titulares y encargados de datos personales
y, en general, de todos los que intervengan con relación a datos
personales, debe ajustarse a los principios rectores a que serefiere este Título. Esta relación de principios rectores esenunciativa.

La actuación de los titulares y encargados de tratamiento dedatos personales y, en general, de todos los que intervengan
con relación a datos personales, debe ajustarse a los principios
rectores a que se refiere este Título. Esta relación de principios
rectores es enunciativa.

Los principios rectores señalados sirven también de criteriointerpretativo para resolver las cuestiones que puedan suscitarseen la aplicación de esta Ley y de su reglamento, así como deparámetro para la elaboración de otras disposiciones y parasuplir vacíos en la legislación sobre la materia.

Los principios rectores señalados sirven también de criteriointerpretativo para resolver las cuestiones que puedan suscitarseen la aplicación de esta Ley y de su reglamento, así como deparámetro para la elaboración de otras disposiciones y parasuplir vacíos en la legislación sobre la materia.

TÍTULO II
TRATAMIENTO DE DATOS PERSONALESTÍTULO II
TRATAMIENTO DE DATOS PERSONALES

Artículo 14. Limitaciones altratamiento de datos personales

consentimiento

para

el

Artículo 14. Limitaciones altratamiento de datos personales

consentimiento

para

el

No se requiere el consentimiento del titular de datos personales,para los efectos de su tratamiento, en los siguientes casos:

No se requiere el consentimiento del titular de datos personales,para los efectos de su tratamiento, en los siguientes casos:

1. Cuando los datos personales se recopilen o transfieran para

1. Cuando los datos personales se recopilen o transfieran para

5
Departamento Legalel ejercicio de las funciones de las entidades públicas en elámbito de sus competencias.

el ejercicio de las funciones de las entidades públicas en elámbito de sus competencias.

2. Cuando se trate de datos personales contenidos odestinados a ser contenidos en fuentes accesibles para el
público.

2. Cuando se trate de datos personales contenidos odestinados a ser contenidos en fuentes accesibles para el
público.

3. Cuando se trate de datos personales relativos a la solvencia
patrimonial y de crédito, conforme a ley.

3. Cuando se trate de datos personales relativos a la solvencia
patrimonial y de crédito, conforme a ley.

4. Cuando medie norma para la promoción de la competencia
en los mercados regulados emitida en ejercicio de la función
normativa por los organismos reguladores a que se refiere
la Ley 27332, Ley Marco de los Organismos Reguladores dela Inversión Privada en los Servicios Públicos, o la que haga
sus veces, siempre que la información brindada no sea
utilizada en perjuicio de la privacidad del usuario.

4. Cuando medie norma para la promoción de la competencia
en los mercados regulados emitida en ejercicio de la función
normativa por los organismos reguladores a que se refiere la
Ley 27332, Ley Marco de los Organismos Reguladores de la
Inversión Privada en los Servicios Públicos, o la que haga
sus veces, siempre que la información brindada no sea
utilizada en perjuicio de la privacidad del usuario.

5. Cuando los datos personales sean necesarios para laejecución de una relación contractual en la que el titular dedatos personales sea parte, o cuando se trate de datos
personales que deriven de una relación científica oprofesional del titular y sean necesarios para su desarrollo ocumplimiento.

5. Cuando los datos personales sean necesarios para la
preparación, celebración y ejecución de una relación
contractual en la que el titular de datos personales sea
parte, o cuando se trate de datos personales que deriven deuna relación científica o profesional del titular y seannecesarios para su desarrollo o cumplimiento.

6. Cuando se trate de datos personales relativos a la salud ysea necesario, en circunstancia de riesgo, para laprevención, diagnóstico y tratamiento médico o quirúrgicodel titular, siempre que dicho tratamiento sea realizado en
establecimientos de salud o por profesionales en ciencias
de la salud, observando el secreto profesional; o cuando
medien razones de interés público previstas por ley ocuando deban tratarse por razones de salud pública, ambas
razones deben ser calificadas como tales por el Ministeriode Salud; o para la realización de estudios epidemiológicoso análogos, en tanto se apliquen procedimientos dedisociación adecuados.

6. Cuando se trate de datos personales relativos a la salud ysea necesario, en circunstancia de riesgo, para laprevención, diagnóstico y tratamiento médico o quirúrgicodel titular, siempre que dicho tratamiento sea realizado en
establecimientos de salud o por profesionales en ciencias dela salud, observando el secreto profesional; o cuando
medien razones de interés público previstas por ley ocuando deban tratarse por razones de salud pública, ambas
razones deben ser calificadas como tales por el Ministerio de
Salud; o para la realización de estudios epidemiológicos oanálogos, en tanto se apliquen procedimientos dedisociación adecuados.

6
Departamento Legal

7. Cuando el tratamiento sea efectuado por organismos sinfines de lucro cuya finalidad sea política, religiosa o sindical
y se refiera a los datos personales recopilados de sus
respectivos miembros, los que deben guardar relación conel propósito a que se circunscriben sus actividades, nopudiendo ser transferidos sin consentimiento de aquellos.

7. Cuando el tratamiento sea efectuado por organismos sinfines de lucro cuya finalidad sea política, religiosa o sindical
y se refiera a los datos personales recopilados de sus
respectivos miembros, los que deben guardar relación con el
propósito a que se circunscriben sus actividades, nopudiendo ser transferidos sin consentimiento de aquellos.

8. Cuando se hubiera aplicado
anonimización o disociación.

8. Cuando se hubiera aplicado
anonimización o disociación.

unprocedimientode

9. Cuando el tratamiento de los datos personales sea
necesario para salvaguardar intereses legítimos del titular
de datos personales por parte del titular de datos personaleso por el encargado de datos personales.

unprocedimientode

9. Cuando el tratamiento de los datos personales sea
necesario para salvaguardar intereses legítimos del titular dedatos personales por parte del titular de datos personales opor el encargado de tratamiento de datos personales.
10. Cuando el tratamiento sea para fines vinculados alsistema de prevención de lavado de activos yfinanciamiento del terrorismo u otros que respondan a
un mandato legal.
11. En el caso de grupos económicos conformados por
empresas que son consideradas sujetos obligados a
informar, conforme a las normas que regulan a la
Unidad de Inteligencia Financiera, que éstas puedan
compartir información entre sí de sus respectivos
clientes para fines de prevención de lavado de activos yfinanciamiento del terrorismo, así como otros decumplimiento
regulatorio,
estableciendolassalvaguardas adecuadas sobre la confidencialidad y uso
de la información intercambiada.
12. Cuando el tratamiento se realiza en ejercicio
constitucionalmente válido del derecho fundamental a lalibertad de información.

7
Departamento Legal10. Otros establecidos por ley, o por el reglamentootorgado de conformidad con la presente Ley.

13. Otros que deriven del ejercicio de competencias
expresamente establecidas por Ley.

Artículo 15. Flujo transfronterizo de datos personales

Artículo 15. Flujo transfronterizo de datos personales

El titular y el encargado de datos personales deben realizar el
flujo transfronterizo de datos personales solo si el país
destinatario mantiene niveles de protección adecuados conforme
a la presente Ley.

El titular y el encargado de tratamiento de datos personales
deben realizar el flujo transfronterizo de datos personales solo si
el país destinatario mantiene niveles de protección adecuados
conforme a la presente Ley.

En caso de que el país destinatario no cuente con un nivel deprotección adecuado, el emisor del flujo transfronterizo de datos
personales debe garantizar que el tratamiento de los datos
personales se efectúe conforme a lo dispuesto por la presenteLey.

En caso de que el país destinatario no cuente con un nivel deprotección adecuado, el emisor del flujo transfronterizo de datos
personales debe garantizar que el tratamiento de los datos
personales se efectúe conforme a lo dispuesto por la presente
Ley.

No se aplica lo dispuesto en el segundo párrafo en los siguientes
casos:

No se aplica lo dispuesto en el segundo párrafo en los siguientes
casos:

1. Acuerdos en el marco de tratados internacionales sobre lamateria en los cuales la República del Perú sea parte.

1. Acuerdos en el marco de tratados internacionales sobre lamateria en los cuales la República del Perú sea parte.

2. Cooperación judicial internacional.

2. Cooperación judicial internacional.

3. Cooperación internacional entre organismos de inteligencia
para la lucha contra el terrorismo, tráfico ilícito de drogas,
lavado de activos, corrupción, trata de personas y otras
formas de criminalidad organizada.

3. Cooperación internacional entre organismos de inteligencia
para la lucha contra el terrorismo, tráfico ilícito de drogas,
lavado de activos, corrupción, trata de personas y otras
formas de criminalidad organizada.

4. Cuando los datos personales sean necesarios para laejecución de una relación contractual en la que el titular dedatos personales sea parte, incluyendo lo necesario para
actividades como la autentificación de usuario, mejora ysoporte del servicio, monitoreo de la calidad del servicio,
soporte para el mantenimiento y facturación de la cuenta yaquellas actividades que el manejo de la relación

4. Cuando los datos personales sean necesarios para laejecución de una relación contractual en la que el titular dedatos personales sea parte, incluyendo lo necesario para
actividades como la autentificación de usuario, mejora ysoporte del servicio, monitoreo de la calidad del servicio,
soporte para el mantenimiento y facturación de la cuenta yaquellas actividades que el manejo de la relación contractual

8
Departamento Legalcontractual requiera.

requiera.

5. Cuando se trate de transferencias bancarias o bursátiles, enlo relativo a las transacciones respectivas y conforme a laley aplicable.

5. Cuando se trate de transferencias bancarias o bursátiles, enlo relativo a las transacciones respectivas y conforme a la ley
aplicable.

6. Cuando el flujo transfronterizo de datos personales serealice para la protección, prevención, diagnóstico o
tratamiento médico o quirúrgico de su titular; o cuando sea
necesario para la realización de estudios epidemiológicos oanálogos, en tanto se apliquen procedimientos dedisociación adecuados.

6. Cuando el flujo transfronterizo de datos personales se realicepara la protección, prevención, diagnóstico o tratamiento
médico o quirúrgico de su titular; o cuando sea necesariopara la realización de estudios epidemiológicos o análogos,
en tanto se apliquen procedimientos de disociación
adecuados.

7. Cuando el titular de los datos personales haya dado su
consentimiento previo, informado, expreso e inequívoco.

7. Cuando el titular de los datos personales haya dado su
consentimiento previo, informado, expreso e inequívoco.

8. Otros que establezca el reglamento de la presente Ley, consujeción a lo dispuesto en el artículo 12.

8. Otros que establezca el reglamento de la presente Ley, consujeción a lo dispuesto en el artículo 12.

TÍTULO III
DERECHOS DEL TITULAR DE DATOS PERSONALESTÍTULO III
DERECHOS DEL TITULAR DE DATOS PERSONALES

Artículo 18. Derecho de información del titular de datos
personales

Artículo 18. Derecho de información del titular de datos
personales

El titular de datos personales tiene derecho a ser informado en
forma detallada, sencilla, expresa, inequívoca y de manera
previa a su recopilación, sobre la finalidad para la que sus datos
personales serán tratados; quiénes son o pueden ser sus
destinatarios, la existencia del banco de datos en que sealmacenarán, así como la identidad y domicilio de su titular y, deser el caso, del encargado del tratamiento de sus datos
personales; el carácter obligatorio o facultativo de sus
respuestas al cuestionario que se le proponga, en especial en

El titular de datos personales tiene derecho a ser informado en
forma detallada, sencilla, expresa, inequívoca y de manera
previa a su recopilación, sobre la finalidad para la que sus datos
personales serán tratados; quiénes son o pueden ser sus
destinatarios, la existencia del banco de datos en que sealmacenarán, así como la identidad y domicilio de su titular y, deser el caso, del o de los encargados del tratamiento de sus
datos personales; el carácter obligatorio o facultativo de sus
respuestas al cuestionario que se le proponga, en especial en

9
Departamento Legalcuanto a los datos sensibles; la transferencia de los datos
personales; las consecuencias de proporcionar sus datos
personales y de su negativa a hacerlo; el tiempo durante el cualse conserven sus datos personales; y la posibilidad de ejercer
los derechos que la ley le concede y los medios previstos para
ello.

cuanto a los datos sensibles; la transferencia de los datos
personales; las consecuencias de proporcionar sus datos
personales y de su negativa a hacerlo; el tiempo durante el cualse conserven sus datos personales; y la posibilidad de ejercer
los derechos que la ley le concede y los medios previstos paraello.

Si los datos personales son recogidos en línea a través de redesde comunicaciones electrónicas, las obligaciones del presenteartículo pueden satisfacerse mediante la publicación de políticas
de privacidad, las que deben ser fácilmente accesibles e
identificables.

Si los datos personales son recogidos en línea a través deredes de comunicaciones electrónicas, las obligaciones delpresente artículo pueden satisfacerse mediante la publicaciónde políticas de privacidad, las que deben ser fácilmente
accesibles e identificables.
En el caso que el titular del banco de datos establezca
vinculación con un encargado de tratamiento de manera
posterior al consentimiento, el accionar del encargado
queda bajo responsabilidad del Titular del Banco de Datos,debiendo establecer un mecanismo de información
personalizado para el titular de los datos personales sobre
dicho nuevo encargado de tratamiento.
Si con posterioridad al consentimiento se produce latransferencia de datos personales por fusión, adquisiciónde cartera, o supuestos similares, el nuevo titular delbanco de datos debe establecer un mecanismo de
información eficaz para el titular de los datos personales
sobre dicho nuevo encargado de tratamiento.

Artículo 20. Derecho
rectificación y supresióndeactualización,

inclusión,

El titular de datos personales tiene derecho a la actualización,
inclusión, rectificación y supresión de sus datos personales
materia de tratamiento, cuando estos sean parcial o totalmente
inexactos, incompletos, cuando se hubiere advertido omisión,
error o falsedad, cuando hayan dejado de ser necesarios oArtículo 20. Derecho
rectificación y supresióndeactualización,

inclusión,

El titular de datos personales tiene derecho a la actualización,
inclusión, rectificación y supresión de sus datos personales
materia de tratamiento, cuando estos sean parcial o totalmente
inexactos, incompletos, cuando se hubiere advertido omisión,
error o falsedad, cuando hayan dejado de ser necesarios o10
Departamento Legalpertinentes a la finalidad para la cual hayan sido recopilados ocuando hubiera vencido el plazo establecido para su tratamiento.

pertinentes a la finalidad para la cual hayan sido recopilados ocuando hubiera vencido el plazo establecido para su tratamiento.

Si sus datos personales hubieran sido transferidos previamente,el encargado del banco de datos personales debe comunicar la
actualización, inclusión, rectificación o supresión a quienes sehayan transferido, en el caso que se mantenga el tratamiento por
este último, quien debe también proceder a la actualización,
inclusión, rectificación o supresión, según corresponda.

Si sus datos personales hubieran sido transferidos previamente,el encargado de tratamiento de datos personales debecomunicar la actualización, inclusión, rectificación o supresión aquienes se hayan transferido, en el caso que se mantenga el
tratamiento por este último, quien debe también proceder a laactualización, inclusión, rectificación o supresión, según
corresponda.

Durante el proceso de actualización, inclusión, rectificación osupresión de datos personales, el encargado de datos
personales dispone su bloqueo, quedando impedido de permitir
que terceros accedan a ellos. Dicho bloqueo no es aplicable alas entidades públicas que requieren de tal información para el
adecuado ejercicio de sus competencias, según ley, las que
deben informar que se encuentra en trámite cualquiera de losmencionados procesos.

Durante el proceso de actualización, inclusión, rectificación osupresión de datos personales, el encargado de tratamiento dedatos personales dispone su bloqueo, quedando impedido depermitir que terceros accedan a ellos. Dicho bloqueo no es
aplicable a las entidades públicas que requieren de tal
información para el adecuado ejercicio de sus competencias,
según ley, las que deben informar que se encuentra en trámite
cualquiera de los mencionados procesos.

La supresión de datos personales contenidos en bancos dedatos personales de administración pública se sujeta a lo
dispuesto en el artículo 21 del Texto Único Ordenado de la Ley
27806, Ley de Transparencia y Acceso a la Información Pública,o la que haga sus veces.

La supresión de datos personales contenidos en bancos dedatos personales de administración pública se sujeta a lo
dispuesto en el artículo 21 del Texto Único Ordenado de la Ley
27806, Ley de Transparencia y Acceso a la Información Pública,o la que haga sus veces.

Artículo 21. Derecho a impedir el suministro

Artículo 21. Derecho a impedir el suministro

El titular de datos personales tiene derecho a impedir que estos
sean suministrados, especialmente cuando ello afecte sus
derechos fundamentales. El derecho a impedir el suministro no
aplica para la relación entre el titular del banco de datos
personales y el encargado de datos personales para los efectos
del tratamiento de estos.

El titular de datos personales tiene derecho a impedir que estos
sean suministrados, especialmente cuando ello afecte sus
derechos fundamentales. El derecho a impedir el suministro no
aplica para la relación entre el titular del banco de datos
personales y el encargado de tratamiento de datos personales
para los efectos del tratamiento de estos.

11
Departamento LegalArtículo 22. Derecho de oposición

Artículo 22. Derecho de oposición

Siempre que, por ley, no se disponga lo contrario y cuando no
hubiera prestado consentimiento, el titular de datos personales
puede oponerse a su tratamiento cuando existan motivos
fundados y legítimos relativos a una concreta situación personal.
En caso de oposición justificada, el titular o el encargado dedatos personales, según corresponda, debe proceder a su
supresión, conforme a ley.

Siempre que, por ley, no se disponga lo contrario y cuando no
hubiera prestado consentimiento, el titular de datos personales
puede oponerse a su tratamiento cuando existan motivos
fundados y legítimos relativos a una concreta situación personal.
En caso de oposición justificada, el titular o el encargado detratamiento de datos personales, según corresponda, debe
proceder a su supresión, conforme a ley.

Artículo 25. Derecho a ser indemnizado

Artículo 25. Derecho a ser indemnizado

El titular de datos personales que sea afectado a consecuenciadel incumplimiento de la presente Ley por el titular o por elencargado de datos personales o por terceros, tiene derecho aobtener la indemnización correspondiente, conforme a ley.

El titular de datos personales que sea afectado a consecuenciadel incumplimiento de la presente Ley por el titular o por elencargado de tratamiento de datos personales o por terceros,tiene derecho a obtener la indemnización correspondiente,
conforme a ley.

Artículo 27. Limitaciones

Artículo 27. Limitaciones

Los titulares y encargados de datos personales deadministración pública pueden denegar el ejercicio de losderechos de acceso, supresión y oposición por razones
fundadas en la protección de derechos e intereses de terceros ocuando ello pueda obstaculizar actuaciones judiciales oadministrativas en curso vinculadas a la investigación sobre el
cumplimiento de obligaciones tributarias o previsionales, a lasinvestigaciones penales sobre la comisión de faltas o delitos, aldesarrollo de funciones de control de la salud y del medio
ambiente, a la verificación de infracciones administrativas, o
cuando así lo disponga la ley.

Los titulares y los encargados de tratamiento de datos
personales de administración pública pueden denegar el ejerciciode los derechos de acceso, supresión y oposición por razones
fundadas en la protección de derechos e intereses de terceros ocuando ello pueda obstaculizar actuaciones judiciales oadministrativas en curso vinculadas a la investigación sobre el
cumplimiento de obligaciones tributarias o previsionales, a lasinvestigaciones penales sobre la comisión de faltas o delitos, aldesarrollo de funciones de control de la salud y del medio
ambiente, a la verificación de infracciones administrativas, o
cuando así lo disponga la ley.

12
Departamento LegalTÍTULO IVTÍTULO IV

OBLIGACIONES DEL TITULAR Y DEL ENCARGADO DE
DATOS PERSONALESOBLIGACIONES DEL TITULAR Y DEL ENCARGADO DE
TRATAMIENTO DE DATOS PERSONALES

Artículo 28. Obligaciones

Artículo 28. Obligaciones

El titular y el encargado del banco de datos personales, según
sea el caso, tienen las siguientes obligaciones:

El titular y el encargado de tratamiento de datos personales,
según sea el caso, tienen las siguientes obligaciones:

1.

Efectuar el tratamiento de datos personales, solo previo
consentimiento informado, expreso e inequívoco deltitular de los datos personales, salvo ley autoritativa, con
excepción de los supuestos consignados en el artículo
14 de la presente Ley.

1.

Efectuar el tratamiento de datos personales, solo previo
consentimiento informado, expreso e inequívoco deltitular de los datos personales, salvo ley autoritativa, con
excepción de los supuestos consignados en el artículo
14 de la presente Ley.

2.

No recopilar datos personales por medios fraudulentos,
desleales o ilícitos.

2.

No recopilar datos personales por medios fraudulentos,
desleales o ilícitos.

3.

Recopilar datos personales que sean actualizados,
necesarios, pertinentes y adecuados, con relación afinalidades determinadas, explícitas y lícitas para las quese hayan obtenido.

3.

Recopilar datos personales que sean actualizados,
necesarios, pertinentes y adecuados, con relación afinalidades determinadas, explícitas y lícitas para las quese hayan obtenido.

4.

No utilizar los datos personales objeto de tratamientopara finalidades distintas de aquellas que motivaron su
recopilación, salvo que medie procedimiento deanonimización o disociación.

4.

No utilizar los datos personales objeto de tratamientopara finalidades distintas de aquellas que motivaron su
recopilación, salvo que medie procedimiento deanonimización o disociación.

5.

Almacenar los datos personales de manera que seposibilite el ejercicio de los derechos de su titular.

5.

Almacenar los datos personales de manera que seposibilite el ejercicio de los derechos de su titular.

6.

Suprimir y sustituir o, en su caso, completar los datos
personales objeto de tratamiento cuando tenga
conocimiento de su carácter inexacto o incompleto, sin

6.

Suprimir y sustituir o, en su caso, completar los datos
personales objeto de tratamiento cuando tenga
conocimiento de su carácter inexacto o incompleto, sin

13
Departamento Legalperjuicio de los derechos del titular al respecto.

perjuicio de los derechos del titular al respecto.

7.

Suprimir los datos personales objeto de tratamiento
cuando hayan dejado de ser necesarios o pertinentes ala finalidad para la cual hubiesen sido recopilados ohubiese vencido el plazo para su tratamiento, salvo quemedie procedimiento de anonimización o disociación.

7.

Suprimir los datos personales objeto de tratamiento
cuando hayan dejado de ser necesarios o pertinentes ala finalidad para la cual hubiesen sido recopilados ohubiese vencido el plazo para su tratamiento, salvo quemedie procedimiento de anonimización o disociación.

8.

Proporcionar a la Autoridad Nacional de Protección deDatos Personales la información relativa al tratamientode datos personales que esta le requiera y permitirle elacceso a los bancos de datos personales que
administra, para el ejercicio de sus funciones, en el
marco de un procedimiento administrativo en curso
solicitado por la parte afectada.

8.

Proporcionar a la Autoridad Nacional de Protección deDatos Personales la información relativa al tratamientode datos personales que esta le requiera y permitirle elacceso a los bancos de datos personales que
administra, para el ejercicio de sus funciones, en el
marco de un procedimiento administrativo en curso
solicitado por la parte afectada.

9.

Otras establecidas en esta Ley y en su reglamento.

9.

Otras establecidas en esta Ley y en su reglamento.

TÍTULO VTÍTULO V

BANCOS DE DATOS PERSONALESBANCOS DE DATOS PERSONALES

Artículo 31. Códigos de conducta

Artículo 31. Códigos de conducta

Las entidades representativas de los titulares o encargados dedatos personales de administración privada pueden elaborar
códigos de conducta que establezcan normas para el
tratamiento de datos personales que tiendan a asegurar ymejorar las condiciones de operación de los sistemas deinformación en función de los principios rectores establecidos enesta Ley.

31.1 Las entidades representativas de los titulares o encargados
de tratamiento de datos personales administración privada
pueden elaborar códigos de conducta que establezcan normas
para el tratamiento de datos personales que tiendan a asegurary mejorar las condiciones de operación de los sistemas deinformación en función de los principios rectores establecidos enesta Ley.

14
Departamento LegalTÍTULO VI

TÍTULO VI

AUTORIDAD NACIONAL DE PROTECCIÓN DE DATOSPERSONALESAUTORIDAD NACIONAL DE PROTECCIÓN DE DATOSPERSONALES

Artículo 34. Registro Nacional de Protección de Datos
Personales

Artículo 34. Registro Nacional de Protección de Datos
Personales

Créase el Registro Nacional de Protección de Datos Personales
como registro de carácter administrativo a cargo de la Autoridad
Nacional de Protección de Datos Personales, con la finalidad deinscribir en forma diferenciada, a nivel nacional, lo siguiente:

Créase el Registro Nacional de Protección de Datos Personales
como registro de carácter administrativo a cargo de la Autoridad
Nacional de Protección de Datos Personales, con la finalidad deinscribir en forma diferenciada, a nivel nacional, lo siguiente:

1. Los bancos de datos personales de administración pública oprivada, así como los datos relativos a estos que seannecesarios para el ejercicio de los derechos que
corresponden a los titulares de datos personales, conforme alo dispuesto en esta Ley y en su reglamento.

1. Los bancos de datos personales de administración pública oprivada, así como los datos relativos a estos que seannecesarios para el ejercicio de los derechos que
corresponden a los titulares de datos personales, conforme alo dispuesto en esta Ley y en su reglamento.

El ejercicio de esta función no posibilita el conocimiento delcontenido de los bancos de datos personales por parte de laAutoridad Nacional de Protección de Datos Personales, salvo
procedimiento administrativo en curso.

El ejercicio de esta función no posibilita el conocimiento delcontenido de los bancos de datos personales por parte de laAutoridad Nacional de Protección de Datos Personales, salvo
procedimiento administrativo en curso.

2. Las autorizaciones emitidas conforme al reglamento de lapresente Ley.

2. Las comunicaciones de flujo transfronterizo de datos
personales.

3. Las sanciones, medidas cautelares o correctivas impuestas
por la Autoridad Nacional de Protección de Datos Personales
conforme a esta Ley y a su reglamento.

3. Las sanciones, medidas cautelares o correctivas impuestas
por la Autoridad Nacional de Protección de Datos
Personales conforme a esta Ley y a su reglamento.

Cualquier persona puede consultar en el Registro Nacional deProtección de Datos Personales la existencia de bancos dedatos personales, sus finalidades, así como la identidad y
domicilio de sus titulares y, de ser el caso, de sus encargados.

Cualquier persona puede consultar en el Registro Nacional deProtección de Datos Personales la existencia de bancos dedatos personales, sus finalidades, así como la identidad y
domicilio de sus titulares y, de ser el caso, de sus encargados.

15
Departamento LegalTÍTULO VII
INFRACCIONES Y SANCIONES ADMINISTRATIVAS

TÍTULO VII
INFRACCIONES Y SANCIONES ADMINISTRATIVAS

Artículo 38. Infracciones

Artículo 38.- Tipificación de infracciones

Constituye infracción sancionable toda acción uomisión que contravenga o incumpla alguna de lasdisposiciones contenidas en esta Ley o en su reglamento.

Las infracciones se clasifican en leves, graves y muy
graves, las cuales son tipificadas vía reglamentaria, deacuerdo a lo establecido en el numeral 4) del artículo 230 dela Ley Nº 27444, Ley del Procedimiento Administrativo
General, mediante Decreto Supremo con el voto aprobatoriodel Consejo de Ministros.

Las infracciones se califican como leves, graves y muy
graves.
1. Son infracciones leves:a. Dar tratamiento a datos personales sin recabar el
consentimiento de sus titulares, cuando el mismo sea
necesario conforme a lo dispuesto en esta Ley.
b. No atender, impedir u obstaculizar el ejercicio delos derechos del titular de datos personales reconocidos enel título III, cuando legalmente proceda.

Sin perjuicio de las sanciones que en el marco de su
competencia imponga la autoridad competente, esta puede
ordenar la implementación de una o más medidas
correctivas, con el objetivo de corregir o revertir los efectos
que la conducta infractora hubiere ocasionado o evitar queésta se produzca nuevamente.
Los administrados son responsables objetivamente por el
incumplimiento de obligaciones derivadas de las normas
sobre protección de datos personales.

c. Obstruir el ejercicio de la función fiscalizadora dela Autoridad Nacional de Protección de Datos Personales.
2. Son infracciones graves:a. Dar tratamiento a los datos personales
contraviniendo los principios establecidos en la presente
Ley o incumpliendo sus demás disposiciones o las de su
Reglamento.
b. Incumplir la obligación
establecida en el artículo 17.

deconfidencialidad

16
Departamento Legal

c. No atender, impedir u obstaculizar, en forma
sistemática, el ejercicio de los derechos del titular de datos
personales reconocidos en el título III, cuando legalmente
proceda.
d. Obstruir, en forma sistemática, el ejercicio de la
función fiscalizadora de la Autoridad Nacional de Protecciónde Datos Personales.
e. No inscribir el banco de datos personales en el
Registro Nacional de Protección de Datos Personales.
3. Son infracciones muy graves:a. Dar tratamiento a los datos personales
contraviniendo los principios establecidos en la presente
Ley o incumpliendo sus demás disposiciones o las de su
Reglamento, cuando con ello se impida o se atente contra elejercicio de los derechos fundamentales.
b. Crear, modificar, cancelar o mantener bancos dedatos personales sin cumplir con lo establecido por lapresente Ley o su reglamento.
c. Suministrar documentos o información falsa oincompleta a la Autoridad Nacional de Protección de Datos
Personales.
d. No cesar en el tratamiento ilícito de datos
personales, cuando existiese un previo requerimiento de laAutoridad Nacional de Protección de Datos Personales paraello.
e. No inscribir el banco de datos personales en el
Registro Nacional de Protección de Datos Personales, noobstante haber sido requerido para ello por la Autoridad
Nacional de Protección de Datos Personales.

17
Departamento LegalLa calificación, la graduación del monto de lasmultas, el procedimiento para su aplicación y otras
tipificaciones se efectúan en el reglamento de la presente
Ley.

18
Departamento Legal