Ley N° 29733 – Ley de Protección de datos personales y su Reglamento

Ley N° 29733 – Ley de
Protección de datos
personales y su Reglamento
Renzo Valera
Gerente de Consultoría
Lima, Noviembre de 2014

Contenido
1 Antecedentes
2 Definiciones
3 Marco normativo
4 ¿Qué hacer?
5
Declaración de banco de
datos
6 Siguientes pasos

Regula a empresas:
Página 4
Ley de Protección
de Datos Personales
Línea de tiempo LPDP
Antecedentes
Ley N° 29733 – Ley de Protección de datos personales y su Reglamento
► Instituciones
privadas
► Entidades
públicas
Las Normas son:
► Cumplimiento
obligatorio
► De orden
público
Ley N° 29733, Ley de Protección de datos personales
emitida el 3 de julio de 2011
Jul 11
Se aprueba el Reglamento de
la Ley N° 29733
Mar 13
May 15
Plazo de adecuación de bancos
de datos personales.
“En el plazo de dos (2) años de la
entrada en vigencia del presente
reglamento, los bancos de datos
deben adecuarse a lo establecido…”
► El objetivo de la LPDP es velar
por el derecho fundamental a la
protección de datos personales,
a través de su adecuado
tratamiento.

Antecedentes
¿Se hizo usted
alguna de estas
preguntas?
¿Cuáles son los
datos personales
que maneja la
organización?
Página 5
¿Cómo se protegen
los datos
personales durante
su tratamiento?
¿Qué es el Registro
Nacional de Datos
personales?
¿Con qué medidas
de seguridad cuenta
la organización para
proteger estos
datos?
¿Cuáles son los
principios de
privacidad?
¿Qué son los datos
personales y
los datos
sensibles?
¿Cómo se guarda la
confidencialidad
de los datos
personales?

Antecedentes
Legislación similar en otros países de la región y España
Colombia
Ley de Protección de
Datos Personales
Ley 1581 de 2012,
Decreto reglamentario
1377 de 2013
Página 6
Argentina
Ley de Protección de
Datos Personales
Ley 25.326
México
Ley Federal de
Protección de Datos
Personales en
Posesión de los
Particulares
5 de julio de 2010
España
Ley Orgánica de
Protección de Datos
de Carácter Personal
de España
Ley Orgánica
15/1999

Definiciones
¿En qué consiste
el derecho
fundamental a la
protección de
datos
personales?
Página 8
Es el derecho que toda persona tiene a controlar la
información que comparte con terceros, así como el
derecho a que esta información se utilice de forma
apropiada.
¿Qué es un
banco de datos
personales?
Es el conjunto organizado de datos personales,
automatizado o no, independiente del soporte que se
encuentren, sea este físico, magnético, digital, óptico u
otros que se creen, cualquiera fuere la forma o
modalidad de su creación, formación, almacenamiento,
organización y acceso.

Definiciones
Principios rectores
Principio de
nivel de protección
Principio de
disposición
de recurso
Página 9
Principio
de legalidad
Principio de
consentimiento
Principio
de finalidad
Principio de
proporcionalidad
Principio
de calidad
Principio de
seguridad
adecuado
Principio de legalidad
Tratamiento conforme a lo establecido en la
ley y no por medios fraudulentos, desleales o
ilícitos.
Principio de consentimiento
Para el tratamiento de los datos personales
debe mediar el consentimiento de su titular.
Principio de finalidad
Recopilados para una finalidad determinada,
explícita y lícita. No debe extenderse a otra
finalidad.
Principio de proporcionalidad
Tratamiento adecuado, relevante y no
excesivo a la finalidad para la que estos
hubiesen sido recopilados.

Definiciones
Principios rectores (cont.)
Principio de
Principio de
disposición
de recurso
Página 10
Principio
de legalidad
Principio de
consentimiento
Principio
de finalidad
Principio de
proporcionalidad
Principio
de calidad
Principio de
seguridad
adecuado
Principio de calidad
Los datos deben ser veraces, exactos y, en la
medida de lo posible, actualizados,
necesarios, pertinentes y adecuados respecto
de la finalidad para la que fueron recopilados.
Principio de seguridad
El titular y el encargado de su tratamiento
deben adoptar medidas técnicas,
organizativas y legales necesarias para
garantizar la seguridad.

Definiciones
Principios rectores (cont.)
Principio de
Principio de
disposición
de recurso
Página 11
Principio
de legalidad
Principio de
consentimiento
Principio
de finalidad
Principio de
proporcionalidad
Principio
de calidad
Principio de
seguridad
adecuado
Principio de disposición de recurso
Se debe contar con las vías administrativas o
jurisdiccionales necesarias para reclamar y
hacer valer los derechos de los titulares.
Principio de nivel de protección adecuado
Para el flujo transfronterizo, se debe garantizar
un nivel suficiente de protección, equiparable
a lo previsto por esta Ley o por los estándares
internacionales en la materia.

Definiciones
¿Quién es el titular del banco de datos personales?
El titular del banco de datos personales es la persona natural, persona jurídica de derecho
privado o entidad pública que decide o determina la finalidad y contenido del banco de
datos personales, el tratamiento de los datos almacenados en éste y las medidas de
seguridad.
Página 12

Definiciones
¿Cuándo se tratan datos personales?
El tratamiento de datos personales es todo procedimiento, automatizado o no, que permite
la recopilación, registro, organización, almacenamiento, conservación, elaboración,
modificación, extracción, consulta, utilización, bloqueo, supresión, comunicación por
transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso,
correlación o interconexión de los datos personales.
Página 13

Definiciones
Autoridad Nacional de Protección de Datos Personales
La Dirección General de Protección de Datos Personales es un órgano que depende jerárquicamente del
Despacho Viceministerial de Derechos Humanos y Acceso a la Justicia.
Se encarga de:
- Supervisar la administración y actualización del Registro Nacional de Protección de Datos
Página 14
Personales,
- Resolver las reclamaciones formuladas por los titulares de datos personales en tutela de sus
derechos de acceso, rectificación, cancelación y oposición.
- Emite opinión técnica vinculante respecto de los proyectos de normas que regulen los datos
personales y emite las directivas para la adecuada aplicación de la Ley de Protección de Datos
Personales y su Reglamento
La Dirección General de Protección de Datos Personales ejerce las funciones administrativas,
orientadoras, normativas, resolutivas, fiscalizadoras y sancionadoras a través de las siguientes unidades
orgánicas:
► Dirección de Registro Nacional de Protección de Datos Personales
► Dirección de Supervisión y Control
► Dirección de Sanciones
► Dirección de Normatividad y Asistencia Legal
http://www.minjus.gob.pe/proteccion-de-datos-personales/

Marco normativo
Página 16
http://www.minjus.gob.pe/legislacion/

Marco normativo
Página 17
Leves
0,5 UIT
► Dar tratamiento a datos
personales sin recabar el
consentimiento de sus
titulares.
► No atender, impedir u
obstaculizar el ejercicio de
los derechos del titular de
datos personales
reconocidos en el título III,
cuando legalmente proceda.
► Obstruir el ejercicio de la
función fiscalizadora de la
Autoridad Nacional de
protección de datos
personales.
Graves
0,5 UIT<= S <=50UIT
Muy Graves
50 UIT<= S <=100 UIT
► Dar tratamiento a los datos
personales contraviniendo los
principios establecidos en la
presente ley o incumpliendo sus
demás disposiciones o las de su
reglamento.
► Incumplir la obligación de
confidencialidad establecida en
el artículo 17.
► No inscribir el banco de datos
personales en el Registro
Nacional de protección de datos
personales.
► Crear, modificar, cancelar o
mantener bancos de datos
personales sin cumplir con lo
establecido por la presente Ley
o su reglamento.
► Suministrar documentos o
información falsa o
incompleta a la Autoridad
Nacional de Protección de
datos personales.
► No cesar en el tratamiento
ilícito de datos personales
cuando existiese un previo
requerimiento de la Autoridad
Nacional de Protección de
Datos personales para ello.
Infracciones

¿Qué hacer?
Página 19
Objetivos
► Identificar y clasificar las bases de datos críticas relacionados
con protección de datos personales.
► Analizar la situación actual de la Compañía con relación a lo
requerido por la Ley de Protección de Datos Personales, el
reglamento y la directiva e identificar las brechas de
cumplimiento.
► Diseñar un Plan de Remediación que le permita estar
alineado con la mencionada normativa.
► Desplegar las actividades del Plan de Remediación y hacer
monitoreo continuo.

Principios y Obligaciones
de Protección de Datos
Página 20
Personales
Principios:
Legalidad / Consentimiento /
Finalidad / Proporcionalidad /
Calidad / Seguridad
Obligaciones:
Obligación de informar / Obligación
de contar con consentimiento y
autorización
Medidas de Seguridad:
Clasificación de banco de datos /
Condiciones de Seguridad Interna /
Políticas y procedimientos /
Medidas de seguridad
organizativas, jurídicas y técnicas
Controles de seguridad
1. De Nivel Técnico
2. De Nivel Físico
3. De Nivel Administrativo
Tomando como base las
normas: ISO27001 /
ISO27002, y los Principios
de Privacidad
Generalmente Aceptados
(GAPP)
Procesos de Negocio
y Legales
Procesos de TI
Tratamiento de datos personales (por internos y por terceros)
según su:
Obtención Uso Divulgación Almacenamiento
Datos sensibles
Datos
personales
Considerando tanto impreso como en formato digital, ya sea en
custodia del área de Sistemas o de otras áreas de la
organización.
¿Qué hacer?
Esquema de implementación

¿Qué hacer?
Directiva de Seguridad
Medidas de seguridad
Categorización Justificación de criterio
1. Básico
2. Simple
3. Intermedio
4. Completo
5. Crítico
Página 21
1. Volumen de Registro
2. Número de datos
3. Período de tiempo
4. Titularidad del banco
5. Finalidad de tratamiento
6. Múltiple locaciones
7. Tratamiento de datos sensibles

¿Qué hacer?
Directiva de Seguridad (cont.)
1. Marco Legal Apropiado
2. Conocimiento y conciencia
Página 22
1. Compromiso
2. Comprensión
3. Determinación de Roles
4. Enfoque de gestión de Riesgo
Condiciones de seguridad
Externas Internas

¿Qué hacer?
Directiva de Seguridad (cont.)
Disposiciones Específicas
Medidas de seguridad Jurídica
Contratos
Cláusulas en formatos de
levantamiento de información
Página 23
Medidas de seguridad Técnica
Seguridad de información
Controles Generales de Tecnología de
información
Medidas de seguridad Organizativa
Políticas y procedimientos
Determinación de responsabilidad y
funciones

5Declaración de banco
de datos

Declaración de banco de datos
¿Por qué se debe inscribir un banco
de datos personales?
Un banco de datos personales se inscribe
para que los ciudadanos puedan conocer a
los titulares de dichos bancos de datos y
ejercer los derechos regulados en la LPDP.
Página 25
http://www.minjus.gob.pe/wp-content/
uploads/2014/09/Cartilla-Registro-NEW-BAJA.pdf

Página 26
Vista de búsquedas de Banco de Datos en web de la ANPDP

Página 27

Página 28

Página 29

Asuntos a
considerar
Page 31
¿Nuestra organización ya ha comenzado a desplegar
actividades para el cumplimiento de la norma?
¿El Directorio y la Gerencia conocen la implicancia de la
norma y los riesgos a los que la organización está
expuesta?
¿Hemos considerado en el Plan de Auditoría el
monitoreo del cumplimiento de la norma?
¿Estamos participando activamente en el proceso de
adecuación del cumplimiento de la norma en nuestra
organización?
¿Hemos identificado que controles están asociados con
el cumplimiento de esta norma?

Siguientes pasos
Page 32
Incluir en el Plan de Auditoría
la revisión y/o supervisión del
plan que la organización esté
desplegando para el
cumplimiento de la norma e
identificar los controles
asociados a este
cumplimiento
Conocer de forma específica
los requerimientos de la
norma, identificando cuáles
son los principales riesgos
asociados a nuestra
organización y procurando
participar del proceso de
cumplimiento

Ley N° 29733 – Ley de Protección de datos personales y su Reglamento

More Related Content

What's hot

Viewers also liked

Similar to Ley N° 29733 – Ley de Protección de datos personales y su Reglamento

More from EY Perú

Ley N° 29733 – Ley de Protección de datos personales y su Reglamento

Editor's Notes