Última actualización: septiembre 2026 Base legal: Ley N° 29733, Decreto Supremo N° 301-2025-EF (UIT 2026) Aplica a: toda persona natural o jurídica que recopile, almacene o trate datos personales de usuarios en territorio peruano.
Incumplir la Ley de Protección de Datos Personales en Perú no es un riesgo abstracto. La Autoridad Nacional de Protección de Datos Personales (ANPD) tiene potestad sancionadora real, actúa de oficio y las multas se calculan en base a la UIT, que en 2026 subió a S/ 5,500.
Una sola infracción «muy grave» puede costar hasta S/ 550,000 — más que la facturación anual de muchas pequeñas empresas.
Aquí detallamos quién sanciona, por qué motivos, cuánto cuestan las multas y cómo protegerte.
¿Quién sanciona?
La Autoridad Nacional de Protección de Datos Personales (ANPD), que depende de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.
La ANPD tiene dos vías para iniciar procedimientos sancionadores:
| Vía | Cómo funciona |
|---|---|
| De parte | Un usuario presenta una denuncia porque la empresa vulneró sus derechos (no atendió una solicitud ARCO, usó sus datos sin consentimiento, etc.) |
| De oficio | La ANPD detecta la infracción por cuenta propia, sin necesidad de denuncia. Puede hacerlo mediante inspecciones, monitoreo de sitios web o cruces de información con otras entidades. |
Dato clave: la ANPD no necesita que un usuario se queje para multarte. Si detecta que tu web no tiene política de privacidad, que operas sin registro de bancos de datos o que tuviste una filtración que no reportaste, puede abrir procedimiento por su cuenta.
Clasificación de infracciones
La Ley 29733 y su Reglamento clasifican las infracciones en tres niveles de gravedad. Cada nivel tiene un rango de multas distinto.
Infracciones leves
Son incumplimientos menores que no generan un daño directo significativo al titular de los datos, pero evidencian falta de diligencia.
| Conducta | Ejemplo en un sitio web |
|---|---|
| No mantener actualizada la política de privacidad | Cambiaste de pasarela de pago hace 6 meses y la política sigue mencionando a la anterior |
| Demora en atender solicitudes ARCO sin perjuicio grave | Un usuario pidió acceso a sus datos y respondiste fuera de plazo, pero sin consecuencias adicionales |
| Deficiencias formales en el registro de bancos de datos | Registraste el banco pero con información incompleta o desactualizada |
Infracciones graves
Incumplimientos que afectan directamente los derechos de los titulares o evidencian negligencia significativa en la gestión de datos.
| Conducta | Ejemplo en un sitio web |
|---|---|
| Tratar datos sin consentimiento válido | Checkboxes premarcados, consentimiento por inacción, no informar las finalidades |
| No registrar bancos de datos ante la ANPD | Operar una tienda online con base de clientes sin haber inscrito el banco |
| No atender solicitudes ARCO | Ignorar completamente la solicitud de un usuario que pide eliminar sus datos |
| Recopilar datos para finalidades no declaradas | Tu política dice «para procesar pedidos» pero usas los datos para campañas de remarketing sin consentimiento |
| No informar sobre el flujo transfronterizo | Usas AWS y Mailchimp pero no lo declaras en tu política de privacidad |
Infracciones muy graves
Las más severas. Involucran daño real o potencial significativo a los derechos de los titulares, negligencia grave en seguridad o tratamiento ilícito de datos sensibles.
| Conducta | Ejemplo en un sitio web |
|---|---|
| Filtración masiva de datos por falta de medidas de seguridad | Tu base de datos de clientes fue hackeada porque no tenías cifrado ni controles de acceso |
| No notificar una brecha de seguridad en 48 horas | Detectas el hackeo pero no reportas a la ANPD dentro del plazo legal |
| Tratamiento ilícito de datos sensibles | Recopilar datos de salud, biometría u opiniones políticas sin base legal ni consentimiento explícito |
| Transferencia internacional de datos sin garantías | Enviar datos personales a un país sin nivel de protección adecuado y sin cláusulas contractuales de resguardo |
| Obstruir la labor fiscalizadora de la ANPD | Negarse a entregar información, no colaborar con una inspección o destruir evidencia |
Tabla de multas 2026
El valor de la UIT para el año fiscal 2026 fue fijado en S/ 5,500 por el Decreto Supremo N° 301-2025-EF, un incremento de S/ 150 respecto al año anterior. Todas las multas se actualizan automáticamente con este nuevo valor.
| Tipo de infracción | Rango en UIT | Rango en soles (2026) |
|---|---|---|
| Leve | 0.5 a 5 UIT | S/ 2,750 — S/ 27,500 |
| Grave | 5 a 50 UIT | S/ 27,500 — S/ 275,000 |
| Muy grave | 50 a 100 UIT | S/ 275,000 — S/ 550,000 |
Para ponerlo en perspectiva
| Multa máxima | Equivalente aproximado |
|---|---|
| Infracción leve (5 UIT) | S/ 27,500 → el costo de un auto usado |
| Infracción grave (50 UIT) | S/ 275,000 → el costo de un departamento pequeño en Lima |
| Infracción muy grave (100 UIT) | S/ 550,000 → puede superar la facturación anual de una pyme |
Las multas son por infracción, no por empresa. Si la ANPD detecta que no registraste tu banco de datos (infracción grave) Y que no tienes política de privacidad (infracción leve) Y que tuviste una filtración no reportada (infracción muy grave), cada una se sanciona por separado. Los montos se acumulan.
Factores que determinan el monto de la multa
La ANPD no aplica automáticamente el máximo. Evalúa cada caso considerando factores atenuantes y agravantes:
Factores que pueden reducir la multa
| Factor | Ejemplo |
|---|---|
| Subsanación voluntaria | Corregiste la infracción antes de que la ANPD inicie el procedimiento |
| Colaboración | Proporcionaste información completa y oportuna durante la investigación |
| Ausencia de daño real | Los datos filtrados no fueron explotados o el número de afectados fue mínimo |
| Primera infracción | No tienes antecedentes sancionadores ante la ANPD |
| Capacidad económica | Eres una microempresa con facturación limitada (se aplica proporcionalidad) |
Factores que pueden aumentar la multa
| Factor | Ejemplo |
|---|---|
| Reincidencia | Ya fuiste sancionado anteriormente por la ANPD |
| Intencionalidad | Sabías que estabas incumpliendo y decidiste no corregir |
| Volumen de afectados | La filtración comprometió datos de miles o millones de usuarios |
| Datos sensibles involucrados | Se filtraron datos de salud, biometría, orientación sexual o información financiera |
| Beneficio económico obtenido | Lucraste con los datos tratados ilícitamente (venta de bases de datos, publicidad no consentida) |
| Obstrucción | No colaboraste con la investigación o intentaste ocultar evidencia |
Las infracciones más comunes en sitios web peruanos
Basándonos en las resoluciones publicadas por la ANPD, estos son los motivos de sanción más frecuentes en el entorno digital:
1. No tener bancos de datos registrados
Frecuencia: muy alta Gravedad: grave (5-50 UIT)
Es la infracción más fácil de detectar y la más fácil de evitar. Si tu web recopila datos de clientes, suscriptores o usuarios y no has inscrito el banco de datos ante la ANPD, estás en infracción. No importa si nunca has tenido un problema con los datos — la falta de registro es una infracción autónoma.
2. Consentimiento inválido
Frecuencia: alta Gravedad: grave (5-50 UIT)
Casillas premarcadas, políticas de privacidad genéricas copiadas de otros sitios, consentimiento implícito por navegación, no diferenciar entre finalidades operativas y comerciales. Todo esto invalida el consentimiento y, sin consentimiento válido, todo el tratamiento de datos es ilícito.
3. No atender solicitudes ARCO
Frecuencia: media-alta Gravedad: grave (5-50 UIT)
Un usuario pide que borren su cuenta y sus datos, y la empresa no responde o responde fuera de plazo. El usuario denuncia ante la ANPD y se abre procedimiento sancionador.
4. Filtración de datos sin notificación
Frecuencia: creciente Gravedad: muy grave (50-100 UIT)
Cada vez más sitios web peruanos sufren hackeos o exposiciones de bases de datos. El problema no es solo la filtración (que ya es una infracción por falta de medidas de seguridad) sino no reportarla a la ANPD dentro de las 48 horas. Muchas empresas intentan ocultar el incidente, lo que agrava enormemente la sanción.
5. Flujo transfronterizo no declarado
Frecuencia: muy alta (pero poco fiscalizada aún) Gravedad: grave a muy grave (5-100 UIT)
Prácticamente todo sitio web peruano que usa hosting internacional, Google Analytics, Mailchimp o cualquier SaaS en la nube está transfiriendo datos fuera del país. La mayoría no lo declara en su política de privacidad. Hasta ahora la ANPD ha enfocado su fiscalización en otros frentes, pero a medida que madura la regulación, este rubro será cada vez más fiscalizado.
Otras consecuencias más allá de la multa
La sanción económica no es lo único que está en juego:
| Consecuencia | Impacto |
|---|---|
| Medidas correctivas | La ANPD puede ordenar la eliminación de la base de datos, el cese del tratamiento o la modificación de los procedimientos. Cumplir estas órdenes tiene un costo operativo propio. |
| Inscripción en el registro de infractores | La resolución sancionadora es pública. Clientes, socios y competidores pueden verla. |
| Daño reputacional | En un mercado donde la confianza digital aún se está construyendo, una sanción por mal manejo de datos puede ser más costosa comercialmente que la propia multa. |
| Responsabilidad civil | Los usuarios afectados pueden demandar por daños y perjuicios en la vía judicial, independientemente de la sanción administrativa. |
| Efecto cascada | Una filtración de datos puede desencadenar fiscalizaciones simultáneas de la ANPD, Indecopi (si afectó consumidores) y SUNAT (si comprometió datos tributarios). |
Cómo protegerte: las medidas que la ANPD valora
La ANPD no espera perfección. Espera diligencia demostrable. Estas son las medidas que, en la práctica, reducen tu exposición a sanciones y atenúan las multas si algo sale mal:
Medidas técnicas
| Medida | Prioridad |
|---|---|
| Certificado SSL/TLS (HTTPS) en todo el sitio | Básica — no negociable |
| Cifrado de base de datos (especialmente contraseñas con hash + salt) | Alta |
| Controles de acceso por roles (no todo empleado accede a todos los datos) | Alta |
| Backups cifrados con frecuencia regular | Alta |
| Logs de acceso a datos personales | Media |
| Firewall de aplicación web (WAF) | Recomendable |
| Monitoreo de intrusiones | Recomendable |
Medidas organizativas
| Medida | Prioridad |
|---|---|
| Política de privacidad completa, actualizada y accesible | Básica — no negociable |
| Registro de bancos de datos ante la ANPD | Básica — no negociable |
| Canal ARCO funcional (email dedicado o formulario) | Alta |
| Protocolo documentado de respuesta ante brechas de seguridad | Alta |
| Capacitación básica al equipo sobre manejo de datos personales | Media |
| Evaluación periódica de proveedores y encargados del tratamiento | Media |
| Designación de un responsable interno de datos personales | Recomendable |
Medidas legales
| Medida | Prioridad |
|---|---|
| Consentimiento implementado correctamente (checkbox vacío, finalidades separadas) | Básica — no negociable |
| Contratos con encargados del tratamiento (hosting, email marketing, pasarela de pago) | Alta |
| Cláusulas de protección de datos en flujos transfronterizos | Alta |
| Política de cookies con banner y opciones granulares | Alta |
| Política de retención de datos con plazos definidos | Media |
Comparativa: multas ANPD vs. otras sanciones digitales en Perú
Para dimensionar el riesgo, esta tabla compara las multas por datos personales con otras sanciones comunes en el entorno digital peruano:
| Infracción | Autoridad | Multa máxima 2026 |
|---|---|---|
| Filtración de datos personales (muy grave) | ANPD | S/ 550,000 (100 UIT) |
| No tener Libro de Reclamaciones Virtual | Indecopi | S/ 2,475,000 (450 UIT) |
| Publicidad engañosa (grave) | Indecopi | Variable, hasta millones según afectación |
| Influencer sin etiquetar publicidad | Indecopi | Hasta S/ 250,000+ |
| Incumplimiento laboral en plataformas digitales | SUNAFIL | Variable según infracción |
La ANPD tiene topes de multa más bajos que Indecopi, pero compensa con la capacidad de actuar de oficio y con el hecho de que las infracciones de datos personales suelen ser múltiples y acumulables.
Preguntas frecuentes
¿Las multas aplican igual a una microempresa que a una corporación?
La ANPD debe considerar la capacidad económica del infractor al determinar el monto (principio de proporcionalidad). En la práctica, una microempresa recibirá multas en el rango bajo de cada categoría, pero no está exenta. La infracción existe independientemente del tamaño.
¿Me pueden multar si nunca he tenido un reclamo de un usuario?
Sí. La ANPD actúa de oficio. No tener bancos de datos registrados, no tener política de privacidad o tener consentimiento mal implementado son infracciones que existen sin necesidad de que un usuario se queje.
¿Puedo apelar una multa de la ANPD?
Sí. Puedes interponer recurso de reconsideración ante la propia ANPD y, posteriormente, recurso de apelación ante el Tribunal de Transparencia, Acceso a la Información Pública y Protección de Datos Personales. También puedes acudir a la vía judicial contencioso-administrativa.
¿Hay prescripción?
Las infracciones prescriben, pero los plazos varían según la gravedad. Mientras la ANPD no inicie el procedimiento sancionador y la infracción persista (por ejemplo, sigues operando sin registro de bancos de datos), el plazo de prescripción no corre.
¿Qué pasa si corrijo todo antes de que me multen?
La subsanación voluntaria es un atenuante importante. Si corriges la infracción antes de que la ANPD inicie el procedimiento, reduces significativamente la multa o incluso puedes evitarla en infracciones leves. Pero no elimina la infracción ya cometida.
¿La UIT cambia cada año?
Sí. El Ministerio de Economía y Finanzas fija el valor de la UIT anualmente mediante Decreto Supremo. En 2026 es S/ 5,500. En años anteriores fue menor. Las multas se calculan con la UIT vigente al momento de la resolución sancionadora, no al momento de la infracción.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales. Establece el régimen de infracciones y sanciones.
- Reglamento de la Ley 29733 — Detalla los procedimientos sancionadores y criterios de graduación de multas.
- Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT para el año fiscal 2026 en S/ 5,500.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador y sancionador, dependiente del Ministerio de Justicia y Derechos Humanos.
Este artículo es informativo y no constituye asesoría legal. Para evaluar tu nivel de cumplimiento y mitigar riesgos sancionatorios, consulta con un abogado especializado en protección de datos personales.
¿Necesitas mejorar tu presencia digital?
Cuéntame sobre tu negocio y revisemos qué solución de diseño web, SEO o marketing puede ayudarte a crecer.