Por medio de la Ley 29733 Ley de Protección de Datos Personales y su Reglamento aprobado a través del Decreto Supremo N° 003-2013-JUS, en el Perú se norma  el derecho fundamental a la protección de los datos personales, previsto en el artículo 2 numeral 6 de la Constitución Política.

El artículo 3 de la Ley indica el ámbito de aplicación: “La presente Ley es de aplicación a los datos personales contenidos o destinados a ser contenidos en bancos de datos personales de administración pública y de administración privada, cuyo tratamiento se realiza en el territorio nacional”.

La normativa se basa en Principios Rectores, dentro de los cuales indica:

• Legalidad: El tratamiento de los datos personales se hace conforme a lo establecido en la ley. Se prohíbe la recopilación de los datos personales por medios fraudulentos, desleales o ilícitos.
• Consentimiento: Para el tratamiento de los datos personales debe mediar el consentimiento de su titular.
• Finalidad: Los datos personales deben ser recopilados para una finalidad determinada, explícita y lícita. El tratamiento de los datos personales no debe extenderse a otra finalidad.
• Seguridad: El titular del banco de datos personales y el encargado de su tratamiento deben adoptar las medidas técnicas, organizativas y legales necesarias para garantizar la seguridad de los datos personales. Las medidas de seguridad deben ser apropiadas y acordes con el tratamiento que se vaya a efectuar y con la categoría de datos personales de que se trate.
• Disposición de recurso: Todo titular de datos personales debe contar con las vías administrativas o jurisdiccionales necesarias para reclamar y hacer valer sus derechos, cuando estos sean vulnerados por el tratamiento de sus datos personales.
• Valor de los principios: La actuación de los titulares y encargados de tratamiento de datos personales y, en general, de todos los que intervengan con relación a datos personales, debe ajustarse a los principios rectores a que se refiere este Título. Esta relación de principios rectores es enunciativa.

En la Ley, artículo 16 indica “… Queda prohibido el tratamiento de datos personales en bancos de datos que no reúnan los requisitos y las condiciones de seguridad…”.

Respecto a la confidencialidad, en el artículo 17 indica “El titular del banco de datos personales, el encargado y quienes intervengan en cualquier parte de su tratamiento están obligados a guardar confidencialidad respecto de los mismos y de sus antecedentes. Esta obligación subsiste aun después de finalizadas las relaciones con el titular del banco de datos personales”.

Respecto al incumplimiento de la Ley, en el artículo 24 indica “En caso de que el titular o el encargado del banco de datos personales deniegue al titular de datos personales, total o parcialmente, el ejercicio de los derechos establecidos en esta Ley, este puede recurrir ante la Autoridad Nacional de Protección de Datos Personales en vía de reclamación o al Poder Judicial para los efectos de la correspondiente acción de hábeas data. El procedimiento a seguir ante la Autoridad Nacional de Protección de Datos Personales se sujeta a lo dispuesto en los artículos 219 y siguientes de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces”.

Respecto a las sanciones, en el artículo 37 de la Ley indica “El procedimiento sancionador se inicia de oficio, por la Autoridad Nacional de Protección de Datos Personales o por denuncia de parte, ante la presunta comisión de actos contrarios a lo dispuesto en la presente Ley o en su reglamento, sin perjuicio del procedimiento seguido en el marco de lo dispuesto en el artículo 24”.

En caso de violación de la la Ley o de su Reglamento, en el artículo 39 indica que, la Autoridad Nacional de Protección de Datos Personales puede aplicar las siguientes multas:

1. Las infracciones leves son sancionadas con una multa mínima desde 0.5 UIT hasta 5 UIT.
2. Las infracciones graves son sancionadas con multa desde más de 5 UIT hasta 50 UIT.
3. Las infracciones muy graves son sancionadas con multa desde más de 50 UIT hasta 100 UIT.

Se debe tener en cuenta que según lo indicado en el  artículo 132 del Reglamento, se tipifica como tratamiento grave, realizar tratamiento de datos personales sensibles incumpliendo las medidas de seguridad establecidas en la normativa sobre la materia.