## [Incidentes de seguridad en Perú: balance de las primeras fiscalizaciones bajo el nuevo Reglamento de la Ley de Protección de Datos Personales](/es_ES/noticia/incidentes-seguridad-peru-balance-primeras-fiscalizaciones-nuevo-reglamento-ley-proteccion)
# Incidentes de seguridad en Perú: balance de las primeras fiscalizaciones bajo el nuevo Reglamento de la Ley de Protección de Datos Personales
Perú - 12 / 05 / 2026
-
- [](https://www.linkedin.com/sharing/share-offsite/?url=https://www.garrigues.com/es_ES/noticia/incidentes-seguridad-peru-balance-primeras-fiscalizaciones-nuevo-reglamento-ley-proteccion)
- []()
- []()
Previous Next
**Desde marzo de 2025, la notificación de incidentes de seguridad es obligatoria en 48 horas, incluso si se resuelven internamente. Las primeras fiscalizaciones amplían el foco a proveedores críticos, exigiendo protocolos claros, supervisión activa y medidas de seguridad demostrables.**
Desde marzo de 2025, el nuevo Reglamento de la Ley de Protección de Datos Personales exige la notificación obligatoria de incidentes de seguridad a la Autoridad Nacional de Protección de Datos Personales (ANPDP) dentro de las 48 horas de conocidos, incluso si el incidente fue resuelto internamente.
Las primeras fiscalizaciones evidencian que, aunque el responsable del tratamiento es el principal obligado frente a dicho organismo y los titulares de datos, en incidentes de gran impacto la revisión alcanza también a encargados y subcontratistas, poniendo bajo escrutinio no solo las medidas de seguridad implementadas, sino también el nivel de cumplimiento de los proveedores críticos de la organización.
A continuación, detallamos algunas reflexiones específicas a tener en cuenta:
- **Protocolo de respuesta y notificación.** Contar con un procedimiento interno que permita cumplir con la notificación dentro de las 48 horas, incluyendo plantillas con el contenido mínimo exigido (naturaleza del incidente, datos del Oficial de Datos Personales, consecuencias y medidas de remediación), identificación del equipo responsable y canales de comunicación con la ANPDP.
- **Designar un Oficial de Datos Personales.** La ANPDP verifica su existencia y datos de contacto como parte del contenido mínimo de la notificación. Su designación formal es indispensable. El incumplimiento supone una infracción pasible de multa.
- **Contratos de encargo de tratamiento robustos.** La ANPDP requiere información sobre la existencia y contenido de los acuerdos de encargo, los mismos que deberán contar con mecanismos de protección y/o repetición para salvaguardar los datos que tiene bajo su responsabilidad.
- **Mapear toda la cadena de tratamiento.** La ANPDP evalúa al encargado, subcontratistas tecnológicos y cualquier tercero que intervenga. Hay que tener identificados a todos los actores con documentación que acredite las medidas de seguridad exigidas a cada uno.
- **Supervisar activamente a los encargados.** No basta con suscribir un acuerdo. La ANPDP solicita evidencia de mecanismos de supervisión periódica como auditorías, reportes de cumplimiento o certificaciones.
- **Cumplir con las medidas de seguridad.** La ANPDP evalúa específicamente controles de acceso, gestión de respaldos y protección frente a amenazas externas en sistemas de información y gestores de bases de datos.
- **Adoptar medidas correctivas oportunas.** Se valora positivamente la implementación oportuna de acciones de contención, erradicación y recuperación (aislamiento de sistemas, rotación de credenciales, reinstalación de servidores, migración de proveedores, monitoreo continuo).
- **Evaluar el riesgo de concentración en proveedores críticos.** Un solo incidente en un proveedor masivo puede desencadenar la fiscalización simultánea de cientos de empresas clientes. Se debe evaluar críticamente la concentración de datos sensibles y exigir garantías de seguridad.
[LatAm](/es_ES/tags/latam), [Perú](/es_ES/tags/peru), [Telecomunicaciones](/es_ES/tags/telecomunicaciones), [Protección de datos](/es_ES/tags/proteccion-datos)
---
Esta publicación tiene carácter meramente informativo y no constituye asesoramiento jurídico, ni de ningún otro tipo. Tampoco pretende ofrecer un resumen exhaustivo de las normas y novedades a las que se refiere ni recoger todo lo publicado, sino únicamente ofrecer una selección, por lo que se recomienda consultar los textos oficiales y obtener asesoramiento profesional específico. Garrigues no asume responsabilidad alguna por el uso de esta información, ni la obligación de actualizarla tras su publicación.
---
### Profesionales de contacto
[Franco Muschi](/es_ES/equipo/franco-muschi-loayza)
[Contactar]()
- +51 1 399 2600
[Lima](https://www.garrigues.com/es_ES/oficina/lima)
[Mariana Ubidia](/es_ES/equipo/mariana-ubidia-gregori)
[Contactar]()
- +51 1 399 2600
[Lima](https://www.garrigues.com/es_ES/oficina/lima)
[Consultar más profesionales](../equipo)
### Servicios relacionados
- [Tecnología, Comunicaciones y Digital ](/es_ES/servicios/tecnologia-comunicaciones-digital)
### Oficinas relacionadas
- - [Lima](/es_ES/oficina/lima)
## Buscar publicación
Selecciona servicio Administrativo y Constitucional Agribusiness y Alimentación Automoción Bancario y Financiero Deportes Derecho Europeo y de la Competencia Economía del Dato, Privacidad y Ciberseguridad Empresa Familiar Energía Farmacia, Biotecnología y Ciencias de la Salud G-advisory Gobierno Corporativo y Desarrollo Sostenible Human Capital Services Infraestructuras Inmobiliario Laboral Medios y Entretenimiento Mercado de Valores Mercantil y Fusiones y Adquisiciones Moda Penal e Investigaciones Internas Private Equity Propiedad Industrial e Intelectual Reestructuraciones e Insolvencias Regulatorio Financiero Resolución de Conflictos: Litigación y Arbitraje Seguros Sostenibilidad Startups & Open Innovation Tecnología, Comunicaciones y Digital Transporte, Logística y Marítimo Tributario Turismo y Hoteles Urbanismo y Medioambiente Facet Services detail Facet Services detail
Tipo de publicación Publicaciones Newsletters Facet Publication type detail Facet Publication type detail
Min
Max
## Buscador de noticias