Peru atualiza o regulamento da Lei 29733

O Peru atualizou o regulamento da Lei nº 29733 de proteção de dados pessoais por meio do Decreto Supremo nº 016-2024-JUS, segundo análise acadêmica publicada pela revista Derecho & Sociedad, da PUCP. A reforma introduz novas obrigações para os responsáveis pelo tratamento, novos direitos para os titulares e reforça o princípio de segurança, além da responsabilidade demonstrada.

O que muda com o novo regulamento?

O novo regulamento amplia o marco de conformidade para quem trata dados pessoais no Peru e eleva o padrão de diligência exigido pela norma. Segundo a análise da PUCP, a ênfase recai sobre o reforço da segurança e sobre a exigência de que a responsabilidade não seja apenas declaratória, mas também demonstrável.

Isso significa que as organizações sujeitas à lei precisam organizar melhor seus processos internos e comprovar, com evidências, como gerenciam os dados. O texto acadêmico situa essas mudanças dentro da atualização regulatória aprovada pelo DS 016-2024-JUS.

Que registros a norma peruana exige?

A Lei nº 29733 e seu regulamento criam o Registro Nacional de Proteção de Dados Pessoais para inscrever bancos de dados pessoais públicos e privados, comunicações de fluxo transfronteiriço de dados pessoais e as sanções, medidas cautelares ou corretivas impostas pela autoridade de proteção de dados, segundo a Mi Firma Digital.

Esse registro concentra informações regulatórias relevantes para o ecossistema de tratamento de dados no país. Também funciona como mecanismo de rastreabilidade sobre bases de dados e sobre as decisões adotadas pela autoridade competente.

Como os dados de menores são tratados?

Para publicar ou tratar dados de menores de idade, é necessário o consentimento prévio, expresso e informado dos pais ou responsáveis legais, conforme a Lei nº 29733 e seu regulamento, lembrou a Fundación Ética Periodística no Peru. O regulamento permite que maiores de 14 anos deem seu próprio consentimento apenas se a informação lhes for explicada em linguagem simples.

Esse critério eleva a exigência para veículos, empresas e qualquer agente que lide com informações de menores. A obrigação não se limita à obtenção da autorização, mas também alcança a forma como o tratamento é explicado.

Que reporte de incidentes aparece na discussão?

Uma análise da Proactivanet sobre a normativa de cibersegurança em 2026 indica que, no Peru, a autoridade de proteção de dados exige notificação de incidentes em até 48 horas e que teriam sido aplicadas multas que somam 11 milhões de soles, embora o artigo não apresente a referência direta à resolução ou ao registro oficial que detalhe essas sanções.

Essa parte do material deve ser lida com cautela, porque a própria fonte não acompanha a menção com a citação oficial correspondente. Em paralelo, o recorte de conformidade ganha relevância para empresas que operam no Peru e no Brasil, onde podem estar sujeitas a marcos distintos, inclusive a LGPD brasileira, embora na norma peruana citada ainda não apareçam referências diretas à ANPD.