Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
Regulamentações › Resto do mundo › Peru
LPDP
Lei de Proteção de Dados Pessoais nº 29733
QuandoLei publicada em 3 de jul. de 2011 e plenamente eficaz após seu primeiro regulamento (2013). O novo Regulamento (DS 016-2024-JUS, publicado em 30 de nov. de 2024) entrou em vigor em 30 de mar. de 2025, substituindo o DS 003-2013-JUS; os deveres de DPO serão implementados gradualmente até 30 de nov. de 2028.
Quem fiscalizaAutoridade Nacional de Proteção de Dados Pessoais (ANPD), Ministério da Justiça e Direitos Humanos
A quem se aplicaTratamento público e privado de dados pessoais no Peru, e controladores estrangeiros que direcionam suas atividades a pessoas no Peru ou criam perfis delas.
Avisar o reguladorNotificar a Autoridade em até 48 horas sobre incidentes qualificados (em larga escala, com dados sensíveis ou m…
DPO obrigatórioEncarregado de proteção de dados obrigatório para entidades públicas, tratamento em larga escala ou de dados sensíveis, e…
RegistroA criação, a modificação e o cancelamento de bancos de dados pessoais devem ser registrados (gratuito, autom…
Transferências para o exteriorTransferências permitidas para países adequados ou com salvaguardas, como cláusulas-modelo
Prazo para solicitaçõesInformações em até 8 dias úteis, acesso em 20 dias úteis, retificação, cancelamento ou op…
Multa máximaAté 100 UIT (cerca de PEN 535,000, aproximadamente USD 145,000), sem exceder 10% da receita bruta do ano ant…
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Alcance e base legal
Alcance extraterritorial
2
Covers non-established controllers that offer goods or services to, or profile, people in Peru; they must appoint a representative.Reg. Arts. VI, VII · source ↗
Base legal
3
Consent is the default basis; exceptions listed in the Law (public entities, public sources, contracts, health, anonymized data). No legitimate interests.Law arts. 13, 14 · secondary source · source ↗
Law text read from a reproduction of the official statute.
Consentimento
2
Consent must be free, prior, express, unequivocal and informed; it may be verbal, written or by click. Controller bears burden of proof.Reg. arts. 2, 5, 9 · source ↗
Dados sensíveis
2
Sensitive data, including biometric, genetic and neural data, requires written consent by signature or equivalent.Law art. 13; Reg. arts. III, 8 · source ↗
Crianças
2
Minors 14 to 18 may consent if information is understandable; under 14 needs parental or guardian consent; reasonable age verification required.Reg. arts. 22, 25 · source ↗
Direitos das pessoas
Direitos
3
Information, access, portability, rectification, cancellation, opposition, and objective treatment (no solely automated decisions with significant effects).Law arts. 18-23; Reg. arts. 74-76 · source ↗
Portability enforceable from 30 Sep 2025 (Cuatrecasas).
Prazo para solicitações
2
Information within 8 business days, access 20 business days, rectification, cancellation or opposition 10 business days; one equal extension.Reg. arts. 69, 71 · source ↗
Scored on the 20-day access deadline; other requests fall under 21 days.
Marketing
3
Consent for marketing must be obtained directly; one first contact allowed to seek it, no further contact if refused; opt-outs handled within 10 days.Reg. art. 26 · source ↗
Governança
DPO obrigatório
1
Data protection officer required for public entities, large-scale or sensitive processing, and core sensitive-data activities; phased in by company size through Nov 2028.Reg. art. 37 · source ↗
Phase-in by annual sales: over 2,300 UIT by 30 Nov 2025; down to micro firms by 30 Nov 2028 (Cuatrecasas).
Qualificações do DPO
1
Regulation sets a DPO profile and functions; contact details must be communicated to the Authority within 15 days.Reg. arts. 37(4)-(5), 38, 39 · source ↗
Content of the art. 38 profile not confirmed.
Registro
2
Creation, modification and cancellation of personal data banks must be registered (free, automatic approval) with the National Registry.Law art. 34; Reg. arts. 42-45 · source ↗
DPIA
1
Impact assessment is optional, suggested for sensitive data, profiling, vulnerable groups or large volumes.Reg. art. 40(1) · source ↗
Registros
2
A dated security document must include an inventory of personal data and processing systems, kept for Authority review.Reg. (article not confirmed) · secondary source · source ↗
Retenção
2
Indefinite retention generally prohibited; processors keep data at most 2 years after the engagement ends; access logs kept at least 2 years.Reg. arts. 31(2), 46(3) · source ↗
Violações
Avisar o regulador
2
Notify the Authority within 48 hours of qualifying incidents (large-scale, sensitive data or many affected); digital incidents also to the National Digital Security Center.Reg. art. 34(1), (5) · source ↗
Informar as pessoas
3
Notify affected individuals within 48 hours, in plain language, when their rights are affected.Reg. art. 34(3)-(4) · source ↗
Transferências
Transferências para o exterior
2
Transfers allowed to adequate countries or with safeguards such as model clauses; every cross-border flow must be notified to the Authority.Law art. 15; Reg. arts. 18-21 · source ↗
Fiscalização
Multa máxima
2
Up to 100 UIT (about PEN 535,000, roughly USD 145,000), not exceeding 10% of prior-year gross income.Law art. 39 · secondary source · source ↗
Peso estimate uses the 2025 UIT of PEN 5,350.
Responsabilidade criminal
2
Penal Code offense for selling or trading non-public personal data without authorization: 2 to 5 years' imprisonment.Penal Code art. 154-A · secondary source · source ↗
Ação privada
2
Anyone harmed may claim compensation; denied rights can be pursued before the Authority or by habeas data action.Law arts. 24, 25 · secondary source · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Biblioteca de regulamentações
Todas as leis estaduais de privacidade dos EUA em um só mapa
24 estados têm uma lei abrangente de privacidade na biblioteca, ao lado das leis da UE, do Reino Unido, federais dos EUA e globais: 102 no total, cada uma explicada em linguagem simples com suas fontes. Selecione um estado para ver o que se aplica lá.
- Em vigor
- Entrando em vigor
- Leis setoriais