Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: todo responsable del tratamiento de datos personales que opere un sitio web, aplicación o plataforma digital con usuarios en territorio peruano.
Tu base de datos fue hackeada. Un empleado filtró información de clientes. Un error de configuración dejó datos expuestos en internet. Un ransomware cifró tus servidores.
¿Qué haces? En Perú, lo primero es contener la brecha. Lo segundo es notificar a la ANPD. Y tienes exactamente 48 horas para hacerlo.
No notificar a tiempo convierte un incidente de seguridad en una doble infracción: la brecha en sí + la omisión de notificación. Aquí explicamos qué cuenta como brecha, cómo notificar, qué incluir en el reporte y cómo prepararte antes de que ocurra.
¿Qué es una brecha de seguridad de datos personales?
Es cualquier incidente que provoque la alteración, pérdida, tratamiento o acceso no autorizado a datos personales que tu sitio web o plataforma almacena.
No se limita a hackeos sofisticados. Incluye cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de los datos:
Tipos de brecha
| Tipo | Qué ocurre | Ejemplo en un sitio web |
|---|---|---|
| Confidencialidad | Datos accedidos por personas no autorizadas | Hackeo a la base de datos, empleado que descarga y comparte información de clientes, acceso no autorizado al panel de administración |
| Integridad | Datos alterados sin autorización | Inyección SQL que modifica registros, ransomware que cifra la base de datos, error de código que corrompe información |
| Disponibilidad | Datos inaccesibles temporal o permanentemente | Ataque DDoS que tumba el servidor, ransomware que bloquea el acceso, fallo de hardware que destruye datos sin backup |
Ejemplos comunes en el entorno web peruano
| Incidente | ¿Es brecha de datos personales? |
|---|---|
| Hackeo a la base de datos de clientes de tu e-commerce | Sí — acceso no autorizado a datos personales |
| Filtración de lista de suscriptores del newsletter | Sí — emails son datos personales |
| Empleado que copia la base de clientes en un USB personal | Sí — acceso y tratamiento no autorizado |
| Error de configuración que deja el phpMyAdmin accesible sin contraseña | Sí — exposición de datos por negligencia, aunque nadie acceda comprobadamente |
| Plugin de WordPress vulnerado que expone datos de usuarios | Sí — vulnerabilidad que compromete datos |
| Ransomware que cifra el servidor sin exfiltrar datos | Sí — afecta la disponibilidad de datos personales |
| Caída del servidor por fallo eléctrico con backup vigente | No necesariamente — si los datos se recuperan íntegramente y no hubo exposición |
| Ataque de phishing a un empleado que entrega credenciales del CRM | Sí — las credenciales comprometidas dan acceso a datos personales |
El plazo de 48 horas: cuándo empieza a correr
La normativa peruana, alineada con las mejores prácticas internacionales, impone la obligación de notificar a la ANPD en un plazo de 48 horas desde que se toma conocimiento del incidente.
¿Qué significa «tomar conocimiento»?
| Momento | ¿Empieza a correr el plazo? |
|---|---|
| Tu sistema de monitoreo detecta actividad sospechosa | Aún no — hay indicios pero no confirmación |
| Tu equipo técnico investiga y confirma que hubo acceso no autorizado a datos personales | Sí — aquí empieza el conteo de 48 horas |
| Un tercero te informa que encontró datos de tus clientes filtrados online | Sí — desde que recibes la notificación |
| Un usuario te avisa que recibió comunicaciones sospechosas con datos que solo tu web tenía | Sí — desde que tomas conocimiento del reporte |
| Ves la noticia en medios de comunicación | Sí — desde que te enteras |
El plazo no empieza cuando «confirmas al 100% el alcance». Empieza cuando sabes que ocurrió un incidente que comprometió datos personales, aunque aún no conozcas todos los detalles. La investigación completa puede continuar después de la notificación inicial.
Cómputo de las 48 horas
| Aspecto | Detalle |
|---|---|
| Son horas corridas | No son días hábiles — son 48 horas desde el momento de conocimiento |
| Incluyen fines de semana y feriados | Si descubres la brecha un viernes a las 6 PM, tienes hasta el domingo a las 6 PM |
| El reloj no se pausa | No puedes «pausar» el conteo porque es fin de semana o porque tu equipo legal no está disponible |
¿A quién se notifica?
1. A la Autoridad Nacional de Protección de Datos Personales (ANPD)
Obligatorio. Es el destinatario principal de la notificación dentro del plazo de 48 horas.
| Dato | Detalle |
|---|---|
| Organismo | ANPD — Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales |
| Dependencia | Ministerio de Justicia y Derechos Humanos |
| Plazo | 48 horas desde el conocimiento del incidente |
2. A los usuarios afectados
Buena práctica alineada con estándares internacionales, altamente recomendable aunque la ley peruana no lo exija con la misma fuerza que el RGPD europeo.
| Cuándo notificar a los usuarios | Detalle |
|---|---|
| Si la brecha puede generar un riesgo alto para sus derechos | Datos financieros, contraseñas, datos sensibles, datos que permitan suplantación de identidad |
| Si los datos filtrados pueden ser usados para fraude | Números de tarjeta, datos bancarios, DNI + datos de contacto combinados |
| Si hay evidencia de que los datos ya están siendo explotados | Reportes de phishing, cargos no reconocidos, suplantación |
Qué decirle a los usuarios afectados
| Elemento | Qué comunicar |
|---|---|
| Qué ocurrió | Descripción clara y honesta del incidente, sin tecnicismos innecesarios |
| Qué datos se vieron afectados | Tipos de datos comprometidos (nombre, email, contraseña, datos de pago, etc.) |
| Qué has hecho | Medidas inmediatas que tomaste (contención, reseteo de contraseñas, bloqueo de accesos) |
| Qué deben hacer ellos | Acciones recomendadas: cambiar contraseñas, vigilar movimientos bancarios, desconfiar de correos sospechosos |
| Cómo contactarte | Canal directo para consultas sobre el incidente |
Qué incluir en la notificación a la ANPD
La notificación inicial no necesita ser un informe forense completo. Debe contener la información disponible al momento:
Contenido mínimo de la notificación
| Sección | Qué incluir |
|---|---|
| Identificación del responsable | Razón social, RUC, datos de contacto, responsable designado para el incidente |
| Descripción del incidente | Qué ocurrió, cuándo se detectó, cómo se descubrió |
| Tipo de brecha | Confidencialidad, integridad, disponibilidad, o combinación |
| Datos afectados | Categorías de datos comprometidos (identificativos, financieros, de salud, credenciales, etc.) |
| Número estimado de afectados | Cuántos titulares de datos se vieron potencialmente afectados (puede ser estimación inicial) |
| Medidas de contención | Qué acciones inmediatas se tomaron para detener o limitar el incidente |
| Medidas de mitigación | Qué se está haciendo para reducir el impacto sobre los afectados |
| Próximos pasos | Plan de investigación y acciones correctivas previstas |
¿Puedo enviar información adicional después?
Sí. La notificación inicial cumple con el plazo de 48 horas. La investigación forense completa puede tardar días o semanas. Envía actualizaciones a la ANPD conforme descubras más detalles:
| Notificación | Plazo | Contenido |
|---|---|---|
| Inicial | 48 horas | Lo que sabes hasta el momento: qué pasó, qué datos, cuántos afectados (estimación), medidas inmediatas |
| Actualización 1 | Cuando haya hallazgos relevantes | Alcance confirmado, vector de ataque identificado, medidas adicionales |
| Informe final | Al concluir la investigación | Análisis completo: causa raíz, alcance definitivo, medidas correctivas permanentes, lecciones aprendidas |
Protocolo de respuesta ante brechas: el plan que debes tener ANTES
No puedes diseñar tu respuesta en medio de la crisis. El protocolo debe estar documentado, probado y accesible antes de que ocurra el incidente.
Estructura del protocolo
| Fase | Plazo | Acciones | Responsable |
|---|---|---|---|
| 1. Detección | Minutos | Identificar el incidente, evaluar si involucra datos personales, alertar al equipo de respuesta | Equipo técnico / monitoreo |
| 2. Contención | Horas 0-6 | Aislar el sistema afectado, bloquear accesos comprometidos, preservar evidencia, evitar que la brecha se expanda | Equipo técnico + responsable de seguridad |
| 3. Evaluación | Horas 6-24 | Determinar el alcance: qué datos, cuántos afectados, qué vector de ataque, si hay exfiltración confirmada | Equipo técnico + legal |
| 4. Notificación | Horas 24-48 | Preparar y enviar notificación a la ANPD. Evaluar si notificar a los usuarios. | Legal + dirección |
| 5. Comunicación | Horas 48+ | Notificar a usuarios afectados si procede. Preparar comunicado si hay exposición mediática. | Comunicaciones + legal |
| 6. Investigación | Días/semanas | Análisis forense completo, identificar causa raíz, evaluar si hay responsabilidad de terceros | Equipo técnico + forense externo si es necesario |
| 7. Remediación | Semanas | Implementar medidas correctivas permanentes, actualizar controles de seguridad, capacitar al equipo | Equipo técnico + dirección |
| 8. Documentación | Continuo | Documentar todo el proceso para la defensa ante la ANPD y para mejorar el protocolo | Legal + técnico |
Equipo de respuesta
Define previamente quién participa en cada fase:
| Rol | Responsabilidad |
|---|---|
| Responsable de seguridad / IT | Lidera la contención y la investigación técnica |
| Responsable legal | Evalúa obligaciones de notificación, prepara la comunicación a la ANPD, gestiona riesgos legales |
| Dirección / gerencia | Toma decisiones sobre comunicación pública y asignación de recursos |
| Comunicaciones | Redacta la notificación a usuarios y el comunicado público si aplica |
| Proveedor externo de ciberseguridad (si aplica) | Apoyo forense, análisis de malware, recuperación de sistemas |
Lo mínimo que necesita una pyme
No necesitas un departamento de ciberseguridad. Necesitas:
- Un documento de 2-3 páginas con el protocolo básico.
- Datos de contacto de quién hace qué ante un incidente (puede ser una sola persona en empresas pequeñas).
- Datos de contacto de la ANPD para la notificación.
- Plantilla de notificación prellenada con tus datos de empresa, lista para completar con los detalles del incidente.
- Acceso a un profesional externo (abogado o técnico) que puedas contactar en emergencia.
Medidas técnicas obligatorias de seguridad
La Ley 29733 impone el principio de seguridad: implementar medidas técnicas, organizativas y legales para proteger los datos. No esperes a la brecha para implementarlas:
Medidas básicas (todo sitio web)
| Medida | Prioridad | Detalle |
|---|---|---|
| HTTPS (SSL/TLS) | Crítica | Cifrado de datos en tránsito. Sin excepción. |
| Contraseñas hasheadas | Crítica | Nunca almacenar contraseñas en texto plano. Usar bcrypt, scrypt o Argon2 con salt |
| Actualizaciones al día | Crítica | WordPress, plugins, PHP, sistema operativo del servidor — todo actualizado |
| Backups automáticos cifrados | Alta | Diarios, almacenados en ubicación separada del servidor principal |
| Controles de acceso por roles | Alta | No todos los empleados acceden a todos los datos |
| Autenticación de doble factor (2FA) | Alta | Para el panel de administración y accesos críticos |
| Firewall de aplicación web (WAF) | Recomendable | Cloudflare, Sucuri o equivalente |
Medidas avanzadas (e-commerce y plataformas con datos sensibles)
| Medida | Prioridad | Detalle |
|---|---|---|
| Cifrado de base de datos | Alta | Datos sensibles cifrados en reposo (at rest) |
| Logs de acceso | Alta | Registro de quién accede a qué datos, cuándo y desde dónde |
| Monitoreo de intrusiones | Alta | Sistema que detecte actividad anómala en tiempo real |
| Segmentación de red | Media | Separar la base de datos del servidor web público |
| Pruebas de penetración | Media | Auditoría de seguridad periódica por un tercero |
| Plan de continuidad del negocio | Media | Qué hacer si el sitio cae completamente |
Consecuencias de no cumplir
Si hay brecha Y no notificas
| Consecuencia | Detalle |
|---|---|
| Infracción por la brecha | Falta de medidas de seguridad adecuadas → infracción muy grave (50-100 UIT = S/ 275,000 — S/ 550,000) |
| Infracción por no notificar | Omisión de notificación en 48 horas → infracción adicional |
| Agravante | Ocultar un incidente se considera agravante en la graduación de la multa |
| Responsabilidad civil | Los usuarios afectados pueden demandar por daños y perjuicios |
| Daño reputacional | La resolución de la ANPD es pública |
Si hay brecha PERO notificas a tiempo y demuestras diligencia
| Factor | Efecto |
|---|---|
| Notificación dentro de 48 horas | Cumplimiento del deber de notificación — no hay infracción por omisión |
| Medidas de seguridad documentadas | Puede atenuar la multa por la brecha si demuestras que tenías controles razonables |
| Protocolo de respuesta activado | Demuestra diligencia y profesionalismo |
| Cooperación con la ANPD | Atenuante en la graduación de la multa |
| Notificación proactiva a usuarios | Demuestra buena fe y reduce el daño |
La diferencia entre «nos hackearon» con protocolo y «nos hackearon» sin protocolo puede ser de cientos de miles de soles en la multa.
Preguntas frecuentes
¿Si descubro la brecha un viernes a las 11 PM, tengo hasta el domingo a las 11 PM?
Sí. Las 48 horas son corridas, sin excluir fines de semana ni feriados. Por eso tu protocolo debe incluir datos de contacto de emergencia accesibles fuera del horario laboral.
¿Qué pasa si no estoy seguro de que hubo brecha?
Si hay indicios razonables de que datos personales fueron comprometidos, notifica preventivamente. Es mejor notificar una sospecha que resulte menor, que no notificar una brecha real. La notificación puede indicar que estás en fase de investigación y que enviarás actualizaciones.
¿Debo notificar si la brecha fue de un proveedor externo (mi hosting, mi pasarela de pago)?
Si los datos comprometidos son de tus usuarios, tú eres el responsable del tratamiento ante la ANPD, independientemente de que la falla técnica haya sido del proveedor. Notifica tú y gestiona la responsabilidad con tu proveedor por vía contractual.
¿Si la brecha solo afectó datos de empleados, no de clientes, debo notificar?
Sí. Los datos de empleados son datos personales protegidos por la Ley 29733. La obligación de notificación aplica a cualquier brecha de datos personales, no solo a datos de clientes.
¿Puedo contratar un seguro de ciberseguridad que cubra las multas?
Existen pólizas de ciber-riesgo que cubren costos de respuesta a incidentes, investigación forense, notificación a afectados y defensa legal. Algunas cubren parcialmente las multas administrativas. Consulta con un corredor de seguros especializado. El seguro no elimina la obligación de notificar ni de cumplir la ley, pero reduce el impacto financiero.
¿Cuánto tiempo debo conservar la documentación del incidente?
No hay un plazo específico para incidentes. Como referencia, conserva toda la documentación por al menos 5 años — suficiente para cubrir plazos de prescripción y posibles procesos judiciales.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales. Principio de seguridad y obligaciones del responsable del tratamiento.
- Reglamento de la Ley 29733 — Detalla las medidas de seguridad y el deber de notificación de incidentes.
- Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo ante el cual se notifica la brecha.
Este artículo es informativo y no constituye asesoría legal. Para elaborar tu protocolo de respuesta ante brechas de seguridad, consulta con un abogado especializado en protección de datos y un profesional de ciberseguridad.
Deja una respuesta