Propuestas › Inteligencia artificial y datos
IA-12 Ley que eleva a rango legal el derecho a la portabilidad de los datos personales y establece obligaciones de interoperabilidad segura para los servicios digitales
Partiendo del art. 76 del Reglamento de la Ley 29733 (D.S. 016-2024-JUS), que ya reconoce la portabilidad como manifestación del derecho de acceso, le da rango legal, la extiende a los datos observados, fija gratuidad y plazo, obliga a los grandes servicios digitales a ofrecer interfaces seguras con autorización delegada y tipifica su incumplimiento.
La ley en un vistazo
Lo que cambia
- ➕ incorporaLey 29733, Ley de Protección de Datos Personalesart. 19-A
- ⬆️ eleva a leyDecreto Supremo 016-2024-JUS, Reglamento de la Ley 29733arts. 76 y 133
- 🔗 complementaLey 29733, Ley de Protección de Datos Personalesart. 39 (multa aplicable)
Elevar a rango legal y ampliar el derecho a la portabilidad de los datos personales reconocido en el art. 76 del Reglamento de la Ley 29733, y establecer obligaciones de interoperabilidad segura para los grandes servicio
Dictamina: Diputados · Justicia y Derechos HumanosRevisión: Senado · Justicia y Derechos HumanosQuién hace qué
ANPD
Autoridad Nacional de Protección de Datos Personales · MINJUSDH
Aprueba estándares de formatos y seguridad (art. 5.2), verifica la imposibilidad técnica alegada (art. 6) y sanciona las infracciones (art. 8).
SBS
Superintendencia de Banca, Seguros y AFP · Organismo constitucionalmente autónomo
Régimen especial de portabilidad financiera, con aplicación supletoria de esta ley (art. 2.2).
Responsables de tratamiento de servicios digitales
Responsables de tratamiento de servicios digitales · Privado
Atienden solicitudes en 20 días hábiles, ofrecen API seguras si superan el umbral y cumplen requisitos de seguridad (arts. 4, 5 y 7).
PCM-SGTD
Presidencia del Consejo de Ministros – Secretaría de Gobierno y Transformación Digital · PCM
Coordina estándares técnicos de interoperabilidad y autenticación (art. 5.2).
INDECOPI
Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual · PCM
Concurrente en efectos de competencia y consumo de los servicios digitales.
Usuarios de servicios digitales en el Perú y empresas entrantes, incluidas startups de IA; no cuantificable con información pública.
Titulares de bancos de datos y responsables del tratamiento del sector privado; obligación de API solo para servicios digitales con más de 500 000 usuarios activos mensuales en el país.
Ruta de implementación
- 📝Se presentaCámara de Diputados
- 🏛️Dictamencomisión, hasta 60 días hábiles
- 🗳️Pleno Diputadosaprobación
- ⚖️Senado revisacomisión, hasta 90 días hábiles
- ✍️PromulgaciónPoder Ejecutivo
- 📜Reglamentoplazo de ley
- 🎯Meta 2031Al 2031, estándar técnico de portabilidad aprobado, los servicios digitales que superen el umbral con API de portabilida
Lo que cuesta
Quién paga: Presupuesto institucional del MINJUSDH, sin demandar recursos adicionales al Tesoro Público.
Costo para privados: Grandes plataformas: desarrollo de API con autorización delegada, autenticación reforzada, registro y notificación (costo moderado, no cuantificado públicamente); demás responsables: entrega en formato estructurado.
Lo que se gana
🏛️ Para el Estado: Menor concentración de mercados digitales; recaudación eventual por multas (no estimable). Cualitativo.
👥 Para la sociedad: Control de los titulares sobre sus datos y menores costos de cambio de proveedor. No cuantificable con información pública.
📈 Inversión privada: Desarrollo de servicios que reutilizan datos portados con consentimiento; no cuantificable.
Exposición de motivos — el problema
La Ley 29733 reconoce los derechos de información, acceso, rectificación, cancelación, oposición y tratamiento objetivo. El artículo 76 de su Reglamento, aprobado por D.S. 016-2024-JUS, reconoce la portabilidad como manifestación del derecho de acceso: el titular puede solicitar los datos que haya facilitado en formato estructurado, de uso común y lectura mecánica, y su transmisión directa a otro responsable cuando sea técnicamente posible y no imponga una carga financiera o técnica excesiva (76.1 y 76.2); los datos inferidos solo son portables si el responsable lo decide (76.4) y no se aplica a funciones públicas (76.6). Sin embargo, este régimen (i) carece de rango legal pese a limitar la libertad de empresa; (ii) solo comprende los datos facilitados, no los observados a partir del uso del servicio; (iii) admite una excepción amplia por carga excesiva y no obliga a disponer de interfaces para la transmisión directa; (iv) no fija plazo ni gratuidad específicos; y (v) su incumplimiento no tiene tipificación específica. En el plano económico, los datos acumulados por plataformas dominantes generan efectos de retención que reducen la competencia y dificultan la entrada de nuevas empresas, incluidas startups de IA. A la vez, la transmisión directa por interfaces es un vector conocido de fraude y extracción masiva si no se exigen autorización delegada, autenticación reforzada y trazabilidad. La portabilidad está reconocida en el RGPD (art. 20), la LGPD brasileña (art. 18) y la Ley chilena 21.719. La portabilidad financiera se rige por su ley especial.
Objeto
Elevar a rango legal y ampliar el derecho a la portabilidad de los datos personales reconocido en el art. 76 del Reglamento de la Ley 29733, y establecer obligaciones de interoperabilidad segura para los grandes servicios digitales.
Fórmula legal
EL CONGRESO DE LA REPÚBLICA
Ha dado la Ley siguiente:
LEY QUE ELEVA A RANGO LEGAL EL DERECHO A LA PORTABILIDAD DE LOS DATOS PERSONALES Y ESTABLECE OBLIGACIONES DE INTEROPERABILIDAD SEGURA PARA LOS SERVICIOS DIGITALES
Artículo 1. Objeto
La presente ley tiene por objeto elevar a rango legal el derecho a la portabilidad de los datos personales y establecer obligaciones de interoperabilidad segura que permitan su ejercicio efectivo.
Artículo 2. Ámbito
2.1. La presente ley se aplica a los titulares de bancos de datos personales y responsables del tratamiento del sector privado. No se aplica al tratamiento necesario para el cumplimiento de las competencias o funciones conferidas a las entidades públicas.
2.2. La portabilidad de datos en el sistema financiero se rige por su ley especial; en lo no previsto por esta, se aplica la presente ley.
Artículo 3. Incorporación del artículo 19-A a la Ley 29733
Se incorpora el artículo 19-A a la Ley 29733, Ley de Protección de Datos Personales, en los términos siguientes:
«Artículo 19-A. Derecho a la portabilidad
19-A.1. Como manifestación del derecho de acceso, el titular de datos personales tiene derecho a recibir del responsable del tratamiento, en un formato estructurado, de uso común y legible por máquina, los datos personales que le conciernan, tanto los facilitados por él como los observados a partir del uso del servicio, excluidos los inferidos o derivados por el responsable, cuando el tratamiento se base en su consentimiento o en un contrato y se efectúe por medios automatizados.
19-A.2. El titular tiene derecho a que sus datos se transmitan directamente de un responsable a otro, cuando sea técnicamente posible.
19-A.3. El ejercicio de este derecho es gratuito y no afecta los derechos de terceros ni el derecho de cancelación. La portabilidad no comprende datos personales de terceros, salvo los estrictamente necesarios para la utilidad de los datos transmitidos, que el receptor trata bajo las mismas condiciones y no puede usar para fines propios.»
Artículo 4. Plazo de atención
El responsable atiende la solicitud de portabilidad en un plazo no mayor de veinte días hábiles, prorrogable por igual plazo cuando la complejidad lo justifique, informando al titular de la prórroga y sus motivos.
Artículo 5. Interfaces de programación y autorización delegada
5.1. Los responsables de tratamiento que presten servicios digitales a más de quinientos mil usuarios activos mensuales en el país, umbral que el reglamento puede reducir por sector, ponen a disposición interfaces de programación seguras para la transmisión directa de datos a solicitud del titular.
5.2. La Autoridad Nacional de Protección de Datos Personales, en coordinación con la Secretaría de Gobierno y Transformación Digital de la Presidencia del Consejo de Ministros, aprueba estándares mínimos de formatos y seguridad abiertos y tecnológicamente neutrales.
5.3. La transmisión directa se realiza mediante mecanismos de autorización delegada que no exijan al titular compartir sus credenciales con el receptor, con autorización específica en cuanto a receptor, categorías de datos y vigencia, revocable en cualquier momento. El receptor solo trata los datos para la finalidad informada.
Artículo 6. Excepciones
No procede la portabilidad respecto de: a) datos inferidos o derivados por el responsable mediante análisis propios, salvo que este decida incluirlos o que el reglamento disponga lo contrario para categorías específicas; y b) datos cuya entrega afecte secretos comerciales o derechos de terceros, debiendo entregarse en todo caso la información no afectada. La imposibilidad técnica de la transmisión directa debe ser acreditada por el responsable ante la Autoridad Nacional de Protección de Datos Personales cuando esta lo requiera; no es oponible por los responsables obligados conforme al numeral 5.1.
Artículo 7. Seguridad y verificación
7.1. El responsable verifica la identidad del solicitante con autenticación multifactor o con la identidad digital del Estado.
7.2. Las interfaces usan canales cifrados, autenticación mutua con el receptor y limitación de volumen.
7.3. El responsable notifica al titular cada transmisión por un canal distinto del usado para solicitarla y conserva registro de las transmisiones por dos años.
7.4. El responsable puede suspender una transmisión ante indicios razonables de fraude, informando al titular.
7.5. El responsable receptor trata los datos conforme a la Ley 29733.
Artículo 8. Infracciones
Constituyen infracciones graves, sancionables por la Autoridad Nacional de Protección de Datos Personales con multa conforme al artículo 39 de la Ley 29733 y a su procedimiento sancionador: a) no atender, dentro del plazo legal y sin causa justificada, la solicitud de portabilidad; b) entregar los datos en un formato que no sea estructurado, de uso común y legible por máquina; c) no disponer de las interfaces del numeral 5.1, vencido el plazo de vigencia; y d) incumplir los requisitos de seguridad de los numerales 5.3, 7.1, 7.2 o 7.3.
Primera Disposición Complementaria Final
Reglamentación. El Poder Ejecutivo, mediante decreto supremo refrendado por el ministro de Justicia y Derechos Humanos, adecúa los artículos 76 y 133 del Reglamento de la Ley 29733, aprobado por Decreto Supremo 016-2024-JUS, en un plazo de noventa días hábiles contados a partir del día siguiente de la publicación de la presente ley.
Segunda Disposición Complementaria Final
Financiamiento. La aplicación de la presente ley se financia con cargo al presupuesto institucional del Ministerio de Justicia y Derechos Humanos, sin demandar recursos adicionales al Tesoro Público.
Tercera Disposición Complementaria Final
Vigencia. La presente ley entra en vigencia a los doce meses de su publicación en el diario oficial El Peruano; la obligación del numeral 5.1 rige a los veinticuatro meses de dicha publicación.
Análisis costo-beneficio
No genera gasto público relevante: la supervisión se integra a las funciones existentes de la Autoridad Nacional de Protección de Datos Personales, que ya tutela el art. 76 del Reglamento. Los costos de cumplimiento recaen en los responsables, proporcionales a su tamaño: solo los servicios con más de 500 000 usuarios activos mensuales (umbral referencial a sustentar en el dictamen) deben ofrecer interfaces con autenticación reforzada, autorización delegada, registro y notificación, un costo moderado para grandes plataformas; las mypes solo entregan datos en formato estructurado. El beneficio es doble: refuerza el control de las personas sobre sus datos (ahora también los observados) y reduce barreras de cambio de proveedor, favoreciendo la competencia y la entrada de nuevos servicios, incluidos los basados en IA. Los requisitos de seguridad previenen que la portabilidad se convierta en vía de fraude o extracción masiva. La exposición de motivos debe incluir un cuadro comparativo art. 76 del Reglamento / ley.
Impacto económico: detalle y supuestos
Estimación referencial con supuestos explícitos · confianza: media. No es un dato oficial ni reemplaza el informe del MEF.
neutro
S/ 0
anual
Presupuesto institucional del MINJUSDH, sin demandar recursos adicionales al Tesoro Público.
Menor concentración de mercados digitales; recaudación eventual por multas (no estimable). Cualitativo.
Control de los titulares sobre sus datos y menores costos de cambio de proveedor. No cuantificable con información pública.
Desarrollo de servicios que reutilizan datos portados con consentimiento; no cuantificable.
Grandes plataformas: desarrollo de API con autorización delegada, autenticación reforzada, registro y notificación (costo moderado, no cuantificado públicamente); demás responsables: entrega en formato estructurado.
Fraude o extracción masiva mediante autorizaciones engañosas; transmisión de datos de terceros; incumplimiento de plataformas sin domicilio en el país; umbral inadecuado.
La ANPD ya tutela el derecho de portabilidad del art. 76 del Reglamento mediante el procedimiento trilateral existente; la ley agrega estándares y tipificación que se atienden con su personal actual. Un eventual aumento de reclamos no es cuantificable.
Revisión especializada
Revisión asistida por IA desde cinco especialidades, sobre la versión anterior del texto. No reemplaza la revisión de un abogado ni el dictamen de comisión.
Observaciones atendidas en esta versión: 16 corregidas, 2 parciales, 0 no aplicadas (con justificación).
| Especialidad | Veredicto | Opinión |
|---|---|---|
| Constitucional | Conforme | La portabilidad desarrolla la autodeterminación informativa (art. 2.6) y promueve la libre competencia (art. 61); la carga sobre las empresas es proporcional por el umbral y la vigencia diferida. Observaciones menores de técnica sancionadora. Hallazgos: 0 altos · 0 medios · 3 bajos |
| Técnica legislativa | Con observaciones | La elevación a rango legal del derecho a la portabilidad está bien planteada, pero la exposición de motivos no advierte que el Reglamento de la Ley 29733 ya lo reconoce sustantivamente (art. 76 del D.S. 016-2024-JUS). Además, la infracción se crea por remisión genérica y la ubicación sistemática debe ajustarse al derecho de acceso. Hallazgos: 0 altos · 2 medios · 2 bajos |
| Concordancia normativa | Con observaciones | La portabilidad YA está reconocida en el art. 76 del Reglamento (D.S. 016-2024-JUS) como manifestación del derecho de acceso, con vigencia diferida de 6 meses; el problema lo describe como mera habilitación. La propuesta es útil para darle rango legal, pero debe reconocer y armonizar ese art. 76 (excepciones por carga excesiva, datos inferidos) y coordinar con ECO-06 (finanzas abiertas). Hallazgos: 0 altos · 3 medios · 2 bajos |
| Seguridad | Con observaciones | La portabilidad directa mediante API crea un canal de extracción masiva de datos personales: si la autorización o la verificación de identidad fallan, se facilita la toma de cuentas y la exfiltración. El art. 6 es correcto pero demasiado genérico; deben fijarse requisitos mínimos de autenticación, autorización acotada y trazabilidad. Hallazgos: 0 altos · 1 medios · 1 bajos |
| Derecho tecnológico | Observaciones graves | La portabilidad ya existe en el ordenamiento: el art. 76 del DS 016-2024-JUS la reconoce como manifestación del derecho de acceso, con transmisión directa, exclusión de datos inferidos y de funciones públicas, y entró en vigor seis meses después del reglamento. La propuesta tiene valor al darle rango legal, ampliar a datos observados y crear API obligatorias, pero su diagnóstico es inexacto y debe redactarse como modificación coherente con el art. 76, cuidando la seguridad de la transmisión directa. Hallazgos: 1 altos · 1 medios · 2 bajos |
Efecto de la vigencia sobre la legislación nacional
Incorpora el art. 19-A a la Ley 29733 (a continuación del derecho de acceso; numeración por verificar contra el texto vigente). Eleva a rango legal y modifica el contenido del art. 76 del D.S. 016-2024-JUS (amplía a datos observados, limita la excepción por imposibilidad técnica, fija plazo, gratuidad y API obligatorias) y dispone adecuar sus arts. 76 y 133. Tipifica infracciones graves sancionables conforme al art. 39 de la Ley 29733. La portabilidad financiera se rige por su ley especial, con aplicación supletoria de esta ley. Complementa el D.U. 007-2020 y la Ley 29571. No deroga normas.
Indicador de éxito al 2031
Al 2031, estándar técnico de portabilidad aprobado, los servicios digitales que superen el umbral con API de portabilidad operativas y estadísticas anuales de solicitudes atendidas publicadas por la ANPD.
Normas relacionadas
Antecedentes
No se identificaron en SPLEY proyectos del periodo 2021-2026 sobre portabilidad de datos personales (búsqueda de la revisión de concordancia normativa; por confirmar al dictaminar). Relacionados: PL 04708/2022-CR (modifica la Ley 29733) y PL 14322/2025-CR (protección frente a recolección y comercialización indebida de datos en plataformas). Antecedente reglamentario: art. 76 del D.S. 016-2024-JUS.
Referencias internacionales
Fuentes
¿Qué opinas de esta propuesta?
Apoya o rechaza esta propuesta y deja tu comentario. No necesitas cuenta; todo queda registrado y se consolida en la página Ciudadanía.
Privacidad · Propuesta ciudadana de libre uso para cualquier congresista, bancada o colectivo que quiera presentarla. No es un proyecto de ley presentado ni tiene número en el Congreso. Cítala y mejórala.