Reglamento de la Ley de Protección de Datos Personales en Perú: qué implica para tu hosting
Información vigente al 30.09.2026. Guía informativa, no asesoría legal.
Qué dice el Decreto Supremo N.º 016-2024-JUS sobre encargados, incidentes y transferencias fuera de Perú, y qué papel juega tu proveedor de hosting.
Respuesta corta
- 1El Decreto Supremo N.º 016-2024-JUS aprobó el nuevo Reglamento de la Ley N.º 29733 y se publicó en El Peruano el 30 de noviembre de 2024; entra en vigencia a los 120 días calendario de su publicación.
- 2Si tu proveedor de hosting trata datos personales por encargo tuyo, tú sigues siendo el responsable: el Reglamento regula al encargado, limita que transfiera datos a terceros sin autorización y le exige informarte de inmediato de cualquier incidente de seguridad (arts. 31 y 36).
- 3Enviar datos a un servidor fuera de Perú es un flujo transfronterizo: debe ir a un país con nivel adecuado de protección o con garantías adecuadas, por ejemplo cláusulas contractuales modelo (arts. 18 y 20).
- 44hosting tiene servidores en Fráncfort, no en Perú, y ofrece un contrato de encargo (DPA, art. 28 RGPD) y cláusulas contractuales tipo; no certifica ni firma el cumplimiento legal de tu empresa.
Qué cambió con el nuevo Reglamento
El Decreto Supremo N.º 016-2024-JUS fue publicado como separata especial de El Peruano el sábado 30 de noviembre de 2024 y desarrolla la Ley N.º 29733. Su disposición de vigencia fija 120 días calendario desde la publicación; distintas firmas legales indican que eso corresponde a finales de marzo de 2025, y aquí no citamos un día exacto.
El texto también prevé una entrada en vigencia progresiva para algunas obligaciones, como la designación del Oficial de Datos Personales en ciertos supuestos. Revisa el decreto completo o consulta a tu asesor legal para saber en qué plazo cae tu empresa.
Encargado del tratamiento y servicios tercerizados: lo que dice el texto
Un hosting es, en la práctica, un prestador de servicios tecnológicos tercerizados. El artículo 30 le exige mantener medidas de seguridad adecuadas, permitirte limitar el tipo de tratamiento y garantizar la supresión de los datos cuando termine el servicio y los hayas podido recuperar.
El artículo 31 prohíbe al encargado transferir a terceros los datos tratados salvo autorización del responsable, y fija un máximo de dos años de conservación desde el último encargo, con excepciones. El artículo 32 permite la subcontratación con autorización previa del responsable, que puede estar prevista en el contrato. El artículo 36 obliga al encargado a informarte de forma inmediata de los incidentes de seguridad.
Incidentes y flujo transfronterizo
Según el artículo 34, cuando un incidente exponga grandes volúmenes de datos, afecte a muchas personas, involucre datos sensibles o perjudique evidentemente derechos del titular, el responsable debe notificar a la Autoridad Nacional de Protección de Datos Personales como máximo dentro de las 48 horas de haber tomado conocimiento. Como tu hosting debe avisarte de inmediato (art. 36), conviene pactar por escrito cómo y a quién.
Para el flujo transfronterizo, el artículo 18 pide que el receptor esté en un país con nivel adecuado de protección; si no, el exportador debe otorgar garantías adecuadas. El artículo 20 menciona cláusulas contractuales modelo u otros instrumentos jurídicos. Este texto no afirma si Alemania o Rumanía tienen reconocido un nivel adecuado: comprueba ese punto con la autoridad peruana o con tu asesor antes de decidir.
Tres ejemplos
Tienda en línea de una pyme en Lima
Guarda nombres, direcciones y pedidos de clientes peruanos. Si aloja en un servidor europeo, debe documentar el flujo transfronterizo y firmar con el hosting un contrato de encargo que prohíba transferir esos datos a terceros sin su autorización.
Clínica o consultorio en Arequipa
Los datos de salud son sensibles, y un incidente con datos sensibles entra en el supuesto de notificación a la Autoridad. Necesita acordar con el proveedor un canal de aviso inmediato y una copia de seguridad que pueda restaurar.
Agencia digital con clientes en varios países
Aloja sitios de terceros y actúa como encargada frente a ellos: debe revisar si el hosting que usa es, a su vez, un subencargado autorizado por el contrato con cada cliente.
Errores frecuentes
- Creer que contratar un hosting traslada la responsabilidad legal al proveedor: el responsable sigue siendo tu empresa.
- No dejar por escrito qué subencargados puede usar el proveedor.
- No definir quién avisa a quién, y en cuánto tiempo, si hay un incidente.
- Suponer que un servidor fuera de Perú no requiere ninguna garantía adicional.
- Guardar copias de seguridad sin comprobar que puedes recuperarlas y pedir su supresión al terminar el servicio.
Cómo te ayuda 4hosting
Alojamos tu sitio en la Unión Europea (Fráncfort, no en Perú), con protección DDoS incluida, contrato de encargo de tratamiento (DPA, art. 28 RGPD), cláusulas contractuales tipo para transferencias y migración gratuita. Trabajamos con alineación a ISO 27001; no tenemos certificaciones de cumplimiento ni firmamos el cumplimiento legal por ti. Si necesitas ayuda con endurecimiento de servidores o control de accesos, los servicios de DevOps y ciberseguridad se ofrecen por horas incluidas en los planes que las contemplan.
Preguntas frecuentes
¿Los servidores de 4hosting están en Perú?
No. El centro de datos de 4hosting está en la Unión Europea, en Fráncfort.
¿4hosting firma un contrato de encargo de tratamiento?
Sí, ofrece un contrato de encargo (DPA) conforme al artículo 28 del RGPD y cláusulas contractuales tipo para transferencias. No sustituye el análisis legal de tu empresa.
¿4hosting garantiza que cumplo el Reglamento peruano?
No. 4hosting no es un certificador ni firma el cumplimiento legal del cliente; te da el marco contractual y técnico, y la responsabilidad sigue siendo tuya. Este texto es informativo y no es asesoría legal.