La lucha contra la corrupción de datos en el Perú: entre filtraciones masivas y un marco legal que avanza a paso lento

La venta ilegal de bases de datos se ha convertido en uno de los problemas más graves de seguridad ciudadana en el Perú. No se trata de un delito menor ni de una práctica aislada: en plena avenida Wilson, en el centro de Lima, se comercializan abiertamente paquetes de información personal con nombres, DNIs, direcciones, teléfonos y hasta detalles de tarjetas de crédito por montos que van desde los 70 hasta los 3,000 soles, dependiendo de la calidad y sensibilidad de los datos. Esta realidad evidencia que la información de los peruanos se ha convertido en una mercancía al alcance de cualquiera, alimentando una cadena de estafas, suplantaciones de identidad y extorsiones que afectan a miles de ciudadanos.

Pero este comercio ilegal no se limita al espacio físico. Las plataformas digitales han amplificado el problema de manera exponencial, convirtiendo a las redes sociales y aplicaciones de mensajería en el nuevo mercado negro de datos personales. En Facebook Marketplace existen decenas de anuncios que ofrecen, por montos tan bajos como S/ 2.50, fichas completas del RENIEC, antecedentes policiales y registros de SUNARP; basta con escribir al vendedor y realizar el pago a través de billeteras digitales para recibir la información en minutos. Telegram se ha consolidado como uno de los principales canales, con grupos y bots automatizados que entregan al instante documentos de identidad, números telefónicos, direcciones, datos bancarios e incluso huellas dactilares. Asimismo, plataformas como TikTok y WhatsApp son utilizadas para ofrecer estos servicios ilícitos, como quedó evidenciado en marzo de 2026 con la detención en Comas de una pareja que, a través de TikTok y cuatro cuentas de Telegram, comercializaba desde fichas RENIEC hasta requisitorias y servicios de reconocimiento facial por fotografía.

El origen de estas filtraciones masivas se encuentra tanto en el sector público como en el privado. En 2022, la Asociación de Bancos del Perú (Asbanc) denunció la filtración y venta de datos administrados por el Registro Nacional de Identificación y Estado Civil (RENIEC) y la Superintendencia Nacional de los Registros Públicos (SUNARP), información que incluía no solo datos básicos sino también huellas digitales, situación laboral y detalles de vehículos. Más recientemente, en abril de 2025, se reportó la exposición de direcciones, fotos y firmas de más de 15 millones de peruanos, lo que generó alertas sobre el uso indebido de esta información para inscripciones fraudulentas en agrupaciones políticas. En el ámbito privado, el ciberataque al Banco Interbank en octubre de 2024 evidenció que ninguna entidad está exenta; los atacantes amenazaron con filtrar los datos de millones de clientes si no se pagaba un rescate de 4 millones de dólares.

Frente a este escenario, el Estado peruano ha venido fortaleciendo su marco normativo. El 30 de noviembre de 2024 se publicó el Decreto Supremo N° 016-2024-JUS, que aprueba el nuevo Reglamento de la Ley de Protección de Datos Personales (Ley N° 29733), el cual entró en vigencia el 31 de marzo de 2025. Este reglamento moderniza las exigencias para las entidades públicas y privadas, estableciendo la designación obligatoria de un Oficial de Protección de Datos (DPO), la obligación de registrar todos los bancos de datos personales ante la Autoridad Nacional de Protección de Datos Personales (ANPD), y la implementación de medidas técnicas robustas como la gestión de accesos, controles de seguridad en servidores y planes de continuidad ante incidentes.

La ANPD, por su parte, ha intensificado su labor fiscalizadora. Durante 2024, impuso multas por más de 13 millones de soles por infracciones a la normativa, y en 2025 superó los 11 millones de soles en sanciones, además de fiscalizar a 760 entidades e iniciar 136 procedimientos sancionadores. Las multas pueden alcanzar hasta 100 UIT (aproximadamente 550,000 soles) para infracciones muy graves, e incluso hasta el 2% de la facturación de la empresa infractora. Sin embargo, el verdadero desafío no está solo en sancionar, sino en prevenir las filtraciones y, sobre todo, en garantizar que los ciudadanos afectados sean informados de manera oportuna.

Uno de los problemas más críticos es que la mayoría de los peruanos no se entera de que sus datos han sido vulnerados. Las entidades suelen limitarse a comunicar los incidentes a la autoridad, pero no notifican directamente a los titulares de los datos. El nuevo reglamento busca cambiar esto al establecer la obligación de notificar a la ANPD en un plazo máximo de 48 horas y de informar a los afectados cuando el incidente involucre un gran volumen de datos, incluya datos sensibles o genere un perjuicio evidente. No obstante, la efectividad de esta medida dependerá de la voluntad de las entidades para implementar canales de comunicación claros y directos con los usuarios.

Para los ciudadanos que sospechen que sus datos han sido comprometidos, existen vías de resarcimiento. Pueden ejercer sus derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) ante la entidad responsable, la cual tiene un plazo máximo de 20 días para responder. Si la respuesta es insatisfactoria o no se recibe, pueden presentar una denuncia ante la ANPD, que tiene facultades para investigar y sancionar. Además, la ley permite reclamar una indemnización por daños y perjuicios, incluyendo el daño moral, incluso si no se ha sufrido un perjuicio económico directo, siempre que se demuestre la infracción y se acredite el daño causado.

Más allá de las sanciones económicas, el combate a esta forma de corrupción requiere un cambio cultural profundo. Las entidades deben entender que la protección de datos no es un gasto ni una carga burocrática, sino un pilar de confianza con sus usuarios y un componente esencial de su responsabilidad social. La alta dirección debe promover activamente una cultura de protección de datos, y los ciudadanos deben estar más atentos, ejercer sus derechos y denunciar cualquier indicio de vulneración. Asimismo, las propias plataformas digitales donde se comercializa esta información ilícita deben asumir un rol más activo en la detección y eliminación de estos contenidos, colaborando con las autoridades para desarticular las redes criminales que operan en su ecosistema.

Solo con un esfuerzo conjunto entre el Estado, las empresas, las plataformas tecnológicas y la sociedad civil será posible frenar el mercado negro de datos personales que hoy opera con total impunidad tanto en las calles como en el entorno digital del Perú. La urgencia del problema exige acciones concretas y coordinadas que vayan más allá de las multas y lleguen a la prevención efectiva, la educación ciudadana y la sanción ejemplar a los responsables.