¿Debo registrar mis bases de datos ante la autoridad?

¿Tienes razón?

En Perú la obligación central es respetar las reglas de protección de datos: informar a los titulares, limitar finalidades, asegurar datos y responder derechos. El registro público de bases no siempre es un requisito autónomo; lo que importa es llevar un inventario interno y tener evidencia de cumplimiento. Tres cosas determinan si debes prestarle atención al registro o a otras formalidades: la naturaleza de los datos (si son sensibles), el volumen y la finalidad (si hay tratamiento masivo o perfilamiento), y el uso comercial o transferencia de datos a terceros.

Para muchas actividades comerciales pequeñas, no existe un trámite público específico más allá de cumplir con deberes informativos y medidas de seguridad. Sin embargo, si tu organización procesa datos de manera constante, comparte con terceros o contrata servicios en la nube que impliquen transferencias, debes documentar los procesos y disponer de cláusulas contractuales. Un inventario bien mantenido equivale, en la práctica, a un registro interno que te protege frente a inspecciones.

No confundas publicidad con requisito legal: mantener un registro es buena práctica y recomendable, pero lo esencial es poder demostrar que puedes identificar titular, finalidad, base legal y periodo de retención; además de haber implementado medidas técnicas y organizativas proporcionales.

Cómo se soluciona

1. Haz un inventario interno de bases. Lista cada base o tratamiento: finalidad, categorías de datos, destinatarios, transferencias y plazos de retención. Incluye responsables internos y contactos para ejercicio de derechos.

1. Acompáñalo de documentos: políticas de privacidad, avisos en formularios, contratos con encargados y procedimientos para acceso, rectificación, cancelación y oposición. Documenta las medidas de seguridad técnicas aplicadas (cifrado, control de accesos, copias de seguridad) y las pruebas de implementación.

1. Evalúa si hay requisitos sectoriales. Algunos sectores (salud, finanzas) requieren formalidades adicionales o notificaciones específicas. Consulta guías sectoriales y regula internamente el acceso a datos sensibles.

1. Decide sobre registro voluntario. Si existe la opción de un registro público o de notificación a la autoridad, valora hacerlo para demostrar proactividad. Si tu actividad implica riesgo elevado, el registro público puede ser una carta a favor en caso de inspección.

1. Mantén el inventario actualizado. Cada cambio en finalidad, categorías de datos o transferencia debe registrarse. Guarda versiones y responsables que hayan aprobado los cambios.

Qué puedes hacer hoy: crear la lista y las políticas, poner un aviso de privacidad claro en los formularios y revisar contratos. Necesitas un abogado cuando hay duda sobre la base legal, cuando manejas datos sensibles o cuando hay transferencias internacionales y necesitas cláusulas contractuales robustas.

Qué puede pasar

1) Se arregla internamente. Lo habitual: organizas el inventario, actualizas políticas y listados de encargados. Con eso reduces los riesgos y mejoras la respuesta a titulares.

2) Acuerdo o requerimiento. Si la autoridad detecta problemas, suele requerir medidas de remediación; un inventario y políticas claras facilitan la respuesta y la negociación.

3) Sanción o medidas administrativas. Si hay incumplimiento grave y no justificas medidas, la autoridad puede imponer medidas o sanciones. En un procedimiento judicial o administrativo, la existencia de documentación detallada y versiones firmadas mejora tu defensa.

Y si ganas, ¿cobras? El registro no es una garantía de indemnización. Si un titular reclama por un daño real, la reparación depende de la prueba del daño y de la responsabilidad efectiva del responsable.

Errores que arruinan el caso

• Hacer un registro genérico y no mantenerlo actualizado.
• No documentar transferencias a terceros o subcontratistas.
• Creer que el registro sustituye medidas técnicas: no es así.
• No tener un aviso de privacidad visible para titulares.
• No guardar versiones firmadas con responsables que aprueben cambios.