Mi empresa quiere transferir datos fuera y cumplir la ley peruana

¿Tienes razón?

Hay tres factores que determinan si puedes trasladar datos personales fuera de Perú: la naturaleza de los datos (si son datos sensibles o ordinarios), la relación jurídica con el tercero receptor (contratista, filial, proveedor de servicios en la nube, ente público) y las garantías que ofreces para proteger esos datos en la otra jurisdicción. Si son solo datos básicos de clientes y vas a un proveedor que aplica medidas de seguridad razonables, la transferencia es viable. Si son datos sensibles o la contraparte está en un país con normas de protección débiles, la exigencia de garantías contractuales y técnicas es mayor. También pesa si el titular del dato dio su consentimiento o si existe otra base legal aplicable bajo la Ley de Protección de Datos Personales. Identificar estos tres puntos es la guía para saber si la empresa está obligada a adaptar procesos o si la transferencia puede hacerse con controles mínimos.

Cómo se soluciona

1. Mapear los flujos de datos: identifica qué categorías de datos sales del país, por qué finalidad, quiénes son los receptores y en qué sistemas quedan almacenados. Exporta listas y diagramas; documenta proveedores y ubicaciones físicas/virtuales.

1. Clasificar los datos: etiqueta cada campo como datos personales ordinarios, datos sensibles o datos sujetos a otra restricción normativa (por ejemplo, información tributaria o laboral con tratamiento especial). Esto determina el nivel de protección exigible.

1. Evaluación de riesgos y due diligence del receptor: pide al receptor políticas de privacidad, certificaciones de seguridad, evidencias de prácticas de ciberseguridad y ubicación de servidores. Guarda la due diligence en un expediente.

1. Establecer la base legal: revisa si la transferencia se sostiene en el consentimiento explícito del titular, en la ejecución de un contrato o en otra base que la ley permita. Si confías en el consentimiento, documenta cómo y cuándo se obtuvo; si la base es contractual, deja reflejado el vínculo con la prestación del servicio.

1. Contratos y cláusulas de protección: incluye cláusulas específicas en los contratos con terceros que recojan obligaciones de confidencialidad, medidas técnicas y organización de seguridad, subcontratación, derecho de auditoría y reglas para responder a incidentes. Exporta esos contratos y archívalos.

1. Medidas técnicas y organizativas: habilita cifrado en tránsito y en reposo, control de accesos, registro de accesos, backup seguro y procedimientos de respuesta a incidentes. Prueba y documenta las pruebas de penetración y controles periódicos.

1. Informar a los titulares y autoridades: actualiza políticas de privacidad y avisos; comunica a los titulares que sus datos podrán transferirse y con qué finalidad. Conserva evidencia de la comunicación.

1. Registro y revisión: integra todo en un registro de actividades de tratamiento y revisa periódicamente la operación y los contratos. Si hay cambios en los proveedores o en las ubicaciones, repite la due diligence.

Qué puedes hacer hoy: pide a tu área de TI un inventario de servidores y proveedores, copia de contratos con cláusulas de protección y pruebas de cifrado. Si no existen, prepara un plan mínimo para cubrir esos huecos.

Qué necesita un abogado: redactar o revisar cláusulas contractuales, asesorarte sobre bases legales válidas según la Ley de Protección de Datos Personales y orientar en la notificación y redacción de los avisos a titulares.

Qué puede pasar

1) Se arregla con una carta o ajuste contractual. Muchas transferencias se regularizan añadiendo cláusulas contractuales y actualizando la política de privacidad. Esto suele ser rápido y evita sanciones administrativas si la empresa demuestra buena fe y medidas correctoras.

2) Acuerdo regulado o conciliación. Si la Autoridad de Protección de Datos recibe una queja, puede proponerse una solución negociada que exige medidas concretas y plazos para ponerlas en marcha. Un acuerdo puede imponer la obligación de auditar al proveedor y corregir vulnerabilidades.

3) Procedimiento administrativo o sanción. Si hay vulneración grave de datos o falta de medidas, la empresa puede enfrentar una investigación administrativa y sanciones. Si la empresa litigara y perdiera, cabe la posibilidad de sanciones económicas y órdenes de cesar el tratamiento. Y si la otra parte no coopera, la responsabilidad contractual puede derivar en demandas civiles.

Y si ganas, ¿cobras? Si obtienes una resolución favorable frente a un proveedor extranjero, la ejecución de esa decisión dependerá de la solvencia y presencia del proveedor en Perú. Una sentencia o resolución contra un ente sin activos o sin presencia puede quedar como un derecho reconocido pero de difícil ejecución práctica.

Errores que arruinan el caso

• No documentar el consentimiento o la base legal: si dependes del consentimiento y no tienes registros, tu defensa queda debilitada.
• Confiar solo en promesas verbales del proveedor: sin contrato escrito con cláusulas de protección no hay seguridad.
• Ignorar la ubicación física de los servidores: creer que "la nube" es neutra y no comprobar en qué país están los datos.
• Borrar logs y comunicaciones que prueban la transferencia cuando hay una investigación; eso destruye evidencia.