PeruConformidade com a Lei 29733 do Peru usando o ConsentX
Lei de Proteção de Dados Pessoais (Lei 29733)
Peru
Em vigor desde 2011
O regulamento vigente, Decreto Supremo n.º 016-2024-JUS, está em vigor desde 31 de março de 2025.
Américas
Quem deve cumprir a Lei 29733?
A Lei 29733 se aplica a organizações e outras entidades que tratam dados pessoais no âmbito do marco peruano de proteção de dados. Isso pode incluir empresas, organizações do setor público, operadores de sites, serviços digitais, empregadores, instituições financeiras, organizações de saúde e outras entidades que coletam, usam, armazenam, divulgam ou de outro modo tratam dados pessoais. As organizações que operam fora do Peru também devem avaliar se suas atividades de tratamento se enquadram no âmbito territorial do marco peruano.
Penalidades sob a Lei 29733
As violações da Lei 29733 e de seu regulamento podem resultar em sanções administrativas. As multas são classificadas conforme a gravidade da infração e podem chegar a 100 UIT (Unidad Impositiva Tributaria) para as violações mais graves. A sanção aplicável depende da infração específica e das circunstâncias do caso.
Principais obrigações sob a Lei 29733
- Obter consentimento válido quando o consentimento for a base legal aplicável.
- Assegurar que o consentimento seja livre, prévio, expresso, inequívoco e informado.
- Comunicar com clareza a finalidade do tratamento de dados.
- Fornecer às pessoas informações de privacidade adequadas.
- Respeitar os direitos dos titulares.
- Implementar medidas de segurança técnicas e organizacionais adequadas.
- Registrar os bancos de dados pessoais quando o registro for exigido.
- Estabelecer procedimentos para atender às solicitações dos titulares.
- Avaliar os requisitos aplicáveis a transferências e divulgações internacionais.
- Manter evidências adequadas que demonstrem a conformidade.
O regulamento vigente também fortalece a responsabilização das organizações e introduz mecanismos adicionais de conformidade.
Requisitos de consentimento
O consentimento é um elemento central do marco peruano de proteção de dados.
Quando o consentimento é exigido, as organizações devem em geral obtê-lo antes do início do tratamento, e esse consentimento deve ser:
- Livre
- Prévio
- Expresso
- Inequívoco
- Informado
O consentimento deve ser distinguível de outros termos ou condições e deve fornecer às pessoas informações suficientes para compreender aquilo com que estão concordando.
No entanto, as organizações não devem presumir que o consentimento é exigido para toda atividade de tratamento. A Lei 29733 prevê circunstâncias em que os dados pessoais podem ser tratados sem consentimento.
Dados pessoais sensíveis
Os dados pessoais sensíveis recebem proteção reforçada no marco peruano de proteção de dados.
As organizações que lidam com informações sensíveis devem aplicar os requisitos e salvaguardas adicionais estabelecidos pela Lei 29733 e seu regulamento.
Os avisos de privacidade e os mecanismos de consentimento devem explicar com clareza as categorias de dados pertinentes e as finalidades para as quais as informações sensíveis serão tratadas.
Direitos dos titulares
A Lei 29733 confere às pessoas direitos sobre seus dados pessoais.
Entre eles estão os direitos ARCO:
- Acesso: as pessoas podem solicitar informações sobre seus dados pessoais e as atividades de tratamento pertinentes.
- Retificação: as pessoas podem solicitar a correção de dados pessoais inexatos, incompletos ou desatualizados.
- Cancelamento: as pessoas podem solicitar a exclusão ou o cancelamento de seus dados pessoais quando os requisitos legais aplicáveis forem atendidos.
- Oposição: as pessoas podem se opor a determinados tratamentos de seus dados pessoais quando os requisitos aplicáveis à oposição forem atendidos.
As organizações devem estabelecer processos claros para receber, autenticar, acompanhar e responder a essas solicitações.
Avisos de privacidade e transparência
As organizações devem fornecer às pessoas informações claras sobre o tratamento de seus dados pessoais.
Um aviso de privacidade deve abordar informações pertinentes, como:
- Categorias de dados pessoais coletados
- Finalidades do tratamento
- Como os dados pessoais são usados
- Destinatários pertinentes
- Transferências internacionais, quando aplicável
- Direitos dos titulares
- Como as pessoas podem exercer seus direitos
- Outras informações exigidas pelo marco aplicável
O regulamento vigente reforça os requisitos de transparência e informação para o tratamento de dados pessoais.
Segurança e responsabilização
As organizações devem implementar medidas de segurança adequadas para proteger os dados pessoais contra riscos como acesso não autorizado, perda, alteração, divulgação ou destruição.
O regulamento de 2024 fortalece o marco de conformidade e responsabilização e introduz mecanismos adicionais para que as organizações demonstrem que dispõem de medidas adequadas de proteção de dados.
Por isso, as organizações devem manter documentação, políticas, procedimentos, controles técnicos e evidências de conformidade adequados.
Incidentes de segurança de dados
O regulamento vigente introduz requisitos relativos à notificação de determinados incidentes de segurança de dados pessoais.
A ANPD afirma que incidentes envolvendo dados pessoais devem ser notificados à autoridade em até 48 horas a partir do conhecimento do incidente, quando o requisito de notificação aplicável é acionado.
Por isso, as organizações devem manter um processo de resposta a incidentes capaz de identificar, avaliar, documentar e escalar violações de dados pessoais dentro do prazo exigido.
Transferências internacionais de dados
As organizações que transferem dados pessoais para fora do Peru devem avaliar os requisitos aplicáveis nos termos da Lei 29733 e de seu regulamento.
Antes de transferir dados pessoais internacionalmente, as organizações devem considerar:
- O país de destino
- O destinatário
- A finalidade da transferência
- As salvaguardas aplicáveis
- A base legal da transferência
- Os requisitos contratuais
- Quaisquer requisitos aplicáveis de notificação ou autorização
As transferências internacionais devem fazer parte do programa mais amplo de mapeamento de dados e conformidade em privacidade da organização.
Registro de bancos de dados pessoais
O marco peruano de proteção de dados inclui requisitos relativos ao registro de bancos de dados pessoais.
As organizações devem determinar quais bancos de dados estão sujeitos a registro e assegurar a manutenção dos registros e atualizações exigidos.
O registro de bancos de dados deve ser considerado em conjunto com os avisos de privacidade, as finalidades de tratamento, os controles de segurança e os procedimentos de direitos dos titulares.
Cookies e rastreamento on-line
Cookies, pixels, ferramentas de analytics, tecnologias de publicidade e outras tecnologias de rastreamento on-line podem envolver o tratamento de dados pessoais.
Por isso, as organizações que operam sites no Peru devem avaliar:
- Quais cookies e rastreadores estão implantados
- Quais informações eles coletam
- Se eles tratam dados pessoais
- A finalidade de cada tecnologia
- Se o consentimento é exigido
- Se os dados são transferidos a terceiros
- Se as informações são transferidas internacionalmente
Uma plataforma de gestão de consentimento pode ajudar as organizações a identificar rastreadores, comunicar as finalidades de tratamento, obter consentimento quando exigido e impedir que as tecnologias aplicáveis sejam executadas antes do consentimento.
Como o ConsentX ajuda na conformidade com a Lei 29733
Captura de consentimento prévio e expresso
Capture o consentimento antes de os cookies, rastreadores ou atividades de tratamento aplicáveis serem ativados.
Consentimento baseado em finalidades
Apresente informações claras sobre as finalidades para as quais os dados pessoais e as tecnologias de rastreamento são usados.
Gestão de cookies e rastreadores
Escaneie sites para identificar cookies e rastreadores e controle a ativação das tecnologias não essenciais aplicáveis.
Registros de consentimento
Crie registros de consentimento auditáveis contendo informações sobre as escolhas dos usuários e o evento de consentimento.
Gestão de solicitações dos titulares
Ofereça fluxos de trabalho para receber e gerenciar solicitações de privacidade, incluindo pedidos de acesso, retificação, cancelamento e oposição.
Conformidade regional
Aplique regras de consentimento específicas por jurisdição por meio do mecanismo de regras por região do ConsentX.
Prepare-se para a Lei 29733 com o ConsentX
Escaneie seu site → Identifique rastreadores → Configure o consentimento → Bloqueie os rastreadores aplicáveis → Registre o consentimento → Gerencie as solicitações de privacidade. Construa uma experiência de privacidade mais transparente e auditável para os usuários no Peru.
Esta página fornece um resumo em linguagem simples do marco peruano de proteção de dados pessoais para fins informativos gerais e não constitui aconselhamento jurídico. As organizações devem avaliar suas atividades de tratamento específicas e consultar assessoria jurídica peruana qualificada quando necessário.
Como cumprir a Lei 29733 usando o ConsentX
- 1
Escaneie seu site
Escaneie seu site para identificar cookies, rastreadores, scripts, pixels e outras tecnologias que possam tratar dados pessoais.
- 2
Identifique as finalidades de tratamento
Classifique cada tecnologia conforme sua finalidade, como analytics, publicidade, personalização, funcionalidade ou outro tratamento.
- 3
Configure um banner de consentimento pronto para o Peru
Implemente um banner de consentimento que forneça informações claras e capture o consentimento adequado para as atividades de tratamento em que o consentimento é exigido.
- 4
Bloqueie os rastreadores aplicáveis antes do consentimento
Impeça que cookies e rastreadores não essenciais aplicáveis sejam ativados até que o consentimento exigido tenha sido obtido.
- 5
Registre a evidência de consentimento
Armazene as escolhas de consentimento dos usuários junto com informações contextuais relevantes para ajudar a demonstrar a conformidade.
- 6
Gerencie as solicitações dos titulares
Use um fluxo de trabalho centralizado para receber e gerenciar as solicitações aplicáveis de acesso, retificação, cancelamento e oposição.
- 7
Monitore sua postura de conformidade
Reescaneie seu site regularmente e revise cookies, rastreadores, configurações de consentimento, avisos de privacidade e tecnologias de terceiros.
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 18.331
LOPDP