Cumplimiento protección de datos en Perú: caso
Descubre cómo una empresa peruana implementó el cumplimiento de protección de datos en Perú, paso a paso, y qué aprendizajes puedes aplicar en tu organización
Foto de Brett Sayles en Pexels
En los últimos meses tu empresa ha recibido auditorías de la SUNAT y de la autoridad de datos personales, y cada hallazgo genera retrasos y multas potenciales. En este artículo verás, con ejemplos concretos, cómo se traduce el cumplimiento de protección de datos en Perú en la operatividad diaria de una compañía del sector retail.
El punto de partida
Tipo de empresa: cadena de supermercados de tamaño medio (aprox. 45 tiendas) con presencia en Lima, Arequipa y Trujillo.
Sector: venta al por menor de alimentos y productos de consumo.
Problema concreto: la empresa gestionaba la información de clientes y empleados en bases de datos dispersas (POS, CRM, nómina) sin control centralizado de accesos. La auditoría de la autoridad de protección de datos reveló:
- Falta de registro de accesos. No había trazabilidad de quién consultaba datos personales de clientes.
- Respaldo manual. Las copias de seguridad se realizaban semanalmente y se almacenaban en discos externos sin cifrado.
- Gestión de bajas. Cuando un empleado se iba, sus credenciales permanecían activas en varios sistemas.
Estos síntomas provocaban incertidumbre en la alta dirección y la necesidad de una solución integral que cumpliera con la Ley 29733.
Qué se hizo y por qué
- Auditoría interna de datos – Se asignó un equipo de 3 personas (TI, compliance y RRHH) para mapear todas las fuentes de datos personales. En 4 semanas identificaron 12 bases distintas.
- Centralización en una plataforma de gestión de datos – Se eligió una solución SaaS peruana que permite control de accesos basado en roles y registro de auditoría. Se descartó una solución on‑premise por el tiempo de implementación (más de 12 semanas) y la complejidad de mantenimiento.
- Respaldo automático con cifrado – Se configuró un proceso de backup incremental cada 4 horas, con replicación en la nube pública peruana. Cada backup se cifra con AES‑256 antes de enviarse.
- Política de gestión de accesos y bajas – Se implementó un flujo automatizado: al registrar la salida de un empleado en el sistema de RRHH, el motor de la plataforma revoca inmediatamente sus permisos en todas las aplicaciones conectadas.
- Capacitación y concientización – En 2 jornadas de 2 horas se formó a 120 usuarios clave sobre buenas prácticas y obligaciones bajo la Ley 29733.
Decisiones descartadas:
- Mantener los backups en discos externos por costos percibidos. El riesgo de pérdida y de incumplimiento superó cualquier ahorro.
- Utilizar hojas de cálculo para el registro de accesos. La falta de trazabilidad y la alta probabilidad de error humano lo hicieron inviable.
Qué cambió en el día a día
| Antes | Después |
|---|---|
| Los cajeros ingresaban datos en el POS y el cliente recibía su ticket sin que nadie verificara quién había accedido a su información. | Cada acceso al POS queda registrado con usuario, hora y acción. El supervisor puede generar reportes en tiempo real. |
| Los backups se hacían los viernes por la tarde; si ocurría un fallo el lunes se perdían hasta 3 días de datos. | Backups cada 4 horas; en caso de caída se recupera el último punto de recuperación con pérdida máxima de 4 horas. |
| Cuando un empleado de logística dejaba la empresa, su usuario permanecía activo en el sistema de inventario por semanas. | El proceso de baja revoca automáticamente todos los accesos en menos de 5 minutos. |
El personal de tienda notó una reducción del 30 % en el tiempo dedicado a resolver incidencias de datos (de 2 h a 1,4 h por semana). El área de compliance pasó de 15 auditorías mensuales a 4, al contar con evidencias automáticas de cumplimiento.
Qué es replicable y qué no
Replicable
- Mapeo de fuentes de datos: la metodología de identificar y catalogar cada base es aplicable a cualquier sector.
- Respaldo automático con cifrado: la configuración de backups cada 4 h y su replicación en la nube pública peruana es una práctica estándar que se adapta a empresas de distinto tamaño.
- Flujo de gestión de bajas: integrar el sistema de RRHH con la plataforma de gestión de accesos mediante API es una solución genérica.
No replicable
- Elección de la plataforma SaaS: la solución elegida está optimizada para retail y tiene integraciones nativas con sistemas de POS locales; otra industria podría requerir otro proveedor.
- Frecuencia de backups: en una empresa con menos transacciones críticas, un backup cada 8 h podría ser suficiente.
- Capacitación específica: los ejemplos y casos de uso utilizados en la capacitación estaban diseñados para personal de tiendas y logística; un sector financiero necesitaría contenidos diferentes.
Implementar el cumplimiento de protección de datos en Perú no es solo un proyecto de TI; implica procesos, personas y tecnología alineados con la Ley 29733.
Conclusión
Si has llegado hasta aquí, ahora sabes que el cumplimiento de protección de datos en Perú se traduce en acciones concretas: mapear cada base, centralizar el control de accesos, automatizar backups cifrados y conectar la gestión de bajas con la TI. Aplicar estas prácticas reduce riesgos, agiliza auditorías y protege la reputación de tu empresa sin necesidad de inversiones exageradas. Cada paso es medible y, sobre todo, reproducible en otras organizaciones que buscan alinearse con la normativa peruana.
