Cómo se ve la Ley 29733 en la operación diaria

En una empresa peruana que ya conoce la Ley 29733, el reto no es entender la normativa sino ver cómo afecta cada proceso y quién siente el impacto en su día a día. En este artículo encontrarás la experiencia real de una compañía del sector logístico, con 120 empleados, que transformó su gestión de datos para cumplir la ley sin paralizar su operación.

El punto de partida

Tipo de empresa y sector: Operadora logística que brinda transporte de carga nacional e internacional, con sede central en Lima y 3 sucursales regionales. Gestiona datos de clientes (remitentes, destinatarios), conductores, facturación electrónica y documentación aduanera.

Tamaño: 120 empleados distribuidos en 4 áreas clave – operaciones, atención al cliente, finanzas y TI.

Problema concreto: La auditoría interna de 2025 reveló que el 38 % de los registros de clientes estaban almacenados en planillas Excel sin control de acceso, y que los conductores compartían documentos sensibles por correo personal. Además, la SUNAT había solicitado en una revisión puntual la evidencia de cumplimiento de la Ley 29733, lo que generó alerta en la alta gerencia.

Qué se hizo y por qué

Decisiones estratégicas

• Mapeo de flujos de datos: Se contrató a un consultor especializado en privacidad para diagramar cada punto donde se recolectan, procesan o transfieren datos personales. El objetivo era identificar “puntos críticos” antes de tocar cualquier tecnología.

• Elección de un DPO interno: En lugar de externalizar, se designó a la jefa de cumplimiento (con 8 años en la empresa) como Delegada de Protección de Datos, pues ya conocía los procesos y tenía autoridad transversal.

• Descarte de soluciones legacy: Se decidió abandonar el uso de planillas Excel para datos de clientes y migrar a un módulo de gestión de clientes (CRM) ya integrado con el ERP existente. La alternativa de mantener Excel con controles de contraseña se descartó porque no garantizaba trazabilidad ni auditoría.

• Implementación de clasificación de datos: Se estableció una política de tres niveles – público, interno y confidencial – y se etiquetó cada campo del CRM y del sistema de facturación electrónica. Esta clasificación sirvió para definir permisos de acceso.

• Automatización de consentimientos: Se incorporó al portal de clientes una pantalla de aceptación de política de privacidad que genera un registro de consentimiento con sello de tiempo, cumpliendo el requisito de evidencia documental.

Herramientas y procesos adoptados

• CRM con control de roles: Se configuró un sistema que permite asignar roles (operaciones, finanzas, atención) y limitar la visualización de datos confidenciales solo a usuarios autorizados.

• Registro de accesos (log): Se activó el módulo de auditoría del ERP para registrar cada consulta a datos personales, con retención de 12 meses, tal como exige la normativa.

• Capacitación focalizada: Se diseñó un programa de 3 sesiones de 2 horas cada una para los equipos de atención al cliente y operaciones, centrado en el manejo seguro de datos y la respuesta ante incidentes.

• Procedimiento de respuesta a incidentes: Se creó una hoja de ruta de 24 horas para detectar, contener y notificar una brecha, alineada con el Art. 28 de la Ley 29733.

Qué cambió en el día a día

Antes

• Los operarios ingresaban datos de clientes en hojas de cálculo compartidas por correo interno.
• Los conductores recibían documentos de aduanas en sus teléfonos personales, sin registro de quién los vio.
• La facturación electrónica se generaba manualmente y se enviaba por correo sin verificar si el destinatario había dado su consentimiento.
• Los jefes de área recibían reportes mensuales con datos sin filtrar, lo que obligaba a solicitar información adicional a TI, generando retrasos de 3‑5 días.

Después

• Entrada de datos centralizada: Cada cliente se registra directamente en el CRM mediante formulario web que valida los campos obligatorios y guarda el consentimiento.
• Acceso restringido: Un operario de almacén solo ve nombre y número de guía; los datos de contacto del remitente quedan ocultos. Un supervisor de operaciones tiene acceso a la información completa, pero solo bajo su rol.
• Documentación segura: Los documentos aduaneros se cargan en un repositorio interno con cifrado y control de versiones; los conductores acceden mediante una app corporativa con autenticación de dos factores.
• Reportes automáticos: El ERP genera reportes filtrados por rol, reduciendo el tiempo de preparación de datos de 4 días a menos de 8 horas.
• Incidentes: En la primera semana de operación se detectó un acceso no autorizado a un registro; el procedimiento de 24 horas se activó, se aisló la cuenta y se notificó a la autoridad en 18 horas, cumpliendo el plazo legal.

Métricas de impacto

• Reducción del tiempo promedio de búsqueda de datos de clientes: de 12 min a 2 min.
• Disminución de incidencias de acceso no autorizado: de 4 al mes a 1 en tres meses.
• Cumplimiento de la SUNAT en la revisión de 2026: evidencia documental entregada sin observaciones.

Qué es replicable y qué no

Lo que sirve a otras empresas del mismo sector

• Mapeo de flujos y clasificación de datos: Cualquier compañía que maneje información de clientes y transportistas puede replicar este paso para identificar vulnerabilidades.
• Política de consentimiento digital: Implementar una pantalla de aceptación con registro de sello de tiempo es una práctica estándar que se adapta a cualquier portal de clientes.
• Roles y permisos basados en necesidad: La segmentación de accesos por función es aplicable a cualquier ERP/CRM.
• Procedimiento de respuesta a incidentes de 24 horas: El esquema de detección‑contención‑notificación es un modelo reutilizable.

Lo que fue específico de la empresa

• Uso del CRM integrado al ERP propio: La empresa ya contaba con una solución a medida; otras podrían necesitar integrar sistemas dispares, lo que implica mayor tiempo y esfuerzo.
• Designación de DPO interno: En compañías con menos experiencia en cumplimiento, puede ser más práctico externalizar la función.
• Aplicación de la app corporativa para conductores: Requiere infraestructura de dispositivos móviles gestionados, lo que no todas las empresas logísticas poseen.

Conclusión

Implementar la Ley 29733 en una empresa peruana no es solo una cuestión de documentos; implica redefinir cómo cada área captura, accede y protege la información personal. El caso real muestra que, con un mapeo claro, roles bien definidos y procesos automáticos, la normativa se traduce en operaciones más ágiles, menos errores y una respuesta más rápida ante incidentes. Si tu empresa ya conoce la ley, el siguiente paso es pasar de la teoría a la práctica: identifica los puntos críticos, asigna responsabilidades y mide el impacto día a día. Sólo así la protección de datos se vuelve una ventaja competitiva y no un obstáculo.