Decreto Legislativo Nº 1353 - Crea la Autoridad Nacional de Transparencia y Acceso a la Información Pública, fortalece el Régimen de Protección de Datos Personales y la regulación de la gestión de intereses

Artículo 1.- Objeto El presente Decreto Legislativo tiene por objeto crear la Autoridad Nacional de Transparencia y Acceso a la Información Pública, fortalecer el Régimen de Protección de Datos Personales y la regulación de la gestión de intereses.

Artículo 2.- Ámbito de aplicación Las normas contenidas en el presente Decreto Legislativo son aplicables a todas las entidades señaladas en el Artículo I del Título Preliminar de la Ley N° 27444, Ley del Procedimiento Administrativo General; así como a las empresas del Estado, personas naturales y jurídicas de derecho privado, en lo que corresponda; y a las personas comprendidas en la Ley N° 29733, Ley de Protección de Datos Personales. CAPITULO II DE LA AUTORIDAD NACIONAL DE TRANSPARENCIA Y ACCESO A LA INFORMACIÓN PUBLICA

Artículo 3.- Naturaleza jurídica y competencias de la Autoridad El Ministerio de Justicia y Derechos Humanos a través de la Dirección Nacional de Transparencia y Acceso a Información Pública es la Autoridad Nacional de Transparencia y Acceso a la Información Pública, en adelante la Autoridad. La Autoridad se rige por lo dispuesto en la Ley N° 27806, Ley de Transparencia y Acceso a la Información Pública, por esta Ley y las normas reglamentarias.

Artículo 4.- Funciones de la Autoridad La Autoridad tiene las siguientes funciones en materia de transparencia y acceso a la información pública: 1. Proponer políticas en materia de transparencia y acceso a la información pública. DECRETO LEGISLATIVO 2. Emitir directivas y lineamientos que sean necesarios para el cumplimiento de las normas en el ámbito de su Nº 1353 competencia. 3. Supervisar el cumplimiento de las normas en materia EL PRESIDENTE DE LA REPÚBLICA de transparencia y acceso a la información pública. 4. Absolver las consultas que las entidades o las POR CUANTO: personas jurídicas o naturales le formulen respecto de la aplicación de normas de transparencia y acceso a Que, mediante Ley N° 30506, “Ley que delega en información pública. el Poder Ejecutivo la Facultad de legislar en materia 5. Fomentar la cultura de transparencia y acceso a la de reactivación económica y formalización, seguridad información pública. ciudadana, lucha contra la corrupción, agua y saneamiento 6. Solicitar, dentro del ámbito de su competencia, la y reorganización de Petroperú S.A.”, el Congreso de la información que considere necesaria a las entidades, República ha delegado en el Poder Ejecutivo la facultad las cuales están en la obligación de proveerla, salvo de legislar en materia de lucha contra la corrupción, por el las excepciones previstas en la Ley de Transparencia y término de noventa (90) días calendario; Acceso a la Información Pública. Que, en este sentido, los literales a) y b) del inciso 3 del 7. Elaborar y presentar al Congreso de la República artículo 2 del citado dispositivo legal establece que el Poder el informe anual sobre los pedidos de acceso a la 74 NORMAS LEGALES Sábado 7 de enero de 2017 / El Peruano información pública. Este informe se presenta dentro del solicita la remisión de la información sobre la cual versa la primer trimestre de cada año y es publicado en la página apelación. De declararse fundada la apelación, el Tribunal web de la Autoridad. ordena a la entidad obligada que entregue la información 8. Supervisar el cumplimiento de la actualización del que solicitó el administrado. Portal de Transparencia. 9.2 En el marco del procedimiento administrativo de 9. Otras que se establezcan en las normas apelación al que se refiere el numeral anterior, resultan reglamentarias. de aplicación los supuestos establecidos en los artículos 15, 16 y 17 del Texto Único Ordenado de la Ley N° 27806,

Artículo 5.- Lineamientos en materia de Ley de Transparencia y Acceso a la Información Pública, clasificación y desclasificación de la información aprobado mediante Decreto Supremo N° 043-2003-PCM, Los sectores vinculados a las excepciones establecidas así como los supuestos de excepción al acceso a la en los artículos 15, 16 y 17 del Texto Único Ordenado de la Ley información regulados en leyes especiales. N° 27806, Ley de Transparencia y Acceso a la Información Pública elaboran, de forma conjunta con la Autoridad, Artículo 10.- De la confidencialidad de la lineamientos para la clasificación y desclasificación de información la información que se considere confidencial, secreta o reservada. Dichos lineamientos son aprobados a través 10.1 Los servidores públicos de la Autoridad y del de Decreto Supremo con el voto aprobatorio del Consejo Tribunal, bajo responsabilidad, tienen la obligación de de Ministros, refrendado por el Presidente del Consejo de no hacer uso de la información que conozcan para fines Ministros, el Ministro de Justicia y Derechos Humanos y el distintos al ejercicio de sus funciones. Ministro de Economía y Finanzas. 10.2 Cuando se trate de información secreta, reservada o confidencial, tienen la obligación del cuidado diligente si

Artículo 6.- Tribunal de Transparencia y Acceso a toman conocimiento de ella en el ejercicio de su función. la Información Pública Asimismo, no pueden hacer de conocimiento público la El Tribunal de Transparencia y Acceso a la Información misma. Estas obligaciones se extienden por cinco (5) años Pública es un órgano resolutivo del Ministerio de Justicia posteriores al cese en el puesto o el tiempo que la información y Derechos Humanos que constituye la última instancia mantenga la condición de secreta, reservada o confidencial. administrativa en materia de transparencia y derecho al El incumplimiento de este deber es considerado falta grave, acceso a la información pública a nivel nacional. Como tal es sin perjuicio de la responsabilidad civil o penal que conlleve. competente para resolver las controversias que se susciten en dichas materias. Depende administrativamente del Artículo 11.- Conformación del Tribunal Ministro y tiene autonomía en el ejercicio de sus funciones. El Tribunal está conformado por tres (3) vocales Su funcionamiento se rige por las disposiciones contenidas designados mediante Resolución Suprema por un periodo en la presente Ley y en sus normas complementarias y de cuatro (4) años, previo concurso público realizado reglamentarias. conforme a lo establecido por el Reglamento. Al menos un vocal debe ser abogado.

Artículo 7.- Funciones del Tribunal El Tribunal tiene las siguientes funciones: Artículo 12.- Requisitos para ser Vocal del Tribunal 1. Resolver los recursos de apelación contra 12.1 Los vocales del Tribunal deben cumplir los las decisiones de las entidades comprendidas en el siguientes requisitos mínimos: artículo I del Título Preliminar de la Ley N° 27444, Ley del Procedimiento Administrativo General, en materias 1. No ser menor de 35 años de edad. de transparencia y acceso a la información pública. Su 2. Contar con título profesional o grado de bachiller decisión agota la vía administrativa. con maestría. 2. Resolver, en última instancia administrativa, los 3. No contar con antecedentes penales ni judiciales. recursos de apelación que interpongan los funcionarios 4. No encontrarse suspendido o inhabilitado en el y servidores públicos sancionados por el incumplimiento ejercicio de la función pública por decisión administrativa de las normas de transparencia y acceso a la información firme o sentencia judicial con calidad de cosa juzgada. pública en los términos establecidos en el artículo siguiente. 5. Contar con 10 años de experiencia profesional 3. Dirimir mediante opinión técnica vinculante los acreditada, de los cuales al menos 3 años deben ser en o casos en los que se presente conflicto entre la aplicación con la administración pública. de la Ley 29733, Ley de Protección de Datos Personales 6. No estar en situación de concurso, inhabilitado para y de la Ley N° 27806, Ley de Transparencia y Acceso a la contratar con el Estado o encontrarse condenado por Información Pública. delito doloso incompatible con el ejercicio de la función. 4. Establecer precedentes vinculantes cuando así 7. No encontrarse inscrito en el Registro de Deudores lo señale expresamente en la resolución que expida, Alimentarios Morosos. en cuyo caso debe disponer su publicación en el Diario 8. No tener conflicto de intereses con las materias Oficial El Peruano y en su portal institucional. relacionadas al ejercicio de su función. 5. Custodiar declaraciones de conflicto de interés. 6. Las demás que establece el Reglamento. 12.2 En caso de vencimiento del plazo del mandato, el vocal ejerce funciones hasta la designación del

Artículo 8.- Aplicación de sanciones a servidores reemplazante. públicos En los casos de apelación previstos en el numeral 2 del Artículo 13.- Deber de colaboración artículo 7, el Tribunal puede confirmar, revocar o modificar En el ejercicio de las competencias de la Autoridad y el en todos sus extremos la decisión adoptada por la entidad Tribunal, las entidades, sus servidores civiles y funcionarios en el procedimiento administrativo sancionador. La públicos, así como las personas naturales o jurídicas están entidad está obligada a cumplir la decisión de la Autoridad obligadas a atender oportunamente y bajo responsabilidad, no pudiendo acudir a la vía contencioso-administrativa cualquiera de sus requerimientos o solicitudes. para cuestionarla. En caso la sanción impuesta por la entidad sea la Artículo 14.- Inhibición destitución o inhabilitación, corresponde que el Tribunal Los miembros del Tribunal, de oficio, se abstienen de se pronuncie mediante un informe que constituye prueba participar en los procedimientos en los cuales identifiquen pre-constituida que será remitido al Tribunal del Servicio que se encuentran en alguna de las causales previstas en Civil, para que este resuelva la apelación. el artículo 88 de la Ley N° 27444, Ley del Procedimiento Administrativo General, en la primera oportunidad en que

Artículo 9.- Alcances del procedimiento de conozcan acerca del procedimiento específico en el que apelación para entrega de información exista alguna incompatibilidad que impida su participación. 9.1 Al resolver el recurso de apelación sobre entrega DISPOSICIONES COMPLEMENTARIAS FINALES de información, la Autoridad puede confirmar, modificar o revocar la decisión de la entidad. Dentro de este Primera.- Reglamento procedimiento, el Tribunal solicita a la entidad que remita El Poder Ejecutivo, mediante Decreto Supremo, con sus descargos. De considerar insuficiente el descargo, voto aprobatorio del Consejo de Ministros, aprueba el El Peruano / Sábado 7 de enero de 2017 NORMAS LEGALES 75 Reglamento del presente Decreto Legislativo en un plazo “Artículo 13.- Denegatoria de acceso máximo de noventa (90) días calendario contados a partir La entidad de la Administración Pública a la cual se del día siguiente de la publicación en el Diario Oficial El solicite información no podrá́ negar la misma basando su Peruano del presente Decreto Legislativo. decisión en la identidad del solicitante. La denegatoria al acceso a la información solicitada Segunda.- Vigencia debe ser debidamente fundamentada porlas excepciones El presente Decreto Legislativo entra en vigencia al de los artículos 15 a 17 de esta Ley; y el plazo por el que día siguiente de la publicación del Decreto Supremo que se prolongará dicho impedimento. aprueba su Reglamento y la modificación del Reglamento La solicitud de información no implica la obligación de Organización y Funciones del Ministerio de Justicia y de las entidades de la Administración Pública de crear Derechos Humanos. o producir información con la que no cuente o no tenga obligación de contar al momento de efectuarse el pedido. Tercera.- Designación de miembros del Tribunal En este caso, la entidad de la Administración Pública Los miembros del Tribunal son designados en un plazo deberá́ comunicar por escrito que la denegatoria de la no mayor a noventa (90) días contados a partir de la fecha solicitud se debe a la inexistencia de datos en su poder de entrada en vigencia de la modificación del Reglamento respecto de la información solicitada. de Organización y Funciones del Ministerio de Justicia y Esta Ley no faculta que los solicitantes exijan a las Derechos Humanos. entidades que efectúen evaluaciones o análisis de la información que posean. No califica en esta limitación el Cuarta.- Financiamiento procesamiento de datos preexistentes de acuerdo con lo La implementación del presente Decreto Legislativo que establezcan las normas reglamentarias, salvo que se financia con cargo al presupuesto institucional del ello implique recolectar o generar nuevos datos. Ministerio de Justicia y Derechos Humanos. No se podrá negar información cuando se solicite que esta sea entregada en una determinada forma o medio, DISPOSICIONES COMPLEMENTARIAS siempre que el solicitante asuma el costo que suponga el MODIFICATORIAS pedido. Cuando una entidad de la Administración Pública no Primera.- Modificación de la Ley N° 27806, Ley localiza información que está obligada a poseer o custodiar, de Transparencia y Acceso a la Información Pública, deberá acreditar que ha agotado las acciones necesarias conforme a su Texto Único Ordenado, aprobado por para obtenerla a fin brindar una respuesta al solicitante. Decreto Supremo Nº 043-2003-PCM Si el requerimiento de información no hubiere sido Modificase los artículos 11 y 13 de la Ley N° 27806, satisfecho, la respuesta hubiere sido ambiguao no Ley de Transparencia y Acceso a la Información Pública, se hubieren cumplido las exigencias precedentes, se conforme a su Texto Único Ordenado, aprobado por Decreto considerará que existió́ negativa en brindarla”. Supremo N° 043-2003-PCM, en los siguientes términos: Segunda.- Incorporación del Título V a la Ley N°

“Artículo 11.- Procedimiento 27806, Ley de Transparencia y Acceso a la Información El acceso a la información pública se sujeta al Pública, conforme a su Texto Único Ordenado, siguiente procedimiento: aprobado por Decreto Supremo Nº 043-2003-PCM Incorpórese el Título V a la Ley N° 27806, Ley de a) Toda solicitud de información debe ser dirigida al Transparencia y Acceso a la Información Pública, conforme funcionario designado por la entidad de la Administración a su Texto Único Ordenado, aprobado por Decreto Supremo Pública para realizar esta labor. En caso de que este no N° 043-2003-PCM, en los siguientes términos: hubiera sido designado, la solicitud se dirige al funcionario que tiene en su poder la información requerida o al superior “TÍTULO V inmediato. Las dependencias de la entidad tienen la obligación RÉGIMEN SANCIONADOR de encausar las solicitudes al funcionario encargado. b) La entidad de la Administración Pública a la cual Artículo 34.- Ámbito de aplicación se haya presentado la solicitud de información debe El presente régimen sancionador es aplicable a las otorgarla en un plazo no mayor de doce (12) días hábiles, acciones u omisiones que infrinjan el régimen jurídico sin perjuicio de lo establecido en el literal h). de la transparencia y acceso a la información pública, En el supuesto que la entidad de la Administración tipificadas en este Título, de conformidad con el artículo Pública no esté obligada a poseer la información solicitada 4 de la presente Ley. y de conocer su ubicación o destino, debe reencausar la solicitud hacia la entidad obligada o hacia la que la posea, y Artículo 35.- Clases de sanciones poner en conocimiento de dicha circunstancia al solicitante. 35.1 Las sanciones que pueden imponerse por las c) La denegatoria al acceso a la información se sujeta infracciones previstas en el presente régimen sancionador a lo dispuesto en el segundo párrafo del artículo 13 de la son las siguientes: presente Ley. a) Amonestación escrita. d) De no mediar respuesta en el plazo previsto en el b) Suspensión sin goce de haber entre diez y ciento inciso b), el solicitante puede considerar denegado su ochenta días. pedido. c) Multa no mayor de cinco unidades impositivas e) En los casos señalados en los incisos c) y d) del tributarias. presente artículo, el solicitante en un plazo no mayor de d) Destitución. quince (15) días calendarios puede interponer el recurso e) Inhabilitación. de apelación ante el Tribunal de Transparencia y Acceso a la Información Pública, el cual deberá resolver dicho 35.2 Las personas jurídicas bajo el régimen privado recurso en el plazo máximo de diez (10) días hábiles, bajo que prestan servicios públicos o ejercen función responsabilidad. administrativa, en virtud de concesión, delegación o f) Si la Autoridad Nacional de Transparencia y Acceso autorización del Estado están sujetas a la sanción de a la información Pública, no resuelve el recurso de multa, conforme a la normativa de la materia. apelación en el plazo previsto, el solicitante podrá dar por agotada la vía administrativa. Artículo 36.- Tipificación de infracciones g) Excepcionalmente, cuando sea materialmente Las infracciones se clasifican en leves, graves y muy imposible cumplir con el plazo señalado en el literal b) graves, las cuales son tipificadas vía reglamentaria, de debido a causas justificadas relacionadas a la comprobada acuerdo a lo establecido en el numeral 4) del artículo 230 y manifiesta falta de capacidad logística u operativa o de de la Ley Nº 27444, Ley del Procedimiento Administrativo recursos humanos de la entidad o al significativo volumen General, mediante Decreto Supremo refrendado por el de la información solicitada, por única vez la entidad debe Ministerio de Justicia y Derechos Humanos. comunicar al solicitante la fecha en que proporcionará la Sin perjuicio de las sanciones que en el marco de su información solicitada de forma debidamente fundamentada, competencia impongan las autoridades competentes, en un plazo máximo de dos (2) días hábiles de recibido pueden ordenar la implementación de una o más medidas el pedido de información. El incumplimiento del plazo correctivas, con el objetivo de corregir o revertir los faculta al solicitante a recurrir ante Autoridad Nacional de efectos que la conducta infractora hubiere ocasionado o Transparencia y Acceso a la Información Pública. evitar que ésta se produzca nuevamente. 76 NORMAS LEGALES Sábado 7 de enero de 2017 / El Peruano

Artículo 37.- Responsabilidad 15. Procedimiento de disociación. Tratamiento de La responsabilidad de los funcionarios y servidores datos personales que impide la identificación o que no hace públicos por el incumplimiento de obligaciones derivadas identificable al titular de estos. El procedimiento es reversible. de las normas sobre transparencia y acceso de la 16. Titular de datos personales. Persona natural a información pública, es subjetiva. quien corresponde los datos personales. 17. Titular del banco de datos personales. Persona Tercera.- Modificación de los artículos 2, 3, 12, 14, natural, persona jurídica de derecho privado o entidad 15, 18, 20, 21, 22, 25 y 27 de la Ley N° 29733, Ley de pública que determina la finalidad y contenido del banco de protección de datos personales datos personales, el tratamiento de estos y las medidas de Modificase los artículos 2, 3, 12, 14, 15, 18, 20, 21, 22, seguridad. 25 y 27 de la Ley N° 29733, Ley de Protección de Datos 18. Transferencia de datos personales. Toda Personales, en los siguientes términos: transmisión, suministro o manifestación de datos personales, de carácter nacional o internacional, a una persona jurídica

“Artículo 2. Definiciones de derecho privado, a una entidad pública o a una persona Para todos los efectos de la presente Ley, se entiende natural distinta del titular de datos personales. por: 19. Tratamiento de datos personales. Cualquier operación o procedimiento técnico, automatizado o 1. Banco de datos personales. Conjunto no, que permite la recopilación, registro, organización, organizado de datos personales, automatizado o almacenamiento, conservación, elaboración, modificación, no, independientemente del soporte, sea este físico, extracción, consulta, utilización, bloqueo, supresión, magnético, digital, óptico u otros que se creen, cualquiera comunicación por transferencia o por difusión o cualquier fuere la forma o modalidad de su creación, formación, otra forma de procesamiento que facilite el acceso, almacenamiento, organización y acceso. correlación o interconexión de los datos personales”. 2. Banco de datos personales de administración privada. Banco de datos personales cuya titularidad “Artículo 3. Ámbito de aplicación corresponde a una persona natural o a una persona La presente Ley es de aplicación a los datos jurídica de derecho privado, en cuanto el banco no personales contenidos o destinados a ser contenidos en se encuentre estrictamente vinculado al ejercicio de bancos de datos personales de administración pública y potestades de derecho público. de administración privada, cuyo tratamiento se realiza en 3. Banco de datos personales de administración el territorio nacional. Son objeto de especial protección los pública. Banco de datos personales cuya titularidad datos sensibles. corresponde a una entidad pública. Las disposiciones de esta Ley no son de aplicación a 4. Datos personales. Toda información sobre una los siguientes datos personales: persona natural que la identifica o la hace identificable 1. A los contenidos o destinados a ser contenidos a través de medios que pueden ser razonablemente en bancos de datos personales creados por personas utilizados. naturales para fines exclusivamente relacionados con su 5. Datos sensibles. Datos personales constituidos vida privada o familiar. por los datos biométricos que por sí mismos pueden 2. A los contenidos o destinados a ser contenidos identificar al titular; datos referidos al origen racial y étnico; en bancos de datos de administración pública, solo en ingresos económicos; opiniones o convicciones políticas, tanto su tratamiento resulte necesario para el estricto religiosas, filosóficas o morales; afiliación sindical; e cumplimiento de las competencias asignadas por ley a las información relacionada a la salud o a la vida sexual. respectivas entidades públicas, para la defensa nacional, 6. Días. Días hábiles. seguridad pública, y para el desarrollo de actividades en 7. Encargado de tratamiento de datos personales. Toda materia penal para la investigación y represión del delito”. persona natural, persona jurídica de derecho privado o entidad pública que sola o actuando conjuntamente con otra “Artículo 12. Valor de los principios realiza el tratamiento de los datos personales por encargo La actuación de los titulares y encargados de del titular del banco de datos personales en virtud de una tratamiento de datos personales y, en general, de todos relación jurídica que le vincula con el mismo y delimita el los que intervengan con relación a datos personales, debe ámbito de su actuación. Incluye a quien realice el tratamiento ajustarse a los principios rectores a que se refiere este sin la existencia de un banco de datos personales. Título. Esta relación de principios rectores es enunciativa. 8. Encargo de tratamiento. Entrega por parte del titular del banco de datos personales a un encargado de Los principios rectores señalados sirven también de tratamiento de datos personales en virtud de una relación criterio interpretativo para resolver las cuestiones que jurídica que los vincula. Dicha relación jurídica delimita el puedan suscitarse en la aplicación de esta Ley y de su ámbito de actuación del encargado de tratamiento de los reglamento, así como de parámetro para la elaboración de datos personales. otras disposiciones y para suplir vacíos en la legislación 9. Entidad pública. Entidad comprendida en el artículo I sobre la materia”. del Título Preliminar de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces. “Artículo 14. Limitaciones al consentimiento para 10. Flujo transfronterizo de datos personales. el tratamiento de datos personales Transferencia internacional de datos personales a un No se requiere el consentimiento del titular de datos destinatario situado en un país distinto al país de origen personales, para los efectos de su tratamiento, en los de los datos personales, sin importar el soporte en que siguientes casos: estos se encuentren, los medios por los cuales se efectuó la transferencia ni el tratamiento que reciban. 1. Cuando los datos personales se recopilen o 11. Fuentes accesibles para el público. Bancos de transfieran para el ejercicio de las funciones de las datos personales de administración pública o privada, entidades públicas en el ámbito de sus competencias. que pueden ser consultados por cualquier persona, 2. Cuando se trate de datos personales contenidos o previo abono de la contraprestación correspondiente, de destinados a ser contenidos en fuentes accesibles para ser el caso. Las fuentes accesibles para el público son el público. determinadas en el reglamento. 3. Cuando se trate de datos personales relativos a la 12. Nivel suficiente de protección para los datos solvencia patrimonial y de crédito, conforme a ley. personales. Nivel de protección que abarca por lo menos la 4. Cuando medie norma para la promoción de la consignación y el respeto de los principios rectores de esta Ley, competencia en los mercados regulados emitida en así como medidas técnicas de seguridad y confidencialidad, ejercicio de la función normativa por los organismos apropiadas según la categoría de datos de que se trate. reguladores a que se refiere la Ley 27332, Ley Marco de 13. Persona jurídica de derecho privado. Para los Organismos Reguladores de la Inversión Privada en efectos de esta Ley, la persona jurídica no comprendida los Servicios Públicos, o la que haga sus veces, siempre en los alcances del artículo I del Título Preliminar de la que la información brindada no sea utilizada en perjuicio Ley 27444, Ley del Procedimiento Administrativo General. de la privacidad del usuario. 14. Procedimiento de anonimización. Tratamiento 5. Cuando los datos personales sean necesarios para de datos personales que impide la identificación o que no la preparación, celebración y ejecución de una relación hace identificable al titular de estos. El procedimiento es contractual en la que el titular de datos personales sea irreversible. parte, o cuando se trate de datos personales que deriven El Peruano / Sábado 7 de enero de 2017 NORMAS LEGALES 77 de una relación científica o profesional del titular y sean 2. Otros que establezca el reglamento de la presente necesarios para su desarrollo o cumplimiento. Ley, con sujeción a lo dispuesto en el artículo 12”. 6. Cuando se trate de datos personales relativos a la salud y sea necesario, en circunstancia de riesgo, para la “Artículo 18. Derecho de información del titular de datos prevención, diagnóstico y tratamiento médico o quirúrgico personales El titular de datos personales tiene derecho a ser del titular, siempre que dicho tratamiento sea realizado en informado en forma detallada, sencilla, expresa, inequívoca establecimientos de salud o por profesionales en ciencias de y de manera previa a su recopilación, sobre la finalidad para la salud, observando el secreto profesional; o cuando medien la que sus datos personales serán tratados; quiénes son o razones de interés público previstas por ley o cuando deban pueden ser sus destinatarios, la existencia del banco de datos tratarse por razones de salud pública, ambas razones deben en que se almacenarán, así como la identidad y domicilio ser calificadas como tales por el Ministerio de Salud; o para de su titular y, de ser el caso, del o de los encargados del la realización de estudios epidemiológicos o análogos, en tratamiento de sus datos personales; el carácter obligatorio tanto se apliquen procedimientos de disociación adecuados. o facultativo de sus respuestas al cuestionario que se le 7. Cuando el tratamiento sea efectuado por organismos proponga, en especial en cuanto a los datos sensibles; la sin fines de lucro cuya finalidad sea política, religiosa o transferencia de los datos personales; las consecuencias sindical y se refiera a los datos personales recopilados de de proporcionar sus datos personales y de su negativa a sus respectivos miembros, los que deben guardar relación hacerlo; el tiempo durante el cual se conserven sus datos con el propósito a que se circunscriben sus actividades, no personales; y la posibilidad de ejercer los derechos que la ley pudiendo ser transferidos sin consentimiento de aquellos. le concede y los medios previstos para ello. 8. Cuando se hubiera aplicado un procedimiento de Si los datos personales son recogidos en línea a anonimización o disociación. través de redes de comunicaciones electrónicas, las 9. Cuando el tratamiento de los datos personales sea obligaciones del presente artículo pueden satisfacerse necesario para salvaguardar intereses legítimos del titular mediante la publicación de políticas de privacidad, las que de datos personales por parte del titular de datos personales deben ser fácilmente accesibles e identificables. o por el encargado de tratamiento de datos personales. En el caso que el titular del banco de datos establezca 10. Cuando el tratamiento sea para fines vinculados al vinculación con un encargado de tratamiento de manera sistema de prevención de lavado de activos y financiamiento posterior al consentimiento, el accionar del encargado del terrorismo u otros que respondan a un mandato legal. queda bajo responsabilidad del Titular del Banco de 11. En el caso de grupos económicos conformados Datos, debiendo establecer un mecanismo de información por empresas que son consideradas sujetos obligados a personalizado para el titular de los datos personales sobre informar, conforme a las normas que regulan a la Unidad dicho nuevo encargado de tratamiento. de Inteligencia Financiera, que éstas puedan compartir Si con posterioridad al consentimiento se produce la información entre sí de sus respectivos clientes para fines transferencia de datos personales por fusión, adquisición de prevención de lavado de activos y financiamiento del de cartera, o supuestos similares, el nuevo titular del terrorismo, así como otros de cumplimiento regulatorio, banco de datos debe establecer un mecanismo de estableciendo las salvaguardas adecuadas sobre la información eficaz para el titular de los datos personales confidencialidad y uso de la información intercambiada. sobre dicho nuevo encargado de tratamiento”. 12. Cuando el tratamiento se realiza en ejercicio constitucionalmente válido del derecho fundamental a la “Artículo 20. Derecho de actualización, inclusión, libertad de información. rectificación y supresión 13. Otros que deriven del ejercicio de competencias El titular de datos personales tiene derecho a la expresamente establecidas por Ley”. actualización, inclusión, rectificación y supresión de

“Artículo 15. Flujo transfronterizo de datos sus datos personales materia de tratamiento, cuando personales estos sean parcial o totalmente inexactos, incompletos, El titular y el encargado de tratamiento de datos cuando se hubiere advertido omisión, error o falsedad, personales deben realizar el flujo transfronterizo de datos cuando hayan dejado de ser necesarios o pertinentes a personales solo si el país destinatario mantiene niveles de la finalidad para la cual hayan sido recopilados o cuando protección adecuados conforme a la presente Ley. hubiera vencido el plazo establecido para su tratamiento. En caso de que el país destinatario no cuente con Si sus datos personales hubieran sido transferidos un nivel de protección adecuado, el emisor del flujo previamente, el encargado de tratamiento de datos transfronterizo de datos personales debe garantizar que el personales debe comunicar la actualización, inclusión, tratamiento de los datos personales se efectúe conforme rectificación o supresión a quienes se hayan transferido, a lo dispuesto por la presente Ley. en el caso que se mantenga el tratamiento por este último, No se aplica lo dispuesto en el segundo párrafo en los quien debe también proceder a la actualización, inclusión, siguientes casos: rectificación o supresión, según corresponda. Durante el proceso de actualización, inclusión, rectificación 1. Acuerdos en el marco de tratados internacionales o supresión de datos personales, el encargado de tratamiento sobre la materia en los cuales la República del Perú sea de datos personales dispone su bloqueo, quedando impedido parte. de permitir que terceros accedan a ellos. Dicho bloqueo no 2. Cooperación judicial internacional. es aplicable a las entidades públicas que requieren de tal 3. Cooperación internacional entre organismos de información para el adecuado ejercicio de sus competencias, inteligencia para la lucha contra el terrorismo, tráfico según ley, las que deben informar que se encuentra en trámite ilícito de drogas, lavado de activos, corrupción, trata de cualquiera de los mencionados procesos. personas y otras formas de criminalidad organizada. La supresión de datos personales contenidos en 4. Cuando los datos personales sean necesarios para bancos de datos personales de administración pública la ejecución de una relación contractual en la que el titular se sujeta a lo dispuesto en el artículo 21 del Texto Único de datos personales sea parte, incluyendo lo necesario Ordenado de la Ley 27806, Ley de Transparencia y Acceso para actividades como la autentificación de usuario, mejora a la Información Pública, o la que haga sus veces”. y soporte del servicio, monitoreo de la calidad del servicio, soporte para el mantenimiento y facturación de la cuenta y “Artículo 21. Derecho a impedir el suministro aquellas actividades que el manejo de la relación contractual El titular de datos personales tiene derecho a impedir requiera. que estos sean suministrados, especialmente cuando ello 5. Cuando se trate de transferencias bancarias o afecte sus derechos fundamentales. El derecho a impedir el bursátiles, en lo relativo a las transacciones respectivas y suministro no aplica para la relación entre el titular del banco conforme a la ley aplicable. de datos personales y el encargado de tratamiento de datos 6. Cuando el flujo transfronterizo de datos personales personales para los efectos del tratamiento de estos”. se realice para la protección, prevención, diagnóstico o “Artículo 22. Derecho de oposición tratamiento médico o quirúrgico de su titular; o cuando sea Siempre que, por ley, no se disponga lo contrario y necesario para la realización de estudios epidemiológicos cuando no hubiera prestado consentimiento, el titular o análogos, en tanto se apliquen procedimientos de de datos personales puede oponerse a su tratamiento disociación adecuados. cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En caso de oposición 1. Cuando el titular de los datos personales haya justificada, el titular o el encargado de tratamiento de dado su consentimiento previo, informado, expreso e datos personales, según corresponda, debe proceder a inequívoco. su supresión, conforme a ley”. 78 NORMAS LEGALES Sábado 7 de enero de 2017 / El Peruano

“Artículo 25. Derecho a ser indemnizado Datos Personales, con la finalidad de inscribir en forma El titular de datos personales que sea afectado a diferenciada, a nivel nacional, lo siguiente: consecuencia del incumplimiento de la presente Ley por el titular o por el encargado de tratamiento de datos 1. Los bancos de datos personales de administración personales o por terceros, tiene derecho a obtener la pública o privada, así como los datos relativos a estos indemnización correspondiente, conforme a ley”. que sean necesarios para el ejercicio de los derechos que corresponden a los titulares de datos personales,

“Artículo 27. Limitaciones conforme a lo dispuesto en esta Ley y en su reglamento. Los titulares y los encargados de tratamiento de datos El ejercicio de esta función no posibilita el conocimiento personales de administración pública pueden denegar el del contenido de los bancos de datos personales por ejercicio de los derechos de acceso, supresión y oposición parte de la Autoridad Nacional de Protección de Datos por razones fundadas en la protección de derechos e Personales, salvo procedimiento administrativo en curso. intereses de terceros o cuando ello pueda obstaculizar actuaciones judiciales o administrativas en curso vinculadas 2. Las comunicaciones de flujo transfronterizo de a la investigación sobre el cumplimiento de obligaciones datos personales. tributarias o previsionales, a las investigaciones penales sobre 3. Las sanciones, medidas cautelares o correctivas la comisión de faltas o delitos, al desarrollo de funciones de impuestas por la Autoridad Nacional de Protección control de la salud y del medio ambiente, a la verificación de de Datos Personales conforme a esta Ley y a su infracciones administrativas, o cuando así lo disponga la ley”. reglamento. Cualquier persona puede consultar en el Registro Cuarta.- Modificación de la denominación del Nacional de Protección de Datos Personales la existencia Título IV y el artículo 28 de la Ley N° 29733, Ley de de bancos de datos personales, sus finalidades, así como protección de datos personales la identidad y domicilio de sus titulares y, de ser el caso, Modificase la denominación del Título IV y el artículo de sus encargados”. 28 de la Ley N° 29733, Ley de Protección de Datos Personales, en los siguientes términos: “Artículo 38.- Tipificación de infracciones Las infracciones se clasifican en leves, graves y muy “TÍTULO IV graves, las cuales son tipificadas vía reglamentaria, de OBLIGACIONES DEL TITULAR Y DEL ENCARGADO acuerdo a lo establecido en el numeral 4) del artículo 230 DE TRATAMIENTO DE DATOS PERSONALES de la Ley Nº 27444, Ley del Procedimiento Administrativo General, mediante Decreto Supremo con el voto

Artículo 28. Obligaciones aprobatorio del Consejo de Ministros. El titular y el encargado de tratamiento de datos Sin perjuicio de las sanciones que en el marco de personales, según sea el caso, tienen las siguientes su competencia imponga la autoridad competente, esta obligaciones: puede ordenar la implementación de una o más medidas correctivas, con el objetivo de corregir o revertir los 1. Efectuar el tratamiento de datos personales, solo efectos que la conducta infractora hubiere ocasionado o previo consentimiento informado, expreso e inequívoco evitar que ésta se produzca nuevamente. del titular de los datos personales, salvo ley autoritativa, Los administrados son responsables objetivamente con excepción de los supuestos consignados en el artículo por el incumplimiento de obligaciones derivadas de las 14 de la presente Ley. normas sobre protección de datos personales”. 2. No recopilar datos personales por medios fraudulentos, desleales o ilícitos. Quinta.- Modificación del artículo 12 del Decreto 3. Recopilar datos personales que sean actualizados, Legislativo N° 1129, Decreto Legislativo que regula el necesarios, pertinentes y adecuados, con relación a Sistema de Defensa Nacional finalidades determinadas, explícitas y lícitas para las que Modifíquese el artículo 12 del Decreto Legislativo se hayan obtenido. N 1129, Decreto Legislativo que regula el Sistema de 4. No utilizar los datos personales objeto de Defensa Nacional, en los siguientes términos: tratamiento para finalidades distintas de aquellas que motivaron su recopilación, salvo que medie procedimiento “Artículo 12.- Acceso a la información de anonimización o disociación. Los acuerdos, actas, grabaciones, transcripciones y en 5. Almacenar los datos personales de manera que general, toda información o documentación que se genere se posibilite el ejercicio de los derechos de su titular. en el ámbito de los asuntos referidos a la Seguridad y 6. Suprimir y sustituir o, en su caso, completar los Defensa Nacional, y aquellas que contienen deliberaciones datos personales objeto de tratamiento cuando tenga sostenidas en sesiones del Consejo de Seguridad y Defensa conocimiento de su carácter inexacto o incompleto, sin Nacional, se rigen por la Ley de Transparencia y Acceso a la perjuicio de los derechos del titular al respecto. Información Pública, en cuanto a su difusión, acceso público 7. Suprimir los datos personales objeto de tratamiento y excepciones, en cuanto resulten aplicables.” cuando hayan dejado de ser necesarios o pertinentes a la finalidad para la cual hubiesen sido recopilados o Sexta.- Modificación de la Ley N° 28024, Ley que hubiese vencido el plazo para su tratamiento, salvo que regula la gestión de intereses en la administración medie procedimiento de anonimización o disociación. pública 8. Proporcionar a la Autoridad Nacional de Protección Modifíquense los artículos 1, 7 y 16 de la Ley N° de Datos Personales la información relativa al tratamiento 28024, Ley que regula la gestión de intereses en la de datos personales que esta le requiera y permitirle el administración pública, en los siguientes términos: acceso a los bancos de datos personales que administra, para el ejercicio de sus funciones, en el marco de un “Artículo 1.- Objeto y fines procedimiento administrativo en curso solicitado por la La presente Ley regula la gestión de intereses en parte afectada. el ámbito de la administración pública, entendida como 9. Otras establecidas en esta Ley y en su reglamento”. una actividad lícita de promoción de intereses legítimos propios o de terceros, sea de carácter individual, sectorial

“Artículo 31. Códigos de conducta o institucional en el proceso de toma de decisiones 31.1 Las entidades representativas de los titulares públicas, con la finalidad de asegurar la transparencia en o encargados de tratamiento de datos personales las acciones del Estado. administración privada pueden elaborar códigos de conducta Para los fines de la presente Ley, se entiende por que establezcan normas para el tratamiento de datos administración pública a las entidades a las que se refiere personales que tiendan a asegurar y mejorar las condiciones el artículo I del Título Preliminar de la Ley Nº 27444 - Ley de operación de los sistemas de información en función de del Procedimiento Administrativo General; incluyendo las los principios rectores establecidos en esta Ley. empresas comprendidas en la gestión empresarial del Estado. La presente Ley no comprende las funciones

“Artículo 34. Registro Nacional de Protección de jurisdiccionales del Poder Judicial, de los organismos Datos Personales constitucionalmente autónomos y de las autoridades y Créase el Registro Nacional de Protección de Datos tribunales ante los que se sigue procesos administrativos. Personales como registro de carácter administrativo El derecho de petición se regula según lo establecido a cargo de la Autoridad Nacional de Protección de en su normatividad específica.” El Peruano / Sábado 7 de enero de 2017 NORMAS LEGALES 79

“Artículo 7.- Del gestor de intereses Se define como gestor de intereses a la persona natural o jurídica, nacional o extranjera, que desarrolla actos de gestión de sus propios intereses o de terceros, en relación con las decisiones públicas adoptadas por los funcionarios públicos comprendidos en el artículo 5 de la presente Ley.”

“Artículo 16.- Del Registro de Visitas Las entidades públicas previstas en el artículo 1 llevan Registros de Visitas en formatos electrónicos en los que se consigna información sobre las personas que asisten a reuniones o audiencias con un funcionario o servidor público. La información que brinde el visitante a la entidad pública para el Registro de Visitas tiene carácter de Declaración Jurada. La información contenida en el Registro de Visitas y en la Agenda Oficial de cada funcionario público previsto en el artículo 5 de la presente Ley, deberá publicarse en el portal web de cada entidad. Los funcionarios o servidores públicos, a que se refiere el artículo 5 de la Ley, que detecten una acción de gestión de intereses por parte de una persona que no haya consignado dicho asunto en el Registro de Visitas, tienen el deber de registrar dicha omisión en el Registro.” DISPOSICIÓN COMPLEMENTARIA DEROGATORIA Única.- Derogatoria Deróguese los artículos 8, literal e) del artículo 10, 11, 12, 13, 14, 15, 19, 20 y 21 de la Ley N° 28024, Ley que regula la gestión de intereses en la administración pública. POR TANTO: Mando se publique y cumpla, dando cuenta al Congreso de la República. Dado en la Casa de Gobierno, en Lima, a los seis días del mes de enero del año dos mil diecisiete. PEDRO PABLO KUCZYNSKI GODARD Presidente de la República FERNANDO ZAVALA LOMBARDI Presidente del Consejo de Ministros MARÍA SOLEDAD PÉREZ TELLO Ministra de Justicia y Derechos Humanos 1471551-5