Protección de datos personales en el restaurante: lo que la Ley 29733 exige en el Perú

Si su restaurante toma reservas, usted ya administra un banco de datos personales. El cuaderno con nombres y celulares junto al teléfono, los chats de WhatsApp donde los clientes piden mesa, la hoja de cálculo con los correos de los comensales frecuentes, las grabaciones de las cámaras de seguridad: todo eso es tratamiento de datos personales según la ley peruana. Y en el rubro gastronómico casi nadie lo tiene presente.

La norma que lo regula es la Ley 29733, Ley de Protección de Datos Personales, y desde el 30 de marzo de 2025 rige además un reglamento completamente nuevo que modernizó las reglas de juego. A eso se sumó, en mayo de 2025, una reforma que convirtió las promociones por llamada, SMS o WhatsApp en terreno minado para quien no pida permiso primero. No son leyes para bancos y telefónicas: alcanzan a cualquier negocio que arme un archivo de clientes, del huarique de diez mesas a la cadena con veinte locales.

La buena noticia: para un restaurante, cumplir es más una cuestión de orden que de abogados, y de paso convierte su lista de clientes en un activo comercial legítimo. Esta guía explica qué exige la ley en el Perú, el trámite del registro de bancos de datos que desde 2025 es gratuito y casi automático, cuánto arriesga en multas y cómo capturar el consentimiento en la web, por WhatsApp y en el cuaderno de papel, sin frenar un software de reservas para restaurantes que tiene que seguir llenando el salón.

¿Qué ley rige los datos de sus clientes en el Perú?

La Ley 29733 (de 2011) y su nuevo reglamento, el Decreto Supremo 016-2024-JUS, publicado el 30 de noviembre de 2024 y vigente desde el 30 de marzo de 2025. Este reglamento reemplazó al de 2013 (D.S. 003-2013-JUS), así que cualquier guía anterior a 2025 que encuentre en internet está, al menos en parte, desactualizada.

La autoridad que vigila y sanciona es la ANPD, Autoridad Nacional de Protección de Datos Personales, dentro del Ministerio de Justicia y Derechos Humanos. Un detalle que interesa a quien usa software extranjero: el nuevo reglamento tiene alcance extraterritorial, es decir, también obliga a los proveedores de fuera que ofrecen servicios a personas en el Perú o perfilan su comportamiento. Su proveedor de reservas, sea peruano o no, está dentro del marco.

¿Hay excepción para negocios chicos? No. La ley aplica igual a una pollería familiar que a un grupo gastronómico: consentimiento, registro, seguridad y derechos de los titulares rigen para todos. Lo único que escala con el tamaño es la figura del oficial de datos personales (una suerte de encargado formal del tema), obligatoria recién para empresas con ingresos por encima de 2,300 UIT, más de S/ 12.6 millones al año con la UIT de 2026. Un restaurante independiente no necesita nombrar uno.

¿Por qué su libro de reservas es un banco de datos personales?

Porque "dato personal" es cualquier información que identifique o haga identificable a una persona, y un restaurante que toma reservas acumula muchísimos. En un local típico:

• El libro de reservas, de papel o digital: nombres, celulares, fecha, cantidad de comensales, a veces alergias u ocasiones especiales.
• Los chats de WhatsApp donde los clientes piden mesa, y con mayor razón las listas de difusión de promociones.
• La hoja de cálculo o el CRM de clientes frecuentes, cumpleaños y correos.
• El portal Wi-Fi que pide un correo a cambio de la clave: cada registro alimenta otro banco de datos.
• Las cámaras de videovigilancia: la imagen de una persona también es un dato personal y exige un aviso visible en el local.
• Los currículums de mozos y cocineros que llegan por correo: sus trabajadores y postulantes también son titulares de datos.

Quien decide para qué se usan esos datos es usted, el titular del banco de datos. Da lo mismo si la herramienta es un cuaderno, una hoja de cálculo en la computadora o un software profesional; la responsabilidad legal es la misma. Lo que cambia, y mucho, es lo fácil o difícil que resulta cumplirla con una base de datos de clientes centralizada en lugar de datos regados por los celulares del personal.

¿Hay que inscribir el banco de datos en el RNPDP?

Sí, y desde 2025 es la parte más fácil de todo el cumplimiento. La lista de reservas y clientes de un restaurante es un banco de datos que debe inscribirse en el Registro Nacional de Protección de Datos Personales (RNPDP). Con el nuevo reglamento el trámite es gratuito y de aprobación automática: se hace en línea en la plataforma del Ministerio de Justicia, la inscripción queda al presentar la solicitud y la ANPD puede fiscalizar después.

Seamos honestos con las prioridades: la inscripción es un formulario que se llena una vez por computadora; el consentimiento, la finalidad, la seguridad y los derechos del titular son la ley de fondo y aplican con o sin registro. Pero a costo cero y media hora de trámite, no inscribirse es un riesgo gratuito que no vale la pena correr.

¿Cuánto arriesga en multas?

La Ley 29733 clasifica las infracciones en tres niveles con multas en UIT: leves de 0.5 a 5 UIT, graves de más de 5 hasta 50 UIT y muy graves de más de 50 hasta 100 UIT. Con la UIT de 2026 fijada en S/ 5,500, el techo es S/ 550,000. Para un restaurante independiente, hasta una multa leve duele.

A eso se suman dos deberes nuevos del reglamento de 2025 que conviene conocer antes de que ocurra el problema: ante un incidente de seguridad serio (la laptop robada con la lista completa de clientes, el acceso indebido al sistema), hay que notificar a la ANPD en un plazo de 48 horas. Y los plazos para responder a los titulares son cortos: 8 días para el derecho de información y 20 días para el de acceso; los demás derechos ARCO (rectificación, cancelación, oposición) corren con plazos del mismo orden.

El detonante típico de una fiscalización no será una inspección sorpresa en el salón, sino un comensal molesto porque sigue recibiendo promociones que nunca autorizó, o porque pidió que lo borraran de una lista y nadie le respondió. Ese reclamo hoy tiene adónde ir.

La reserva sí, el marketing solo con permiso: la Ley 32323

Aquí está el cambio más importante para el día a día de un restaurante. Desde mayo de 2025, la Ley 32323 modificó el Código de Protección y Defensa del Consumidor: las llamadas, SMS y mensajes de WhatsApp promocionales solo están permitidos si el consumidor los pidió o autorizó antes. La empresa ni siquiera puede llamar para preguntar si acepta recibir publicidad: ese primer contacto ya es infracción. INDECOPI puede multar hasta con 450 UIT, casi S/ 2.5 millones con la UIT de 2026.

Si todavía tiene en mente el registro "Gracias... No Insista", olvídelo: fue desactivado en septiembre de 2018. El modelo peruano ya no es "puede llamar salvo que el cliente se inscriba en una lista", sino el inverso: prohibido salvo consentimiento previo.

Para su restaurante, la lectura práctica es una distinción simple. Confirmarle la mesa a quien reservó, recordarle la hora o avisarle un cambio es la ejecución del servicio que el propio cliente pidió: son mensajes de gestión de la reserva, no publicidad. En cambio, reutilizar ese mismo celular para la lista de difusión de los martes de promociones es otra finalidad y necesita su propio consentimiento, expreso y comprobable. La solución está en el momento de la reserva: pida las dos cosas por separado. Una casilla propia en el formulario web, una pregunta explícita en el chat, y quien dice que no a las promociones conserva su mesa igual. Quien dice que sí vale oro: es la base legítima de su canal de WhatsApp para reservas y de sus campañas por correo.

Lista de verificación para poner la casa en orden

1. Haga el inventario. Anote dónde viven hoy los datos de sus clientes: cuaderno, celulares del personal, hojas de cálculo, software de reservas, portal Wi-Fi, cámaras. Lo que no está en el mapa no se puede proteger.
2. Centralice. Elija un solo lugar para los datos de reservas y clientes, y elimine las copias sueltas en celulares personales.
3. Publique un aviso de privacidad corto y legible: quién es usted, qué datos recolecta, para qué, qué derechos tiene el titular y a qué correo escribir para ejercerlos. Enlácelo desde el formulario de reservas y téngalo a mano en el local.
4. Separe las finalidades. Una mención para la gestión de la reserva, una casilla o pregunta aparte, opcional, para las promociones.
5. Depure la lista de marketing. Los contactos que entraron "porque alguna vez reservaron", sin autorización expresa, son el principal riesgo heredado tras la Ley 32323: pida la confirmación o sáquelos.
6. Inscriba sus bancos de datos en el RNPDP. Gratuito, en línea y de aprobación automática desde marzo de 2025.
7. Señalice las cámaras con un aviso visible y limite quién puede ver las grabaciones.
8. Controle los accesos. Cada usuario del software con su propia cuenta, clave en las hojas de cálculo, y los accesos de quien deja el equipo se eliminan ese mismo día.
9. Prepare el plan de incidentes. Si se pierde o filtra la base, tiene 48 horas para notificar a la ANPD: tenga claro quién lo hace y con qué información.
10. Capacite al equipo en diez minutos. Tres reglas para mozos y anfitriones: los datos de clientes no se comparten, no se usan para fines propios y cualquier pedido sobre datos se deriva al responsable.

Un software que ordena los datos cumple media ley por usted

Gran parte del riesgo de un restaurante no viene de mala fe, sino de la dispersión: datos regados entre cuadernos, celulares y hojas de cálculo, sin constancia de quién autorizó qué. Centralizar las reservas en un software serio resuelve de pasada varios deberes: los datos quedan en un solo lugar con accesos controlados, el consentimiento de marketing se captura y queda registrado en el momento de la reserva, y borrar o exportar los datos de un cliente toma segundos en vez de una tarde revisando chats.

Hay un criterio de elección que esta ley vuelve central: que la base de datos sea suya y exportable, no de la plataforma. Cuando las reservas entran por marketplaces de terceros, los datos suelen quedarse en el marketplace. ViteUneTable apunta exactamente ahí: base de clientes centralizada y 100% suya, exportable en todo momento, con captura del consentimiento en el propio formulario de reserva, desde la versión gratuita ilimitada, con 0% de comisión y sin costo por comensal. Ningún software, el nuestro incluido, garantiza por sí solo el cumplimiento legal: el aviso de privacidad y los hábitos del equipo siguen siendo suyos. El panorama completo de herramientas disponibles en el país está en nuestra guía del sistema de reservas para restaurantes en el Perú.

Preguntas frecuentes

¿Qué ley protege los datos personales en el Perú?

La Ley 29733, Ley de Protección de Datos Personales, con su nuevo reglamento, el D.S. 016-2024-JUS, vigente desde el 30 de marzo de 2025. La autoridad de aplicación es la ANPD (Autoridad Nacional de Protección de Datos Personales), dentro del Ministerio de Justicia y Derechos Humanos.

¿Un cuaderno de reservas en papel también cuenta como banco de datos?

Sí. La ley cubre los bancos de datos personales sean digitales o de papel. Un cuaderno con nombres y celulares ordenados por fecha es un banco de datos: requiere finalidad clara, custodia razonable y respuesta a los derechos del titular, igual que un software.

¿Tengo que inscribir la base de clientes de mi restaurante en el RNPDP?

Sí. La inscripción en el Registro Nacional de Protección de Datos Personales sigue siendo obligatoria, pero desde marzo de 2025 es gratuita y de aprobación automática, mediante la plataforma en línea del Ministerio de Justicia. No hay excepción por tamaño de negocio.

¿Puedo mandar promociones por WhatsApp a quienes reservaron?

Solo a quienes autorizaron expresamente esa finalidad. Desde la Ley 32323 (mayo de 2025), las comunicaciones promocionales por llamada, SMS o WhatsApp exigen consentimiento previo, y ni siquiera se puede llamar para pedirlo; INDECOPI puede multar hasta con 450 UIT. Los mensajes de gestión de la reserva (confirmación, recordatorio, cambio de hora) son la ejecución del servicio pedido por el cliente, no publicidad.

¿Cuáles son las multas por incumplir la Ley 29733?

Van por niveles: leves de 0.5 a 5 UIT, graves hasta 50 UIT y muy graves hasta 100 UIT, es decir, hasta S/ 550,000 con la UIT de 2026 (S/ 5,500). Además, el nuevo reglamento exige notificar a la ANPD los incidentes de seguridad graves en 48 horas y responder a los derechos de los titulares en plazos cortos: 8 días para información y 20 para acceso.