La reciente regulación sobre el Oficial de Datos Personales (ODP) ha generado una pregunta inevitable: ¿basta con cumplir los requisitos formales para designar a una persona idónea? Consideramos que no. Si bien el Reglamento de la Ley Nº 29733 – Ley de Protección de Datos Personales, aprobado por Decreto Supremo N.º 016-2024-JUS, la Directiva y la Cartilla emitida por la Autoridad Nacional de Protección de Datos Personales (ANPDP) establecen criterios sobre el perfil, experiencia, formación y funciones del ODP, su verdadera idoneidad no puede reducirse a una lista estricta de requisitos. Debe analizarse caso por caso, según la naturaleza, estructura, riesgos y actividades de tratamiento de cada organización.

El Reglamento de la Ley, define al ODP como la persona designada por el responsable o encargado del tratamiento para verificar, asesorar e implementar el cumplimiento del régimen jurídico de protección de datos personales. Además, exige que su designación atienda a sus cualidades profesionales y, en particular, a sus conocimientos y práctica en la materia, debidamente acreditados.

Este punto es fundamental. El ODP no es una figura decorativa ni un simple canal de contacto con la Autoridad. Su rol implica asesorar, verificar el cumplimiento normativo, cooperar con la ANPDP, actuar como punto de contacto y atender los riesgos asociados a las operaciones de tratamiento de datos, considerando su naturaleza, alcance, contexto y finalidades.

Por ello, la idoneidad del ODP debe entenderse desde una lógica funcional y no meramente documental. Una persona puede contar con certificados o experiencia general, pero ello no necesariamente significa que pueda enfrentar los riesgos concretos de una organización digitalizada, de una entidad pública con múltiples sistemas interoperables, de una empresa del sector salud o bancario, ni de una compañía tecnológica que procesa información por encargo de terceros.

No es lo mismo ser ODP en una empresa con tratamientos administrativos básicos que en una organización que realiza perfilamiento, trata datos biométricos, gestiona grandes volúmenes de información, utiliza inteligencia artificial o terceriza servicios tecnológicos en distintos países. En todos los casos se requiere conocimiento en protección de datos personales, pero el nivel de especialización, dedicación y entendimiento operativo no puede ser el mismo.

La Directiva reconoce esta lógica cuando exige que el ODP preste atención a los riesgos asociados a las operaciones de tratamiento y que la organización pueda establecer guías, lineamientos, protocolos internos y equipos de apoyo cuando la magnitud de sus funciones lo requiera. Es decir, la norma no concibe al ODP como un cargo aislado, sino como parte de un sistema de cumplimiento adaptado a la realidad de cada organización.

Debe distinguirse, además, entre la exigibilidad de la obligación de designar un ODP y la adecuación del perfil de quien ya fue designado. Para los sujetos privados comprendidos en el Reglamento, la obligación de designar un ODP se aplica progresivamente según el tamaño de la empresa: desde el 30 de noviembre de 2025 para empresas con ventas anuales superiores a 2300 UIT; desde el 30 de noviembre de 2026 para medianas empresas; desde el 30 de noviembre de 2027 para pequeñas empresas; y desde el 30 de noviembre de 2028 para microempresas u otros equivalentes. Por su parte, la Directiva resulta aplicable desde el 1 de enero de 2026 y prevé un plazo de 180 días calendario, hasta el 30 de junio de 2026, para que quienes ya contaban con un ODP adecuen su designación, perfil y funciones a sus disposiciones.

En esa misma línea, la Cartilla de Preguntas y Respuestas de la ANPDP aporta una precisión importante desde el plano sancionador: la falta de adecuación del perfil del ODP no configura por sí sola una infracción administrativa. Esta situación debe evaluarse según su impacto real en la implementación de medidas de seguridad y, solo cuando evidencie la ausencia o ineficacia de medidas organizativas que afecten la seguridad del tratamiento, podría valorarse en un procedimiento sancionador. Por otro lado, distinto es el caso de la omisión de designar al ODP cuando corresponda, supuesto que sí constituye una infracción leve, sancionable con multa de 0.5 UIT hasta 5 UIT (en el presente año 2026, de 2,250 a 27,500 soles)

Esta precisión evita convertir la designación del ODP en una competencia por acumular certificados, desconectada del objetivo de la norma: garantizar una gestión responsable, preventiva y efectiva de los datos personales. La pregunta no debería ser únicamente si el ODP cumple con determinado número de horas de capacitación o años de experiencia, sino, si puede entender los tratamientos de la organización, identificar riesgos y promover decisiones compatibles con la normativa.

La Directiva también exige garantías para su adecuado desempeño funcional: acceso a información, recursos, formación continua, participación oportuna en decisiones que incidan en el tratamiento de datos personales y ausencia de instrucciones sobre el criterio técnico o jurídico que deba adoptar. Además, regula el conflicto de intereses, señalando que el ODP no debe encontrarse en situaciones que hagan inviable el cumplimiento independiente de sus funciones.

Esto demuestra que la idoneidad no depende solo de la persona, sino también del entorno organizacional. Incluso un ODP técnicamente preparado puede resultar ineficaz si la organización no le permite acceder a información relevante, participar oportunamente en nuevos proyectos o hacer valer sus recomendaciones. La organización también debe crear las condiciones para que esa idoneidad pueda desplegarse.

Aquí aparece uno de los mayores riesgos prácticos: entender la designación del ODP como un cumplimiento formal. Nombrar a una persona, comunicarla a la Autoridad y publicar su correo electrónico puede ser necesario, pero no suficiente. La verdadera pregunta es si ese ODP conoce los flujos de datos, participa en nuevos proyectos, revisa contratos con encargados, interviene en incidentes de seguridad, asesora sobre evaluaciones de impacto y tiene capacidad real de advertir riesgos.

Bajo esa lógica, la idoneidad del ODP no puede evaluarse con una regla única y automática. La normativa establece un estándar mínimo, pero su aplicación debe tomar en cuenta la realidad de cada organización. Esta evaluación, caso por caso, no debe confundirse con flexibilizar indebidamente el cargo: el ODP debe contar con conocimientos reales y capacidad efectiva para cumplir sus funciones según el nivel de riesgo de la organización.

Por ello, el nombramiento del ODP debe asumirse como una decisión estratégica de cumplimiento. Esta figura debe traducir la normativa en acciones concretas, identificar brechas, proponer mejoras, acompañar a las áreas internas y advertir riesgos para los derechos de los titulares.

Desde esta perspectiva, la figura del ODP debe entenderse como una manifestación concreta del principio de responsabilidad proactiva. No se trata solo de cumplir porque la norma lo exige, sino de demostrar que la organización cuenta con una persona capaz de orientar, prevenir, supervisar y fortalecer la cultura de protección de datos personales.

La designación del ODP no debería responder únicamente a quien cumple el requisito, sino a una pregunta más importante: ¿quién puede proteger adecuadamente los datos personales en mi organización? Ese cambio de enfoque es fundamental. La verdadera idoneidad del ODP no está solo en su hoja de vida, sino en su capacidad para enfrentar los riesgos reales del tratamiento en el contexto específico en el que debe actuar.

María Paz Aliaga Barrantes, Asociada y Miembro del Área de Derecho y Nuevas Tecnologías de TyTL Abogados.