La Resolución SBS N.° 01015-2026 amplía las exigencias sobre el tratamiento de información y eleva la exposición de los operadores.
Por Márllury Valdez Ruiz
Socia fundadora de Terry & Valdez Abogados Corporativos,
especialista en Derecho Tributario, Protección de Datos Personales y Corporativo.
Durante años, los operadores de salas de juegos de casino y máquinas tragamonedas han concentrado sus esfuerzos de cumplimiento en la prevención del lavado de activos y financiamiento del terrorismo. La prioridad ha sido atender las exigencias de la UIF, cumplir los requerimientos de la SBS e implementar mecanismos de debida diligencia y monitoreo de operaciones.
Sin embargo, la Resolución SBS N.° 01015-2026 incorpora una dimensión regulatoria que muchos operadores aún no han advertido. La norma no solo fortalece las obligaciones SPLAFT, sino que profundiza significativamente el tratamiento de datos personales asociado a dichas obligaciones, incrementando la exposición regulatoria de las organizaciones.
Y es precisamente en esa intersección entre cumplimiento SPLAFT y protección de datos personales donde surge uno de los riesgos regulatorios más relevantes para la industria del juego: una empresa puede cumplir adecuadamente con la SBS y, al mismo tiempo, presentar importantes brechas de cumplimiento frente a la Autoridad Nacional de Protección de Datos Personales.
El nuevo activo crítico del sector ya no es el dinero: son los datos
La industria de casinos y máquinas tragamonedas siempre ha manejado grandes volúmenes de información personal. Sin embargo, la Resolución SBS N.° 01015-2026 transforma esa realidad al convertir los datos en un elemento central de la gestión de riesgos.
Hoy, los operadores no solo deben identificar a sus clientes, sino también verificar identidades, monitorear operaciones, evaluar perfiles de riesgo, identificar beneficiarios finales, detectar la condición de Persona Expuesta Políticamente (PEP) y analizar patrones de comportamiento transaccional.
Como consecuencia, las empresas concentran información cada vez más extensa, sensible y valiosa sobre sus clientes. El verdadero riesgo ya no radica únicamente en una operación sospechosa de lavado de activos, sino también en una filtración, acceso indebido o uso no autorizado de dicha información.
En este nuevo escenario regulatorio, la protección de datos personales deja de ser una obligación complementaria para convertirse en un componente esencial de la gestión empresarial, la continuidad operativa y la sostenibilidad del negocio.
El perfilamiento de clientes: una obligación SPLAFT con impacto en privacidad
Uno de los efectos menos analizados de la nueva regulación es el perfilamiento de clientes. El operador ya no se limita a identificar personas; debe analizarlas, clasificarlas según niveles de riesgo, monitorear comportamientos, detectar operaciones inusuales y evaluar variaciones en sus patrones transaccionales.
Desde la óptica de la protección de datos personales, estamos frente a tratamientos que incrementan significativamente los riesgos para los derechos y libertades de las personas. Por ello, herramientas como la gestión de riesgos de privacidad y la Evaluación de Impacto en Protección de Datos (EIPD) adquieren una relevancia cada vez mayor para la industria del juego.
La pregunta que debería formularse la Alta Dirección es sencilla: ¿La organización ha evaluado formalmente los riesgos de privacidad derivados de sus procesos de debida diligencia y monitoreo?
Videovigilancia, monitoreo y trazabilidad: una combinación de alto riesgo
La industria de casinos y tragamonedas opera bajo uno de los sistemas de videovigilancia más intensivos del país. A ello se suma la necesidad de monitorear operaciones, verificar comportamientos y conservar evidencia para fines regulatorios.
Como consecuencia, los operadores concentran información relacionada con la identidad de jugadores, registros de ingreso y permanencia, grabaciones de videovigilancia, información financiera, historial transaccional, clasificaciones de riesgo y documentación de cumplimiento SPLAFT.
Desde una perspectiva de gestión de riesgos, ello constituye un escenario de alto impacto frente a accesos indebidos, filtraciones, pérdida de información o incidentes de seguridad. Por tanto, la gestión de brechas no solo es un aspecto tecnológico sino obligación jurídica y operativa.
Gestionar los datos correctamente es un desafío
La Resolución SBS N.° 01015-2026 exige conservar por un plazo no menor de cinco años la información relacionada con el SPLAFT y aquella que permita acreditar el cumplimiento de las obligaciones regulatorias, incluyendo información de clientes, operaciones, medidas de debida diligencia, análisis de riesgos y documentación de cumplimiento.
El error consiste en asumir que esta obligación se limita al archivo de documentos. Desde la perspectiva de la protección de datos personales, la conservación implica gestionar adecuadamente la información durante todo su ciclo de vida.
Durante ese período, la organización debe garantizar la confidencialidad, integridad, disponibilidad y trazabilidad de los datos, implementar controles de acceso, supervisar a terceros, gestionar incidentes de seguridad e informar a los titulares los plazos o criterios de conservación aplicables.
Por ello, el verdadero desafío no es conservar información durante cinco años, sino demostrar que la organización la gestionó conforme a la Ley de Protección de Datos Personales durante esos cinco años.
Oficial de Cumplimiento no significa Oficial de Datos Personales
Una confusión frecuente en el sector consiste en asumir que la existencia de un Oficial de Cumplimiento cubre todas las obligaciones vinculadas al tratamiento de información. Ello no es correcto, pues el SPLAFT y la protección de datos personales responden a finalidades, riesgos y obligaciones distintas.
Mientras el Oficial de Cumplimiento supervisa la prevención del lavado de activos y financiamiento del terrorismo, la normativa de protección de datos exige mecanismos específicos de gobernanza, gestión de riesgos y supervisión del tratamiento de información.
Por ello, el nuevo Reglamento incorpora la figura del Oficial de Datos Personales, especialmente relevante en organizaciones que realizan tratamientos masivos o de alto riesgo, como ocurre en la industria del juego.
La pregunta que la autoridad hará mañana
Durante años la principal preocupación fue demostrar a la UIF que las operaciones sospechosas eran detectadas y reportadas oportunamente. Hoy el desafío es mayor.
La pregunta ya no será únicamente si la empresa cumple con el SPLAFT, sino si puede demostrar que los datos personales recopilados para dicho cumplimiento son tratados conforme a la Ley N.° 29733 y al Decreto Supremo N.° 016-2024-JUS.
La respuesta no se acredita con declaraciones, sino con evidencia: inventarios de tratamientos, matrices de riesgo, evaluaciones de impacto, políticas de conservación, protocolos de videovigilancia, procedimientos ARCO, controles de seguridad y gestión de incidentes.
Conclusión
La Resolución SBS N.° 01015-2026 ha incrementado significativamente las obligaciones de tratamiento de información de los operadores de casinos y máquinas tragamonedas. Cada obligación de identificación, monitoreo, perfilamiento, clasificación y conservación exigida por el SPLAFT genera simultáneamente obligaciones bajo la Ley de Protección de Datos Personales.
Por ello, el cumplimiento ya no puede limitarse a controles PLAFT o documentación formal. Hoy resulta indispensable gestionar adecuadamente los riesgos asociados al tratamiento de datos personales y contar con evidencia de cumplimiento.
La obligación de conservar datos durante cinco años no es el riesgo. El riesgo es todo lo que la organización debe hacer correctamente durante esos cinco años.
