Por Márllury Valdez Ruiz
Socia Fundadora de Terry & Valdez Abogados Corporativos, abogada especialista en Derecho Corporativo, Tributario y Protección de Datos Personales.
La industria del juego en el Perú opera en un entorno altamente regulado. Tradicionalmente, el enfoque de cumplimiento de estas empresas ha estado orientado principalmente a las normas sectoriales del Ministerio de Comercio Exterior y Turismo (MINCETUR), a la prevención del lavado de activos, a los estándares técnicos de seguridad operativa y al cumplimiento de la normativa tributaria sectorial. Sin embargo, en los últimos años se ha consolidado un nuevo eje regulatorio que comienza a tener un impacto directo en la operación de este sector: la protección de datos personales.
El documento “Balance de Gestión 2018–2025 de la Autoridad Nacional de Protección de Datos Personales (ANPD)”, órgano del Ministerio de Justicia encargado de supervisar el cumplimiento de la Ley de Protección de Datos Personales, Ley N.° 29733, evidencia que el sistema peruano de protección de datos ha evolucionado desde un modelo predominantemente registral y orientador hacia un modelo técnico, fiscalizador y sancionador cada vez más activo. Esta evolución regulatoria plantea un nuevo estándar de cumplimiento que impacta directamente en los procesos operativos, comerciales y tecnológicos de los operadores del sector gaming.
UNA AUTORIDAD CADA VEZ MÁS ACTIVA
El balance institucional de la ANPD refleja un crecimiento sostenido en la actividad de supervisión del tratamiento de datos personales en el país. Entre 2018 y 2025 se registran indicadores relevantes:
• 1712 denuncias tramitadas por vulneraciones a la protección de datos personales.
• 2899 entidades fiscalizadas por la autoridad.
• 1265 resoluciones sancionadoras, de las cuales 915 en primera instancia y 350 en segunda instancia.
• Multas impuestas por aproximadamente S/50 millones. Estas cifras evidencian que la protección de datos personales ha dejado de ser un tema meramente formal para convertirse en un ámbito real de supervisión administrativa y riesgo sancionador.
Para la industria del juego, esta tendencia adquiere especial relevancia debido a que los operadores manejan grandes volúmenes de información vinculada a clientes, usuarios y trabajadores: datos de identificación de clientes, registros de ingreso y control de acceso, imágenes de videovigilancia, historial de consumo o participación en juegos, información para programas de fidelización, datos de contacto para campañas comerciales, información de medios de pago y registros de premios o beneficios.
Asimismo, en muchos casos estas operaciones se encuentran interconectadas con plataformas tecnológicas, sistemas de marketing digital, call centers, proveedores de software y sistemas de monitoreo de seguridad. Todo ello convierte a las empresas del sector en intensos tratantes de datos personales, lo que incrementa su exposición a riesgos regulatorios.
NUEVO REGLAMENTO
Uno de los hitos regulatorios más importantes destacados en el balance de gestión de la ANPD es la entrada en vigencia, el 31 de marzo de 2025, del nuevo Reglamento de la Ley de Protección de Datos Personales, aprobado mediante Decreto Supremo N.° 016-2024-JUS.
Este reglamento introduce obligaciones que elevan significativamente el estándar de cumplimiento exigible a las empresas. Entre las principales novedades destacan la obligación de notificar a la autoridad los incidentes de seguridad que comprometan datos personales dentro de las 48 horas, así como de comunicar dichos incidentes a los titulares afectados, entre otros. Para los operadores de casinos, máquinas tragamonedas y plataformas de apuestas online, estas disposiciones tienen implicancias prácticas directas. Por ejemplo, una filtración de bases de datos de clientes, una intrusión informática en plataformas de apuestas o la divulgación no autorizada de imágenes provenientes de sistemas de videovigilancia podrían configurar un incidente de seguridad sujeto a notificación obligatoria a la autoridad.
Asimismo, cuando las operaciones involucran proveedores tecnológicos, plataformas extranjeras o servicios tercerizados de marketing digital, resulta indispensable revisar los contratos de tratamiento de datos personales y los mecanismos de responsabilidad entre las partes.
En este contexto, el cumplimiento no puede limitarse a políticas de privacidad genéricas. Se requiere implementar sistemas de gestión de protección de datos que integren procesos, tecnología y gobernanza corporativa.
VIDEOVIGILANCIA: UN ASPECTO CRÍTICO
La videovigilancia constituye uno de los pilares operativos de los establecimientos de juego. Las cámaras cumplen funciones esenciales de seguridad, control operativo, prevención de fraude y verificación de incidentes. No obstante, desde la perspectiva de la normativa de protección de datos personales, las imágenes captadas por cámaras constituyen datos personales cuando permiten identificar o hacer identificable a una persona.
Por ello, el tratamiento de estas grabaciones debe cumplir obligaciones específicas, tales como informar previamente a las personas sobre la existencia de sistemas de videovigilancia, delimitar las finalidades del tratamiento, establecer plazos de conservación adecuados y controlar los accesos a las grabaciones. Por lo tanto, los sistemas de monitoreo no solo deben cumplir con estándares técnicos de seguridad, sino también con estándares jurídicos de protección de datos personales.
REGISTRO DE BANCOS DE DATOS PERSONALES
El balance institucional también destaca que entre 2013 y 2025 se han inscrito más de 38 000 bancos de datos personales en el país y que desde marzo de 2025 el registro es gratuito y de aprobación automática, lo que elimina barreras administrativas que anteriormente dificultaban su cumplimiento.
Un operador del sector puede tener múltiples bancos de datos; la omisión de estos registros constituye una infracción administrativa.
DERECHOS DE LOS TITULARES DE DATOS
El balance de gestión también evidencia un incremento en los procedimientos vinculados al ejercicio de los derechos ARCO (acceso, rectificación, cancelación y oposición).
Entre 2018 y 2025 se registraron 1386 procedimientos trilaterales de tutela de derechos, lo que demuestra que los ciudadanos están cada vez más informados sobre sus derechos en materia de protección de datos. Por lo tanto, las empresas deben contar con procedimientos internos claros y eficientes para atender estas solicitudes dentro de los plazos legales establecidos, fortaleciendo así la confianza del cliente y reduciendo el riesgo de controversias administrativas.
HACIA UNA CULTURA DE CUMPLIMIENTO
El balance de gestión de la Autoridad Nacional de Protección de Datos Personales nos lleva a la conclusión de que la protección de datos personales se ha consolidado como un componente esencial del compliance empresarial en el Perú. Por consiguiente, para los operadores del sector, el cumplimiento de esta normativa constituye un elemento estratégico que impacta en la gestión del riesgo regulatorio, la reputación corporativa, la confianza de los clientes y la continuidad operativa del negocio.
En ese sentido, la implementación de programas integrales de cumplimiento, que incluyan diagnóstico, registro de bancos de datos, políticas internas, gestión de incidentes de seguridad, contratos con terceros y capacitación del personal, se convierte en una necesidad empresarial porque la adecuada gestión de los datos personales no solo es una obligación legal, sino también una ventaja competitiva.
La seguridad del dato y la confianza del usuario forman parte esencial de la experiencia de juego. Y ahí donde existe visión empresarial, también debe existir una estructura legal sólida que garantice el cumplimiento normativo y la sostenibilidad del negocio.
