Ley 29733 y certificados: lo que tu academia debe cumplir

Un certificado y su página de verificación contienen datos personales, así que la Ley 29733 de Protección de Datos Personales se aplica a tu academia desde el momento en que registras al primer alumno. Lo que debes cumplir, en corto: informar para qué usarás los datos, pedir consentimiento para lo que no sea estrictamente necesario para dictar el curso y certificar, publicar en la verificación solo los datos mínimos, y tener un procedimiento para cuando un alumno pida acceder, corregir o cancelar sus datos. Lo que no debes hacer es mostrar el DNI completo en una página pública ni usar el correo del alumno para publicidad sin haberlo pedido.

¿La Ley 29733 aplica a una academia pequeña?

Sí. La ley aplica a cualquier persona natural o jurídica que trate datos personales en el Perú, sin un mínimo de tamaño. Una academia con 40 alumnos al año que guarda nombres, DNI, correos y notas en una hoja de cálculo ya administra un banco de datos personales y es responsable de él. La autoridad encargada de supervisar es la Autoridad Nacional de Protección de Datos Personales, que depende del Ministerio de Justicia y Derechos Humanos; su información oficial está en gob.pe.

Los conceptos básicos que necesitas manejar:

• Dato personal: cualquier información que identifique o haga identificable a una persona. Nombre, DNI, correo, foto, firma, calificaciones.
• Titular: la persona a quien pertenecen los datos. Tu alumno.
• Banco de datos: el conjunto organizado de datos. Tu lista de matriculados, tu registro de certificados.
• Tratamiento: cualquier operación sobre los datos. Recoger, guardar, publicar, enviar por correo, eliminar.
• Consentimiento: la autorización del titular, que debe ser libre, previa, expresa, inequívoca e informada.

Y las obligaciones que de ahí se derivan: informar, pedir consentimiento cuando corresponde, usar los datos solo para la finalidad declarada, protegerlos con medidas razonables, y atender los derechos del titular. Lo mismo aplica si no eres una academia sino el área de capacitación de una empresa que certifica a sus propios trabajadores: los datos del trabajador tienen la misma protección.

¿Necesito consentimiento para emitir el certificado?

Aquí hay un matiz importante. Si el alumno se matriculó en un curso que termina con un certificado, emitir ese certificado con su nombre forma parte de la relación que él mismo solicitó. El tratamiento necesario para cumplir con lo que el alumno contrató no requiere un consentimiento separado, pero sí requiere que lo hayas informado.

Lo que sí requiere consentimiento expreso porque va más allá de dictar el curso y certificar:

• Publicar su nombre en una página de verificación pública accesible por cualquiera con el enlace o el QR.
• Enviarle publicidad de otros cursos después.
• Usar su foto o testimonio en tu web o redes.
• Compartir sus datos con terceros (una empresa aliada, un patrocinador del congreso).
• Incluirlo en un directorio de egresados visible públicamente.

En la práctica, lo resuelves con una cláusula de tratamiento de datos en la ficha de matrícula o en el formulario de inscripción, con casillas separadas para lo necesario y lo opcional. No uses una sola casilla de “acepto todo”: un consentimiento que mezcla lo obligatorio con lo opcional no es libre.

¿Qué datos puedo mostrar en la página de verificación?

El principio que manda es el de proporcionalidad: solo los datos adecuados y no excesivos para la finalidad. La finalidad de una página de verificación es que un tercero confirme que esa persona obtuvo ese certificado. Con eso en mente:

Dato	¿En el certificado?	¿En la página pública de verificación?	Comentario
Nombre completo	Sí	Sí	Es el dato que identifica al titular del logro
DNI completo	Opcional, según el sector	No	Expone al titular a suplantación; si hace falta, muestra solo parte
Nombre del curso y horas	Sí	Sí	Es el objeto de la verificación
Fecha de emisión y vigencia	Sí	Sí	Necesaria para evaluar el certificado
Estado (válido / revocado)	No aplica	Sí	Es la razón de ser de la verificación
Calificación o nota	Opcional	Preferiblemente no	No es necesaria para verificar; puede perjudicar al titular
Correo o teléfono del alumno	No	No	Nada aporta a la verificación y expone al titular
Fecha de nacimiento	No	No	Dato innecesario para este fin
Foto	Rara vez	No	Evítalo; no aporta a la verificación y es difícil de retirar una vez difundida
Firma del alumno	No	No	Facilita la falsificación de otros documentos

Qué campos debe llevar el certificado impreso o digital, desde el punto de vista de validez, lo detallamos en qué datos debe tener un certificado de curso válido en el Perú. La discusión más amplia sobre datos y certificados está en protección de datos personales en certificados.

Ejemplo. El Instituto Horizonte, academia de cómputo en Trujillo, mostraba en su página de verificación nombre, DNI completo, nota final y correo del alumno “para que el empleador pueda contactarlo”. Un egresado reclamó cuando empezó a recibir mensajes no solicitados. La academia retiró el DNI, la nota y el correo de la vista pública; dejó nombre, curso, horas, fecha y estado. La verificación siguió funcionando igual.

¿Qué derechos puede ejercer el alumno y cómo los atiendo?

La ley reconoce al titular, entre otros, los derechos de información, acceso, rectificación, cancelación y oposición. Para una academia, los casos típicos:

• Acceso: “Quiero saber qué datos míos tienen”. Respondes con la relación de datos, de dónde salieron y para qué se usan.
• Rectificación: “Mi apellido está mal escrito en el certificado”. Corriges el registro, reemites el certificado y la página de verificación muestra el dato corregido.
• Cancelación: “Quiero que borren mis datos”. Aquí hay un límite: si tienes razones para conservar el registro de emisiones (para responder verificaciones futuras o por exigencias del sector), puedes conservar lo estrictamente necesario, pero debes retirar lo accesorio y dejar de usar el dato para fines no esenciales.
• Oposición: “No quiero que mi nombre aparezca en la página pública”. Puedes restringir la visibilidad pública de ese certificado, aunque sigas conservándolo en tu registro interno.

Define un canal (un correo específico sirve), una persona responsable y un plazo interno de respuesta. La ley y su reglamento fijan plazos máximos; consulta los vigentes en la web del Ministerio de Justicia y responde siempre dentro de ellos, por escrito.

¿Qué medidas de seguridad son razonables para una academia?

La ley exige medidas de seguridad proporcionales al riesgo, no un estándar bancario. Para una academia o un área de capacitación de empresa, lo razonable:

• Acceso al registro de alumnos con usuario y contraseña, no una hoja de cálculo compartida por WhatsApp.
• Copias de respaldo.
• Que la plataforma de certificados muestre públicamente solo lo necesario y mantenga lo demás privado.
• Un acuerdo con cualquier proveedor que trate datos por ti (plataforma de certificados, correo masivo, hosting), en el que el proveedor se compromete a usar los datos solo para prestarte el servicio.
• Eliminar o anonimizar datos de postulantes que nunca se matricularon, tras un plazo definido.

Errores comunes que vemos en academias e institutos

• Publicar listas de egresados con DNI en PDF en la web “para transparencia”. Es exposición innecesaria de datos.
• Reutilizar la base de alumnos para campañas de otros cursos sin haber pedido ese consentimiento.
• No tener forma de retirar un certificado de la vista pública cuando el titular lo solicita.
• Enviar certificados por correo con copia visible a todo el grupo. Cada alumno ve el correo de los demás. Usa envío individual.
• Guardar fotos del DNI de los alumnos indefinidamente sin necesidad.
• Pedir datos que no usas: estado civil, dirección exacta, nombre de los padres en un curso para adultos.
• No saber dónde están los datos. Si los alumnos están en tres hojas de cálculo, un formulario en línea y la memoria del coordinador, no puedes atender un pedido de acceso con seriedad.

El siguiente paso

Revisa hoy tu ficha de matrícula y tu página de verificación con la tabla de arriba: lo que no aporte a la finalidad, retíralo; lo que vaya más allá del curso, pídelo con casilla aparte. Si emites con una plataforma, confirma que la vista pública muestre solo nombre, curso, fecha y estado, y que el envío al alumno sea individual. Certifika emite certificados con QR y página de verificación con tu marca y envía cada certificado al correo del alumno; para áreas de capacitación en empresas, la propuesta está en la página de soluciones para empresas.