Si tu web tiene un formulario de contacto, un botón para suscribirse a novedades o un carrito de compras, ya estás recibiendo datos personales: nombres, correos, teléfonos, direcciones de entrega. En el Perú eso tiene reglas claras, y la política de privacidad es la pieza visible de ese cumplimiento.
En esta guía te explicamos qué exige la Ley N.° 29733, Ley de Protección de Datos Personales, y su nuevo reglamento a una web o tienda en línea, qué debe decir tu política y qué errores conviene evitar. Es una orientación general: si tu negocio maneja datos delicados o muchos datos, lo recomendable es revisarlo con un abogado especializado.
Qué normas se aplican y desde cuándo
La base es la Ley N.° 29733. Su reglamento actual es el Decreto Supremo N.° 016-2024-JUS, publicado el 30 de noviembre de 2024, que reemplazó al reglamento de 2013. Según la Autoridad Nacional de Protección de Datos Personales, que forma parte del Ministerio de Justicia y Derechos Humanos (MINJUSDH), el nuevo reglamento está vigente desde el 31 de marzo de 2025.
La ley se aplica a cualquier persona natural o empresa que recopile y use datos de personas, sin importar su tamaño. Una bodega con tienda en línea y una gran cadena tienen las mismas obligaciones básicas; lo que cambia es el volumen y las medidas adicionales.
El consentimiento: la regla principal
Para usar los datos de alguien necesitas su consentimiento. El reglamento dice que es válido solo si es:
- Libre: no puedes condicionar un servicio a que te entreguen datos que no son necesarios para darlo.
- Previo: se pide antes de recopilar los datos, no después.
- Expreso e inequívoco: la persona debe hacer una acción clara, como marcar una casilla o hacer clic en un botón. El reglamento reconoce expresamente el clic como forma válida.
- Informado: la persona debe saber, antes de aceptar, para qué usarás sus datos.
Dos detalles importantes del reglamento: publicar una política de privacidad no reemplaza el consentimiento, y si hay una disputa, eres tú quien debe probar que la persona aceptó. Por eso conviene guardar cuándo y cómo se dio cada aceptación.
Pedidos y boletines no son lo mismo
La ley exceptúa del consentimiento los datos necesarios para preparar y cumplir un contrato en el que la persona es parte. En la práctica, los datos que te da un cliente para entregarle su pedido sirven para eso. Pero si quieres usar ese mismo correo para enviarle promociones, necesitas su consentimiento aparte: el reglamento exige consentimiento directo para la publicidad y una forma sencilla y gratuita de darse de baja, que debe atenderse en un máximo de 10 días hábiles.
Por eso la casilla «Quiero recibir novedades» debe aparecer sin marcar y separada de la aceptación de los términos de compra.
Qué debe decir tu política de privacidad
La ley permite que, si recoges datos por internet, cumplas tu deber de informar publicando una política de privacidad fácil de encontrar e identificar. El reglamento detalla lo que debes comunicar, como mínimo:
- Quién eres: tu nombre o razón social y tu domicilio o dirección, para que la persona sepa a quién dirigirse.
- Para qué usarás los datos (atender consultas, despachar pedidos, enviar novedades), cada finalidad por separado.
- Quiénes pueden recibirlos, por ejemplo la empresa de envíos o la pasarela de pagos.
- En qué banco de datos se guardan, cuando corresponda.
- Qué datos son obligatorios y cuáles opcionales, y qué pasa si la persona no los da.
- Si los datos se envían a otro país, por ejemplo porque usas un servicio de correo o almacenamiento en el extranjero.
- Si tomas decisiones automáticas o armas perfiles con esos datos.
- Cuánto tiempo los conservarás.
- Cómo ejercer los derechos ARCO y revocar el consentimiento.
Todo esto debe estar en lenguaje sencillo. Puedes ver un ejemplo de estructura en nuestra propia política de privacidad.
Los derechos ARCO y sus plazos
ARCO son las iniciales de los derechos de acceso, rectificación, cancelación y oposición. Cualquier persona puede pedirte saber qué datos tienes de ella, corregirlos, que los elimines o que dejes de usarlos para algo. El reglamento también reconoce el derecho de información y el de portabilidad, es decir, recibir sus datos en un formato que pueda llevar a otro proveedor.
Lo que necesitas tener listo:
- Un canal sencillo y gratuito para recibir estas solicitudes, como un correo indicado en tu política.
- Responder dentro de los plazos del reglamento, que se cuentan en días hábiles:
| Derecho | Plazo máximo de respuesta |
|---|---|
| Información | 8 días hábiles |
| Acceso | 20 días hábiles |
| Rectificación, cancelación u oposición | 10 días hábiles |
Salvo el de información, estos plazos se pueden ampliar una sola vez por un periodo igual, si lo justificas y avisas a la persona dentro del plazo original.
Inscribir tu banco de datos
Un banco de datos personales es cualquier conjunto organizado de datos de personas: la lista de clientes de tu tienda, los contactos que llegan por tu formulario o los suscriptores de tu boletín. El reglamento obliga a las personas naturales y empresas que crean bancos de datos a inscribirlos en el Registro Nacional de Protección de Datos Personales.
Según la página oficial del trámite, la inscripción es gratuita, virtual (en el Sistema Integrado de Protección de Datos Personales) y de aprobación automática, sujeta a fiscalización posterior. Al terminar recibes una constancia y un código del banco de datos, que puedes citar en tu política de privacidad.
Además, el reglamento pide que las webs y tiendas que tratan datos tengan documentadas medidas de seguridad, como controles de acceso y registros de quién entra a los datos. Y solo exige designar un oficial de datos personales a quienes manejan grandes volúmenes de datos o datos sensibles, como los de salud.
¿Y las cookies?
Las cookies son pequeños archivos que tu web guarda en el navegador del visitante, por ejemplo para recordar su carrito o para medir visitas y mostrar anuncios. El reglamento peruano no tiene un capítulo específico sobre ellas, pero cuando una cookie permite identificar a una persona se aplican las mismas reglas de información y consentimiento.
Lo prudente es explicar en tu política qué cookies usas y para qué, y pedir aceptación antes de activar las que no son necesarias para que la web funcione, como las de publicidad. Si tienes dudas sobre tu caso, consúltalo con un especialista.
Errores comunes que conviene evitar
- Copiar la política de otra web. Es el error más frecuente. Una política copiada describe datos, proveedores y finalidades que no son los tuyos, y puede citar leyes de otros países. Si no dice la verdad sobre lo que haces, no cumple su función.
- Casillas premarcadas o un solo «Acepto todo» que mezcla la compra con la publicidad.
- Esconder la política en un lugar difícil de encontrar. Lo habitual es enlazarla en el pie de página y junto a cada formulario.
- No tener un correo real para atender solicitudes ARCO, o no revisarlo.
- Pedir datos de más: si para una consulta basta el nombre y el correo, no pidas DNI ni dirección.
- Olvidar actualizarla cuando agregas un servicio nuevo, como una pasarela de pagos o una herramienta de correo masivo.
Cumplir no es solo evitar problemas. La ley prevé multas desde media UIT hasta 100 UIT según la gravedad de la infracción (en 2026 la UIT es de S/ 5,500), con un tope del 10% de los ingresos brutos anuales del año anterior.
Conclusión
Una buena política de privacidad es corta, clara y cuenta la verdad sobre lo que haces con los datos. Revisa tus formularios, separa el consentimiento para publicidad, ten un canal para los derechos ARCO e inscribe tus bancos de datos. Si tu negocio trata datos sensibles o tiene dudas puntuales, consúltalo con un abogado. Y si estás armando o renovando tu web, en Datios incluimos formularios con casillas de consentimiento bien hechas y el enlace a tu política en todo el sitio, tanto en páginas web como en tiendas en línea.
