Última actualización: septiembre 2026 Base legal: Ley N° 29733 y su Reglamento Aplica a: toda persona natural o jurídica que recopile, almacene o use datos personales de usuarios peruanos a través de un sitio web, aplicación o plataforma digital.
Si tu página web tiene un formulario de contacto, una pasarela de pago, un sistema de registro, una suscripción a newsletter o incluso una sección de comentarios, estás recopilando datos personales. Y en Perú, eso te convierte en responsable del tratamiento bajo la Ley 29733.
Esta guía explica qué exige la ley, qué debes implementar en tu sitio web y qué consecuencias tiene no cumplir.
¿Qué es la Ley 29733?
La Ley N° 29733 es la Ley de Protección de Datos Personales del Perú. Regula cómo las empresas y entidades recopilan, almacenan, usan, transfieren y eliminan los datos personales de las personas.
Su objetivo es garantizar el derecho fundamental a la privacidad y evitar que los datos de los ciudadanos peruanos sean utilizados de forma abusiva, negligente o sin su conocimiento.
La ley se complementa con su Reglamento y es fiscalizada por la Autoridad Nacional de Protección de Datos Personales (ANPD), que depende del Ministerio de Justicia y Derechos Humanos.
Marco normativo completo
| Norma | Función |
|---|---|
| Ley N° 29733 | Marco general: principios, derechos del titular, obligaciones del responsable, régimen sancionador |
| Reglamento de la Ley 29733 | Detalle operativo: procedimientos, estándares de seguridad, flujo transfronterizo |
| Opiniones Consultivas de la ANPD | Interpretaciones oficiales sobre temas específicos (cookies, consentimiento, datos biométricos) |
| Directivas de la ANPD | Lineamientos técnicos para sectores específicos |
¿Qué es un dato personal según la ley peruana?
Es cualquier información que identifica o permite identificar a una persona natural. No se limita a nombre y DNI. La definición es amplia e incluye:
| Tipo de dato | Ejemplos comunes en sitios web |
|---|---|
| Datos identificativos | Nombre, apellido, DNI, RUC, foto de perfil |
| Datos de contacto | Email, teléfono, dirección postal |
| Datos económicos | Número de tarjeta, historial de compras, datos de facturación |
| Datos de navegación | Dirección IP, cookies, historial de páginas visitadas, geolocalización |
| Datos de acceso | Usuario, contraseña, tokens de sesión |
| Datos sensibles | Origen racial o étnico, opiniones políticas, datos de salud, orientación sexual, datos biométricos |
Punto clave para desarrolladores web: la ANPD, a través de la Opinión Consultiva N° 02-2022-JUS/DGTAIPD, ha establecido que los identificadores en línea generados por cookies, píxeles de rastreo y huellas digitales del dispositivo (device fingerprinting) son datos personales cuando permiten individualizar o perfilar el comportamiento de una persona. Esto impacta directamente la implementación de herramientas como Google Analytics, Meta Pixel o cualquier sistema de tracking.
El principio del consentimiento: la base de todo
El pilar fundamental de la Ley 29733 es que ningún dato personal puede ser tratado sin la autorización del titular. Este consentimiento debe cumplir cuatro requisitos simultáneos:
| Requisito | Qué significa | Qué está prohibido |
|---|---|---|
| Previo | Obtenido ANTES de recopilar el dato | Recopilar datos primero y pedir permiso después |
| Informado | El usuario sabe exactamente para qué se usarán sus datos | Pedir consentimiento sin explicar la finalidad |
| Expreso | Manifestado mediante una acción afirmativa clara | Asumir consentimiento por silencio o inacción |
| Inequívoco | Sin ambigüedad sobre la voluntad del usuario | Redacciones confusas que no dejan claro qué se acepta |
Lo que esto significa para el diseño de tu web
- ❌ Prohibido: casillas de verificación (checkboxes) premarcadas por defecto.
- ❌ Prohibido: interpretar que «si el usuario sigue navegando, acepta».
- ❌ Prohibido: un solo botón de «Acepto todo» sin opción granular.
- ✅ Correcto: checkbox vacío que el usuario marca activamente.
- ✅ Correcto: enlace visible a la política de privacidad antes de que el usuario envíe el formulario.
- ✅ Correcto: separar el consentimiento operativo (necesario para el servicio) del consentimiento comercial (newsletter, publicidad).
Consentimiento separado por finalidad
La ley exige que el usuario pueda distinguir y decidir por separado entre distintas finalidades de tratamiento. Por ejemplo:
| Finalidad | ¿Puede ser obligatoria para usar el servicio? |
|---|---|
| Procesar el pedido y enviar el producto | Sí — es la finalidad operativa esencial |
| Enviar newsletters promocionales | No — debe ser opcional, con consentimiento separado |
| Compartir datos con socios comerciales para publicidad | No — requiere consentimiento específico e independiente |
| Usar cookies publicitarias para retargeting | No — requiere consentimiento explícito previo |
¿Qué es un Banco de Datos Personales y por qué debes registrarlo?
Un Banco de Datos Personales es cualquier conjunto organizado de datos personales, sea automatizado o no. En el contexto de un sitio web, tus bancos de datos típicos son:
- La base de datos de clientes registrados.
- La lista de suscriptores de tu newsletter.
- El registro de usuarios que han hecho compras.
- Los datos recopilados a través de formularios de contacto.
- Los registros del Libro de Reclamaciones Virtual.
Obligación de registro ante la ANPD
La Ley 29733 obliga a toda persona jurídica que recopile datos personales a inscribir sus Bancos de Datos ante el registro público de la Autoridad Nacional de Protección de Datos Personales.
Operar un sitio web que almacene datos de usuarios sin el correspondiente registro de bancos de datos es una infracción administrativa independiente. Es decir, te pueden sancionar por no registrar el banco, aunque no hayas cometido ninguna otra falta con los datos.
| Acción | Detalle |
|---|---|
| Dónde se registra | Registro Nacional de Protección de Datos Personales, administrado por la ANPD |
| Qué declarar | Finalidad del banco, tipo de datos que contiene, medidas de seguridad implementadas, responsable del tratamiento |
| Consecuencia de no registrar | Infracción autónoma sancionable, independiente de cualquier otro incumplimiento |
Derechos ARCO: qué son y cómo implementarlos en tu web
La Ley 29733 garantiza a todo usuario peruano el ejercicio de los Derechos ARCO sobre sus datos personales. Tu sitio web debe contar con un canal para atender estas solicitudes.
| Derecho | Qué puede hacer el usuario | Ejemplo |
|---|---|---|
| Acceso | Conocer qué datos suyos tienes almacenados y cómo los usas | «Quiero saber qué información mía tienen en su base de datos» |
| Rectificación | Corregir datos inexactos o incompletos | «Mi dirección cambió, actualícenla» |
| Cancelación | Solicitar la eliminación de sus datos cuando ya no sean necesarios o revoque el consentimiento | «Quiero que borren mi cuenta y todos mis datos» |
| Oposición | Negarse a que sus datos sean tratados para una finalidad específica | «No quiero recibir más publicidad, pero mantengan mi cuenta activa» |
Implementación práctica
Tu web necesita al menos uno de estos canales:
- Dirección de correo electrónico específica (ejemplo: datospersonales@tuempresa.pe o privacidad@tuempresa.pe).
- Formulario dedicado en la sección de privacidad del sitio.
- Enlace visible en el footer o en la política de privacidad que dirija al canal de atención.
La ley establece plazos perentorios para responder estas solicitudes. No atender una solicitud ARCO dentro del plazo legal puede generar un procedimiento sancionador ante la ANPD, iniciado por el propio usuario afectado.
Flujo transfronterizo de datos: si usas hosting o herramientas extranjeras
Aquí hay un punto que la mayoría de sitios web peruanos pasan por alto.
Si tu página web está alojada en servidores fuera del Perú (AWS en Virginia, Google Cloud en Iowa, DigitalOcean en Nueva York) o usas herramientas que procesan datos de tus usuarios en el extranjero, estás realizando un flujo transfronterizo de datos personales.
Esto es perfectamente legal, pero debes declararlo.
Herramientas comunes que generan flujo transfronterizo
| Herramienta | Tipo de dato que transfiere | Ubicación típica de servidores |
|---|---|---|
| AWS, Google Cloud, Azure | Todos los datos de tu web | Estados Unidos, Europa |
| Mailchimp, Brevo, ActiveCampaign | Emails y datos de suscriptores | Estados Unidos |
| Stripe, PayPal, MercadoPago | Datos de pago y facturación | Estados Unidos, Argentina |
| Google Analytics | Datos de navegación, IP, comportamiento | Estados Unidos |
| Meta Pixel (Facebook) | Datos de navegación y perfilamiento | Estados Unidos |
| HubSpot, Salesforce | Datos de clientes y leads | Estados Unidos |
| Calendly, Typeform | Datos de formularios y citas | Estados Unidos, Europa |
¿Qué debes hacer?
- Identificar todas las herramientas de terceros que procesan datos de tus usuarios fuera del Perú.
- Declarar en tu Política de Privacidad que realizas transferencia internacional de datos, indicando los terceros destinatarios y su ubicación.
- Asegurar que el nivel de protección en el país de destino sea adecuado o que existan garantías contractuales (cláusulas de protección de datos con tus proveedores).
Seguridad de datos: qué medidas técnicas exige la ley
La Ley 29733 impone el principio de seguridad, obligando a los responsables de sitios web a implementar medidas para evitar la alteración, pérdida o acceso no autorizado a los datos.
Medidas técnicas mínimas
| Medida | Qué implica |
|---|---|
| Certificado SSL/TLS | Toda página web que recopile datos debe funcionar sobre HTTPS. Sin excepción. |
| Encriptación de bases de datos | Los datos almacenados deben estar cifrados, especialmente contraseñas y datos sensibles. |
| Controles de acceso por roles | No todo empleado debe tener acceso a todos los datos. Implementar permisos diferenciados. |
| Copias de seguridad | Backups regulares con almacenamiento seguro. |
| Registro de accesos | Log de quién accede a los datos, cuándo y con qué finalidad. |
| Protocolo de brechas | Procedimiento documentado para actuar ante una filtración de datos (notificar a la ANPD en 48 horas). |
Notificación de brechas de seguridad: las 48 horas
Si ocurre una filtración, hackeo o acceso no autorizado a los datos personales de tus usuarios, la normativa peruana te obliga a notificar a la ANPD en un plazo de 48 horas desde que tomas conocimiento del incidente.
| Paso | Plazo | Acción |
|---|---|---|
| 1 | Inmediato | Detectar y contener la brecha |
| 2 | Dentro de 48 horas | Notificar a la ANPD con detalle del incidente, datos afectados y medidas tomadas |
| 3 | Lo antes posible | Notificar a los usuarios afectados (buena práctica, alineada con estándares internacionales) |
| 4 | Continuo | Documentar todo el proceso para la defensa ante posible sanción |
No notificar dentro de las 48 horas agrava la situación. La filtración ya es una infracción potencial; la omisión de notificación la convierte en una falta adicional.
Multas: cuánto cuesta no cumplir en 2026
La ANPD clasifica las infracciones en leves, graves y muy graves. Con la UIT 2026 fijada en S/ 5,500 (Decreto Supremo N° 301-2025-EF), las sanciones se actualizan así:
| Tipo de infracción | Rango en UIT | Rango en soles (2026) | Ejemplo |
|---|---|---|---|
| Leve | 0.5 a 5 UIT | S/ 2,750 — S/ 27,500 | No actualizar la política de privacidad |
| Grave | 5 a 50 UIT | S/ 27,500 — S/ 275,000 | Tratar datos sin consentimiento válido, no registrar banco de datos |
| Muy grave | 50 a 100 UIT | S/ 275,000 — S/ 550,000 | Filtración masiva de datos por falta de medidas de seguridad, tratamiento ilícito de datos sensibles |
Para ponerlo en perspectiva: una infracción «muy grave» puede costar más que la facturación anual de muchas pymes peruanas. La prevención es siempre más barata que la sanción.
Checklist de cumplimiento para tu sitio web
| # | Acción | Estado |
|---|---|---|
| 1 | Tener una Política de Privacidad completa, visible y en lenguaje claro | ☐ |
| 2 | Implementar consentimiento expreso (checkbox vacío, no premarcado) en todos los formularios | ☐ |
| 3 | Separar el consentimiento operativo del comercial (newsletter, publicidad) | ☐ |
| 4 | Tener Política de Cookies con banner de primera capa y opciones granulares | ☐ |
| 5 | Registrar los Bancos de Datos ante la ANPD | ☐ |
| 6 | Implementar un canal para Derechos ARCO (email o formulario dedicado) | ☐ |
| 7 | Declarar el flujo transfronterizo de datos en la política de privacidad | ☐ |
| 8 | Tener certificado SSL/TLS activo (HTTPS) | ☐ |
| 9 | Encriptar la base de datos (especialmente contraseñas y datos sensibles) | ☐ |
| 10 | Implementar controles de acceso por roles | ☐ |
| 11 | Tener un protocolo de brechas de seguridad documentado (notificación en 48h) | ☐ |
| 12 | Conservar registros y logs de acceso a datos | ☐ |
Preguntas frecuentes
¿Aplica si mi web es solo informativa y no vende nada?
Si tu web tiene un formulario de contacto, un chat, un formulario de suscripción o cualquier mecanismo que recopile datos del visitante, sí aplica. Una web puramente estática sin ningún formulario ni cookie de rastreo tiene una exposición mínima, pero si usa Google Analytics u otra herramienta de tracking, ya está recopilando datos.
¿El consentimiento para la política de privacidad es lo mismo que para las cookies?
No. Son consentimientos distintos. La política de privacidad cubre el tratamiento general de datos personales. La política de cookies cubre específicamente las tecnologías de rastreo. Necesitas ambos, y el de cookies debe ser granular (el usuario puede aceptar unas y rechazar otras).
¿Puedo usar un plugin de WordPress para cumplir?
Un plugin como Complianz o CookieYes te ayuda con la gestión de cookies y el banner de consentimiento, pero no cubre todo. Aún necesitas redactar tu propia política de privacidad adaptada a tu negocio, registrar tus bancos de datos ante la ANPD, y tener un canal ARCO. El plugin es una herramienta, no una solución completa.
¿Qué pasa si mis usuarios no son peruanos?
La Ley 29733 protege a las personas que se encuentran en territorio peruano. Si tu sitio web está dirigido al mercado peruano o recopila datos de personas en Perú, aplica independientemente de dónde esté registrada tu empresa.
¿Necesito un Oficial de Datos Personales?
La ley no exige formalmente la figura de un Data Protection Officer (DPO) como el RGPD europeo. Sin embargo, designar a un responsable interno de la gestión de datos personales es una buena práctica que demuestra diligencia ante fiscalizaciones.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales.
- Reglamento de la Ley 29733 — Detalle operativo de las obligaciones del responsable del tratamiento.
- Opinión Consultiva N° 02-2022-JUS/DGTAIPD — Interpretación de la ANPD sobre cookies y datos personales en entornos digitales.
- Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador, dependiente del Ministerio de Justicia y Derechos Humanos.
Este artículo es informativo y no constituye asesoría legal. Para implementar un programa de cumplimiento de protección de datos en tu plataforma, consulta con un abogado especializado.
¿Necesitas mejorar tu presencia digital?
Cuéntame sobre tu negocio y revisemos qué solución de diseño web, SEO o marketing puede ayudarte a crecer.