Última actualización: septiembre 2026 Base legal: Ley N° 29733 — Ley de Protección de Datos Personales y su Reglamento Aplica a: todo sitio web que recopile datos personales de usuarios en territorio peruano, sin importar dónde esté registrada la empresa.
La política de privacidad no es un texto decorativo que se copia de otra web y se pega en el footer. En Perú, es un documento legal obligatorio cuyo contenido está regulado por la Ley 29733. Si la tuya no cumple con los requisitos mínimos, el consentimiento que obtienes de tus usuarios puede ser considerado inválido — y sin consentimiento válido, todo el tratamiento de datos que hace tu web es ilegal.
Aquí explicamos exactamente qué debe contener, cómo redactarla y qué errores evitar.
¿Es obligatoria la política de privacidad?
Sí, para cualquier sitio web que recopile datos personales de usuarios peruanos. Esto incluye webs con:
- Formularios de contacto
- Registro de usuarios o creación de cuentas
- Pasarelas de pago
- Suscripción a newsletter o boletines
- Sistemas de comentarios
- Chat en vivo o chatbots
- Cookies de rastreo (Google Analytics, Meta Pixel, etc.)
Si tu web tiene al menos uno de estos elementos, necesitas una política de privacidad que cumpla con la Ley 29733.
No tenerla o tenerla incompleta es una infracción que la Autoridad Nacional de Protección de Datos Personales (ANPD) puede sancionar de oficio, sin necesidad de que un usuario presente una queja.
Contenido mínimo obligatorio
La Ley 29733 y su Reglamento establecen los elementos que toda política de privacidad debe incluir. No son opcionales ni negociables. Si falta alguno, tu política no cumple.
1. Identidad y domicilio del responsable del tratamiento
El usuario debe saber exactamente quién está detrás del sitio web y recopila sus datos.
| Dato | Qué incluir |
|---|---|
| Razón social o nombre | Nombre completo de la empresa o persona natural titular del sitio |
| RUC | Número de registro único de contribuyente |
| Domicilio legal | Dirección fiscal completa |
| Datos de contacto | Email y/o teléfono donde el usuario pueda comunicarse para temas de privacidad |
No basta con poner «Empresa X». Debe ser la identificación completa que permita al usuario saber con quién está compartiendo sus datos y cómo contactarlo.
2. Finalidades exactas de la recopilación
Aquí es donde la mayoría de políticas de privacidad peruanas fallan. La ley exige que las finalidades sean específicas y diferenciadas, no genéricas.
| ❌ Incorrecto (genérico) | ✅ Correcto (específico) |
|---|---|
| «Para mejorar nuestros servicios» | «Para procesar su pedido y gestionar el envío del producto adquirido» |
| «Para fines comerciales» | «Para enviarle ofertas y promociones por correo electrónico, previa aceptación» |
| «Para uso interno» | «Para generar estadísticas agregadas de navegación mediante Google Analytics» |
| «Para compartir con terceros» | «Para procesar el pago de su compra a través de la pasarela Culqi, ubicada en Perú» |
Además, debes separar claramente las finalidades operativas esenciales (necesarias para prestar el servicio) de las finalidades de prospección comercial (publicidad, marketing, perfilamiento). El usuario debe poder aceptar las primeras y rechazar las segundas sin perder acceso al servicio.
3. Tipo de datos que recopilas
Detalla qué categorías de datos recopilas. Sé específico:
- Datos identificativos (nombre, apellido, DNI)
- Datos de contacto (email, teléfono, dirección)
- Datos económicos (número de tarjeta, historial de compras)
- Datos de navegación (IP, cookies, páginas visitadas)
- Datos sensibles si aplica (salud, biometría — requieren tratamiento especial)
4. Tiempo de conservación de los datos
El usuario tiene derecho a saber cuánto tiempo guardarás sus datos. La ley exige que los datos no se conserven más allá de lo necesario para cumplir la finalidad para la que fueron recopilados.
| Tipo de dato | Tiempo de conservación sugerido | Base |
|---|---|---|
| Datos de clientes con compras | Mientras dure la relación comercial + plazo legal tributario (4 años mínimo para SUNAT) | Obligación tributaria |
| Datos de suscriptores de newsletter | Hasta que el usuario se dé de baja | Consentimiento revocable |
| Datos de formulario de contacto | Máximo 12 meses si no se concreta relación comercial | Proporcionalidad |
| Datos del Libro de Reclamaciones | 2 años mínimo | Obligación legal (Código del Consumidor) |
| Registros de acceso y logs | Según política de seguridad interna | Principio de seguridad |
No pongas «indefinidamente». La ANPD considera que conservar datos sin límite temporal definido viola el principio de proporcionalidad.
5. Terceros destinatarios de los datos
Si compartes datos de tus usuarios con otras empresas o servicios, debes declararlo. Esto incluye a todos tus proveedores tecnológicos que procesan datos en tu nombre.
La ley distingue entre:
- Encargados del tratamiento: procesan datos por tu cuenta y bajo tus instrucciones (tu hosting, tu pasarela de pago, tu plataforma de email marketing).
- Terceros destinatarios: reciben datos para sus propias finalidades (un socio comercial al que le pasas leads).
Para cada tercero, declara:
| Información | Ejemplo |
|---|---|
| Quién es | «Culqi S.A.C., procesador de pagos» |
| Para qué recibe los datos | «Para procesar el cobro de las compras realizadas en nuestra tienda» |
| Dónde está ubicado | «Lima, Perú» (o «San Francisco, Estados Unidos» si es extranjero) |
6. Flujo transfronterizo de datos
Si alguno de tus terceros está fuera del Perú — y en la práctica casi siempre lo está — debes declarar expresamente la transferencia internacional de datos personales.
Servicios comunes que implican flujo transfronterizo:
| Servicio | Ubicación habitual |
|---|---|
| Amazon Web Services (AWS) | Estados Unidos |
| Google Cloud / Google Analytics | Estados Unidos |
| Mailchimp / Brevo | Estados Unidos |
| Stripe / PayPal | Estados Unidos |
| HubSpot / Salesforce | Estados Unidos |
| Cloudflare | Estados Unidos |
| Meta (Facebook Pixel) | Estados Unidos |
En tu política debes indicar que los datos pueden ser transferidos y procesados fuera del Perú, identificando los países de destino y las garantías de protección aplicables.
7. Derechos del titular (Derechos ARCO)
Tu política debe informar al usuario que tiene los siguientes derechos y cómo ejercerlos:
| Derecho | Descripción breve |
|---|---|
| Acceso | Saber qué datos suyos tienes y cómo los usas |
| Rectificación | Corregir datos inexactos o incompletos |
| Cancelación | Solicitar la eliminación de sus datos |
| Oposición | Negarse al tratamiento para finalidades específicas |
Incluye el canal de atención: una dirección de email dedicada (ejemplo: privacidad@tuempresa.pe) o un formulario específico, y el plazo en que responderás la solicitud.
8. Medidas de seguridad
Describe de forma general las medidas que implementas para proteger los datos. No necesitas revelar detalles técnicos que comprometan tu seguridad, pero sí indicar que existen controles:
- Cifrado de datos en tránsito (SSL/TLS)
- Cifrado de datos almacenados
- Controles de acceso restringido
- Copias de seguridad periódicas
- Protocolo de respuesta ante incidentes
Cómo debe estar redactada
La Ley 29733 exige que la política se redacte en lenguaje claro y comprensible, libre de tecnicismos jurídicos innecesarios que impidan al usuario promedio entender qué se hace con sus datos.
Principios de redacción
| Principio | Qué hacer | Qué evitar |
|---|---|---|
| Claridad | Frases cortas y directas | Párrafos de 10 líneas con subordinadas |
| Accesibilidad | Vocabulario que un usuario sin formación legal entienda | «El titular del dato cede irrevocablemente los derechos patrimoniales inherentes…» |
| Especificidad | «Usamos su email para enviarle el comprobante de pago» | «Sus datos podrán ser utilizados para diversos fines» |
| Estructura | Secciones con títulos claros, tablas, listas | Bloque de texto corrido sin separaciones |
| Idioma | En español (el idioma del usuario peruano promedio) | Solo en inglés o con términos legales en latín sin traducción |
Regla práctica: si un usuario de 18 años que acaba de hacer su primera compra online no puede entender tu política de privacidad leyéndola una vez, está mal redactada.
Dónde ubicarla en tu sitio web
La política de privacidad debe ser fácilmente accesible desde cualquier página del sitio. Los estándares aceptados son:
| Ubicación | Prioridad |
|---|---|
| Footer (pie de página) | Obligatorio — enlace permanente visible en todas las páginas |
| Formularios de registro/compra | Obligatorio — enlace directo antes del botón de envío, junto al checkbox de consentimiento |
| Banner de cookies | Recomendado — enlace a la política de privacidad y/o a la política de cookies |
| Página dedicada (/privacidad o /politica-de-privacidad) | Obligatorio — URL propia, indexable, con fecha de última actualización |
Importante: la política no debe estar oculta detrás de múltiples clics o en una sección que el usuario no encontraría naturalmente. La ANPD evalúa la accesibilidad real del documento, no solo su existencia.
Errores comunes que cometen los sitios web peruanos
1. Copiar la política de otro sitio
La política de privacidad debe ser personalizada para tu negocio. Una política copiada de otra web probablemente no refleja tus finalidades reales, tus terceros reales ni tus medidas de seguridad reales. Ante una fiscalización, la ANPD detecta inmediatamente las inconsistencias.
2. No declarar los terceros reales
Si usas Mailchimp para tu newsletter pero tu política dice que «no compartimos datos con terceros», estás mintiendo en un documento legal. Mailchimp procesa datos de tus usuarios en Estados Unidos — eso es un flujo transfronterizo no declarado.
3. Poner «esta política puede cambiar en cualquier momento sin previo aviso»
Los cambios en la política de privacidad que amplíen las finalidades del tratamiento o agreguen nuevos destinatarios requieren nuevo consentimiento del usuario. No puedes modificar unilateralmente los términos bajo los cuales el usuario te dio sus datos.
4. No incluir fecha de última actualización
El usuario debe poder saber cuándo fue la última vez que se modificó la política. Incluye siempre la fecha visible al inicio o al final del documento.
5. Usar solo la política de privacidad como política de cookies
Son documentos distintos. La política de cookies tiene requisitos específicos (tipología de cookies, opciones granulares, banner de primera capa). Puede estar integrada como sección dentro de la política de privacidad o ser un documento separado, pero su contenido no puede omitirse.
6. No actualizarla cuando cambian las herramientas
Si migraste de Mailchimp a Brevo, cambiaste de hosting o integraste un nuevo chatbot, tu política debe reflejar esos cambios. Una política desactualizada es una política que no cumple.
Modelo de estructura para tu política de privacidad
Esta es la estructura mínima que debería tener tu documento:
1. ¿Quiénes somos?
→ Razón social, RUC, domicilio, datos de contacto
2. ¿Qué datos recopilamos?
→ Categorías de datos personales (identificativos, contacto, económicos, navegación)
3. ¿Para qué usamos sus datos?
→ Finalidades operativas (tabla)
→ Finalidades comerciales opcionales (tabla)
4. ¿Con quién compartimos sus datos?
→ Lista de encargados del tratamiento y terceros destinatarios
→ País de ubicación de cada uno
5. Transferencia internacional de datos
→ Declaración de flujo transfronterizo
→ Países de destino y garantías
6. ¿Cuánto tiempo conservamos sus datos?
→ Plazos por tipo de dato
7. ¿Cómo protegemos sus datos?
→ Medidas de seguridad implementadas
8. Sus derechos (ARCO)
→ Acceso, Rectificación, Cancelación, Oposición
→ Canal de atención y plazo de respuesta
9. Cookies
→ Enlace a la política de cookies o sección dedicada
10. Cambios en esta política
→ Procedimiento de notificación ante modificaciones
11. Contacto
→ Email dedicado para temas de privacidad
Fecha de última actualización: [fecha]Preguntas frecuentes
¿Puedo tener la política solo en inglés?
Si tu sitio web está dirigido a usuarios peruanos, la política debe estar en español. Puedes tener una versión bilingüe, pero la versión en español es la que tiene validez legal ante la ANPD.
¿Necesito que un abogado la redacte?
No es un requisito legal, pero sí es altamente recomendable. Una política mal redactada puede invalidar el consentimiento de tus usuarios y exponerte a sanciones. Como mínimo, haz que un abogado revise tu borrador antes de publicarla.
¿Cada cuánto debo actualizarla?
No hay un plazo fijo. Actualízala cada vez que cambies de herramientas (hosting, email marketing, pasarela de pago), agregues nuevas funcionalidades que recopilen datos, modifiques las finalidades del tratamiento o cambien las leyes aplicables.
¿Los generadores automáticos de políticas de privacidad sirven?
Son un punto de partida, pero no son suficientes. Los generadores producen textos genéricos que no reflejan las particularidades de tu negocio, tus herramientas reales ni el marco legal peruano específico. Úsalos como base y personaliza todo.
¿Qué pasa si tengo una web informativa sin formularios pero con Google Analytics?
Necesitas política de privacidad y política de cookies. Google Analytics recopila datos de navegación (IP, comportamiento, dispositivo) que son datos personales según la interpretación de la ANPD. El hecho de no tener formularios no te exime si usas herramientas de tracking.
¿La política de privacidad de mi e-commerce también cubre la app móvil?
Puede ser la misma política si ambas plataformas recopilan los mismos datos para las mismas finalidades. Pero si la app recopila datos adicionales (geolocalización, acceso a cámara, contactos), la política debe reflejar esas diferencias. Muchas empresas optan por tener una política unificada con secciones específicas para web y para app.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales. Establece los principios de consentimiento, finalidad, proporcionalidad y seguridad.
- Reglamento de la Ley 29733 — Detalla los requisitos del consentimiento informado y el contenido mínimo de la información al titular.
- Opinión Consultiva N° 02-2022-JUS/DGTAIPD — Criterios de la ANPD sobre cookies, identificadores en línea y datos personales en entornos digitales.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador del cumplimiento de la Ley 29733.
Este artículo es informativo y no constituye asesoría legal. Para redactar la política de privacidad de tu sitio web conforme a la legislación peruana, consulta con un abogado especializado en protección de datos personales.
¿Necesitas mejorar tu presencia digital?
Cuéntame sobre tu negocio y revisemos qué solución de diseño web, SEO o marketing puede ayudarte a crecer.