Política de privacidad web: qué exige la Ley 29733

¿Cuándo necesitas una política de privacidad?

Si tu web, app o tienda online recoge cualquier dato personal (nombre, correo, teléfono, DNI, datos de pago o cookies de seguimiento), estás tratando datos personales y la Ley 29733 te obliga a informar al usuario cómo los usas. La política de privacidad es el documento que cumple ese deber.

Esto aplica a formularios de contacto, registros de cuenta, newsletters, carritos de compra y cualquier captura de información. No importa si eres una gran empresa o un emprendedor con una landing: si capturas datos, necesitas política de privacidad. Ignorarlo te expone a sanciones de la autoridad y a perder la confianza del usuario.

El consentimiento según la Ley 29733

La regla central de la ley es el consentimiento. Para tratar datos personales necesitas la autorización del titular, que debe reunir cinco atributos:

• Libre: sin presión ni condicionamiento abusivo.
• Previo: obtenido antes de recoger el dato.
• Expreso: mediante una acción clara del usuario.
• Inequívoco: sin margen de duda sobre que aceptó (una casilla marcada, por ejemplo).
• Informado: el usuario sabe para qué se usarán sus datos.

No basta con una aceptación tácita ni con casillas premarcadas. Documenta el consentimiento con el modelo de consentimiento para tratamiento de datos personales (Ley 29733).

Qué debe incluir la política de privacidad

Una política conforme a la Ley 29733 debe informar, como mínimo:

• Identidad y domicilio del responsable del banco de datos.
• Qué datos se recogen y con qué finalidad concreta.
• Si se transfieren a terceros y a quiénes (por ejemplo, pasarelas de pago o proveedores de correo).
• El tiempo de conservación de los datos.
• Cómo ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición).
• Las medidas de seguridad aplicadas para proteger la información.

Usa el modelo de política de privacidad (Ley 29733) como base y personalízalo con los datos reales de tu negocio.

Cookies, términos y el nuevo reglamento 2026

Si usas cookies de seguimiento o analítica, necesitas además una política de cookies y un aviso de consentimiento visible. Y todo sitio que ofrece servicios debe tener sus términos y condiciones para regular la relación con el usuario.

El nuevo reglamento de la Ley 29733 (D.S. 016-2024-JUS) entró en vigor el 29 de marzo de 2026 e incorpora figuras nuevas como el oficial de datos personales (similar al DPO europeo) y el derecho a la portabilidad de datos. Complementa tu web con la política de cookies y los términos y condiciones de sitio web para cubrir todo el marco legal digital.

Sanciones por no cumplir la Ley 29733

No tener política de privacidad o tratar datos sin consentimiento no es un tema menor. La Autoridad Nacional de Protección de Datos Personales (ANPDP) puede imponer multas administrativas calculadas en UIT (la UIT 2026 es de S/ 5,500), que escalan según la gravedad de la infracción.

Las infracciones se clasifican en leves, graves y muy graves. Recoger datos sin consentimiento, no atender los derechos ARCO o transferir datos sin base legal caen en las categorías más severas. El costo de cumplir (una política bien hecha y un flujo de consentimiento) es mínimo frente al riesgo de una multa y del daño reputacional de una filtración mal gestionada.

Derechos del usuario y la autoridad de control

Los usuarios pueden ejercer sus derechos ARCO en cualquier momento: acceder a sus datos, rectificarlos, cancelarlos u oponerse a su tratamiento. Tu política debe explicar el canal para hacerlo (un correo, un formulario) y un plazo razonable de respuesta.

La autoridad de control es la Autoridad Nacional de Protección de Datos Personales (ANPDP), que depende del Ministerio de Justicia y Derechos Humanos y puede investigar y sancionar. Si un usuario quiere ejercer sus derechos formalmente y no le respondes, puede presentar la solicitud de acceso, rectificación o cancelación de datos ante la autoridad.

Checklist para poner tu web en regla

Si quieres cumplir la Ley 29733 sin dar vueltas, sigue esta lista concreta:

1. Publica una política de privacidad accesible desde el pie de página de toda la web.
2. En cada formulario, añade una casilla de consentimiento (no premarcada) que enlace a la política.
3. Si usas cookies, muestra un banner de cookies con opción de aceptar o configurar.
4. Define un canal para los derechos ARCO (un correo dedicado) y responde en plazo razonable.
5. Documenta con quién compartes datos (pasarelas de pago, email marketing, analítica).
6. Revisa si tu volumen de tratamiento exige un oficial de datos bajo el reglamento de 2026.

Con estos seis puntos cubiertos, tu web queda en una posición sólida frente a la ANPDP. Lo demás es mantener el criterio: pedir solo los datos que realmente necesitas y usarlos únicamente para lo que informaste al usuario. Menos datos recogidos significa menos riesgo, menos obligaciones y más confianza de quienes te compran.