Categoría: Legales Informativos

Última actualización: septiembre 2026 Base legal: Decreto Legislativo N° 1044, Guía de Publicidad para Influencers 2024 de Indecopi Aplica a: influencers, creadores de contenido, marcas, agencias de marketing y cualquier persona o empresa que participe en acuerdos de contenido patrocinado dirigido al mercado peruano.

Si pagas a un influencer para que hable de tu producto — o si eres el influencer que recibe el pago — ambos están obligados a decirlo públicamente. En Perú, la publicidad encubierta a través de influencers es una infracción que ha generado multas de hasta S/ 250,000 y la inscripción de los infractores en registros públicos.

Aquí explicamos qué dice la Guía de Indecopi, qué etiquetas son obligatorias, quién es responsable y cómo cumplir sin complicar tu estrategia de contenido.

---

¿Qué dice la Guía de Publicidad para Influencers 2024?

En 2024, Indecopi publicó una versión actualizada de su Guía de Publicidad para Influencers, que establece los criterios para distinguir entre contenido genuino y publicidad encubierta en plataformas digitales.

La guía no es una ley nueva. Es una interpretación oficial de cómo aplica el Decreto Legislativo N° 1044 (Ley de Represión de la Competencia Desleal) al marketing de influencers. Tiene el peso de un lineamiento institucional que Indecopi usa como referencia directa en sus procedimientos sancionadores.

El principio central: la autenticidad

La guía se basa en el principio de autenticidad publicitaria, que prohíbe taxativamente la publicidad encubierta: presentar un mensaje con propósito comercial bajo la apariencia de una opinión desinteresada o recomendación personal genuina.

En términos simples: si hay dinero, producto gratuito, viaje pagado o cualquier tipo de beneficio de por medio, el público tiene derecho a saberlo.

---

¿Qué se considera publicidad con influencers?

No solo los pagos en dinero. La guía define como relación publicitaria cualquier contraprestación que pueda influir en el contenido:

Tipo de contraprestación	¿Es publicidad?	Ejemplo
Pago monetario	Sí	Transferencia, factura, comisión por ventas
Producto gratuito	Sí	Marca envía productos sin costo al influencer
Servicio gratuito	Sí	Tratamiento estético, cena, estadía de hotel
Viaje pagado	Sí	La marca cubre pasajes y alojamiento
Descuentos exclusivos	Sí	Código de descuento personalizado con comisión
Acceso preferencial	Sí	Invitación VIP a evento, acceso anticipado a producto
Relación laboral o comercial	Sí	El influencer es empleado, accionista o socio de la marca
Ninguna contraprestación	No	Opinión genuina sin vínculo comercial de ningún tipo

¿Y si el influencer realmente ama el producto?

Que le guste genuinamente no cambia la obligación. Si hay contraprestación, es publicidad — aunque el influencer usaría y recomendaría el producto de todos modos. El criterio no es la sinceridad de la opinión, sino la existencia de un vínculo comercial.

---

¿Qué etiquetas son obligatorias?

La divulgación debe ser clara, inmediata y comprensible para el público. La guía establece elementos visuales y textuales mínimos:

Etiquetas aceptadas

Etiqueta	Formato	Dónde
#Publicidad	Hashtag visible	En el texto/caption del post, al inicio o en lugar prominente
#Patrocinado	Hashtag visible	En el texto/caption del post, al inicio o en lugar prominente
#Ad	Hashtag visible	Aceptado pero #Publicidad es preferible en español
«Colaboración pagada con [marca]»	Texto explícito	En el post o usando las herramientas nativas de la plataforma
Herramienta de «Colaboración pagada»	Etiqueta de plataforma	Instagram, TikTok y YouTube ofrecen herramientas nativas para etiquetar contenido patrocinado
Mención verbal	Declaración oral	En videos: «Este video es patrocinado por [marca]» al inicio

Requisitos de la divulgación

Requisito	Qué significa
Clara	El espectador promedio debe entender que es publicidad sin esfuerzo de interpretación
Inmediata	Debe aparecer al inicio del contenido, no al final ni oculta entre hashtags
Visible	Tamaño de fuente legible, no en gris claro sobre fondo blanco, no en letra diminuta
En cada pieza	Cada post, story, video o pieza de contenido debe tener su propia etiqueta. No basta etiquetar uno y asumir que el público ya sabe
En el idioma del público	Si tu audiencia es hispanohablante, #Publicidad o #Patrocinado — no solo #Ad

Lo que NO cumple como divulgación

Práctica	¿Cumple?	Por qué
Poner #Publicidad al inicio del caption	✅ Sí	Visible, inmediato, claro
Usar la herramienta de «Colaboración pagada» de Instagram	✅ Sí	Herramienta nativa diseñada para esto
Decir «gracias a [marca] por patrocinar este video» al inicio del video	✅ Sí	Mención verbal clara e inmediata
Enterrar #ad entre 30 hashtags al final del post	❌ No	No es inmediata ni prominente
Poner «Publicidad» en letra diminuta en la esquina de una story que dura 3 segundos	❌ No	No es visible ni legible
Decir «este producto me lo regalaron» sin decir que es publicidad	❌ No	No aclara que hay una relación comercial con finalidad publicitaria
No etiquetar nada porque «se sobreentiende»	❌ No	La publicidad encubierta no depende de lo que «se sobreentiende»
Mencionar la marca solo al final de un video de 10 minutos	❌ No	No es inmediata

---

¿Quién es responsable?

Aquí está el punto que muchas marcas y creadores desconocen: la responsabilidad es solidaria.

Actor	Responsabilidad
El influencer / creador de contenido	Responsable de etiquetar correctamente cada pieza de contenido patrocinado
La marca / anunciante	Responsable de asegurar que el influencer cumpla con las normas de divulgación
La agencia intermediaria	Puede ser responsable si participó en la planificación y ejecución de la campaña

¿Qué significa responsabilidad solidaria?

Que Indecopi puede sancionar a ambos — al influencer y a la marca — por la misma infracción. No se trata de elegir a uno u otro como culpable. Si la publicidad fue encubierta, tanto quien pagó como quien publicó responden.

Implicación práctica para marcas: no alcanza con contratar al influencer y darle libertad creativa. Debes incluir en tu contrato la obligación de etiquetar el contenido como publicidad y verificar que lo haga.

Implicación práctica para influencers: no puedes defenderte diciendo «la marca no me pidió que etiquetara». La obligación de transparencia es tuya también.

---

Multas reales: casos emblemáticos

Indecopi ha impuesto sanciones significativas en casos de publicidad encubierta con influencers:

Caso	Conducta	Consecuencia
Influencer de alto perfil	Publicó contenido promocionando productos como si fuera opinión personal, sin revelar la relación comercial con la marca	Multa de S/ 250,000 + inscripción en registro de competencia desleal
Marca de moda	Envió productos gratuitos a múltiples influencers sin exigirles divulgación	Multa + medida correctiva (obligación de implementar protocolo de divulgación)
Campaña coordinada	Varios influencers publicaron contenido idéntico el mismo día sobre un producto sin etiquetar como publicidad	Multa a la marca por campaña encubierta sistematizada

El daño reputacional

Más allá de la multa económica, la sanción de Indecopi genera:

• Inscripción en el registro público de competencia desleal. Cualquiera puede consultar quién fue sancionado, por qué y con cuánto.
• Cobertura mediática. Los casos de influencers sancionados generan noticias que amplifican el daño reputacional.
• Pérdida de credibilidad. Para un influencer cuyo activo es la confianza de su audiencia, ser expuesto como promotor de publicidad encubierta destruye esa confianza.
• Pérdida de acuerdos comerciales. Otras marcas evitan trabajar con influencers que tienen antecedentes sancionadores.

---

Cómo cumplir: checklist para marcas

Si contratas influencers como parte de tu estrategia de marketing digital:

#	Acción	Detalle
1	Incluir cláusula de divulgación en el contrato	El contrato con el influencer debe obligarlo a etiquetar todo contenido como #Publicidad o #Patrocinado
2	Definir el formato de divulgación	Especificar dónde debe ir la etiqueta: al inicio del caption, al inicio del video, usando herramienta nativa de la plataforma
3	Revisar el contenido antes de publicar	Si el contrato lo permite, aprobar la pieza antes de que se publique para verificar que la etiqueta está presente y es visible
4	Verificar después de publicar	Monitorear que el contenido publicado efectivamente incluye la divulgación. Los influencers a veces la quitan después de la aprobación
5	Documentar la relación comercial	Conservar contratos, comprobantes de pago, evidencia de envío de productos y capturas de pantalla del contenido publicado
6	Capacitar al equipo de marketing	Asegurar que tu equipo conozca las reglas de Indecopi antes de diseñar campañas con influencers
7	No pedir explícitamente que oculten la relación	Nunca instruir al influencer que «no haga parecer publicidad». Eso es evidencia directa de intención de encubrir.

---

Cómo cumplir: checklist para influencers

Si recibes contraprestación de marcas por crear contenido:

#	Acción	Detalle
1	Etiquetar siempre	Cada pieza de contenido patrocinado lleva #Publicidad, #Patrocinado o la herramienta nativa de la plataforma
2	Etiquetar al inicio	La divulgación va al principio del caption o del video, no al final
3	Etiquetar incluso si te regalaron el producto	Producto gratuito = contraprestación = publicidad
4	Etiquetar stories y contenido efímero	Que dure 24 horas no lo exime de divulgación
5	Ser transparente con tu audiencia	Tu credibilidad a largo plazo vale más que cualquier contrato puntual
6	Conservar contratos y comunicaciones	Si Indecopi te fiscaliza, necesitarás demostrar la naturaleza de la relación
7	No aceptar instrucciones de ocultar	Si una marca te pide que no etiquetes como publicidad, rechaza o exige que se incluya la divulgación

---

Formatos específicos: cómo etiquetar por plataforma

Instagram

Formato	Cómo etiquetar
Post en feed	#Publicidad o #Patrocinado al inicio del caption + usar la etiqueta «Colaboración pagada» de Instagram
Story	Texto superpuesto «Publicidad» o «Patrocinado» + etiqueta de «Colaboración pagada»
Reel	Texto superpuesto visible en los primeros segundos + #Publicidad en caption + etiqueta de «Colaboración pagada»
Live	Mención verbal al inicio del directo

TikTok

Formato	Cómo etiquetar
Video	Usar la herramienta de «Contenido de marca» de TikTok + #Publicidad en la descripción + mención verbal al inicio
Live	Mención verbal al inicio

YouTube

Formato	Cómo etiquetar
Video	Activar «Incluye promoción pagada» en la configuración del video (genera aviso automático) + mención verbal en los primeros 30 segundos
Short	Aviso de promoción pagada + #Publicidad en descripción
Community post	#Publicidad al inicio del texto

---

Tipos de colaboración y nivel de divulgación

No todas las colaboraciones son iguales. La guía de Indecopi cubre diversos escenarios:

Tipo de colaboración	¿Requiere divulgación?	Formato sugerido
Pago directo por contenido	Sí — siempre	#Publicidad + herramienta nativa
Producto enviado sin solicitar (gifting)	Sí — si publicas contenido sobre el producto	#ProductoRegalado o #Publicidad
Código de descuento con comisión (afiliado)	Sí	#Publicidad o #Afiliado
Embajador de marca (relación continua)	Sí — en cada publicación relacionada	#Publicidad o «Embajador de [marca]»
Evento con gastos pagados (press trip)	Sí	#ViajeCortesíaDe o #Publicidad
Canje de servicios (barter)	Sí	#Publicidad
Mención espontánea sin vínculo comercial	No	Ninguna — es opinión genuina

---

Preguntas frecuentes

¿Si un influencer tiene pocos seguidores, la norma también aplica?

Sí. La guía de Indecopi no establece un mínimo de seguidores. El criterio es la existencia de una relación comercial y contenido con propósito publicitario, no el tamaño de la audiencia. Un nano-influencer con 500 seguidores que recibe un producto gratis a cambio de una reseña está bajo las mismas reglas.

¿Los empleados de la empresa que publican sobre sus productos deben divulgar?

Sí. Si un empleado publica contenido sobre los productos de la empresa donde trabaja, debe revelar su relación laboral. El público tiene derecho a saber que quien recomienda el producto trabaja para la marca.

¿Puedo pedirle al influencer que diga «opinión honesta» en lugar de #Publicidad?

No es suficiente. «Opinión honesta» no revela la relación comercial. El público puede interpretar que es una opinión desinteresada. La etiqueta debe ser explícita: #Publicidad, #Patrocinado, o la herramienta nativa de la plataforma.

¿Y si el influencer publica después de que termine el contrato?

Si el influencer publica contenido sobre el producto después de que la relación contractual terminó, pero como resultado directo de la relación anterior (por ejemplo, usando productos que le regalaron durante el contrato), la buena práctica es seguir divulgando. Si es contenido completamente nuevo e independiente, sin vínculo con el acuerdo previo, no es necesario.

¿Puedo enviar productos a influencers sin pedirles nada a cambio?

Sí (es la práctica de «gifting» o «seeding»). Pero si el influencer decide publicar contenido sobre el producto que recibió gratis, debe divulgar que lo recibió como regalo de la marca. Tú no puedes exigirle que publique (eso lo convertiría en un acuerdo), pero sí puedes sugerirle que, si decide hacerlo, use la etiqueta correspondiente.

¿La guía de Indecopi tiene fuerza de ley?

No es una ley en sentido estricto, sino un lineamiento interpretativo de cómo aplica el D. Leg. 1044 al marketing de influencers. Sin embargo, Indecopi la usa como referencia directa en sus procedimientos sancionadores. En la práctica, tiene el efecto de una norma vinculante para la fiscalización.

---

Referencias legales

• Decreto Legislativo N° 1044 — Ley de Represión de la Competencia Desleal. Base legal que prohíbe la publicidad encubierta.
• Guía de Publicidad para Influencers 2024 — Lineamiento oficial de Indecopi sobre divulgación de contenido patrocinado.
• Indecopi — Comisión de Fiscalización de la Competencia Desleal, encargada de supervisar y sancionar.

---

Este artículo es informativo y no constituye asesoría legal. Para diseñar contratos con influencers y protocolos de divulgación conformes a la normativa peruana, consulta con un abogado especializado en publicidad y competencia desleal.

Última actualización: septiembre 2026 Base legal: Decreto Legislativo N° 1044 (Ley de Represión de la Competencia Desleal) Aplica a: toda persona natural o jurídica que realice publicidad digital en Perú: anuncios en redes sociales, Google Ads, email marketing, banners web, contenido patrocinado, páginas de producto y cualquier comunicación comercial online.

Todo lo que publicas en tu web, redes sociales o campañas de pago para atraer clientes es publicidad. Y en Perú, la publicidad está regulada por una ley que le da a Indecopi la potestad de multarte si lo que afirmas no puedes probarlo.

La regla central es simple pero implacable: si lo dices, demuéstralo. Y demuéstralo antes de publicarlo.

---

¿Qué ley regula la publicidad digital en Perú?

El Decreto Legislativo N° 1044, conocido como la Ley de Represión de la Competencia Desleal. Su objetivo es asegurar que la competencia en el mercado se desarrolle bajo los principios de buena fe comercial, reprimiendo cualquier distorsión de la información dirigida a consumidores o competidores.

Esta ley no distingue entre publicidad offline y online. Aplica a todos los canales:

Canal digital	¿Regulado por el D. Leg. 1044?
Página web (textos de producto, landing pages, claims en el home)	Sí
Google Ads / SEM	Sí
Facebook Ads / Instagram Ads	Sí
TikTok Ads	Sí
Email marketing y newsletters comerciales	Sí
Publicaciones orgánicas en redes con contenido comercial	Sí
Contenido de influencers patrocinado	Sí
Banners y display advertising	Sí
Videos promocionales en YouTube	Sí
WhatsApp Business con ofertas	Sí

Regla general: si el mensaje tiene propósito comercial — vender, posicionar, captar clientes — es publicidad y está regulado, sin importar el formato ni la plataforma.

---

El deber de sustanciación previa: la regla que más multas genera

Este es el concepto más importante de la regulación publicitaria peruana y el que más desconocen los marketers digitales.

¿Qué es?

El artículo 8° del D. Leg. 1044 establece que la carga de la prueba sobre la veracidad de un anuncio recae de manera absoluta sobre el anunciante. No sobre Indecopi. No sobre el consumidor. Sobre ti.

Esto significa que si tu sitio web o tu campaña contiene una afirmación objetiva y comprobable, debes tener en tu poder — antes de la fecha de publicación del mensaje — toda la documentación que la acredite.

¿Qué es una afirmación objetiva y comprobable?

Es cualquier declaración que pueda verificarse como verdadera o falsa con evidencia. Se diferencia de las opiniones subjetivas o el «puffery» publicitario:

Tipo de afirmación	Ejemplo	¿Requiere sustanciación previa?
Objetiva y comprobable	«El software de contabilidad #1 del Perú»	Sí — necesitas un estudio de mercado que lo demuestre
Objetiva y comprobable	«Batería con 48 horas de duración»	Sí — necesitas informes técnicos de laboratorio
Objetiva y comprobable	«100% algodón orgánico»	Sí — necesitas certificación del proveedor
Objetiva y comprobable	«Reduce el colesterol en 30 días»	Sí — necesitas estudios clínicos
Objetiva y comprobable	«Más de 10,000 clientes satisfechos»	Sí — necesitas la base de datos que lo demuestre
Subjetiva / puffery	«La mejor experiencia de compra»	No — es una exageración genérica que nadie toma como dato verificable
Subjetiva / puffery	«Diseño elegante y moderno»	No — es una apreciación estética

¿Qué documentos sirven como sustanciación?

Depende del tipo de afirmación:

Tipo de claim	Documentación requerida
Claims de rendimiento o performance	Informes técnicos de laboratorio, pruebas estandarizadas
Claims de liderazgo de mercado («#1», «líder», «el más vendido»)	Estudios de mercado de fuente independiente y verificable
Claims de composición o ingredientes	Certificaciones de proveedores, fichas técnicas, análisis de laboratorio
Claims de salud o beneficios clínicos	Estudios clínicos publicados, aprobaciones de DIGEMID si aplica
Claims numéricos (cantidad de clientes, porcentajes, estadísticas)	Base de datos, registros internos auditables, estudios de satisfacción
Claims ambientales («eco-friendly», «biodegradable», «carbono neutral»)	Certificaciones ambientales reconocidas, estudios de ciclo de vida
Testimonios de clientes	Consentimiento del cliente + evidencia de que la experiencia relatada es real

La trampa temporal

«Antes de la fecha de difusión» es literal. Si publicas un anuncio el 1 de octubre diciendo «el más vendido del Perú», debes tener el estudio de mercado fechado antes del 1 de octubre. Un estudio encargado después de que Indecopi te fiscalice no cuenta.

Muchas empresas primero lanzan la campaña y después buscan las pruebas. Ante Indecopi, eso es exactamente igual a no tener pruebas.

---

¿Qué es publicidad engañosa?

El artículo 8° del D. Leg. 1044 tipifica como actos de engaño las comunicaciones publicitarias que, de manera real o potencial, induzcan a error a los consumidores sobre:

Elemento	Ejemplo de engaño
Características del producto	Decir «piel genuina» cuando es material sintético
Precio o condiciones	Mostrar un precio sin incluir cargos obligatorios (envío, impuestos)
Beneficios	Atribuir propiedades adelgazantes a un suplemento sin evidencia
Modo de fabricación	Decir «hecho a mano» cuando es producción industrial
Origen	Etiquetar como «producto peruano» algo importado
Cantidad disponible	Crear urgencia artificial («últimas 3 unidades») cuando hay stock suficiente
Reconocimientos	Usar un sello de «premio al mejor producto» que no existe o es auto-otorgado

No necesita ser intencional

Un aspecto crítico: no necesitas tener la intención de engañar para que Indecopi te sancione. Si la publicidad induce a error — aunque tú genuinamente creyeras que era verdad — la infracción existe. Lo que importa es el efecto en el consumidor, no tu intención.

---

Promociones de ventas: lo que debes incluir obligatoriamente

Si tu web o tus redes sociales anuncian una promoción, oferta, descuento o sorteo, la ley exige que incluyas información mínima obligatoria:

Dato obligatorio	Por qué
Duración de la oferta	Fecha de inicio y fin. El consumidor debe saber cuánto tiempo tiene para aprovecharla.
Stock mínimo disponible	Cantidad mínima de unidades al precio promocional. Evita la práctica de anunciar ofertas con stock de 1 unidad.
Condiciones y restricciones	Si la oferta aplica solo a ciertos productos, métodos de pago o zonas geográficas, debe decirlo.
Precio anterior (en descuentos)	Si dices «50% de descuento», el precio de referencia debe ser el precio real al que se vendía antes, no un precio inflado artificialmente.

La omisión también es infracción

No incluir la duración o el stock mínimo en tu anuncio de oferta es una infracción autónoma. No necesitan probar que alguien fue engañado — la omisión de la información obligatoria ya constituye el ilícito.

---

Casos reales de multas por publicidad engañosa en Perú

El Tribunal del Indecopi ha impuesto sanciones significativas que sirven como referencia:

Sector	Conducta sancionada	Consecuencia
Farmacéutico	Publicitar beneficios clínicos de un producto sin estudios concluyentes que los respaldaran	Multa millonaria
Bienes de consumo masivo	Afirmar que un producto era «aplicable a todo tipo de telas» sin pruebas técnicas	Multa por falta de sustanciación
Retail	Anunciar descuentos sobre un precio de referencia inflado artificialmente	Sanción por acto de engaño
Suplementos alimenticios	Atribuir propiedades curativas o preventivas sin autorización sanitaria	Multa + retiro de publicidad
E-commerce	Promoción «últimas unidades» sin evidencia de stock real limitado	Sanción por engaño potencial

Las multas pueden escalar hasta cifras millonarias en casos de alta afectación al mercado. La cuantía depende del alcance de la publicidad, el daño al consumidor, el beneficio ilícito obtenido y la reincidencia.

---

Publicidad comparativa: reglas y límites

Comparar tu producto con la competencia en tu web o campañas está permitido en Perú, pero con condiciones estrictas:

Regla	Detalle
Debe ser veraz	Las comparaciones deben basarse en datos objetivos y comprobables
Debe ser pertinente	Comparar características relevantes y equivalentes (no comparar tu smartphone premium con el modelo más barato del competidor)
No puede ser denigrante	Comparar es diferente a denigrar. Puedes decir «nuestro producto dura más» con datos; no puedes decir «la competencia es basura»
Requiere sustanciación	Cada dato comparativo necesita la misma prueba que cualquier claim objetivo

---

SEM, inbound marketing y SEO: ¿también están regulados?

Sí. Las estrategias de captación de tráfico están bajo la jurisdicción del D. Leg. 1044 cuando contienen mensajes comerciales:

Google Ads / SEM

Práctica	¿Legal?
Pujar por el nombre de marca de tu competidor como keyword	Permitido (no es marca registrada en el contexto de keywords)
Que el texto del anuncio mencione el nombre de la competencia para confundir	Potencialmente desleal si induce a error sobre el origen
Afirmar en el anuncio «el más barato del mercado» sin sustanciación	Publicidad engañosa
Exagerar beneficios en el copy del anuncio	Engañoso si es un claim verificable

Contenido de blog / inbound marketing

Práctica	¿Legal?
Artículo genuinamente informativo sobre tu sector	Permitido — contenido editorial
Artículo que aparenta ser informativo pero es publicidad encubierta de tu producto	Potencialmente desleal si no se identifica como contenido comercial
Comparativas «Top 5 mejores herramientas de X» donde tu producto aparece primero sin revelar que eres el autor	Publicidad encubierta

Landing pages

Práctica	¿Legal?
Claims verificables con sustanciación previa	Permitido
Testimonios reales con consentimiento	Permitido
Testimonios inventados o de personas inexistentes	Publicidad engañosa
Contadores de urgencia falsos («quedan 3 plazas» cuando hay ilimitadas)	Engañoso
Certificaciones o sellos que no existen	Engañoso + potencialmente desleal

---

Checklist para tu publicidad digital

Antes de lanzar cualquier campaña, pieza publicitaria o actualizar tu web con claims comerciales:

#	Verificación	Estado
1	¿Todas las afirmaciones objetivas tienen sustanciación previa documentada?	☐
2	¿Los documentos de sustanciación están fechados ANTES de la publicación?	☐
3	¿Las promociones incluyen duración y stock mínimo?	☐
4	¿Los precios de referencia en descuentos son reales (no inflados)?	☐
5	¿Los testimonios son de clientes reales con consentimiento?	☐
6	¿Las comparaciones con competidores son veraces, pertinentes y sustanciadas?	☐
7	¿El contenido patrocinado está debidamente etiquetado (#Publicidad, #Patrocinado)?	☐
8	¿Las imágenes del producto corresponden al producto real?	☐
9	¿Los claims de salud, ambientales o técnicos tienen certificación?	☐
10	¿Se conserva un archivo de todas las piezas publicitarias y su sustanciación?	☐

---

Claims peligrosos: los que más multas generan

Estas son las afirmaciones de mayor riesgo en publicidad digital peruana. Si las usas, asegúrate de tener sustanciación blindada:

Claim	Riesgo	Lo que necesitas
«#1 del Perú» / «Líder del mercado»	Muy alto	Estudio de mercado de fuente independiente
«100% natural / orgánico»	Alto	Certificación oficial
«Garantizado» / «Resultados asegurados»	Alto	Define qué garantizas exactamente y cumple
«Sin efectos secundarios»	Muy alto (sector salud)	Estudios clínicos + autorización sanitaria
«El más barato» / «Precio más bajo»	Alto	Comparativa de precios documentada y actualizada
«Eco-friendly» / «Sustentable»	Alto	Certificación ambiental — sin ella es greenwashing
«Recomendado por expertos»	Alto	Identidad de los expertos, sus credenciales, evidencia de la recomendación
«X mil clientes satisfechos»	Medio	Base de datos real + métrica de satisfacción
«Hecho en Perú»	Medio	Si algún componente es importado, el claim puede ser engañoso

---

Preguntas frecuentes

¿Indecopi puede multarme por un post orgánico en redes sociales?

Sí. Si el post tiene contenido comercial (promueve tu producto, hace claims sobre sus beneficios, anuncia una oferta), es publicidad regulada. No importa que sea orgánico y no pagado.

¿Las opiniones de mis clientes en Google Reviews me generan responsabilidad?

Las reseñas genuinas de clientes son opiniones de terceros, no publicidad tuya. Pero si incentivas reseñas falsas, compras reseñas positivas o publicas testimonios inventados en tu web, eso sí es tu responsabilidad y puede ser sancionado como engaño.

¿Puedo decir «el mejor café de Huancayo» sin sustanciación?

Depende del contexto. «El mejor café» puede interpretarse como puffery (exageración subjetiva aceptable) o como un claim verificable. Si lo acompañas de elementos que lo hacen parecer comprobable («premiado como el mejor», «según encuesta…»), necesitas sustanciación. La línea es delgada — cuando hay duda, sustancia.

¿Las fotos de producto deben ser exactas?

Sí. Si la foto muestra un producto más grande, de mejor calidad o con accesorios que no vienen incluidos, puede constituir engaño. Las fotos referenciales deben indicarse claramente como tales.

¿Qué pasa si mi agencia de marketing crea una publicidad engañosa por mi cuenta?

La responsabilidad es del anunciante (la empresa que contrata la publicidad), no de la agencia. Tú eres responsable ante Indecopi de lo que se publica en tu nombre, aunque haya sido creado por un tercero. Puedes tener acción civil contra la agencia, pero la multa administrativa es tuya.

¿Las multas de Indecopi por publicidad engañosa tienen un tope?

Las multas se calculan según la gravedad y el impacto. En casos de alta afectación al mercado, las sanciones han superado los dos millones de soles. No hay un tope fijo publicado: Indecopi evalúa caso por caso considerando el beneficio ilícito, el daño al mercado y la reincidencia.

---

Referencias legales

• Decreto Legislativo N° 1044 — Ley de Represión de la Competencia Desleal. Artículo 8° (actos de engaño) y artículo 17° (actos de competencia desleal vinculados a la publicidad).
• Tribunal del Indecopi — Resoluciones sobre publicidad engañosa y competencia desleal.
• Guía de Publicidad para Influencers 2024 de Indecopi — Lineamientos para contenido patrocinado (ver artículo dedicado).
• Indecopi — Comisión de Fiscalización de la Competencia Desleal, encargada de supervisar y sancionar.

---

Este artículo es informativo y no constituye asesoría legal. Para revisar tus campañas publicitarias y verificar el cumplimiento del deber de sustanciación previa, consulta con un abogado especializado en competencia desleal y publicidad.

Última actualización: septiembre 2026 Base legal: Ley N° 29571 (Código de Protección y Defensa del Consumidor), artículo 59° Aplica a: consumidores que compran por internet y tiendas online que operan en el mercado peruano.

En Europa puedes devolver una compra online en 14 días sin dar razón. En Colombia, 5 días. En Chile, 10 días. ¿Y en Perú?

No. Perú es uno de los pocos países de la región donde no existe un derecho de arrepentimiento generalizado para compras por internet. Esto significa que, por regla general, comprar online y querer devolver el producto simplemente porque cambiaste de opinión no es un derecho que la ley te garantice.

Pero esto no significa que el consumidor esté desprotegido. La ley sí contempla supuestos específicos donde la devolución es obligatoria. Y para las tiendas online, entender esta diferencia es clave para redactar políticas de devolución que cumplan la ley sin regalar derechos que no están obligadas a otorgar.

---

¿Qué es el derecho de arrepentimiento o retracto?

Es el derecho del consumidor a cancelar una compra y devolver el producto dentro de un plazo determinado, sin necesidad de dar una razón y sin penalización, en transacciones realizadas a distancia (internet, teléfono, catálogo).

La lógica detrás de este derecho es que en una compra online el consumidor no puede ver, tocar ni probar el producto antes de comprarlo. El período de retracto funciona como un «período de prueba» legal que compensa esa desventaja.

Cómo funciona en otros países

País	Plazo de retracto	Base legal
Unión Europea	14 días naturales	Directiva 2011/83/UE
Colombia	5 días hábiles	Ley 1480 de 2011 (Estatuto del Consumidor)
Chile	10 días desde recepción	Ley 19.496, art. 3° bis
Argentina	10 días corridos	Ley 24.240, art. 34
Brasil	7 días	Código de Defensa del Consumidor, art. 49
Perú	No existe	Ley 29571 — no lo contempla

---

¿Qué dice exactamente la ley peruana?

El Código de Protección y Defensa del Consumidor (Ley N° 29571) no incluye una disposición que otorgue al comprador online el derecho irrestricto de devolver un producto por simple cambio de opinión.

El artículo 59° de la ley peruana sí establece un derecho de restitución del pago, pero está circunscrito a supuestos específicos, no es un retracto generalizado.

Supuestos donde SÍ procede la devolución obligatoria

La ley protege al consumidor peruano cuando hay un vicio en la transacción, no cuando simplemente cambió de opinión:

Supuesto	Qué significa	Ejemplo
Métodos comerciales coercitivos	La venta se realizó bajo presión, manipulación o engaño	Te llamaron por teléfono y no te dejaron colgar hasta que «aceptaste», te suscribieron a un servicio sin pedirlo
Métodos comerciales engañosos	La información proporcionada era falsa o inducía a error	La publicidad decía «cuero genuino» y el producto es sintético, las fotos mostraban un tamaño diferente al real
Falta de idoneidad	El producto no coincide sustancialmente con lo publicitado o es defectuoso	El producto llegó roto, no funciona, le faltan piezas, es un modelo diferente al ofrecido
Vicios ocultos	Defectos que no eran evidentes al momento de la compra pero se manifiestan después	El electrodoméstico funciona los primeros días pero falla por un defecto de fábrica

Supuestos donde NO procede la devolución obligatoria

Situación	¿Obligación de devolver?
«Ya no me gusta el color»	No — es cambio de opinión
«Encontré uno más barato en otra tienda»	No — es cambio de opinión
«No me queda la talla» (si la guía de tallas estaba disponible y era correcta)	No — es cambio de opinión
«Tardó más de lo que esperaba» (si el plazo anunciado se cumplió)	No — es cambio de opinión
«Ya no lo necesito»	No — es cambio de opinión

---

¿Qué implica esto para las tiendas online?

Lo que PUEDES hacer

Como tienda online en Perú, estás facultada para:

1. Mantener una política de no devolución por arrepentimiento. Puedes establecer claramente que no aceptas devoluciones por cambio de opinión, siempre que lo informes antes de la compra.
2. Definir condiciones para cambios por preferencia. Si decides ofrecer cambios de talla, color o modelo como cortesía comercial (no por obligación legal), puedes establecer las condiciones: plazo, estado del producto, empaque original, etc.
3. Ofrecer voluntariamente un período de retracto. Algunas tiendas peruanas lo ofrecen como ventaja competitiva («7 días para devoluciones sin preguntas»). Esto es un beneficio comercial, no una obligación legal.

Lo que NO puedes hacer

1. Negar la devolución cuando el producto es defectuoso. La garantía de idoneidad es irrenunciable. Si el producto llegó roto, no funciona o no coincide con lo publicitado, debes ofrecer reparación, cambio o devolución del dinero — independientemente de lo que digan tus términos.
2. Esconder la política de devoluciones. Las condiciones deben exhibirse con meridiana claridad antes de la compra. Si el consumidor no pudo conocerlas antes de pagar, pierden efecto.
3. Usar la ausencia de retracto para eludir la garantía. «No aceptamos devoluciones» como regla absoluta es una cláusula abusiva si pretende cubrir también productos defectuosos. La ausencia de derecho de retracto aplica solo al arrepentimiento, no a los defectos.

---

Cómo redactar tu política de devoluciones

La clave es separar claramente dos escenarios: el arrepentimiento (donde no estás obligado) y el defecto (donde sí estás obligado).

Modelo de política de devoluciones para e-commerce peruano

POLÍTICA DE DEVOLUCIONES Y CAMBIOS

1. Productos defectuosos o que no coinciden con la descripción
   Si el producto que recibió presenta defectos de fabricación,
   daños durante el envío, o no corresponde a las características
   publicitadas, usted tiene derecho a:
   - Solicitar la reparación del producto
   - Solicitar el cambio por otro en buen estado
   - Solicitar la devolución del monto pagado

   Plazo para reportar: [X] días calendario desde la recepción.
   Canal: [email / formulario / Libro de Reclamaciones]

2. Cambios por preferencia (talla, color, modelo)
   [OPCIÓN A - si ofreces cambios por cortesía:]
   Aceptamos cambios por preferencia dentro de los [X] días
   posteriores a la recepción, siempre que el producto esté
   sin uso, con etiquetas y en su empaque original.

   [OPCIÓN B - si no ofreces cambios por preferencia:]
   No realizamos cambios por preferencia de talla, color o
   modelo. Le recomendamos consultar nuestra guía de tallas
   y las especificaciones del producto antes de su compra.

3. Devoluciones por arrepentimiento
   De acuerdo con la legislación peruana vigente (Ley 29571),
   no se contemplan devoluciones por cambio de opinión o
   arrepentimiento en compras realizadas voluntariamente
   a través de nuestra plataforma.

4. Productos en oferta o liquidación
   Los productos adquiridos en oferta, liquidación o precio
   especial gozan de la misma garantía de idoneidad que
   cualquier otro producto de nuestro catálogo.

Dónde publicar la política

Ubicación	Prioridad
Página dedicada (/politica-devoluciones)	Obligatorio
Footer de todas las páginas	Obligatorio — enlace permanente
Página de producto	Recomendado — resumen visible antes de la compra
Checkout (antes del pago)	Recomendado — enlace junto al botón de compra
Email de confirmación de pedido	Recomendado — referencia con enlace

---

¿Va a cambiar esto? El debate sobre incorporar el retracto en Perú

Indecopi ha publicado documentos de trabajo y propuestas orientadas a incorporar el derecho de retracto en la legislación peruana. El debate existe y está activo:

Argumentos a favor de incorporar el retracto

Argumento	Detalle
Alineación regional	Perú quedaría alineado con Colombia, Chile, Argentina, Brasil y la UE
Protección efectiva	El consumidor online genuinamente no puede evaluar el producto antes de comprarlo
Confianza en el e-commerce	Más protección = más confianza = más ventas online
Crecimiento del mercado	El e-commerce peruano creció significativamente post-pandemia y necesita un marco más robusto

Argumentos en contra

Argumento	Detalle
Costo operativo para pymes	Gestionar devoluciones masivas por arrepentimiento impacta a negocios pequeños con márgenes ajustados
Abuso del derecho	Riesgo de consumidores que compran para usar una vez y devolver (wardrobing)
Realidad logística peruana	La infraestructura logística para logística inversa (devoluciones) aún es limitada fuera de Lima
Ya existe protección suficiente	La garantía de idoneidad cubre los casos donde realmente hay un perjuicio al consumidor

Estado actual (septiembre 2026)

Al momento de esta publicación, el derecho de retracto o arrepentimiento no es ley en Perú. Los documentos de trabajo de Indecopi están en fase de discusión, sin proyecto de ley aprobado ni fecha prevista de implementación.

Recomendación para tiendas online: no te adelantes a incorporar un retracto obligatorio en tus políticas si no quieres otorgarlo. Pero sí estate atento a los cambios legislativos, porque cuando se apruebe (si se aprueba), el plazo de adecuación probablemente será corto.

---

Qué hacer si un cliente exige devolución por arrepentimiento

Es una situación frecuente, especialmente con consumidores acostumbrados a comprar en plataformas internacionales (Amazon, AliExpress) que sí tienen retracto.

Flujo recomendado

Paso	Acción
1. Escuchar	Entender el motivo real de la solicitud. ¿Es arrepentimiento genuino o hay un defecto que el cliente no está articulando bien?
2. Verificar	¿El producto tiene defecto, no coincide con lo publicitado, o fue entregado erróneamente? Si sí → procede la devolución por idoneidad, no por arrepentimiento.
3. Informar	Si es arrepentimiento puro, informar amablemente que la legislación peruana no contempla la devolución por cambio de opinión, y referenciar tu política publicada.
4. Ofrecer alternativas	Si tu negocio lo permite: cambio por otro producto, crédito en tienda, descuento para próxima compra. No es obligatorio, pero fideliza.
5. Documentar	Guardar el intercambio por si el cliente acude a Indecopi. Tu defensa será: la política estaba publicada antes de la compra, el producto no era defectuoso, y la ley no exige retracto.

Si el cliente presenta un reclamo en el Libro de Reclamaciones

Respóndelo dentro de los 15 días hábiles. Explica que el producto fue entregado conforme a lo publicitado, que tu política de devoluciones (debidamente publicada) no contempla devolución por arrepentimiento, y que la legislación peruana no establece este derecho para compras online voluntarias.

---

Diferencia entre retracto, garantía e idoneidad

Estos tres conceptos se confunden con frecuencia. Aclararlos te protege ante reclamos:

Concepto	Definición	¿Existe en Perú?
Derecho de retracto / arrepentimiento	Devolver el producto por cambio de opinión, sin defecto, dentro de un plazo	No — no está en la Ley 29571
Garantía legal de idoneidad	El producto debe corresponder a lo que se publicitó y funcionar adecuadamente para su finalidad	Sí — obligatoria, irrenunciable
Garantía del fabricante	Período adicional que ofrece el fabricante para reparación o cambio	Sí — complementa la garantía legal

La garantía de idoneidad es irrenunciable. Esto significa que ninguna cláusula de tus términos puede eliminarla, limitarla o condicionarla. Aplica a todos los productos: nuevos, usados, en oferta, en liquidación.

---

Preguntas frecuentes

Si ofrezco retracto voluntariamente, ¿puedo quitarlo después?

Sí, puedes modificar tu política comercial. Pero los pedidos realizados bajo la política anterior se rigen por las condiciones vigentes al momento de la compra. Comunica los cambios con anticipación a tus usuarios registrados.

¿Amazon, AliExpress y otras plataformas internacionales que venden a Perú están obligadas a dar retracto?

Estas plataformas aplican sus propias políticas globales de devolución, que suelen ser más generosas que la ley peruana. Pero legalmente, las compras realizadas desde Perú se rigen por la legislación peruana y no existe obligación de retracto. En la práctica, estas plataformas ofrecen devoluciones por política comercial, no por obligación legal peruana.

¿Puedo negar la devolución si el cliente abrió el empaque?

Si el motivo es arrepentimiento, sí — puedes establecer que los cambios por preferencia requieren empaque sin abrir. Si el motivo es defecto del producto, no puedes negarte solo porque el empaque fue abierto: el consumidor necesitaba abrirlo para descubrir que el producto era defectuoso.

¿Y si vendo productos digitales (ebooks, cursos, software)?

La ausencia de retracto aplica igual. Para productos digitales entregados inmediatamente, la lógica es aún más clara: una vez que el consumidor accedió al contenido digital, no puede «devolverlo» porque ya lo consumió. Pero la garantía de idoneidad sí aplica: si el curso no contiene lo que prometía o el software no funciona, el consumidor tiene derecho a reclamo.

¿Indecopi puede multarme si no acepto una devolución por arrepentimiento?

No, siempre que tu producto sea idóneo (sin defectos, conforme a lo publicitado) y que tu política de no devolución por arrepentimiento estuviera claramente publicada antes de la compra. Indecopi evaluará si se respetó la garantía de idoneidad, no si ofreciste retracto voluntario.

---

Referencias legales

• Ley N° 29571 — Código de Protección y Defensa del Consumidor. Artículo 59° (derecho a la restitución en supuestos específicos). No contempla retracto generalizado.
• Indecopi — Documentos de trabajo sobre propuesta de incorporación del derecho de retracto en el e-commerce peruano (en discusión, sin aprobación legislativa al septiembre 2026).
• Directiva 2011/83/UE — Referencia comparada del derecho de retracto en la Unión Europea (14 días).
• Ley 1480 de 2011 (Colombia) — Referencia comparada del retracto en la región (5 días).

---

Este artículo es informativo y no constituye asesoría legal. Para definir tu política de devoluciones conforme a la legislación peruana, consulta con un abogado especializado en protección al consumidor.

Última actualización: septiembre 2026 Base legal: Ley N° 29571 (Código de Protección y Defensa del Consumidor), artículos 50° y 51° Aplica a: toda tienda online, marketplace o plataforma digital que venda bienes o servicios a consumidores finales en Perú mediante términos y condiciones, contratos de adhesión o políticas de devolución.

Cuando un usuario compra en tu tienda online, acepta tus términos y condiciones con un clic. No negocia. No tacha cláusulas. Acepta todo o no compra. Ese desequilibrio es exactamente lo que la ley peruana vigila.

Si tus términos contienen disposiciones que perjudican injustamente al consumidor, Indecopi puede declararlas nulas de pleno derecho y sancionarte — aunque el cliente las haya «aceptado».

Aquí explicamos qué es una cláusula abusiva, cuáles son las más comunes en tiendas online peruanas y cómo redactar términos que cumplan la ley.

---

¿Qué es una cláusula abusiva?

Es una disposición dentro de un contrato de adhesión (como los términos y condiciones de una tienda online) que coloca al consumidor en una situación de desventaja injustificada o que limita indebidamente sus derechos reconocidos por ley.

Los artículos 50° y 51° del Código de Protección y Defensa del Consumidor las sancionan con nulidad de pleno derecho. Esto significa que no son anulables (requiriendo que alguien las impugne) sino nulas desde el principio: nunca tuvieron efecto legal, aunque el consumidor las haya aceptado.

¿Por qué importa en e-commerce?

En una tienda física, el consumidor puede preguntar, negociar o irse. En una transacción online, la dinámica es diferente:

Característica del e-commerce	Riesgo legal
El consumidor no puede negociar los términos	Se limita a aceptar o no comprar — asimetría total
Los términos son largos y pocos los leen	Mayor responsabilidad del proveedor de no incluir disposiciones abusivas
La aceptación es un clic, no una firma	Indecopi evalúa el contenido, no el mecanismo de aceptación
El proveedor redacta unilateralmente	Cualquier ambigüedad se interpreta a favor del consumidor

---

Tipos de contratos electrónicos en Perú

Antes de entrar en las cláusulas prohibidas, es útil entender los dos mecanismos más comunes de aceptación contractual en línea:

Tipo	Cómo funciona	Nivel de validez
Clickwrap	El usuario marca un checkbox («Acepto los términos y condiciones») antes de completar la compra	Más sólido — hay una acción afirmativa registrable
Browsewrap	Los términos están enlazados en el footer; usar el sitio implica aceptación	Más débil — difícil probar que el usuario los leyó o aceptó

Recomendación: usa siempre clickwrap para tus transacciones. Un checkbox explícito con enlace a los términos completos es la forma más segura de acreditar que el consumidor tuvo acceso a las condiciones antes de aceptar.

Sin embargo, ni clickwrap ni browsewrap validan una cláusula abusiva. El mecanismo de aceptación no subsana el contenido ilícito.

---

Cláusulas abusivas más comunes en tiendas online peruanas

El Tribunal del Indecopi ha identificado y sancionado reiteradamente estas disposiciones. Si alguna aparece en tus términos y condiciones, elimínala.

1. Exoneración total de responsabilidad por entregas

La cláusula prohibida: «La empresa no se responsabiliza por demoras, pérdidas o daños durante el envío del producto.»

Por qué es abusiva: Si tú vendes el producto y contratas al operador logístico, eres responsable ante el consumidor por la entrega. No puedes trasladar ese riesgo al comprador. El consumidor contrató contigo, no con la empresa de courier.

Lo que dice Indecopi: El proveedor es responsable por la idoneidad del servicio completo, incluyendo la logística de entrega cuando es parte de la prestación contratada. Exonerarse de responsabilidad por retrasos imputables a tus propios operadores logísticos es una cláusula abusiva nula.

Cómo redactarlo correctamente: «Nos comprometemos a gestionar la entrega de su pedido en el plazo indicado al momento de la compra. Ante demoras atribuibles a nuestro operador logístico, el consumidor puede solicitar la devolución del monto pagado o la reprogramación de la entrega.»

2. Exoneración por fallos en la pasarela de pago

La cláusula prohibida: «La empresa no se responsabiliza por cobros duplicados, errores de procesamiento o fallos técnicos en la pasarela de pago.»

Por qué es abusiva: Si integras una pasarela de pago en tu web, el consumidor confía en tu plataforma para procesar su dinero. Los fallos técnicos que perjudiquen patrimonialmente al usuario son tu responsabilidad, no la del consumidor.

Cómo redactarlo correctamente: «En caso de cobros duplicados o errores de procesamiento de pago, nos comprometemos a gestionar la devolución del monto afectado en un plazo de [X] días hábiles. Para reportar un incidente, contacte a [canal de atención].»

3. Restricción de devoluciones en productos de oferta o liquidación

La cláusula prohibida: «No se aceptan devoluciones, cambios ni reclamos en productos adquiridos en liquidación, oferta, outlet o precio especial.»

Por qué es abusiva: Este es uno de los hallazgos más frecuentes y severamente sancionados por Indecopi. La adquisición de un bien con descuento no extingue la garantía legal de idoneidad. Si un producto en liquidación llega defectuoso, roto o con vicios ocultos, el consumidor tiene exactamente los mismos derechos que con un producto a precio completo.

Lo que dice Indecopi: El descuento aplica al precio, no a los derechos del consumidor. Restringir la garantía legal por el hecho de que el producto estaba en oferta es una cláusula abusiva que puede atraer multas elevadas.

Cómo redactarlo correctamente: «Los productos adquiridos en oferta o liquidación gozan de la misma garantía de idoneidad que cualquier producto de nuestro catálogo. Si recibe un producto defectuoso, puede solicitar su reparación, cambio o devolución del dinero conforme a la ley.»

Matiz importante: sí puedes informar que los productos en liquidación no admiten cambio por talla, color o preferencia (es decir, por motivos que no sean defecto del producto), siempre que lo aclares antes de la compra. Lo que no puedes hacer es eliminar la garantía por defectos.

4. Modificación unilateral de los términos sin aviso

La cláusula prohibida: «La empresa se reserva el derecho de modificar estos términos y condiciones en cualquier momento y sin previo aviso. El uso continuado del sitio constituye aceptación de los cambios.»

Por qué es abusiva: El consumidor aceptó unos términos específicos. Cambiarlos unilateralmente sin notificación y asumir que «seguir usando la web» equivale a aceptar los nuevos términos vulnera el principio de consentimiento informado.

Cómo redactarlo correctamente: «Nos reservamos el derecho de actualizar estos términos y condiciones. Los cambios serán notificados a los usuarios registrados por correo electrónico con [X] días de anticipación. Las transacciones en curso se rigen por los términos vigentes al momento de la compra.»

5. Renuncia del consumidor a reclamar

La cláusula prohibida: «Al aceptar estos términos, el usuario renuncia a interponer reclamos, quejas o acciones legales contra la empresa.»

Por qué es abusiva: El derecho a reclamar es irrenunciable. Ningún contrato puede limitar el acceso del consumidor al Libro de Reclamaciones, a Indecopi o al Poder Judicial. Esta cláusula es nula de pleno derecho y además puede considerarse un agravante si Indecopi abre un procedimiento.

6. Jurisdicción exclusiva en sede extranjera

La cláusula prohibida: «Cualquier controversia derivada de estos términos será resuelta exclusivamente ante los tribunales de [ciudad extranjera].»

Por qué es abusiva: Obligar al consumidor peruano a litigar en otro país o ciudad elimina en la práctica su acceso a la justicia. Indecopi y los tribunales peruanos tienen jurisdicción sobre transacciones con consumidores en territorio peruano, independientemente de lo que digan los términos.

7. Plazo excesivamente corto para reportar defectos

La cláusula prohibida: «El consumidor debe reportar cualquier defecto dentro de las 24 horas posteriores a la recepción del producto. Pasado ese plazo, no se aceptarán reclamos.»

Por qué es abusiva: Muchos defectos no son evidentes al momento de la entrega (vicios ocultos). Imponer un plazo arbitrariamente corto limita indebidamente el derecho del consumidor a reclamar por idoneidad. La ley establece plazos de garantía que el proveedor no puede reducir unilateralmente.

---

Tabla resumen: cláusulas prohibidas vs. permitidas

Tema	❌ Cláusula abusiva (nula)	✅ Cláusula válida
Entregas	«No nos responsabilizamos por demoras del courier»	«Gestionamos la entrega y respondemos por demoras imputables a nuestro operador»
Pagos	«No nos responsabilizamos por cobros duplicados»	«Gestionamos la devolución de cobros erróneos en [X] días»
Ofertas	«No se aceptan devoluciones en productos de liquidación»	«Los productos en oferta tienen la misma garantía de idoneidad»
Cambios en términos	«Modificamos los términos sin previo aviso»	«Notificamos cambios con [X] días de anticipación por email»
Reclamos	«El usuario renuncia a reclamar»	No incluir — el derecho a reclamar es irrenunciable
Jurisdicción	«Tribunales de Miami resuelven todo»	«Jurisdicción de los tribunales peruanos conforme a ley»
Defectos	«Reportar en 24 horas o pierde el derecho»	«Reportar defectos dentro del plazo de garantía legal»

---

¿Cómo detecta Indecopi las cláusulas abusivas?

Indecopi no necesita que un consumidor denuncie una cláusula específica. El Tribunal despliega una labor activa de revisión:

Mecanismo	Cómo funciona
Denuncia del consumidor	Un cliente reporta que la tienda se negó a aceptar una devolución citando una cláusula de sus términos. Indecopi revisa los términos completos.
Fiscalización de oficio	Indecopi puede revisar los términos y condiciones publicados en tu web sin necesidad de denuncia previa.
Casos emblemáticos	Resoluciones del Tribunal que sientan precedente y sirven como referencia para fiscalizaciones futuras.
Monitoreo de mercado	Revisión sistemática de prácticas comerciales en sectores específicos del e-commerce.

Punto clave: cuando Indecopi abre un caso por un reclamo específico (por ejemplo, una devolución rechazada), no se limita a evaluar ese incidente. Revisa todos los términos y condiciones de la plataforma. Un procedimiento por un reclamo de S/ 50 puede terminar en una multa por cláusulas abusivas que nada tenían que ver con el caso original.

---

Consecuencias de tener cláusulas abusivas

Consecuencia	Detalle
Nulidad de la cláusula	La cláusula abusiva se considera como si nunca hubiera existido. El resto del contrato sigue vigente.
Multa administrativa	Indecopi puede sancionar al proveedor. Las multas varían según la gravedad, pero oscilan entre 1 y 450 UIT (S/ 5,500 — S/ 2,475,000 en 2026).
Medida correctiva	Indecopi puede ordenar la eliminación de la cláusula, la modificación de los términos y la restitución de derechos al consumidor afectado.
Precedente público	Las resoluciones de Indecopi son públicas. Tu empresa queda registrada como infractora, con impacto reputacional.
Interpretación pro-consumidor	Ante cualquier ambigüedad en los términos, Indecopi y los tribunales interpretan a favor del consumidor, no del proveedor que redactó el contrato.

---

Cómo redactar términos y condiciones legales para tu e-commerce

Principios básicos

Principio	Qué significa en la práctica
Equilibrio	Los términos no pueden cargar todos los riesgos al consumidor y eximir al proveedor
Claridad	Lenguaje comprensible, sin tecnicismos innecesarios
Conformidad legal	No contradecir derechos establecidos por el Código del Consumidor
Transparencia	Disponibles antes de la compra, no solo después
Buena fe	No incluir disposiciones diseñadas para sorprender o confundir al consumidor

Estructura recomendada de términos y condiciones

1. Identificación del proveedor
   → Razón social, RUC, domicilio, datos de contacto

2. Objeto y alcance
   → Qué productos/servicios ofreces y a qué territorio

3. Proceso de compra
   → Cómo se realiza el pedido, cuándo se perfecciona el contrato

4. Precios y formas de pago
   → Moneda, impuestos incluidos, métodos de pago aceptados

5. Envío y entrega
   → Plazos, cobertura geográfica, costos, responsabilidad por demoras

6. Garantía e idoneidad
   → Derechos del consumidor ante productos defectuosos (reparar, cambiar o devolver)

7. Política de devoluciones y cambios
   → En qué casos se aceptan, procedimiento, plazos

8. Derecho a reclamar
   → Enlace al Libro de Reclamaciones Virtual, canales de atención

9. Protección de datos personales
   → Enlace a la Política de Privacidad

10. Propiedad intelectual
    → Titularidad del contenido del sitio

11. Limitaciones de responsabilidad (legítimas)
    → Solo las que la ley permite (fuerza mayor genuina, por ejemplo)

12. Modificaciones a los términos
    → Procedimiento de notificación, términos vigentes al momento de cada compra

13. Legislación aplicable y jurisdicción
    → Leyes peruanas, tribunales peruanos

14. Fecha de última actualización

Revisión legal periódica

Los términos y condiciones no son un documento estático. Revísalos al menos una vez al año o cada vez que:

• Cambies de operador logístico o pasarela de pago.
• Modifiques tu política de devoluciones.
• Indecopi emita nuevas resoluciones o precedentes relevantes.
• Amplíes tu operación a nuevos canales o mercados.
• Integres nuevas funcionalidades (suscripciones, marketplace, programas de fidelización).

---

Preguntas frecuentes

¿Si el consumidor leyó y aceptó los términos, la cláusula abusiva es válida?

No. La nulidad de pleno derecho opera independientemente de que el consumidor haya leído, entendido y aceptado los términos. Una cláusula abusiva es nula desde el origen — la aceptación del consumidor no la subsana.

¿Puedo tener una política de «no devolución» en mi e-commerce?

Puedes tener una política de no devolución por arrepentimiento (cambio de opinión sin defecto del producto), ya que en Perú no existe el derecho de retracto generalizado. Pero no puedes negar la devolución cuando el producto es defectuoso, no coincide con lo publicitado o presenta vicios ocultos. La garantía de idoneidad es irrenunciable.

¿Las cláusulas abusivas también aplican a servicios digitales (SaaS, cursos online)?

Sí. El Código del Consumidor protege a consumidores finales tanto en la compra de bienes como en la contratación de servicios. Un curso online que dice «no se aceptan reembolsos bajo ninguna circunstancia» tiene la misma exposición que una tienda de productos físicos con política abusiva.

¿Qué pasa si copio los términos y condiciones de una tienda grande?

Que probablemente estés copiando cláusulas que ni siquiera aplican a tu negocio — y posiblemente algunas que son abusivas. Las grandes empresas también reciben multas de Indecopi por cláusulas abusivas. Que una empresa grande las use no las hace legales.

¿Necesito un abogado para redactar mis términos y condiciones?

No es obligatorio por ley, pero es altamente recomendable. Los términos y condiciones son un contrato legal que define tus obligaciones y límites de responsabilidad. Un error puede costarte una multa de miles de soles. La inversión en asesoría legal es mínima comparada con el riesgo.

---

Referencias legales

• Ley N° 29571 — Código de Protección y Defensa del Consumidor. Artículos 50° (cláusulas abusivas de ineficacia absoluta) y 51° (cláusulas abusivas de ineficacia relativa).
• Tribunal del Indecopi — Resoluciones y precedentes sobre cláusulas abusivas en contratos de consumo.
• Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
• Indecopi — Comisión de Protección al Consumidor, encargada de fiscalizar y sancionar.

---

Este artículo es informativo y no constituye asesoría legal. Para revisar los términos y condiciones de tu e-commerce, consulta con un abogado especializado en protección al consumidor y comercio electrónico.

Última actualización: septiembre 2026 Base legal: Ley N° 29571 (Código de Protección y Defensa del Consumidor), Ley N° 31435, D.S. 011-2011-PCM Aplica a: todo proveedor que comercialice bienes o servicios a consumidores peruanos mediante un sitio web, tienda online, aplicación móvil o cualquier plataforma digital.

El Libro de Reclamaciones no es un formulario de «contáctanos». En Perú es una institución jurídica reglamentada cuya ausencia es una infracción autónoma que puede costarte hasta S/ 2,475,000 en 2026 — aunque nunca hayas recibido un solo reclamo.

Si vendes algo online en Perú, necesitas uno. Aquí explicamos exactamente qué requisitos debe cumplir, en cuánto tiempo debes responder y qué pasa si no lo tienes.

---

¿Quién está obligado a tener Libro de Reclamaciones Virtual?

Todo proveedor que comercialice bienes o servicios directamente a consumidores finales a través de una página web o plataforma digital. Esto incluye:

• Tiendas de e-commerce (ropa, electrónica, alimentos, cualquier producto)
• Plataformas de servicios (consultoría, educación online, software como servicio)
• Restaurantes y negocios de delivery con pedidos por web
• Marketplaces que venden directamente (no solo intermedian)
• Profesionales independientes que venden servicios por su web (diseñadores, abogados, contadores)
• Cualquier negocio con carrito de compras o pasarela de pago en línea

¿Quién NO está obligado?

Caso	¿Necesita Libro de Reclamaciones?
Web puramente informativa sin venta de productos ni servicios	No
Blog o medio de comunicación sin transacciones comerciales	No
Empresa B2B que solo vende a otras empresas (no a consumidores finales)	No — el Código del Consumidor protege a personas naturales en rol de consumidores
Marketplace que solo intermedia sin ser vendedor directo	Depende — si participa activamente en la transacción, sí
Freelancer que vende servicios por su web a personas naturales	Sí

---

¿Qué diferencia al Libro de Reclamaciones de un formulario de contacto?

Esta es la confusión más peligrosa. Muchos negocios creen que tener un formulario de «contáctanos» o un chat de soporte cumple la función. No es así.

Aspecto	Formulario de contacto	Libro de Reclamaciones Virtual
Naturaleza legal	Canal de comunicación voluntario	Institución jurídica obligatoria por ley
Regulación	Ninguna específica	Código del Consumidor + reglamento específico
Consecuencia de no tener	Ninguna legal	Multa de hasta 450 UIT (S/ 2,475,000)
Código numérico	No requerido	Obligatorio — correlativo por cada queja
Copia al consumidor	No requerida	Obligatoria — envío automático por email
Plazo de respuesta	No regulado	15 días hábiles por ley
Conservación	No regulada	2 años mínimo
Fiscalización	Nadie lo supervisa	Indecopi puede inspeccionar en cualquier momento

---

Requisitos del Libro de Reclamaciones Virtual

El diseño del Libro Virtual no se satisface con un simple formulario web. El reglamento establece requisitos específicos:

1. Aviso visible en la página principal

Tu página de inicio debe mostrar un aviso claramente visible que diga que dispones de un Libro de Reclamaciones. El reglamento exige que sea fácil de identificar — no puede estar escondido al final del footer en letra pequeña.

Ubicación recomendada: un ícono o botón flotante visible en todas las páginas, o un enlace destacado en el header/menú principal y en el footer.

2. Formulario con campos obligatorios

El formulario del Libro debe recoger, como mínimo:

Campo	Detalle
Identificación del consumidor	Nombre completo, DNI o documento de identidad, domicilio, teléfono, email
Identificación del proveedor	Razón social, RUC (precargados por ti)
Tipo de registro	Queja o Reclamo (el usuario elige)
Detalle del bien o servicio contratado	Descripción del producto o servicio objeto de la incidencia
Descripción del problema	Relato de los hechos por el consumidor
Pedido del consumidor	Qué solución espera
Fecha del registro	Automática

Diferencia entre queja y reclamo

Tipo	Definición	Ejemplo
Reclamo	Disconformidad relacionada directamente con el bien o servicio adquirido	«El producto llegó roto», «Me cobraron de más», «El servicio no funciona como dijeron»
Queja	Disconformidad con la atención al cliente, no con el producto en sí	«Me atendieron mal», «Nadie responde mis mensajes», «El proceso de devolución es confuso»

La distinción importa porque solo los reclamos tienen el plazo legal obligatorio de respuesta. Las quejas deben atenderse pero con mayor flexibilidad procedimental.

3. Código numérico correlativo

Cada registro (queja o reclamo) debe recibir un código único y correlativo generado automáticamente. Este código es la identificación del caso y sirve para:

• Que el consumidor pueda dar seguimiento.
• Que Indecopi pueda auditar la secuencia y verificar que no se eliminan registros.
• Que la empresa organice internamente su flujo de atención.

4. Envío automático de copia al consumidor

En el momento en que el consumidor completa y envía el formulario, tu sistema debe generar y enviar automáticamente una copia del registro al correo electrónico que proporcionó.

No al día siguiente. No manualmente. En el momento mismo de la interposición.

Esta copia debe incluir todos los datos del formulario y el código correlativo asignado.

5. Respaldo ante caídas técnicas

Si tu servidor cae, el formulario falla o tienes un problema técnico que impide el funcionamiento del Libro Virtual, la ley prevé que:

• Debes contar con respaldos físicos (formularios manuales o alternativos).
• Los reclamos recibidos por vía alternativa deben ser transcritos al sistema digital en un plazo no mayor a 1 día calendario.
• No puedes argumentar «se cayó el sistema» como excusa para no recibir reclamos.

6. Conservación de registros

Todos los registros del Libro de Reclamaciones deben conservarse por un período mínimo de 2 años ininterrumpidos. Esto incluye:

• El formulario original con todos los datos.
• La copia enviada al consumidor.
• La respuesta que diste (o la evidencia de que respondiste en plazo).
• Cualquier documentación de soporte.

---

El plazo de respuesta: 15 días hábiles

Este es el punto más crítico operativamente. Equivocarse aquí es la causa más frecuente de multas.

¿Cuánto tiempo tienes para responder?

15 días hábiles contados desde el día siguiente a la interposición del reclamo.

Este plazo fue establecido por la Ley N° 31435 (2022), que redujo el plazo anterior de 30 días calendario.

¿Qué son días hábiles?

Días hábiles excluyen:

• Sábados
• Domingos
• Feriados nacionales decretados

En la práctica, 15 días hábiles equivalen a aproximadamente 3 semanas calendario. Pero el cómputo exacto varía según los feriados del mes.

Ejemplo de cómputo

Evento	Fecha (ejemplo)
El consumidor interpone el reclamo	Lunes 5 de octubre
Día 1 del plazo comienza	Martes 6 de octubre
Feriado nacional	Jueves 8 de octubre (no cuenta)
Día 15 hábil (fecha límite de respuesta)	Miércoles 28 de octubre (aprox.)

Recomendación: no calcules el plazo mentalmente. Usa un calendario de días hábiles del Perú actualizado para cada caso.

¿Se puede prorrogar?

Aquí hay un debate legal activo:

Postura	Argumento
Sí se puede prorrogar	El D.S. 011-2011-PCM (Reglamento del Libro de Reclamaciones) contempla una prórroga única de 15 días hábiles adicionales por causa justificada, comunicada al consumidor antes de que venza el plazo original
No se puede prorrogar	Las resoluciones y comunicados del Indecopi entre 2024 y 2026 han tendido a calificar el plazo como «improrrogable»

¿Qué postura tomar?

La más segura para tu negocio: tratar el plazo de 15 días hábiles como improrrogable. Diseñar tu flujo interno para investigar, evaluar y responder dentro de ese plazo. Si logras hacerlo en menos, mejor.

Si necesitas más tiempo por complejidad genuina del caso, puedes comunicar al consumidor antes del vencimiento que estás investigando y enviar una respuesta parcial dentro del plazo, pero asumiendo el riesgo de que Indecopi considere que debiste resolver en el plazo primario.

---

¿Qué debe contener la respuesta?

No basta con responder «estamos trabajando en ello» o «lamentamos los inconvenientes». La respuesta debe ser formal y sustantiva:

Elemento	Detalle
Referencia al reclamo	Código correlativo, fecha de interposición, resumen del problema
Posición de la empresa	Fundada o infundada — con explicación clara
Sustento	Hechos, evidencia o documentación que respalda tu posición
Solución ofrecida	Si el reclamo es fundado: qué acción correctiva tomarás (reparación, cambio, devolución, compensación)
Plazo de la solución	Si ofreces una acción correctiva, cuándo se ejecutará

Lo que NO es una respuesta válida

• ❌ «Gracias por su comunicación, la derivamos al área correspondiente.»
• ❌ «Lamentamos los inconvenientes causados.»
• ❌ «Su caso está en revisión.» (sin resolución dentro del plazo)
• ❌ Respuesta genérica de plantilla que no aborda los hechos específicos del reclamo.
• ❌ Respuesta enviada el día 16 hábil.

---

Multas por incumplimiento

Las sanciones las impone la Comisión de Protección al Consumidor del Indecopi. Con la UIT 2026 en S/ 5,500:

Multas por no tener Libro de Reclamaciones

Infracción	Rango de multa	En soles (2026)
No contar con Libro de Reclamaciones (físico o virtual)	Hasta 450 UIT	Hasta S/ 2,475,000
No exhibir el aviso del Libro de Reclamaciones	Variable según gravedad	Hasta S/ 275,000

Dato crítico: la multa de hasta 450 UIT aplica incluso si nunca has recibido un reclamo. La infracción es no tener el mecanismo disponible, independientemente de si alguien lo ha usado.

Multas por no responder o responder fuera de plazo

Infracción	Rango típico de multa
No responder el reclamo dentro de los 15 días hábiles	1 a 50 UIT (S/ 5,500 — S/ 275,000) según tamaño de empresa y gravedad
Responder con generalidades evasivas sin sustento	1 a 10 UIT típicamente
No enviar copia automática al consumidor	Variable
No conservar registros por 2 años	Variable

Graduación según tamaño de empresa

Indecopi gradúa las multas considerando la escala del infractor:

Tamaño	Rango habitual de multas
Microempresa	1 a 5 UIT (S/ 5,500 — S/ 27,500)
Pequeña empresa	5 a 20 UIT (S/ 27,500 — S/ 110,000)
Mediana empresa	10 a 50 UIT (S/ 55,000 — S/ 275,000)
Gran empresa	50 a 450 UIT (S/ 275,000 — S/ 2,475,000)

Importante: estos rangos son referenciales. Indecopi evalúa cada caso individualmente considerando la gravedad de la falta, el daño al consumidor, la reincidencia y la colaboración del proveedor.

Indecopi puede actuar de oficio

No necesita que el consumidor denuncie. Si en una inspección rutinaria o por monitoreo de internet detecta que tu e-commerce no tiene Libro de Reclamaciones, puede abrir procedimiento sin que nadie haya presentado queja.

---

Cómo diseñar el flujo interno para cumplir el plazo

El plazo de 15 días hábiles es ajustado. Si no tienes un proceso interno definido, vas a incumplir. Esta es una estructura de workflow recomendada:

Flujo en 4 etapas

Etapa	Plazo interno sugerido	Responsable	Acción
1. Recepción y registro	Día 0-1	Sistema automático + responsable de atención	Registrar el reclamo, asignar código, enviar copia al consumidor, derivar al área correspondiente
2. Investigación	Día 2-8	Área operativa involucrada	Revisar los hechos, recopilar evidencia, consultar con el equipo
3. Evaluación y respuesta	Día 9-12	Responsable legal/comercial	Evaluar si el reclamo es fundado, redactar respuesta sustantiva con solución
4. Envío y archivo	Día 13-14	Responsable de atención	Enviar respuesta al consumidor, archivar toda la documentación
Día 15	Margen de seguridad	—	Nunca usar el día 15 como fecha de envío normal — es tu colchón ante imprevistos

Alertas recomendadas

Alerta	Cuándo
Reclamo recibido — asignar responsable	Inmediata
Reclamo sin avance — escalar	Día 5
Respuesta pendiente — urgente	Día 10
Plazo próximo a vencer — crítico	Día 13

---

Diferencias con otras jurisdicciones

Un aspecto que confunde a empresas extranjeras operando en Perú o a negocios peruanos familiarizados con legislación de otros países:

Aspecto	Perú	Unión Europea	Colombia
¿El Libro de Reclamaciones es obligatorio por ley?	Sí — institución jurídica reglamentada	No existe como tal (hay ADR/ODR)	Existe PQR pero con mecánica diferente
¿Multa por no tenerlo?	Hasta 450 UIT	No aplica	Variable
Plazo de respuesta	15 días hábiles	Varía por país y mecanismo	15 días hábiles (PQR)
¿Indecopi puede actuar sin denuncia?	Sí, de oficio	Varía por autoridad nacional	Sí (SIC)

---

Preguntas frecuentes

¿Puedo usar una plataforma externa para el Libro de Reclamaciones?

Sí. Existen servicios SaaS especializados que ofrecen el Libro de Reclamaciones Virtual como servicio (reclamovirtual.pe, conecta-reclamos.com, entre otros). Son válidos siempre que cumplan todos los requisitos reglamentarios: código correlativo, envío automático de copia, conservación de registros y aviso visible en tu web.

¿El Libro Virtual reemplaza al físico?

Para negocios que operan exclusivamente online, el Libro Virtual es suficiente. Si también tienes local físico, necesitas ambos: el virtual en tu web y el físico en tu establecimiento.

¿Qué pasa si el reclamo es infundado?

Lo respondes igualmente dentro del plazo, explicando por qué consideras que no corresponde y sustentando tu posición con hechos y evidencia. No atender un reclamo por considerarlo infundado es una infracción.

¿El consumidor puede ir directo a Indecopi sin usar mi Libro?

Sí. El consumidor no está obligado a usar primero el Libro de Reclamaciones. Puede presentar su denuncia directamente ante Indecopi. Sin embargo, en la práctica, Indecopi verifica si el proveedor tiene Libro de Reclamaciones y si fue usado, como parte de la evaluación del caso.

¿Debo responder también las quejas o solo los reclamos?

Ambos deben ser atendidos. Sin embargo, el plazo legal estricto de 15 días hábiles aplica específicamente a los reclamos. Las quejas deben atenderse con diligencia pero tienen mayor flexibilidad procedimental.

¿Qué pasa si recibo un reclamo en fin de semana o feriado?

El plazo comienza a correr el siguiente día hábil. Si recibes el reclamo un sábado, el día 1 del cómputo es el lunes (si no es feriado).

¿Necesito Libro de Reclamaciones si vendo por redes sociales pero no tengo web?

Si comercializas bienes o servicios directamente a consumidores, la obligación existe independientemente del canal. La regulación aplica a proveedores, no a plataformas. En la práctica, si no tienes web donde implementarlo, debes habilitar un mecanismo equivalente accesible para tus clientes.

---

Referencias legales

• Ley N° 29571 — Código de Protección y Defensa del Consumidor. Establece la obligación del Libro de Reclamaciones.
• Ley N° 31435 — Modifica el plazo de respuesta a 15 días hábiles (2022).
• Decreto Supremo N° 011-2011-PCM — Reglamento del Libro de Reclamaciones.
• Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
• Indecopi — Autoridad fiscalizadora de la protección al consumidor.

---

Este artículo es informativo y no constituye asesoría legal. Para implementar tu Libro de Reclamaciones Virtual y diseñar el flujo de atención conforme a la ley, consulta con un abogado especializado en protección al consumidor

Última actualización: septiembre 2026 Base legal: Ley N° 29733, Opinión Consultiva N° 02-2022-JUS/DGTAIPD de la ANPD Aplica a: todo sitio web que use cookies, píxeles de rastreo o tecnologías de seguimiento y tenga usuarios en territorio peruano.

Si tu página web usa Google Analytics, Meta Pixel, cualquier herramienta de remarketing o simplemente guarda preferencias del usuario en el navegador, estás usando cookies. Y en Perú, las cookies que permiten identificar o perfilar a una persona son datos personales.

Esto significa que necesitas una política de cookies, un banner de consentimiento y opciones granulares para el usuario. Aquí explicamos exactamente qué exige la ley, qué tipos de cookies necesitan permiso y qué prácticas están prohibidas.

---

¿Las cookies son datos personales en Perú?

Sí, cuando permiten individualizar o perfilar el comportamiento de una persona natural.

La Autoridad Nacional de Protección de Datos Personales (ANPD) lo estableció a través de la Opinión Consultiva N° 02-2022-JUS/DGTAIPD, alineándose con la interpretación que ya aplica la Unión Europea bajo el RGPD.

El criterio es funcional, no técnico. No importa si la cookie guarda un nombre o un código alfanumérico. Lo que importa es si ese identificador, solo o combinado con otros datos, permite:

• Saber quién es el usuario.
• Rastrear su comportamiento de navegación.
• Crear un perfil de sus intereses, hábitos o preferencias.
• Dirigirle publicidad personalizada.

¿Qué tecnologías están incluidas?

La interpretación de la ANPD no se limita a las cookies clásicas. Abarca cualquier tecnología de rastreo:

Tecnología	Qué hace	¿Es dato personal?
Cookies HTTP	Archivos que el sitio web almacena en el navegador del usuario	Sí, cuando permiten identificar o perfilar
Píxeles de rastreo (Meta Pixel, LinkedIn Insight Tag)	Imágenes invisibles que registran visitas y acciones del usuario	Sí — diseñados específicamente para perfilar
Device fingerprinting	Combinación de datos del dispositivo (navegador, resolución, fuentes instaladas) para crear un identificador único	Sí — permite individualizar sin cookie
Local Storage / Session Storage	Almacenamiento en el navegador similar a cookies pero con mayor capacidad	Sí, si almacena identificadores o datos de comportamiento
SDKs de terceros	Código de plataformas externas integrado en tu web (analytics, ads, chat)	Sí, si recopilan datos del usuario

---

Tipos de cookies y cuáles necesitan consentimiento

No todas las cookies requieren permiso. La normativa peruana distingue cuatro categorías según su finalidad, cada una con un requisito legal diferente.

1. Cookies estrictamente necesarias (técnicas)

Qué hacen	Ejemplos
Permiten el funcionamiento básico del sitio	Mantener la sesión del usuario activa, conservar artículos en el carrito de compras, gestionar la seguridad anti-fraude, equilibrar la carga de servidores

¿Requieren consentimiento? → No. Están exentas porque sin ellas el sitio no funciona. Se activan por defecto.

Pero: debes informar al usuario de su existencia en tu política de cookies, aunque no necesites pedirle permiso.

2. Cookies de preferencia (funcionales)

Qué hacen	Ejemplos
Recuerdan opciones del usuario que no son esenciales para el funcionamiento	Idioma elegido, región del usuario, tamaño de fuente, modo oscuro/claro, última búsqueda

¿Requieren consentimiento? → Sí. El usuario debe poder aceptarlas o rechazarlas.

Importante: rechazar estas cookies no debe impedir el acceso al sitio web. Solo puede reducir la personalización de la experiencia.

3. Cookies analíticas (de medición)

Qué hacen	Ejemplos
Miden el tráfico y el comportamiento de los usuarios de forma agregada	Google Analytics, Matomo, Hotjar (mapas de calor), herramientas de A/B testing

¿Requieren consentimiento? → Sí, como regla general.

Existe una zona gris: si las cookies analíticas están configuradas para anonimización absoluta (sin almacenar IP completa, sin cruzar con otros datos, uso estrictamente estadístico interno), algunos argumentos doctrinales sostienen que podrían eximirse. Sin embargo, la postura conservadora —y la más segura legalmente— es pedir consentimiento siempre, porque:

• Google Analytics en su configuración por defecto no anonimiza completamente.
• La ANPD no ha emitido una exención expresa para analíticas anonimizadas.
• Si algún día te fiscalizan, «yo creía que estaba anonimizado» no es una defensa sólida.

4. Cookies publicitarias y comportamentales

Qué hacen	Ejemplos
Perfilan los hábitos de navegación del usuario para servir publicidad dirigida	Meta Pixel (Facebook Ads), Google Ads remarketing, TikTok Pixel, LinkedIn Insight Tag, plataformas de retargeting

¿Requieren consentimiento? → Sí, consentimiento explícito y previo. Son las de mayor riesgo para la privacidad.

Estas cookies no pueden activarse hasta que el usuario haya dado su consentimiento afirmativo. No después de que cargue la página. No mientras «decide». Antes de que se activen.

Tabla resumen

Tipo de cookie	Consentimiento	Si el usuario rechaza…
Estrictamente necesarias	No requerido	No se pueden rechazar (son esenciales)
De preferencia	Sí	El sitio funciona pero pierde personalización
Analíticas	Sí	No se mide el tráfico de ese usuario
Publicitarias	Sí, explícito y previo	No se perfila ni se le muestra publicidad dirigida

---

Qué está prohibido

La ANPD y los estándares internacionales que Perú ha adoptado como referencia son claros sobre las prácticas que no están permitidas.

1. Consentimiento por navegación

❌ Prohibido: interpretar que si el usuario hace scroll, hace clic en otro enlace o simplemente sigue usando la web, ha «aceptado» las cookies.

El scroll no es un acto afirmativo. La inacción no es consentimiento. Frases como «Al continuar navegando, acepta el uso de cookies» no cumplen el estándar legal.

2. Muros de cookies (cookie walls)

❌ Prohibido: bloquear el acceso total al contenido del sitio web a menos que el usuario acepte todas las cookies, incluyendo las publicitarias.

Condicionar el acceso a tu web a la aceptación de cookies de rastreo viola la libertad de elección del titular del dato. El usuario debe poder navegar el sitio aunque rechace las cookies no esenciales.

Matiz: existen debates internacionales sobre si un muro de cookies es aceptable cuando se ofrece una alternativa genuina (por ejemplo, una suscripción de pago). En Perú, la postura más segura es no implementarlos.

3. Botón de «rechazar» oculto o difícil de encontrar

❌ Prohibido: diseñar el banner de cookies de forma que la opción de aceptar sea un botón grande y colorido, mientras que la opción de rechazar sea un texto pequeño, gris, escondido en una esquina o accesible solo después de varios clics.

La opción de rechazar las cookies no esenciales debe ser tan accesible y visible como la de aceptarlas. Misma jerarquía visual.

4. Cookies activadas antes del consentimiento

❌ Prohibido: cargar cookies analíticas o publicitarias antes de que el usuario interactúe con el banner. Los scripts de Google Analytics, Meta Pixel o cualquier otra herramienta de tracking deben dispararse solo después de que el usuario haya dado su consentimiento.

Esto requiere configuración técnica: los scripts no pueden estar en el <head> del HTML cargándose automáticamente. Deben activarse condicionalmente mediante el sistema de gestión de consentimiento.

5. Casillas premarcadas

❌ Prohibido: si ofreces opciones granulares (aceptar analíticas sí/no, aceptar publicitarias sí/no), las casillas deben estar desmarcadas por defecto. El usuario las marca activamente para aceptar.

---

Cómo implementar un banner de cookies legal

Elementos obligatorios del banner (primera capa)

El banner es lo primero que ve el usuario. Debe ser claro, directo y funcional:

Elemento	Qué debe decir/hacer
Información básica	«Este sitio web utiliza cookies» + breve explicación de para qué
Enlace a la política de cookies	Link directo al documento completo
Botón de aceptar	«Aceptar todas» o equivalente
Botón de rechazar	«Rechazar no esenciales» o equivalente — mismo nivel visual que aceptar
Opción de configurar	«Configurar preferencias» que abra un panel con opciones granulares

Panel de configuración (segunda capa)

Al hacer clic en «Configurar preferencias», el usuario debe ver:

Elemento	Detalle
Categorías de cookies	Listado por tipo: necesarias, funcionales, analíticas, publicitarias
Descripción de cada categoría	Qué hacen y para qué se usan, en lenguaje claro
Toggle o checkbox por categoría	Activar/desactivar cada tipo individualmente
Cookies necesarias	Marcadas y no desactivables (pero explicando por qué son esenciales)
Todas las demás	Desactivadas por defecto, el usuario las activa si quiere
Botón de guardar	«Guardar mis preferencias»

Comportamiento técnico del banner

Regla	Implementación
Las cookies no esenciales no se cargan hasta que el usuario acepta	Los scripts de analytics y ads se disparan condicionalmente
La elección del usuario se guarda	Mediante una cookie técnica de consentimiento (esta sí es necesaria y no requiere permiso)
El banner no reaparece en cada visita	Una vez que el usuario eligió, se respeta su decisión. El banner solo reaparece si la cookie de consentimiento expira o si cambiaron las cookies del sitio
El usuario puede cambiar su elección	Un enlace permanente (footer o política de cookies) permite reabrir el panel de configuración en cualquier momento

---

La política de cookies: qué debe contener

Además del banner, necesitas un documento de política de cookies accesible en tu web. Puede ser una página independiente o una sección dentro de tu política de privacidad.

Contenido mínimo

1. ¿Qué son las cookies?
   → Explicación sencilla en lenguaje no técnico

2. ¿Qué cookies usamos?
   → Tabla con TODAS las cookies de tu sitio:
     - Nombre de la cookie
     - Proveedor (propio o de terceros)
     - Finalidad
     - Tipo (necesaria, funcional, analítica, publicitaria)
     - Duración (sesión o persistente, con tiempo)

3. ¿Cómo gestionar tus preferencias?
   → Explicar cómo cambiar la configuración desde el banner
   → Explicar cómo desactivar cookies desde el navegador

4. Cookies de terceros
   → Identificar qué terceros instalan cookies en tu web
   → Enlazar a sus respectivas políticas de privacidad

5. Actualización de esta política
   → Fecha de última modificación
   → Cómo se notifican cambios

Ejemplo de tabla de cookies

Cookie	Proveedor	Finalidad	Tipo	Duración
PHPSESSID	Propio	Mantener la sesión activa del usuario	Necesaria	Sesión
cookieconsent_status	Propio	Guardar la preferencia de cookies del usuario	Necesaria	12 meses
_ga	Google Analytics	Distinguir usuarios únicos para medir tráfico	Analítica	2 años
_gid	Google Analytics	Distinguir usuarios durante 24 horas	Analítica	24 horas
_fbp	Meta (Facebook)	Identificar navegadores para publicidad dirigida	Publicitaria	3 meses
fr	Meta (Facebook)	Servir anuncios relevantes y medir conversiones	Publicitaria	3 meses

Cada sitio web tiene cookies diferentes. Esta tabla es un ejemplo. Debes auditar tu propio sitio para identificar todas las cookies que instala — incluyendo las que instalan los plugins, temas o scripts de terceros que tengas integrados.

---

Herramientas para implementar el banner en WordPress

Si tu sitio está en WordPress, estos plugins te ayudan a gestionar el consentimiento de cookies:

Plugin	Qué hace	Consideración
Complianz	Banner configurable, bloqueo de scripts antes del consentimiento, escaneo de cookies	Versión gratuita funcional, premium con más control
CookieYes	Banner con opciones granulares, registro de consentimiento	Interfaz sencilla, buena para sitios pequeños
FLAVOR (WP Cookie Consent)	Configurable por categoría, bloqueo de scripts	Opción gratuita con funcionalidades básicas

Advertencia importante: instalar un plugin no es suficiente para cumplir la ley. Debes:

1. Configurar el bloqueo de scripts: el plugin debe impedir que Google Analytics, Meta Pixel y cualquier cookie no esencial se cargue antes del consentimiento. Muchos plugins necesitan configuración manual para esto.
2. Auditar las cookies reales: el escaneo del plugin puede no detectar todas las cookies. Verifica manualmente usando las herramientas de desarrollador del navegador (DevTools → Application → Cookies).
3. Redactar tu propia política de cookies: los textos genéricos del plugin no cubren las particularidades de tu sitio ni cumplen todos los requisitos de la Ley 29733.
4. Diseñar el banner correctamente: asegurarte de que el botón de rechazar tenga la misma visibilidad que el de aceptar.

---

Errores comunes en sitios web peruanos

1. Banner solo informativo sin opción real

Muchos sitios peruanos tienen un banner que dice «Usamos cookies para mejorar tu experiencia» con un solo botón de «Aceptar» y ninguna opción de rechazar o configurar. Esto no cumple la ley.

2. Google Analytics cargando antes del consentimiento

Es el error técnico más frecuente. El script de GA está en el <head> del HTML y se ejecuta inmediatamente al cargar la página, antes de que el usuario interactúe con el banner. La cookie _ga ya se instaló — el consentimiento posterior es irrelevante.

3. Meta Pixel sin consentimiento

El mismo problema que con Analytics, pero agravado porque Meta Pixel es una cookie publicitaria que requiere consentimiento explícito y previo. Muchos sitios lo tienen activo por defecto para «no perder datos de conversión».

4. No listar las cookies reales del sitio

La política de cookies dice genéricamente «usamos cookies analíticas y publicitarias» sin identificar cuáles son, de quién son, cuánto duran ni para qué sirve cada una.

5. Cookie wall disfrazado

«Para acceder a este contenido exclusivo, acepta nuestras cookies.» Si el contenido no es verdaderamente premium con alternativa de pago, esto es un muro de cookies encubierto.

6. Cambiar la configuración es imposible

El usuario aceptó las cookies al principio pero ahora quiere revocar su consentimiento. No hay forma de hacerlo: el banner no reaparece, no hay enlace en el footer, la política de cookies no explica cómo cambiar la configuración.

---

Preguntas frecuentes

¿Si mi web solo usa cookies necesarias, necesito banner?

No necesitas pedir consentimiento, pero sí necesitas informar. Una política de cookies accesible que explique qué cookies técnicas usas es suficiente. El banner con opciones de aceptar/rechazar solo es necesario cuando hay cookies que requieren consentimiento.

¿Google Analytics 4 está exento por «anonimizar» datos?

No automáticamente. GA4 tiene configuraciones de anonimización más avanzadas que Universal Analytics, pero en su configuración por defecto sigue recopilando datos que permiten perfilar usuarios. Para argumentar exención necesitarías demostrar anonimización total y uso estrictamente estadístico interno. La recomendación segura es pedir consentimiento.

¿Puedo usar Matomo como alternativa sin consentimiento?

Matomo (antes Piwik) permite configuración de primera parte con anonimización completa de IP y sin compartir datos con terceros. En esa configuración específica, algunos doctrinarios argumentan que podría eximirse de consentimiento. Pero en Perú no hay una resolución expresa de la ANPD que confirme esta exención. La postura segura sigue siendo pedir consentimiento.

¿Cuánto tiempo dura el consentimiento de cookies?

No hay un plazo legal específico en Perú. La práctica internacional recomendada es 12 meses. Después de ese período, el banner debería reaparecer para que el usuario confirme o cambie su elección. Configura tu plugin de cookies para que la cookie de consentimiento expire en ese plazo.

¿La política de cookies es lo mismo que la política de privacidad?

No. Son documentos distintos con finalidades diferentes. La política de cookies se enfoca específicamente en las tecnologías de rastreo. Puede ser un documento separado o una sección dentro de la política de privacidad, pero su contenido no puede omitirse ni fusionarse de forma que pierda especificidad.

¿Qué pasa si no cumplo con la regulación de cookies?

Las cookies que son datos personales están protegidas por la Ley 29733. El incumplimiento se sanciona como infracción a esta ley. Dependiendo de la gravedad, las multas van de 0.5 UIT (S/ 2,750) a 100 UIT (S/ 550,000) en 2026.

---

Referencias legales

• Ley N° 29733 — Ley de Protección de Datos Personales. Base legal para la regulación de cookies como datos personales.
• Opinión Consultiva N° 02-2022-JUS/DGTAIPD — Interpretación oficial de la ANPD sobre cookies, identificadores en línea y datos personales en entornos digitales.
• Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
• Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador.

---

Este artículo es informativo y no constituye asesoría legal. Para implementar una política de cookies conforme a la legislación peruana, consulta con un abogado especializado en protección de datos y un desarrollador web que configure correctamente el bloqueo de scripts.

Última actualización: septiembre 2026 Base legal: Ley N° 29733, Decreto Supremo N° 301-2025-EF (UIT 2026) Aplica a: toda persona natural o jurídica que recopile, almacene o trate datos personales de usuarios en territorio peruano.

Incumplir la Ley de Protección de Datos Personales en Perú no es un riesgo abstracto. La Autoridad Nacional de Protección de Datos Personales (ANPD) tiene potestad sancionadora real, actúa de oficio y las multas se calculan en base a la UIT, que en 2026 subió a S/ 5,500.

Una sola infracción «muy grave» puede costar hasta S/ 550,000 — más que la facturación anual de muchas pequeñas empresas.

Aquí detallamos quién sanciona, por qué motivos, cuánto cuestan las multas y cómo protegerte.

---

¿Quién sanciona?

La Autoridad Nacional de Protección de Datos Personales (ANPD), que depende de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

La ANPD tiene dos vías para iniciar procedimientos sancionadores:

Vía	Cómo funciona
De parte	Un usuario presenta una denuncia porque la empresa vulneró sus derechos (no atendió una solicitud ARCO, usó sus datos sin consentimiento, etc.)
De oficio	La ANPD detecta la infracción por cuenta propia, sin necesidad de denuncia. Puede hacerlo mediante inspecciones, monitoreo de sitios web o cruces de información con otras entidades.

Dato clave: la ANPD no necesita que un usuario se queje para multarte. Si detecta que tu web no tiene política de privacidad, que operas sin registro de bancos de datos o que tuviste una filtración que no reportaste, puede abrir procedimiento por su cuenta.

---

Clasificación de infracciones

La Ley 29733 y su Reglamento clasifican las infracciones en tres niveles de gravedad. Cada nivel tiene un rango de multas distinto.

Infracciones leves

Son incumplimientos menores que no generan un daño directo significativo al titular de los datos, pero evidencian falta de diligencia.

Conducta	Ejemplo en un sitio web
No mantener actualizada la política de privacidad	Cambiaste de pasarela de pago hace 6 meses y la política sigue mencionando a la anterior
Demora en atender solicitudes ARCO sin perjuicio grave	Un usuario pidió acceso a sus datos y respondiste fuera de plazo, pero sin consecuencias adicionales
Deficiencias formales en el registro de bancos de datos	Registraste el banco pero con información incompleta o desactualizada

Infracciones graves

Incumplimientos que afectan directamente los derechos de los titulares o evidencian negligencia significativa en la gestión de datos.

Conducta	Ejemplo en un sitio web
Tratar datos sin consentimiento válido	Checkboxes premarcados, consentimiento por inacción, no informar las finalidades
No registrar bancos de datos ante la ANPD	Operar una tienda online con base de clientes sin haber inscrito el banco
No atender solicitudes ARCO	Ignorar completamente la solicitud de un usuario que pide eliminar sus datos
Recopilar datos para finalidades no declaradas	Tu política dice «para procesar pedidos» pero usas los datos para campañas de remarketing sin consentimiento
No informar sobre el flujo transfronterizo	Usas AWS y Mailchimp pero no lo declaras en tu política de privacidad

Infracciones muy graves

Las más severas. Involucran daño real o potencial significativo a los derechos de los titulares, negligencia grave en seguridad o tratamiento ilícito de datos sensibles.

Conducta	Ejemplo en un sitio web
Filtración masiva de datos por falta de medidas de seguridad	Tu base de datos de clientes fue hackeada porque no tenías cifrado ni controles de acceso
No notificar una brecha de seguridad en 48 horas	Detectas el hackeo pero no reportas a la ANPD dentro del plazo legal
Tratamiento ilícito de datos sensibles	Recopilar datos de salud, biometría u opiniones políticas sin base legal ni consentimiento explícito
Transferencia internacional de datos sin garantías	Enviar datos personales a un país sin nivel de protección adecuado y sin cláusulas contractuales de resguardo
Obstruir la labor fiscalizadora de la ANPD	Negarse a entregar información, no colaborar con una inspección o destruir evidencia

---

Tabla de multas 2026

El valor de la UIT para el año fiscal 2026 fue fijado en S/ 5,500 por el Decreto Supremo N° 301-2025-EF, un incremento de S/ 150 respecto al año anterior. Todas las multas se actualizan automáticamente con este nuevo valor.

Tipo de infracción	Rango en UIT	Rango en soles (2026)
Leve	0.5 a 5 UIT	S/ 2,750 — S/ 27,500
Grave	5 a 50 UIT	S/ 27,500 — S/ 275,000
Muy grave	50 a 100 UIT	S/ 275,000 — S/ 550,000

Para ponerlo en perspectiva

Multa máxima	Equivalente aproximado
Infracción leve (5 UIT)	S/ 27,500 → el costo de un auto usado
Infracción grave (50 UIT)	S/ 275,000 → el costo de un departamento pequeño en Lima
Infracción muy grave (100 UIT)	S/ 550,000 → puede superar la facturación anual de una pyme

Las multas son por infracción, no por empresa. Si la ANPD detecta que no registraste tu banco de datos (infracción grave) Y que no tienes política de privacidad (infracción leve) Y que tuviste una filtración no reportada (infracción muy grave), cada una se sanciona por separado. Los montos se acumulan.

---

Factores que determinan el monto de la multa

La ANPD no aplica automáticamente el máximo. Evalúa cada caso considerando factores atenuantes y agravantes:

Factores que pueden reducir la multa

Factor	Ejemplo
Subsanación voluntaria	Corregiste la infracción antes de que la ANPD inicie el procedimiento
Colaboración	Proporcionaste información completa y oportuna durante la investigación
Ausencia de daño real	Los datos filtrados no fueron explotados o el número de afectados fue mínimo
Primera infracción	No tienes antecedentes sancionadores ante la ANPD
Capacidad económica	Eres una microempresa con facturación limitada (se aplica proporcionalidad)

Factores que pueden aumentar la multa

Factor	Ejemplo
Reincidencia	Ya fuiste sancionado anteriormente por la ANPD
Intencionalidad	Sabías que estabas incumpliendo y decidiste no corregir
Volumen de afectados	La filtración comprometió datos de miles o millones de usuarios
Datos sensibles involucrados	Se filtraron datos de salud, biometría, orientación sexual o información financiera
Beneficio económico obtenido	Lucraste con los datos tratados ilícitamente (venta de bases de datos, publicidad no consentida)
Obstrucción	No colaboraste con la investigación o intentaste ocultar evidencia

---

Las infracciones más comunes en sitios web peruanos

Basándonos en las resoluciones publicadas por la ANPD, estos son los motivos de sanción más frecuentes en el entorno digital:

1. No tener bancos de datos registrados

Frecuencia: muy alta Gravedad: grave (5-50 UIT)

Es la infracción más fácil de detectar y la más fácil de evitar. Si tu web recopila datos de clientes, suscriptores o usuarios y no has inscrito el banco de datos ante la ANPD, estás en infracción. No importa si nunca has tenido un problema con los datos — la falta de registro es una infracción autónoma.

2. Consentimiento inválido

Frecuencia: alta Gravedad: grave (5-50 UIT)

Casillas premarcadas, políticas de privacidad genéricas copiadas de otros sitios, consentimiento implícito por navegación, no diferenciar entre finalidades operativas y comerciales. Todo esto invalida el consentimiento y, sin consentimiento válido, todo el tratamiento de datos es ilícito.

3. No atender solicitudes ARCO

Frecuencia: media-alta Gravedad: grave (5-50 UIT)

Un usuario pide que borren su cuenta y sus datos, y la empresa no responde o responde fuera de plazo. El usuario denuncia ante la ANPD y se abre procedimiento sancionador.

4. Filtración de datos sin notificación

Frecuencia: creciente Gravedad: muy grave (50-100 UIT)

Cada vez más sitios web peruanos sufren hackeos o exposiciones de bases de datos. El problema no es solo la filtración (que ya es una infracción por falta de medidas de seguridad) sino no reportarla a la ANPD dentro de las 48 horas. Muchas empresas intentan ocultar el incidente, lo que agrava enormemente la sanción.

5. Flujo transfronterizo no declarado

Frecuencia: muy alta (pero poco fiscalizada aún) Gravedad: grave a muy grave (5-100 UIT)

Prácticamente todo sitio web peruano que usa hosting internacional, Google Analytics, Mailchimp o cualquier SaaS en la nube está transfiriendo datos fuera del país. La mayoría no lo declara en su política de privacidad. Hasta ahora la ANPD ha enfocado su fiscalización en otros frentes, pero a medida que madura la regulación, este rubro será cada vez más fiscalizado.

---

Otras consecuencias más allá de la multa

La sanción económica no es lo único que está en juego:

Consecuencia	Impacto
Medidas correctivas	La ANPD puede ordenar la eliminación de la base de datos, el cese del tratamiento o la modificación de los procedimientos. Cumplir estas órdenes tiene un costo operativo propio.
Inscripción en el registro de infractores	La resolución sancionadora es pública. Clientes, socios y competidores pueden verla.
Daño reputacional	En un mercado donde la confianza digital aún se está construyendo, una sanción por mal manejo de datos puede ser más costosa comercialmente que la propia multa.
Responsabilidad civil	Los usuarios afectados pueden demandar por daños y perjuicios en la vía judicial, independientemente de la sanción administrativa.
Efecto cascada	Una filtración de datos puede desencadenar fiscalizaciones simultáneas de la ANPD, Indecopi (si afectó consumidores) y SUNAT (si comprometió datos tributarios).

---

Cómo protegerte: las medidas que la ANPD valora

La ANPD no espera perfección. Espera diligencia demostrable. Estas son las medidas que, en la práctica, reducen tu exposición a sanciones y atenúan las multas si algo sale mal:

Medidas técnicas

Medida	Prioridad
Certificado SSL/TLS (HTTPS) en todo el sitio	Básica — no negociable
Cifrado de base de datos (especialmente contraseñas con hash + salt)	Alta
Controles de acceso por roles (no todo empleado accede a todos los datos)	Alta
Backups cifrados con frecuencia regular	Alta
Logs de acceso a datos personales	Media
Firewall de aplicación web (WAF)	Recomendable
Monitoreo de intrusiones	Recomendable

Medidas organizativas

Medida	Prioridad
Política de privacidad completa, actualizada y accesible	Básica — no negociable
Registro de bancos de datos ante la ANPD	Básica — no negociable
Canal ARCO funcional (email dedicado o formulario)	Alta
Protocolo documentado de respuesta ante brechas de seguridad	Alta
Capacitación básica al equipo sobre manejo de datos personales	Media
Evaluación periódica de proveedores y encargados del tratamiento	Media
Designación de un responsable interno de datos personales	Recomendable

Medidas legales

Medida	Prioridad
Consentimiento implementado correctamente (checkbox vacío, finalidades separadas)	Básica — no negociable
Contratos con encargados del tratamiento (hosting, email marketing, pasarela de pago)	Alta
Cláusulas de protección de datos en flujos transfronterizos	Alta
Política de cookies con banner y opciones granulares	Alta
Política de retención de datos con plazos definidos	Media

---

Comparativa: multas ANPD vs. otras sanciones digitales en Perú

Para dimensionar el riesgo, esta tabla compara las multas por datos personales con otras sanciones comunes en el entorno digital peruano:

Infracción	Autoridad	Multa máxima 2026
Filtración de datos personales (muy grave)	ANPD	S/ 550,000 (100 UIT)
No tener Libro de Reclamaciones Virtual	Indecopi	S/ 2,475,000 (450 UIT)
Publicidad engañosa (grave)	Indecopi	Variable, hasta millones según afectación
Influencer sin etiquetar publicidad	Indecopi	Hasta S/ 250,000+
Incumplimiento laboral en plataformas digitales	SUNAFIL	Variable según infracción

La ANPD tiene topes de multa más bajos que Indecopi, pero compensa con la capacidad de actuar de oficio y con el hecho de que las infracciones de datos personales suelen ser múltiples y acumulables.

---

Preguntas frecuentes

¿Las multas aplican igual a una microempresa que a una corporación?

La ANPD debe considerar la capacidad económica del infractor al determinar el monto (principio de proporcionalidad). En la práctica, una microempresa recibirá multas en el rango bajo de cada categoría, pero no está exenta. La infracción existe independientemente del tamaño.

¿Me pueden multar si nunca he tenido un reclamo de un usuario?

Sí. La ANPD actúa de oficio. No tener bancos de datos registrados, no tener política de privacidad o tener consentimiento mal implementado son infracciones que existen sin necesidad de que un usuario se queje.

¿Puedo apelar una multa de la ANPD?

Sí. Puedes interponer recurso de reconsideración ante la propia ANPD y, posteriormente, recurso de apelación ante el Tribunal de Transparencia, Acceso a la Información Pública y Protección de Datos Personales. También puedes acudir a la vía judicial contencioso-administrativa.

¿Hay prescripción?

Las infracciones prescriben, pero los plazos varían según la gravedad. Mientras la ANPD no inicie el procedimiento sancionador y la infracción persista (por ejemplo, sigues operando sin registro de bancos de datos), el plazo de prescripción no corre.

¿Qué pasa si corrijo todo antes de que me multen?

La subsanación voluntaria es un atenuante importante. Si corriges la infracción antes de que la ANPD inicie el procedimiento, reduces significativamente la multa o incluso puedes evitarla en infracciones leves. Pero no elimina la infracción ya cometida.

¿La UIT cambia cada año?

Sí. El Ministerio de Economía y Finanzas fija el valor de la UIT anualmente mediante Decreto Supremo. En 2026 es S/ 5,500. En años anteriores fue menor. Las multas se calculan con la UIT vigente al momento de la resolución sancionadora, no al momento de la infracción.

---

Referencias legales

• Ley N° 29733 — Ley de Protección de Datos Personales. Establece el régimen de infracciones y sanciones.
• Reglamento de la Ley 29733 — Detalla los procedimientos sancionadores y criterios de graduación de multas.
• Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT para el año fiscal 2026 en S/ 5,500.
• Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador y sancionador, dependiente del Ministerio de Justicia y Derechos Humanos.

---

Este artículo es informativo y no constituye asesoría legal. Para evaluar tu nivel de cumplimiento y mitigar riesgos sancionatorios, consulta con un abogado especializado en protección de datos personales.

Última actualización: septiembre 2026 Base legal: Ley N° 29733 — Ley de Protección de Datos Personales y su Reglamento Aplica a: todo sitio web que recopile datos personales de usuarios en territorio peruano, sin importar dónde esté registrada la empresa.

La política de privacidad no es un texto decorativo que se copia de otra web y se pega en el footer. En Perú, es un documento legal obligatorio cuyo contenido está regulado por la Ley 29733. Si la tuya no cumple con los requisitos mínimos, el consentimiento que obtienes de tus usuarios puede ser considerado inválido — y sin consentimiento válido, todo el tratamiento de datos que hace tu web es ilegal.

Aquí explicamos exactamente qué debe contener, cómo redactarla y qué errores evitar.

---

¿Es obligatoria la política de privacidad?

Sí, para cualquier sitio web que recopile datos personales de usuarios peruanos. Esto incluye webs con:

• Formularios de contacto
• Registro de usuarios o creación de cuentas
• Pasarelas de pago
• Suscripción a newsletter o boletines
• Sistemas de comentarios
• Chat en vivo o chatbots
• Cookies de rastreo (Google Analytics, Meta Pixel, etc.)

Si tu web tiene al menos uno de estos elementos, necesitas una política de privacidad que cumpla con la Ley 29733.

No tenerla o tenerla incompleta es una infracción que la Autoridad Nacional de Protección de Datos Personales (ANPD) puede sancionar de oficio, sin necesidad de que un usuario presente una queja.

---

Contenido mínimo obligatorio

La Ley 29733 y su Reglamento establecen los elementos que toda política de privacidad debe incluir. No son opcionales ni negociables. Si falta alguno, tu política no cumple.

1. Identidad y domicilio del responsable del tratamiento

El usuario debe saber exactamente quién está detrás del sitio web y recopila sus datos.

Dato	Qué incluir
Razón social o nombre	Nombre completo de la empresa o persona natural titular del sitio
RUC	Número de registro único de contribuyente
Domicilio legal	Dirección fiscal completa
Datos de contacto	Email y/o teléfono donde el usuario pueda comunicarse para temas de privacidad

No basta con poner «Empresa X». Debe ser la identificación completa que permita al usuario saber con quién está compartiendo sus datos y cómo contactarlo.

2. Finalidades exactas de la recopilación

Aquí es donde la mayoría de políticas de privacidad peruanas fallan. La ley exige que las finalidades sean específicas y diferenciadas, no genéricas.

❌ Incorrecto (genérico)	✅ Correcto (específico)
«Para mejorar nuestros servicios»	«Para procesar su pedido y gestionar el envío del producto adquirido»
«Para fines comerciales»	«Para enviarle ofertas y promociones por correo electrónico, previa aceptación»
«Para uso interno»	«Para generar estadísticas agregadas de navegación mediante Google Analytics»
«Para compartir con terceros»	«Para procesar el pago de su compra a través de la pasarela Culqi, ubicada en Perú»

Además, debes separar claramente las finalidades operativas esenciales (necesarias para prestar el servicio) de las finalidades de prospección comercial (publicidad, marketing, perfilamiento). El usuario debe poder aceptar las primeras y rechazar las segundas sin perder acceso al servicio.

3. Tipo de datos que recopilas

Detalla qué categorías de datos recopilas. Sé específico:

• Datos identificativos (nombre, apellido, DNI)
• Datos de contacto (email, teléfono, dirección)
• Datos económicos (número de tarjeta, historial de compras)
• Datos de navegación (IP, cookies, páginas visitadas)
• Datos sensibles si aplica (salud, biometría — requieren tratamiento especial)

4. Tiempo de conservación de los datos

El usuario tiene derecho a saber cuánto tiempo guardarás sus datos. La ley exige que los datos no se conserven más allá de lo necesario para cumplir la finalidad para la que fueron recopilados.

Tipo de dato	Tiempo de conservación sugerido	Base
Datos de clientes con compras	Mientras dure la relación comercial + plazo legal tributario (4 años mínimo para SUNAT)	Obligación tributaria
Datos de suscriptores de newsletter	Hasta que el usuario se dé de baja	Consentimiento revocable
Datos de formulario de contacto	Máximo 12 meses si no se concreta relación comercial	Proporcionalidad
Datos del Libro de Reclamaciones	2 años mínimo	Obligación legal (Código del Consumidor)
Registros de acceso y logs	Según política de seguridad interna	Principio de seguridad

No pongas «indefinidamente». La ANPD considera que conservar datos sin límite temporal definido viola el principio de proporcionalidad.

5. Terceros destinatarios de los datos

Si compartes datos de tus usuarios con otras empresas o servicios, debes declararlo. Esto incluye a todos tus proveedores tecnológicos que procesan datos en tu nombre.

La ley distingue entre:

• Encargados del tratamiento: procesan datos por tu cuenta y bajo tus instrucciones (tu hosting, tu pasarela de pago, tu plataforma de email marketing).
• Terceros destinatarios: reciben datos para sus propias finalidades (un socio comercial al que le pasas leads).

Para cada tercero, declara:

Información	Ejemplo
Quién es	«Culqi S.A.C., procesador de pagos»
Para qué recibe los datos	«Para procesar el cobro de las compras realizadas en nuestra tienda»
Dónde está ubicado	«Lima, Perú» (o «San Francisco, Estados Unidos» si es extranjero)

6. Flujo transfronterizo de datos

Si alguno de tus terceros está fuera del Perú — y en la práctica casi siempre lo está — debes declarar expresamente la transferencia internacional de datos personales.

Servicios comunes que implican flujo transfronterizo:

Servicio	Ubicación habitual
Amazon Web Services (AWS)	Estados Unidos
Google Cloud / Google Analytics	Estados Unidos
Mailchimp / Brevo	Estados Unidos
Stripe / PayPal	Estados Unidos
HubSpot / Salesforce	Estados Unidos
Cloudflare	Estados Unidos
Meta (Facebook Pixel)	Estados Unidos

En tu política debes indicar que los datos pueden ser transferidos y procesados fuera del Perú, identificando los países de destino y las garantías de protección aplicables.

7. Derechos del titular (Derechos ARCO)

Tu política debe informar al usuario que tiene los siguientes derechos y cómo ejercerlos:

Derecho	Descripción breve
Acceso	Saber qué datos suyos tienes y cómo los usas
Rectificación	Corregir datos inexactos o incompletos
Cancelación	Solicitar la eliminación de sus datos
Oposición	Negarse al tratamiento para finalidades específicas

Incluye el canal de atención: una dirección de email dedicada (ejemplo: privacidad@tuempresa.pe) o un formulario específico, y el plazo en que responderás la solicitud.

8. Medidas de seguridad

Describe de forma general las medidas que implementas para proteger los datos. No necesitas revelar detalles técnicos que comprometan tu seguridad, pero sí indicar que existen controles:

• Cifrado de datos en tránsito (SSL/TLS)
• Cifrado de datos almacenados
• Controles de acceso restringido
• Copias de seguridad periódicas
• Protocolo de respuesta ante incidentes

---

Cómo debe estar redactada

La Ley 29733 exige que la política se redacte en lenguaje claro y comprensible, libre de tecnicismos jurídicos innecesarios que impidan al usuario promedio entender qué se hace con sus datos.

Principios de redacción

Principio	Qué hacer	Qué evitar
Claridad	Frases cortas y directas	Párrafos de 10 líneas con subordinadas
Accesibilidad	Vocabulario que un usuario sin formación legal entienda	«El titular del dato cede irrevocablemente los derechos patrimoniales inherentes…»
Especificidad	«Usamos su email para enviarle el comprobante de pago»	«Sus datos podrán ser utilizados para diversos fines»
Estructura	Secciones con títulos claros, tablas, listas	Bloque de texto corrido sin separaciones
Idioma	En español (el idioma del usuario peruano promedio)	Solo en inglés o con términos legales en latín sin traducción

Regla práctica: si un usuario de 18 años que acaba de hacer su primera compra online no puede entender tu política de privacidad leyéndola una vez, está mal redactada.

---

Dónde ubicarla en tu sitio web

La política de privacidad debe ser fácilmente accesible desde cualquier página del sitio. Los estándares aceptados son:

Ubicación	Prioridad
Footer (pie de página)	Obligatorio — enlace permanente visible en todas las páginas
Formularios de registro/compra	Obligatorio — enlace directo antes del botón de envío, junto al checkbox de consentimiento
Banner de cookies	Recomendado — enlace a la política de privacidad y/o a la política de cookies
Página dedicada (/privacidad o /politica-de-privacidad)	Obligatorio — URL propia, indexable, con fecha de última actualización

Importante: la política no debe estar oculta detrás de múltiples clics o en una sección que el usuario no encontraría naturalmente. La ANPD evalúa la accesibilidad real del documento, no solo su existencia.

---

Errores comunes que cometen los sitios web peruanos

1. Copiar la política de otro sitio

La política de privacidad debe ser personalizada para tu negocio. Una política copiada de otra web probablemente no refleja tus finalidades reales, tus terceros reales ni tus medidas de seguridad reales. Ante una fiscalización, la ANPD detecta inmediatamente las inconsistencias.

2. No declarar los terceros reales

Si usas Mailchimp para tu newsletter pero tu política dice que «no compartimos datos con terceros», estás mintiendo en un documento legal. Mailchimp procesa datos de tus usuarios en Estados Unidos — eso es un flujo transfronterizo no declarado.

3. Poner «esta política puede cambiar en cualquier momento sin previo aviso»

Los cambios en la política de privacidad que amplíen las finalidades del tratamiento o agreguen nuevos destinatarios requieren nuevo consentimiento del usuario. No puedes modificar unilateralmente los términos bajo los cuales el usuario te dio sus datos.

4. No incluir fecha de última actualización

El usuario debe poder saber cuándo fue la última vez que se modificó la política. Incluye siempre la fecha visible al inicio o al final del documento.

5. Usar solo la política de privacidad como política de cookies

Son documentos distintos. La política de cookies tiene requisitos específicos (tipología de cookies, opciones granulares, banner de primera capa). Puede estar integrada como sección dentro de la política de privacidad o ser un documento separado, pero su contenido no puede omitirse.

6. No actualizarla cuando cambian las herramientas

Si migraste de Mailchimp a Brevo, cambiaste de hosting o integraste un nuevo chatbot, tu política debe reflejar esos cambios. Una política desactualizada es una política que no cumple.

---

Modelo de estructura para tu política de privacidad

Esta es la estructura mínima que debería tener tu documento:

1. ¿Quiénes somos?
   → Razón social, RUC, domicilio, datos de contacto

2. ¿Qué datos recopilamos?
   → Categorías de datos personales (identificativos, contacto, económicos, navegación)

3. ¿Para qué usamos sus datos?
   → Finalidades operativas (tabla)
   → Finalidades comerciales opcionales (tabla)

4. ¿Con quién compartimos sus datos?
   → Lista de encargados del tratamiento y terceros destinatarios
   → País de ubicación de cada uno

5. Transferencia internacional de datos
   → Declaración de flujo transfronterizo
   → Países de destino y garantías

6. ¿Cuánto tiempo conservamos sus datos?
   → Plazos por tipo de dato

7. ¿Cómo protegemos sus datos?
   → Medidas de seguridad implementadas

8. Sus derechos (ARCO)
   → Acceso, Rectificación, Cancelación, Oposición
   → Canal de atención y plazo de respuesta

9. Cookies
   → Enlace a la política de cookies o sección dedicada

10. Cambios en esta política
    → Procedimiento de notificación ante modificaciones

11. Contacto
    → Email dedicado para temas de privacidad

Fecha de última actualización: [fecha]

---

Preguntas frecuentes

¿Puedo tener la política solo en inglés?

Si tu sitio web está dirigido a usuarios peruanos, la política debe estar en español. Puedes tener una versión bilingüe, pero la versión en español es la que tiene validez legal ante la ANPD.

¿Necesito que un abogado la redacte?

No es un requisito legal, pero sí es altamente recomendable. Una política mal redactada puede invalidar el consentimiento de tus usuarios y exponerte a sanciones. Como mínimo, haz que un abogado revise tu borrador antes de publicarla.

¿Cada cuánto debo actualizarla?

No hay un plazo fijo. Actualízala cada vez que cambies de herramientas (hosting, email marketing, pasarela de pago), agregues nuevas funcionalidades que recopilen datos, modifiques las finalidades del tratamiento o cambien las leyes aplicables.

¿Los generadores automáticos de políticas de privacidad sirven?

Son un punto de partida, pero no son suficientes. Los generadores producen textos genéricos que no reflejan las particularidades de tu negocio, tus herramientas reales ni el marco legal peruano específico. Úsalos como base y personaliza todo.

¿Qué pasa si tengo una web informativa sin formularios pero con Google Analytics?

Necesitas política de privacidad y política de cookies. Google Analytics recopila datos de navegación (IP, comportamiento, dispositivo) que son datos personales según la interpretación de la ANPD. El hecho de no tener formularios no te exime si usas herramientas de tracking.

¿La política de privacidad de mi e-commerce también cubre la app móvil?

Puede ser la misma política si ambas plataformas recopilan los mismos datos para las mismas finalidades. Pero si la app recopila datos adicionales (geolocalización, acceso a cámara, contactos), la política debe reflejar esas diferencias. Muchas empresas optan por tener una política unificada con secciones específicas para web y para app.

---

Referencias legales

• Ley N° 29733 — Ley de Protección de Datos Personales. Establece los principios de consentimiento, finalidad, proporcionalidad y seguridad.
• Reglamento de la Ley 29733 — Detalla los requisitos del consentimiento informado y el contenido mínimo de la información al titular.
• Opinión Consultiva N° 02-2022-JUS/DGTAIPD — Criterios de la ANPD sobre cookies, identificadores en línea y datos personales en entornos digitales.
• Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador del cumplimiento de la Ley 29733.

---

Este artículo es informativo y no constituye asesoría legal. Para redactar la política de privacidad de tu sitio web conforme a la legislación peruana, consulta con un abogado especializado en protección de datos personales.

Última actualización: septiembre 2026 Base legal: Ley N° 29733 y su Reglamento Aplica a: toda persona natural o jurídica que recopile, almacene o use datos personales de usuarios peruanos a través de un sitio web, aplicación o plataforma digital.

Si tu página web tiene un formulario de contacto, una pasarela de pago, un sistema de registro, una suscripción a newsletter o incluso una sección de comentarios, estás recopilando datos personales. Y en Perú, eso te convierte en responsable del tratamiento bajo la Ley 29733.

Esta guía explica qué exige la ley, qué debes implementar en tu sitio web y qué consecuencias tiene no cumplir.

---

¿Qué es la Ley 29733?

La Ley N° 29733 es la Ley de Protección de Datos Personales del Perú. Regula cómo las empresas y entidades recopilan, almacenan, usan, transfieren y eliminan los datos personales de las personas.

Su objetivo es garantizar el derecho fundamental a la privacidad y evitar que los datos de los ciudadanos peruanos sean utilizados de forma abusiva, negligente o sin su conocimiento.

La ley se complementa con su Reglamento y es fiscalizada por la Autoridad Nacional de Protección de Datos Personales (ANPD), que depende del Ministerio de Justicia y Derechos Humanos.

Marco normativo completo

Norma	Función
Ley N° 29733	Marco general: principios, derechos del titular, obligaciones del responsable, régimen sancionador
Reglamento de la Ley 29733	Detalle operativo: procedimientos, estándares de seguridad, flujo transfronterizo
Opiniones Consultivas de la ANPD	Interpretaciones oficiales sobre temas específicos (cookies, consentimiento, datos biométricos)
Directivas de la ANPD	Lineamientos técnicos para sectores específicos

---

¿Qué es un dato personal según la ley peruana?

Es cualquier información que identifica o permite identificar a una persona natural. No se limita a nombre y DNI. La definición es amplia e incluye:

Tipo de dato	Ejemplos comunes en sitios web
Datos identificativos	Nombre, apellido, DNI, RUC, foto de perfil
Datos de contacto	Email, teléfono, dirección postal
Datos económicos	Número de tarjeta, historial de compras, datos de facturación
Datos de navegación	Dirección IP, cookies, historial de páginas visitadas, geolocalización
Datos de acceso	Usuario, contraseña, tokens de sesión
Datos sensibles	Origen racial o étnico, opiniones políticas, datos de salud, orientación sexual, datos biométricos

Punto clave para desarrolladores web: la ANPD, a través de la Opinión Consultiva N° 02-2022-JUS/DGTAIPD, ha establecido que los identificadores en línea generados por cookies, píxeles de rastreo y huellas digitales del dispositivo (device fingerprinting) son datos personales cuando permiten individualizar o perfilar el comportamiento de una persona. Esto impacta directamente la implementación de herramientas como Google Analytics, Meta Pixel o cualquier sistema de tracking.

---

El principio del consentimiento: la base de todo

El pilar fundamental de la Ley 29733 es que ningún dato personal puede ser tratado sin la autorización del titular. Este consentimiento debe cumplir cuatro requisitos simultáneos:

Requisito	Qué significa	Qué está prohibido
Previo	Obtenido ANTES de recopilar el dato	Recopilar datos primero y pedir permiso después
Informado	El usuario sabe exactamente para qué se usarán sus datos	Pedir consentimiento sin explicar la finalidad
Expreso	Manifestado mediante una acción afirmativa clara	Asumir consentimiento por silencio o inacción
Inequívoco	Sin ambigüedad sobre la voluntad del usuario	Redacciones confusas que no dejan claro qué se acepta

Lo que esto significa para el diseño de tu web

• ❌ Prohibido: casillas de verificación (checkboxes) premarcadas por defecto.
• ❌ Prohibido: interpretar que «si el usuario sigue navegando, acepta».
• ❌ Prohibido: un solo botón de «Acepto todo» sin opción granular.
• ✅ Correcto: checkbox vacío que el usuario marca activamente.
• ✅ Correcto: enlace visible a la política de privacidad antes de que el usuario envíe el formulario.
• ✅ Correcto: separar el consentimiento operativo (necesario para el servicio) del consentimiento comercial (newsletter, publicidad).

Consentimiento separado por finalidad

La ley exige que el usuario pueda distinguir y decidir por separado entre distintas finalidades de tratamiento. Por ejemplo:

Finalidad	¿Puede ser obligatoria para usar el servicio?
Procesar el pedido y enviar el producto	Sí — es la finalidad operativa esencial
Enviar newsletters promocionales	No — debe ser opcional, con consentimiento separado
Compartir datos con socios comerciales para publicidad	No — requiere consentimiento específico e independiente
Usar cookies publicitarias para retargeting	No — requiere consentimiento explícito previo

---

¿Qué es un Banco de Datos Personales y por qué debes registrarlo?

Un Banco de Datos Personales es cualquier conjunto organizado de datos personales, sea automatizado o no. En el contexto de un sitio web, tus bancos de datos típicos son:

• La base de datos de clientes registrados.
• La lista de suscriptores de tu newsletter.
• El registro de usuarios que han hecho compras.
• Los datos recopilados a través de formularios de contacto.
• Los registros del Libro de Reclamaciones Virtual.

Obligación de registro ante la ANPD

La Ley 29733 obliga a toda persona jurídica que recopile datos personales a inscribir sus Bancos de Datos ante el registro público de la Autoridad Nacional de Protección de Datos Personales.

Operar un sitio web que almacene datos de usuarios sin el correspondiente registro de bancos de datos es una infracción administrativa independiente. Es decir, te pueden sancionar por no registrar el banco, aunque no hayas cometido ninguna otra falta con los datos.

Acción	Detalle
Dónde se registra	Registro Nacional de Protección de Datos Personales, administrado por la ANPD
Qué declarar	Finalidad del banco, tipo de datos que contiene, medidas de seguridad implementadas, responsable del tratamiento
Consecuencia de no registrar	Infracción autónoma sancionable, independiente de cualquier otro incumplimiento

---

Derechos ARCO: qué son y cómo implementarlos en tu web

La Ley 29733 garantiza a todo usuario peruano el ejercicio de los Derechos ARCO sobre sus datos personales. Tu sitio web debe contar con un canal para atender estas solicitudes.

Derecho	Qué puede hacer el usuario	Ejemplo
Acceso	Conocer qué datos suyos tienes almacenados y cómo los usas	«Quiero saber qué información mía tienen en su base de datos»
Rectificación	Corregir datos inexactos o incompletos	«Mi dirección cambió, actualícenla»
Cancelación	Solicitar la eliminación de sus datos cuando ya no sean necesarios o revoque el consentimiento	«Quiero que borren mi cuenta y todos mis datos»
Oposición	Negarse a que sus datos sean tratados para una finalidad específica	«No quiero recibir más publicidad, pero mantengan mi cuenta activa»

Implementación práctica

Tu web necesita al menos uno de estos canales:

• Dirección de correo electrónico específica (ejemplo: datospersonales@tuempresa.pe o privacidad@tuempresa.pe).
• Formulario dedicado en la sección de privacidad del sitio.
• Enlace visible en el footer o en la política de privacidad que dirija al canal de atención.

La ley establece plazos perentorios para responder estas solicitudes. No atender una solicitud ARCO dentro del plazo legal puede generar un procedimiento sancionador ante la ANPD, iniciado por el propio usuario afectado.

---

Flujo transfronterizo de datos: si usas hosting o herramientas extranjeras

Aquí hay un punto que la mayoría de sitios web peruanos pasan por alto.

Si tu página web está alojada en servidores fuera del Perú (AWS en Virginia, Google Cloud en Iowa, DigitalOcean en Nueva York) o usas herramientas que procesan datos de tus usuarios en el extranjero, estás realizando un flujo transfronterizo de datos personales.

Esto es perfectamente legal, pero debes declararlo.

Herramientas comunes que generan flujo transfronterizo

Herramienta	Tipo de dato que transfiere	Ubicación típica de servidores
AWS, Google Cloud, Azure	Todos los datos de tu web	Estados Unidos, Europa
Mailchimp, Brevo, ActiveCampaign	Emails y datos de suscriptores	Estados Unidos
Stripe, PayPal, MercadoPago	Datos de pago y facturación	Estados Unidos, Argentina
Google Analytics	Datos de navegación, IP, comportamiento	Estados Unidos
Meta Pixel (Facebook)	Datos de navegación y perfilamiento	Estados Unidos
HubSpot, Salesforce	Datos de clientes y leads	Estados Unidos
Calendly, Typeform	Datos de formularios y citas	Estados Unidos, Europa

¿Qué debes hacer?

1. Identificar todas las herramientas de terceros que procesan datos de tus usuarios fuera del Perú.
2. Declarar en tu Política de Privacidad que realizas transferencia internacional de datos, indicando los terceros destinatarios y su ubicación.
3. Asegurar que el nivel de protección en el país de destino sea adecuado o que existan garantías contractuales (cláusulas de protección de datos con tus proveedores).

---

Seguridad de datos: qué medidas técnicas exige la ley

La Ley 29733 impone el principio de seguridad, obligando a los responsables de sitios web a implementar medidas para evitar la alteración, pérdida o acceso no autorizado a los datos.

Medidas técnicas mínimas

Medida	Qué implica
Certificado SSL/TLS	Toda página web que recopile datos debe funcionar sobre HTTPS. Sin excepción.
Encriptación de bases de datos	Los datos almacenados deben estar cifrados, especialmente contraseñas y datos sensibles.
Controles de acceso por roles	No todo empleado debe tener acceso a todos los datos. Implementar permisos diferenciados.
Copias de seguridad	Backups regulares con almacenamiento seguro.
Registro de accesos	Log de quién accede a los datos, cuándo y con qué finalidad.
Protocolo de brechas	Procedimiento documentado para actuar ante una filtración de datos (notificar a la ANPD en 48 horas).

---

Notificación de brechas de seguridad: las 48 horas

Si ocurre una filtración, hackeo o acceso no autorizado a los datos personales de tus usuarios, la normativa peruana te obliga a notificar a la ANPD en un plazo de 48 horas desde que tomas conocimiento del incidente.

Paso	Plazo	Acción
1	Inmediato	Detectar y contener la brecha
2	Dentro de 48 horas	Notificar a la ANPD con detalle del incidente, datos afectados y medidas tomadas
3	Lo antes posible	Notificar a los usuarios afectados (buena práctica, alineada con estándares internacionales)
4	Continuo	Documentar todo el proceso para la defensa ante posible sanción

No notificar dentro de las 48 horas agrava la situación. La filtración ya es una infracción potencial; la omisión de notificación la convierte en una falta adicional.

---

Multas: cuánto cuesta no cumplir en 2026

La ANPD clasifica las infracciones en leves, graves y muy graves. Con la UIT 2026 fijada en S/ 5,500 (Decreto Supremo N° 301-2025-EF), las sanciones se actualizan así:

Tipo de infracción	Rango en UIT	Rango en soles (2026)	Ejemplo
Leve	0.5 a 5 UIT	S/ 2,750 — S/ 27,500	No actualizar la política de privacidad
Grave	5 a 50 UIT	S/ 27,500 — S/ 275,000	Tratar datos sin consentimiento válido, no registrar banco de datos
Muy grave	50 a 100 UIT	S/ 275,000 — S/ 550,000	Filtración masiva de datos por falta de medidas de seguridad, tratamiento ilícito de datos sensibles

Para ponerlo en perspectiva: una infracción «muy grave» puede costar más que la facturación anual de muchas pymes peruanas. La prevención es siempre más barata que la sanción.

---

Checklist de cumplimiento para tu sitio web

#	Acción	Estado
1	Tener una Política de Privacidad completa, visible y en lenguaje claro	☐
2	Implementar consentimiento expreso (checkbox vacío, no premarcado) en todos los formularios	☐
3	Separar el consentimiento operativo del comercial (newsletter, publicidad)	☐
4	Tener Política de Cookies con banner de primera capa y opciones granulares	☐
5	Registrar los Bancos de Datos ante la ANPD	☐
6	Implementar un canal para Derechos ARCO (email o formulario dedicado)	☐
7	Declarar el flujo transfronterizo de datos en la política de privacidad	☐
8	Tener certificado SSL/TLS activo (HTTPS)	☐
9	Encriptar la base de datos (especialmente contraseñas y datos sensibles)	☐
10	Implementar controles de acceso por roles	☐
11	Tener un protocolo de brechas de seguridad documentado (notificación en 48h)	☐
12	Conservar registros y logs de acceso a datos	☐

---

Preguntas frecuentes

¿Aplica si mi web es solo informativa y no vende nada?

Si tu web tiene un formulario de contacto, un chat, un formulario de suscripción o cualquier mecanismo que recopile datos del visitante, sí aplica. Una web puramente estática sin ningún formulario ni cookie de rastreo tiene una exposición mínima, pero si usa Google Analytics u otra herramienta de tracking, ya está recopilando datos.

¿El consentimiento para la política de privacidad es lo mismo que para las cookies?

No. Son consentimientos distintos. La política de privacidad cubre el tratamiento general de datos personales. La política de cookies cubre específicamente las tecnologías de rastreo. Necesitas ambos, y el de cookies debe ser granular (el usuario puede aceptar unas y rechazar otras).

¿Puedo usar un plugin de WordPress para cumplir?

Un plugin como Complianz o CookieYes te ayuda con la gestión de cookies y el banner de consentimiento, pero no cubre todo. Aún necesitas redactar tu propia política de privacidad adaptada a tu negocio, registrar tus bancos de datos ante la ANPD, y tener un canal ARCO. El plugin es una herramienta, no una solución completa.

¿Qué pasa si mis usuarios no son peruanos?

La Ley 29733 protege a las personas que se encuentran en territorio peruano. Si tu sitio web está dirigido al mercado peruano o recopila datos de personas en Perú, aplica independientemente de dónde esté registrada tu empresa.

¿Necesito un Oficial de Datos Personales?

La ley no exige formalmente la figura de un Data Protection Officer (DPO) como el RGPD europeo. Sin embargo, designar a un responsable interno de la gestión de datos personales es una buena práctica que demuestra diligencia ante fiscalizaciones.

---

Referencias legales

• Ley N° 29733 — Ley de Protección de Datos Personales.
• Reglamento de la Ley 29733 — Detalle operativo de las obligaciones del responsable del tratamiento.
• Opinión Consultiva N° 02-2022-JUS/DGTAIPD — Interpretación de la ANPD sobre cookies y datos personales en entornos digitales.
• Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
• Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador, dependiente del Ministerio de Justicia y Derechos Humanos.

---

Este artículo es informativo y no constituye asesoría legal. Para implementar un programa de cumplimiento de protección de datos en tu plataforma, consulta con un abogado especializado.

Última actualización: septiembre 2026 Base legal: Decreto Supremo N° 115-2025-PCM — Reglamento de la Ley 31814 Aplica a: empresas del sector privado y entidades públicas que implementen sistemas de inteligencia artificial, especialmente los clasificados como riesgo alto.

El Reglamento de la Ley de Inteligencia Artificial en Perú introduce una herramienta clave para las empresas que usan IA: la Evaluación de Impacto. Aunque no es obligatoria para el sector privado, hacerla puede ser la diferencia entre defenderte exitosamente ante una fiscalización o quedar expuesto sin respaldo documental.

Aquí explicamos qué es, qué debe contener, cuánto tiempo conservarla y por qué funciona como un escudo legal.

---

¿Qué es una Evaluación de Impacto de IA?

Es un documento técnico-legal que analiza los riesgos que un sistema de inteligencia artificial puede generar sobre los derechos fundamentales de las personas, y registra las medidas que la empresa ha tomado para mitigarlos.

No es un formulario estándar ni un checklist genérico. Es un análisis personalizado del sistema específico que tu empresa implementa, considerando:

• Qué tipo de decisiones toma el algoritmo.
• Sobre quiénes impactan esas decisiones.
• De dónde vienen los datos con los que se entrenó el modelo.
• Qué puede salir mal y qué has hecho para evitarlo.

El concepto es similar al Data Protection Impact Assessment (DPIA) del Reglamento General de Protección de Datos europeo (RGPD), pero aplicado específicamente a sistemas de IA.

---

¿Es obligatoria?

Para el sector privado: no. El Reglamento la califica como de adopción voluntaria.

Para el sector público: las entidades estatales tienen un nivel de exigencia mayor en la implementación de la Ley 31814, y las evaluaciones de impacto forman parte de las buenas prácticas exigidas por la SGTD.

Sin embargo, que sea voluntaria no significa que sea irrelevante. Todo lo contrario.

---

Por qué hacerla aunque no sea obligatoria: el concepto de «safe harbor»

Aquí está el punto estratégico que muchas empresas pasan por alto.

El Reglamento establece que la realización y conservación de una Evaluación de Impacto funciona como un escudo de defensa jurídica — lo que en derecho se conoce como un safe harbor probatorio — ante eventuales fiscalizaciones de la Secretaría de Gobierno y Transformación Digital (SGTD) de la PCM.

¿Qué significa esto en la práctica?

Escenario	Sin evaluación de impacto	Con evaluación de impacto
La SGTD fiscaliza tu plataforma	No tienes documentación que demuestre diligencia. Quedas expuesto.	Presentas tu evaluación: identificaste riesgos, analizaste datos de entrenamiento, implementaste medidas. Demuestras que actuaste con responsabilidad.
Un usuario denuncia discriminación algorítmica	Sin evidencia de que evaluaste sesgos. Posición defensiva débil.	Tu evaluación documenta las auditorías de sesgo realizadas y las medidas correctivas. Posición defensiva sólida.
Tu IA toma una decisión que afecta derechos	No hay registro de cómo funciona el sistema ni qué precauciones tomaste.	El documento muestra el diseño del modelo, los datos utilizados y los controles implementados.

En resumen: la evaluación de impacto transforma tu posición de «no sabía que podía pasar» a «lo anticipé, lo documenté y tomé medidas». Ante un procedimiento sancionador, esa diferencia es sustancial.

---

¿Qué debe incluir una Evaluación de Impacto de IA?

El Reglamento no prescribe un formato único, pero sí establece los elementos que debe documentar. Basándonos en los lineamientos del D.S. 115-2025-PCM, una evaluación completa debe cubrir como mínimo:

1. Descripción del sistema de IA

• Nombre y propósito del sistema.
• Tipo de tecnología utilizada (machine learning, redes neuronales, modelos de lenguaje, sistemas basados en reglas, etc.).
• Qué decisiones toma o qué resultados genera.
• Sobre quiénes impactan esas decisiones (usuarios, solicitantes, empleados, público general).
• Nivel de riesgo según la clasificación del Reglamento (uso indebido / alto / aceptable).

2. Análisis de los datos de entrenamiento

• Procedencia de los datos: de dónde vienen, cómo se recopilaron, si se obtuvo consentimiento cuando aplica.
• Representatividad: si los datos reflejan adecuadamente a la población sobre la que el sistema tomará decisiones. En el contexto peruano, esto es crítico — un modelo entrenado solo con datos del sector formal puede excluir al 70%+ de la PEA informal.
• Calidad y actualización: si los datos están limpios, actualizados y libres de errores sistemáticos.
• Datos sensibles: si se procesan datos de categorías especiales (origen étnico, salud, opiniones políticas, orientación sexual) y bajo qué base legal.

3. Riesgos identificados

• Sesgos algorítmicos: posibilidad de que el sistema discrimine por género, edad, origen étnico, ubicación geográfica, nivel socioeconómico u otra variable.
• Errores de decisión: consecuencias de un falso positivo o falso negativo del modelo (rechazar a alguien que debería ser aprobado, o viceversa).
• Falta de explicabilidad: si el sistema es una «caja negra» cuyas decisiones no pueden ser explicadas al usuario afectado.
• Impacto sobre derechos fundamentales: privacidad, no discriminación, acceso a servicios, dignidad.
• Riesgos de seguridad: vulnerabilidades del sistema ante ataques adversariales o manipulación de inputs.

4. Medidas técnicas de mitigación

• Qué controles has implementado para cada riesgo identificado.
• Protocolos de supervisión humana (si aplica por ser riesgo alto).
• Frecuencia de auditorías de sesgo.
• Mecanismos de explicabilidad o transparencia para el usuario.
• Procedimiento para que un usuario afectado impugne o solicite revisión de una decisión algorítmica.
• Plan de respuesta ante fallos del sistema.

5. Gobernanza interna

• Quién es responsable del sistema de IA dentro de la organización.
• Quién aprobó su implementación.
• Quién realiza las auditorías y con qué periodicidad.
• Cómo se actualizará la evaluación ante cambios en el modelo o en los datos.

---

¿Cuánto tiempo debo conservarla?

El Reglamento establece un período mínimo de conservación de 3 años desde su elaboración.

Esto significa que si realizas una evaluación en septiembre de 2026, debes poder presentarla ante la SGTD hasta septiembre de 2029 como mínimo.

Recomendación práctica: conserva todas las versiones, no solo la última. Si actualizas tu sistema de IA y rehaces la evaluación, guarda la versión anterior. Ante una fiscalización que investigue un evento pasado, necesitas la evaluación vigente en el momento del evento, no la actual.

Acción	Plazo mínimo
Conservar cada evaluación de impacto	3 años desde su elaboración
Conservar versiones anteriores	Recomendado: 3 años desde que dejaron de ser vigentes
Actualizar la evaluación	Cada vez que el sistema cambie significativamente (nuevo modelo, nuevos datos, nueva funcionalidad)

---

Cronograma de adecuación: cuándo deberías tenerla lista

Aunque la evaluación es voluntaria, tiene más valor defensivo si la elaboras antes de que venza el plazo de adecuación de tu sector. Presentar una evaluación hecha después de una fiscalización pierde gran parte de su efecto probatorio.

Sector económico	Fecha máxima de adecuación a la Ley 31814
Salud, Educación, Justicia, Seguridad, Economía y Finanzas	10 de septiembre de 2026
Transporte, Comercio y Trabajo	10 de septiembre de 2027
Producción, Agricultura, Energía y Minería	10 de septiembre de 2028
Todos los demás sectores	10 de septiembre de 2029

Ejemplo concreto: si tienes una plataforma fintech con scoring crediticio (sector Economía y Finanzas + riesgo alto), tu evaluación de impacto debería estar lista antes del 10 de septiembre de 2026. Es la combinación más urgente posible: sector prioritario + nivel de riesgo alto.

---

¿Quién debe elaborar la evaluación?

La norma no exige que la elabore un profesional certificado ni un auditor externo. Puede ser un documento interno.

Sin embargo, para que tenga peso defensivo real, es recomendable que participe:

• Un perfil técnico que entienda cómo funciona el modelo de IA, sus datos y sus limitaciones.
• Un perfil legal que evalúe las implicaciones sobre derechos fundamentales y el marco normativo aplicable (Ley 31814, Ley 29733 de protección de datos, Código del Consumidor si aplica).
• Un perfil de negocio que defina el propósito del sistema y las decisiones que se toman con sus resultados.

Para sistemas de alto impacto, contratar una auditoría externa especializada refuerza significativamente la credibilidad del documento.

---

Diferencia entre Evaluación de Impacto de IA y Evaluación de Impacto de Datos Personales

Son documentos distintos que pueden complementarse pero no se sustituyen:

Aspecto	Evaluación de Impacto de IA (Ley 31814)	Evaluación de Impacto de Datos Personales (Ley 29733)
Enfoque	Riesgos del algoritmo y sus decisiones sobre derechos fundamentales	Riesgos del tratamiento de datos personales sobre la privacidad
Base legal	D.S. 115-2025-PCM	Ley 29733 y su Reglamento
Alcance	Sesgos, discriminación, explicabilidad, supervisión humana	Consentimiento, seguridad, transferencia internacional, derechos ARCO
¿Obligatoria?	Voluntaria para sector privado	Recomendada y exigible en ciertos tratamientos de alto riesgo
Organismo	SGTD (PCM)	ANPD (Ministerio de Justicia)

Si tu sistema de IA procesa datos personales (lo cual es el caso en la mayoría de plataformas web), necesitas considerar ambas evaluaciones. Un scoring crediticio, por ejemplo, tiene riesgos algorítmicos (sesgo, discriminación) y riesgos de privacidad (tratamiento de datos financieros y personales).

---

Checklist rápido: ¿necesito una Evaluación de Impacto de IA?

Pregunta	Si la respuesta es SÍ…
¿Mi sistema de IA toma o influye en decisiones sobre crédito, empleo, salud, educación o acceso a servicios?	Tu sistema es probablemente riesgo alto. La evaluación es altamente recomendable.
¿Mi IA procesa datos sensibles (salud, biometría, opiniones políticas)?	La evaluación te protege ante fiscalizaciones cruzadas de SGTD y ANPD.
¿Mi empresa opera en un sector con plazo de adecuación cercano (sept. 2026-2027)?	Hazla ahora. Después de la fecha límite pierde efecto probatorio.
¿Mi IA solo es un chatbot básico o recomendación de productos?	Es riesgo aceptable. No la necesitas urgentemente, pero hacerla no perjudica y te diferencia ante clientes y reguladores.
¿Mi empresa es una startup con recursos limitados?	Haz una versión simplificada interna. Documenta lo esencial: qué hace tu IA, con qué datos, qué riesgos ves y qué haces al respecto. Es mejor que no tener nada.

---

Preguntas frecuentes

¿Hay un formato oficial de evaluación?

No. El Reglamento no prescribe un formulario ni una plantilla oficial. Lo que importa es que cubra los elementos que la norma establece: descripción del sistema, análisis de datos, riesgos identificados y medidas de mitigación.

¿Puedo usar una evaluación hecha para cumplir con el RGPD europeo?

Puede servir como base, pero no es suficiente. La evaluación bajo la Ley 31814 tiene un enfoque específico en sesgos algorítmicos, supervisión humana y el contexto socioeconómico peruano que el RGPD no cubre.

¿Debo presentarla proactivamente ante la SGTD?

No. Se conserva internamente y se presenta cuando la SGTD la solicite en el marco de una fiscalización. No hay un registro público de evaluaciones de impacto.

¿Cada cuánto debo actualizarla?

No hay periodicidad fija. Actualízala cuando cambies significativamente tu sistema: nuevo modelo, nuevas fuentes de datos, nueva funcionalidad que altere el tipo de decisiones que toma, o cuando detectes un riesgo no contemplado inicialmente.

¿Si soy una pyme, realmente necesito hacer esto?

El tamaño de la empresa no determina el nivel de riesgo del sistema. Una pyme con un sistema de scoring crediticio automatizado tiene las mismas obligaciones que un banco. La diferencia es que puedes hacer una versión proporcional a tu escala: un documento de 5-10 páginas bien estructurado es mejor que nada.

---

Referencias legales

• Ley N° 31814 — Ley que promueve el uso de la Inteligencia Artificial en favor del desarrollo económico y social del país.
• Decreto Supremo N° 115-2025-PCM — Reglamento de la Ley 31814. Establece las evaluaciones de impacto, su contenido y el período de conservación de 3 años.
• Ley N° 29733 — Ley de Protección de Datos Personales (para la evaluación complementaria de impacto sobre privacidad).
• Secretaría de Gobierno y Transformación Digital (SGTD-PCM) — Organismo ante el cual se presenta la evaluación en caso de fiscalización.

---

Este artículo es informativo y no constituye asesoría legal. Para elaborar la evaluación de impacto de tu sistema de IA, consulta con un abogado especializado en derecho digital y un profesional técnico en inteligencia artificial.