Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: todo sitio web, aplicación o plataforma digital que recopile datos personales de usuarios en territorio peruano.
Un usuario te escribe: «Quiero saber qué datos míos tienen. Y quiero que los borren.» ¿Sabes qué responder? ¿Tienes un canal para recibirlo? ¿Conoces el plazo legal para contestar?
En Perú, todo usuario tiene cuatro derechos fundamentales sobre sus datos personales — Acceso, Rectificación, Cancelación y Oposición — conocidos como derechos ARCO. Tu sitio web está obligado a ofrecer un canal para que los usuarios los ejerzan y a responder dentro de los plazos legales.
No tener ese canal o ignorar una solicitud puede generar un procedimiento sancionador ante la ANPD con multas de hasta S/ 275,000.
¿Qué significa ARCO?
ARCO es el acrónimo de los cuatro derechos que la Ley 29733 garantiza a toda persona sobre sus datos personales:
| Letra | Derecho | Qué puede hacer el usuario |
|---|---|---|
| A | Acceso | Conocer qué datos suyos tienes, cómo los obtuviste, para qué los usas y con quién los compartes |
| R | Rectificación | Corregir datos inexactos, incompletos o desactualizados |
| C | Cancelación | Solicitar la eliminación de sus datos cuando ya no sean necesarios para la finalidad original, cuando revoque su consentimiento o cuando el tratamiento sea ilícito |
| O | Oposición | Negarse a que sus datos sean tratados para una finalidad específica, especialmente prospección comercial |
Estos derechos son irrenunciables. Ninguna cláusula de tus términos y condiciones puede eliminarlos o limitarlos. El usuario siempre los tiene, independientemente de lo que haya aceptado al registrarse.
Cada derecho explicado con ejemplos prácticos
Derecho de Acceso
El usuario tiene derecho a saber exactamente qué datos suyos almacenas y qué haces con ellos.
| Lo que el usuario puede pedir | Lo que tú debes responder |
|---|---|
| «¿Qué datos míos tienen?» | Lista completa de los datos personales que almacenas sobre esa persona |
| «¿De dónde sacaron mis datos?» | Origen de los datos: formulario web, compra, suscripción, tercero |
| «¿Para qué usan mis datos?» | Finalidades del tratamiento: operativas, comerciales, analíticas |
| «¿Con quién comparten mis datos?» | Terceros destinatarios: hosting, email marketing, pasarela de pago, socios comerciales |
| «¿Cuánto tiempo van a guardar mis datos?» | Período de conservación según tu política |
Ejemplo real: un usuario que compró en tu e-commerce hace 2 años quiere saber si todavía tienes sus datos de tarjeta, su historial de compras y su dirección. Debes poder responderle con exactitud.
Derecho de Rectificación
El usuario tiene derecho a que corrijas cualquier dato suyo que sea inexacto o esté incompleto.
| Solicitud típica | Acción requerida |
|---|---|
| «Mi apellido está mal escrito» | Corregir en la base de datos |
| «Ya no vivo en esa dirección» | Actualizar la dirección |
| «Mi número de teléfono cambió» | Actualizar el teléfono |
| «Mi nombre legal cambió» | Actualizar con la documentación de respaldo que el usuario proporcione |
Obligación adicional: si compartiste los datos incorrectos con terceros (por ejemplo, los enviaste a Mailchimp con el apellido mal escrito), debes notificar la corrección a esos terceros para que también la apliquen, siempre que sea posible.
Derecho de Cancelación
El usuario tiene derecho a que elimines sus datos personales. Es el derecho más delicado operativamente porque implica borrar registros de tus sistemas.
| Cuándo procede | Cuándo NO procede |
|---|---|
| El usuario revoca su consentimiento | Los datos son necesarios para cumplir una obligación legal (tributaria, laboral) |
| Los datos ya no son necesarios para la finalidad por la que fueron recopilados | Existe un contrato vigente que requiere los datos para ejecutarse |
| El tratamiento fue ilícito (datos recopilados sin consentimiento válido) | Los datos son necesarios para ejercer o defender un derecho en un proceso judicial |
| Venció el plazo de conservación declarado en tu política | Los datos están anonimizados y ya no identifican a la persona |
Ejemplo real: un usuario que se suscribió a tu newsletter hace 3 años quiere que borres su email y todos los datos asociados. Si no hay otra base legal para conservarlos (no tiene pedidos pendientes, no hay obligación tributaria vinculada), debes eliminarlos.
Importante: la cancelación puede implicar el bloqueo (hacer los datos inaccesibles) seguido de la supresión (eliminación definitiva) dentro de un plazo razonable. Algunos datos pueden pasar a un estado de bloqueo primero si hay obligaciones legales de conservación temporal (por ejemplo, datos de facturación que la SUNAT exige conservar por 4 años).
Derecho de Oposición
El usuario tiene derecho a negarse al tratamiento de sus datos para finalidades específicas sin necesidad de cancelar su cuenta completa.
| Solicitud típica | Qué debes hacer |
|---|---|
| «No quiero recibir más emails promocionales» | Dejar de enviarle newsletters y publicidad, pero mantener su cuenta activa si tiene pedidos o servicios vigentes |
| «No quiero que usen mis datos para publicidad dirigida» | Excluirlo de segmentos publicitarios y remarketing |
| «No quiero que compartan mis datos con socios comerciales» | Dejar de transferir sus datos a terceros para fines comerciales |
| «No quiero que perfilen mi comportamiento de navegación» | Desactivar cookies analíticas y publicitarias para ese usuario |
La oposición es parcial: el usuario puede oponerse a una finalidad (publicidad) sin oponerse a otra (ejecución de su contrato). No es todo o nada.
Cómo implementar canales ARCO en tu sitio web
Opciones de canal
Tu web necesita al menos un canal claramente identificado para recibir solicitudes ARCO:
| Canal | Ventajas | Desventajas |
|---|---|---|
| Email dedicado (privacidad@tuempresa.pe, datospersonales@tuempresa.pe) | Fácil de implementar, bajo costo, queda registro escrito | Puede mezclarse con otras comunicaciones si no se gestiona bien |
| Formulario web específico en la sección de privacidad | Estructurado, guía al usuario, facilita la clasificación | Requiere desarrollo, mantenimiento |
| Sección en el panel de usuario (self-service) | El usuario gestiona directamente: descarga sus datos, edita su perfil, elimina su cuenta | Requiere desarrollo significativo, pero es la mejor experiencia |
| Combinación de canales | Máxima accesibilidad | Requiere gestión centralizada para no perder solicitudes |
Implementación mínima recomendada
| Nivel de complejidad | Qué implementar |
|---|---|
| Básico (blog, web institucional, landing pages) | Email dedicado + mención en la Política de Privacidad |
| Medio (e-commerce, plataforma con registro de usuarios) | Email dedicado + formulario web + opción de «darse de baja» en newsletters |
| Avanzado (plataforma con datos sensibles, fintech, salud) | Todo lo anterior + panel de self-service + proceso interno documentado |
Dónde publicar el canal ARCO
| Ubicación | Prioridad |
|---|---|
| Política de Privacidad | Obligatorio — sección dedicada con el canal de contacto y el procedimiento |
| Footer de todas las páginas | Recomendado — enlace directo o mención del email de privacidad |
| Formulario de registro | Recomendado — informar al usuario de sus derechos al momento de registrarse |
| Email de confirmación de cuenta | Recomendado — incluir referencia a los derechos ARCO |
| Sección «Mis datos» o «Mi cuenta» | Recomendado para plataformas con panel de usuario |
Plazos legales de respuesta
La Ley 29733 establece plazos perentorios para responder solicitudes ARCO:
| Derecho | Plazo de respuesta | Cómputo |
|---|---|---|
| Acceso | 20 días hábiles | Desde la recepción de la solicitud |
| Rectificación | 10 días hábiles | Desde la recepción de la solicitud |
| Cancelación | 10 días hábiles | Desde la recepción de la solicitud |
| Oposición | 10 días hábiles | Desde la recepción de la solicitud |
¿Qué son días hábiles?
Días de lunes a viernes, excluyendo sábados, domingos y feriados nacionales.
¿Qué debe contener la respuesta?
| Elemento | Detalle |
|---|---|
| Referencia a la solicitud | Fecha de recepción, tipo de derecho ejercido |
| Decisión | Si procede o no la solicitud, con fundamento |
| Acción tomada | Qué datos se proporcionaron (acceso), corrigieron (rectificación), eliminaron (cancelación) o dejaron de tratar (oposición) |
| Si no procede | Motivo legal por el cual se deniega (obligación legal de conservar, contrato vigente, etc.) |
| Constancia | Enviar la respuesta por un medio que permita acreditar la recepción (email con confirmación de lectura, carta notarial, registro en plataforma) |
Flujo interno para gestionar solicitudes ARCO
Proceso en 5 pasos
| Paso | Plazo sugerido | Acción | Responsable |
|---|---|---|---|
| 1. Recepción | Día 0 | Registrar la solicitud, asignar número de referencia, confirmar recepción al usuario | Responsable de atención o privacidad |
| 2. Verificación de identidad | Día 1-2 | Confirmar que el solicitante es el titular de los datos (solicitar DNI, verificar email registrado) | Responsable de privacidad |
| 3. Evaluación | Día 3-7 | Determinar si la solicitud procede, localizar los datos en los sistemas, evaluar si hay excepciones legales | Responsable de privacidad + legal |
| 4. Ejecución | Día 8-15 | Proporcionar los datos (acceso), corregirlos (rectificación), eliminarlos (cancelación) o excluir del tratamiento (oposición) | Equipo técnico |
| 5. Respuesta | Día 16-18 | Enviar respuesta formal al usuario con la acción tomada o la justificación de denegación | Responsable de privacidad |
| Margen | Día 19-20 | Colchón de seguridad para imprevistos (solo para acceso — los demás vencen en 10 días) | — |
Verificación de identidad
Antes de entregar, modificar o eliminar datos, debes confirmar que quien lo pide es realmente el titular. Métodos aceptables:
| Método | Cuándo usarlo |
|---|---|
| Verificar desde el email registrado | Si la solicitud llega desde el mismo email con el que el usuario se registró |
| Solicitar copia de DNI | Para solicitudes de alto impacto (cancelación total, acceso a datos sensibles) |
| Verificar con datos conocidos | Preguntar datos que solo el titular conocería (número de pedido, fecha de registro, último producto comprado) |
| Autenticación en la plataforma | Si el usuario hace la solicitud desde su cuenta autenticada (ya verificó su identidad al hacer login) |
No entregues datos a quien no pueda demostrar que es el titular. Una solicitud ARCO mal gestionada que entrega datos a un tercero no autorizado es en sí misma una brecha de seguridad.
Excepciones: cuándo puedes denegar una solicitud ARCO
No todas las solicitudes deben aceptarse. La ley contempla excepciones legítimas:
| Excepción | Aplica a | Ejemplo |
|---|---|---|
| Obligación legal de conservar | Cancelación | Datos de facturación que la SUNAT exige conservar por 4 años |
| Contrato vigente | Cancelación, Oposición | El usuario tiene un pedido pendiente de entrega — necesitas sus datos para completarlo |
| Interés público | Acceso, Cancelación | Datos requeridos por autoridades en investigaciones legales |
| Ejercicio de derechos en proceso judicial | Cancelación | Datos necesarios como evidencia en un litigio pendiente |
| Solicitud manifiestamente infundada o excesiva | Todos | Solicitudes repetitivas sin cambio de circunstancias, diseñadas para obstaculizar la operación |
Importante: si deniegas una solicitud, debes explicar el motivo legal con claridad. «No podemos eliminar sus datos porque la normativa tributaria nos obliga a conservar los registros de facturación por 4 años» es una denegación válida. «No es posible» sin explicación no lo es.
Self-service: el estándar que los usuarios esperan
Los usuarios de 2026 están acostumbrados a plataformas como Google, Facebook e Instagram donde pueden descargar sus datos, editar su perfil y eliminar su cuenta desde un panel de configuración sin hablar con nadie.
Funcionalidades de self-service recomendadas
| Funcionalidad | Derecho ARCO que cubre | Cómo implementarlo |
|---|---|---|
| «Descargar mis datos» | Acceso | Botón que genera un archivo (JSON, CSV o PDF) con todos los datos del usuario |
| «Editar perfil» | Rectificación | Campos editables: nombre, email, teléfono, dirección |
| «Eliminar mi cuenta» | Cancelación | Botón con confirmación («¿Está seguro?») + período de gracia antes de la eliminación definitiva |
| «Darme de baja del newsletter» | Oposición | Link de desuscripción en cada email + opción en el panel de preferencias |
| «Gestionar mis preferencias de comunicación» | Oposición | Panel donde el usuario elige qué tipo de comunicaciones recibir |
| «Gestionar cookies» | Oposición | Enlace permanente para reabrir el banner de configuración de cookies |
En WordPress / WooCommerce
| Plugin o función | Qué resuelve |
|---|---|
| WordPress nativo (desde 4.9.6) | Incluye herramientas de exportación y eliminación de datos personales en el panel de administración |
| WooCommerce | Integra solicitudes de exportación y eliminación con los datos de pedidos |
| Plugins de RGPD (Complianz, FLAVOR) | Automatizan parte del proceso de solicitudes ARCO |
Advertencia: las herramientas nativas de WordPress facilitan la gestión pero no la automatizan completamente. Aún necesitas un proceso interno para verificar identidad, evaluar excepciones y documentar las respuestas.
¿Qué pasa si no atiendes una solicitud ARCO?
| Consecuencia | Detalle |
|---|---|
| Denuncia del usuario ante la ANPD | El usuario puede presentar una denuncia si no respondiste, respondiste fuera de plazo o denegaste sin fundamento |
| Procedimiento sancionador | La ANPD abre procedimiento de oficio o a pedido del usuario |
| Multas | Infracción grave: 5 a 50 UIT = S/ 27,500 — S/ 275,000 en 2026 |
| Medida correctiva | La ANPD puede ordenarte que atiendas la solicitud + implementes un canal adecuado |
| Registro público | La resolución sancionadora es pública |
Preguntas frecuentes
¿Puedo cobrar por atender una solicitud ARCO?
La primera solicitud de acceso debe ser gratuita. Para solicitudes posteriores repetitivas o que requieran esfuerzo desproporcionado, la ley permite cobrar un costo razonable que cubra solo los gastos administrativos. No puede ser un costo disuasorio que impida el ejercicio del derecho.
¿Qué hago si el usuario quiere que borre todo pero tiene facturas emitidas?
Los datos vinculados a facturas están sujetos a obligación de conservación tributaria (4 años mínimo según la normativa de SUNAT). Puedes bloquear los datos para que no se usen para ninguna otra finalidad, pero no eliminarlos hasta que venza la obligación tributaria. Explica esto claramente al usuario.
¿Un menor de edad puede ejercer derechos ARCO?
Los menores de edad ejercen sus derechos a través de sus padres o tutores legales. Si tu plataforma permite el registro de menores, el canal ARCO debe contemplar solicitudes de representantes legales con acreditación.
¿Debo atender solicitudes ARCO de personas que no son clientes?
Si tienes datos de una persona (por ejemplo, un lead que llenó un formulario de contacto pero nunca compró), esa persona tiene los mismos derechos ARCO sobre sus datos. No necesita ser cliente activo.
¿Puedo automatizar completamente la respuesta a solicitudes ARCO?
Para rectificación, oposición (baja de newsletter) y algunas solicitudes de cancelación (eliminar cuenta), la automatización vía self-service es viable y recomendable. Para solicitudes de acceso complejas o cancelaciones que requieren evaluación de excepciones legales, necesitas revisión humana.
¿Qué pasa si un usuario ejerce su derecho de cancelación y después quiere volver a registrarse?
Puede hacerlo. La cancelación elimina los datos existentes pero no impide que la persona cree una nueva cuenta en el futuro proporcionando sus datos nuevamente con nuevo consentimiento.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales. Título III: Derechos del titular de datos personales (derechos ARCO).
- Reglamento de la Ley 29733 — Detalla los plazos, procedimientos y requisitos para el ejercicio de derechos ARCO.
- Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo ante el cual el usuario puede denunciar la falta de atención a sus derechos ARCO.
Este artículo es informativo y no constituye asesoría legal. Para implementar canales y procesos de atención ARCO en tu plataforma, consulta con un abogado especializado en protección de datos personales.
Deja una respuesta