Reglamento de la Ley 29733: lo mínimo que tu web debe cumplir

El nuevo reglamento de la Ley 29733, aprobado por el Decreto Supremo 016-2024-JUS, se publicó en El Peruano el 30 de noviembre de 2024 y rige desde fines de marzo de 2025. Si tu empresa tiene una web con formularios, usa Google Analytics o el píxel de Meta, o atiende clientes por WhatsApp, ya te alcanza. Lo mínimo que tu web debe cumplir: informar con claridad qué haces con los datos, pedir un consentimiento real (casilla sin marcar y finalidades separadas para publicidad), declarar los envíos de datos al extranjero, inscribir tus bancos de datos ante la ANPD, ofrecer un canal gratuito para los derechos ARCO y aplicar medidas de seguridad documentadas.

Las fallas típicas (casillas premarcadas, políticas copiadas, etiquetas que se disparan antes de aceptar) se corrigen en pocos días y pueden costar hasta 100 UIT.

Cada obligación de esta guía lleva el artículo que la sustenta, para que la compruebes en el texto oficial publicado en gob.pe. Para el panorama completo de la norma, revisa todo lo que cambió con el D.S. 016-2024-JUS.

Actualizado: octubre de 2026

Lo esencial

• El reglamento entró en vigencia a los 120 días calendario de su publicación (Primera Disposición Complementaria Final).
• La política de privacidad no reemplaza el consentimiento (artículo 7). Necesitas las dos cosas.
• Hacer clic en una casilla vale como consentimiento expreso (artículo 5.1), pero la casilla debe marcarla el usuario.
• Para publicidad necesitas consentimiento directo y una baja sencilla y gratuita, atendida en máximo 10 días hábiles (artículo 26).
• Los incidentes graves de seguridad se notifican a la ANPD en un máximo de 48 horas (artículo 34).
• Con la UIT 2026 en S/ 5,500, las multas van de S/ 2,750 a S/ 550,000 (artículo 39 de la Ley 29733).

Qué cambió y desde cuándo rige

El decreto deroga el reglamento de 2013 (D.S. 003-2013-JUS) y aprueba un texto de 135 artículos orientado al entorno digital, como informó El Peruano. Para una web, lo que más pesa:

• Los «identificadores en línea» son datos personales (artículo III, numeral 4).
• Notificación de incidentes en 48 horas (artículo 34).
• Oficial de Datos Personales obligatorio en ciertos casos (artículo 37).
• Medidas de seguridad para sitios web, con registros de actividad que se guardan dos años (artículo 46).

El calendario escalonado solo vale para el Oficial de Datos. El resto de obligaciones ya es exigible para todos. Las conductas anteriores a la vigencia se juzgan con el reglamento de 2013 (Primera Disposición Complementaria Transitoria).

¿A quién aplica?

A toda persona natural, empresa o entidad pública que trate datos personales, estén o no en un banco de datos (artículo IV). Incluye a quien vende con RUC 10 por Instagram. Solo queda fuera el uso doméstico o familiar (artículo V).

También alcanza a quien no está en el Perú pero ofrece bienes o servicios a personas en el país o analiza su comportamiento (artículo VI). Que tu hosting esté en Estados Unidos no te saca de la norma. Para el contexto general, lee qué dice la Ley 29733 y cómo te afecta.

Aviso y política de privacidad

El artículo 18 de la Ley permite cumplir el deber de informar en línea con una política de privacidad «fácilmente accesible e identificable». El artículo 6.1 del reglamento fija lo mínimo que debe decir:

1. Tu identidad y domicilio (y el de tu representante, si lo hay).
2. Las finalidades.
3. Los destinatarios.
4. El banco de datos donde se guardan.
5. Qué respuestas son obligatorias y cuáles opcionales.
6. Las consecuencias de dar o negar los datos.
7. Las transferencias nacionales e internacionales.
8. Si hay decisiones automatizadas o perfilamiento.
9. El plazo de conservación.
10. Cómo ejercer los derechos ARCO.

Omitir una o dos de estas condiciones es infracción leve (artículo 132.5); tres o más, grave (artículo 133.2). Una política genérica que no menciona Google, Meta ni el hosting suele caer en el segundo grupo.

Trabaja en dos capas: un aviso corto junto a cada formulario, con enlace, y la política completa en una página enlazada desde el pie. La estructura del documento está en nuestra guía de política de privacidad para landing pages.

Consentimiento en formularios: casillas y finalidades separadas

El consentimiento válido es libre, previo, expreso e inequívoco, e informado (artículo 2). En concreto:

• Libre: no condiciones el servicio a datos que no son indispensables (artículo 3.2).
• Previo: se pide antes de recoger los datos (artículo 4).
• Expreso: una acción concreta del usuario; «hacer clic» o «dar un toque» valen (artículo 5.1).
• Informado: con los datos del artículo 6.

La solicitud debe identificar cada finalidad (artículo 1.2), y el usuario puede negarse a las adicionales sin perder el servicio principal (artículo 10.2). En la web eso significa casillas separadas y sin marcar: una para recibir publicidad y otra si compartirás datos con terceros.

Un matiz: el artículo 14, numeral 5, de la Ley exime de consentimiento los datos necesarios para preparar o ejecutar un contrato con el titular. Si alguien pide una cotización, puedes usar sus datos para responderle, informándole. Mandarle tu boletín ya es otra finalidad.

La carga de la prueba es tuya (artículo 9): guarda fecha, formulario y texto aceptado de cada contacto.

Ejemplo de formulario bien armado

Ejemplo ilustrativo: una ferretería de Arequipa con formulario de cotización.

• Campos: nombre, celular, correo y producto. Sin DNI ni fecha de nacimiento.
• Bajo el botón: «Usaremos tus datos para responder tu cotización. Revisa nuestra política de privacidad», con enlace.
• Casilla opcional sin marcar: «Acepto recibir ofertas por correo y WhatsApp».
• Registro de cada envío con fecha, hora y versión del texto.

Para pedir menos campos sin perder calidad, revisa cómo diseñar formularios que la gente sí complete. Si tratas datos sensibles (salud, biometría), el consentimiento debe ser por escrito, con firma manuscrita, digital o electrónica, o una modalidad equivalente (artículo 8). Clínicas y consultorios deberían revisarlo con un abogado.

Cookies, Google Analytics y píxeles de Meta

El reglamento no tiene un artículo específico sobre cookies. Sí incluye los identificadores en línea entre los datos personales (artículo III.4) y se aplica a quien analiza el comportamiento de personas en el Perú o elabora perfiles (artículo VI.3.2). Una cookie de sesión o de carrito no identifica a nadie. Un píxel de Meta o una etiqueta de remarketing que sigue al visitante para mostrarle anuncios encaja mejor en esa definición.

Como la ANPD todavía no ha publicado una guía sobre cookies, nuestra recomendación es aplicar el mismo estándar de consentimiento previo:

• Banner con opciones de aceptar, rechazar y configurar, con el rechazo igual de visible.
• Bloqueo real de etiquetas de analítica y publicidad hasta que el visitante acepte.
• Sección de cookies en la política que nombre cada herramienta (GA4, píxel de Meta, Google Ads).
• Enlace «Configurar cookies» en el pie para cambiar la elección.

En Google Tag Manager, el modo de consentimiento de Google condiciona las etiquetas a esa elección; lo explicamos en Google Tag Manager para landing pages. El costo: GA4 registrará menos visitas.

Transferencia internacional: Google, Meta y hosting

Casi toda web envía datos fuera del país: hosting en Estados Unidos, Gmail, audiencias de Meta. Eso es flujo transfronterizo según el artículo III.15. La norma pide:

• Informarlo al titular (artículos 1.4 y 6.1).
• Que el país receptor tenga protección adecuada o que des garantías, como cláusulas contractuales (artículos 18 y 20). Archiva los términos de tratamiento de datos de Google, Meta y tu hosting.
• Comunicar el flujo a la ANPD para inscribirlo en el Registro Nacional (artículo 21.2). No hacerlo es infracción leve (artículo 132.8).

La Ley (artículo 15) exceptúa algunos flujos, como los necesarios para ejecutar un contrato o los consentidos. Pero el artículo 21.2 exige la comunicación «en cualquier caso», así que lo prudente es declararlos. Además, tus proveedores no pueden quedarse con tus bases y deben eliminar los datos al terminar el servicio (artículos 29 y 30).

Registro de bancos de datos ante la ANPD

Crear, modificar o cancelar un banco de datos obliga a inscribirlo en el Registro Nacional de Protección de Datos Personales (artículo 42). Una web típica tiene al menos un banco de clientes o contactos, y otro de postulantes si recibe CV. La inscripción es gratuita (artículo 43.3) y de aprobación automática (artículo 45.2); se tramita ante la Autoridad Nacional de Protección de Datos Personales. No inscribir es leve (artículo 132.4) y se vuelve grave si la ANPD lo requiere y no cumples (artículo 133.13).

Derechos ARCO: canal y plazos

Necesitas un procedimiento sencillo (artículo 67.1) y gratuito (artículo 67.3), y puedes usar tus canales de atención habituales (artículo 65). Plazos máximos, en días hábiles (artículo III.8):

• Información: 8 días (artículo 69.1).
• Acceso: 20 días (artículo 69.2).
• Rectificación, cancelación u oposición: 10 días (artículo 69.3).

Salvo el de información, se pueden ampliar una vez por un plazo igual, justificándolo (artículo 71). En la web basta un correo dedicado o un formulario ARCO indicado en la política. Atender tarde es leve (artículo 132.7); no atender, grave (artículo 133.1).

Medidas de seguridad mínimas

El artículo 46 menciona expresamente a los sitios web y exige tener documentado e implementado:

• Gestión de accesos y privilegios, revisados al menos cada semestre.
• Registros de quién accede y qué hace con los datos, conservados mínimo dos años.
• Controles para que personal no autorizado no copie las bases.

Se suman un documento de seguridad aprobado, con fecha cierta e inventario de datos (artículo 47), y backups al menos semanales con verificación de integridad (artículo 51). La parte técnica está en seguridad de datos personales en Perú.

WhatsApp Business y listas de difusión

La publicidad requiere consentimiento obtenido directamente del titular (artículo 26.1). Se permite un primer contacto para pedirlo; si no aceptan, no puedes volver a escribirles (artículo 26.2). La baja debe ser sencilla, gratuita, no más complicada que la suscripción y atendida en máximo 10 días hábiles (artículo 26.5). En una lista de difusión:

• Agrega solo a quienes marcaron la casilla de ofertas o lo pidieron por escrito.
• Guarda evidencia del permiso.
• Incluye una salida clara («responde BAJA») y cúmplela.

Las políticas de WhatsApp Business también exigen permiso del usuario, así que incumplir puede costarte además el número.

Otro punto: el artículo 46, numeral 4, exige que las apps de mensajería y cuentas no institucionales usadas con datos estén «debidamente aprobadas y formalmente establecidas». Si tus vendedores atienden desde su WhatsApp personal, déjalo por escrito o centraliza la atención; aquí explicamos cómo conectar tu landing page con WhatsApp Business API.

Incidentes de seguridad: 48 horas

Si un incidente expone grandes volúmenes de datos, afecta a muchas personas, involucra datos sensibles o causa un perjuicio evidente, debes notificarlo a la ANPD como máximo dentro de las 48 horas de conocerlo; si tardas más, explica por qué (artículo 34.1). Si afecta a los titulares, también debes avisarles en 48 horas (artículo 34.3). Si ocurre en el entorno digital, se notifica además al Centro Nacional de Seguridad Digital (artículo 34.5). Todo incidente se documenta (artículo 35), y no notificar cuando corresponde es grave (artículo 133.12).

Ejemplo: un plugin de formularios vulnerable expone 3,000 consultas. Tu hosting o programador debe avisarte de inmediato (artículo 36), y desde que lo sabes corre tu plazo.

Oficial de datos personales: ¿lo necesitas?

En el sector privado, el artículo 37.1 lo exige a quienes tratan grandes volúmenes de datos, afectan a muchas personas o tratan datos sensibles, y a quienes tienen el tratamiento de datos sensibles como actividad principal. Una ferretería con 800 contactos probablemente no está obligada; una cadena de clínicas, sí.

Para precisar qué es «gran volumen», la ANPD aprobó una directiva (Resolución Directoral 100-2025-JUS/DGTAIPD) con criterios como el número de titulares, el tipo de dato y el riesgo, según la nota del MINJUSDH del 31 de diciembre de 2025, que añade que busca no sobrecargar a las MYPEs sin tratamientos intensivos. El oficial puede ser alguien de tu equipo o un externo (artículo 38.2); su contacto se publica (artículo 37.4) y se comunica a la ANPD en 15 días (artículo 37.5).

Multas en 2026

La escala está en el artículo 39 de la Ley 29733. Con la UIT 2026 de S/ 5,500 (D.S. 301-2025-EF):

La multa no puede superar el 10 % de tus ingresos brutos del ejercicio anterior (artículo 39 de la Ley), y si pagas sin apelar tienes 40 % de descuento (artículo 127). Según el MINJUSDH, la graduación sigue la metodología de la Resolución Ministerial 476-2025-JUS. Al ser sanciones, no llevan IGV.

Obligación → qué hacer en tu web

Checklist para WordPress

Si tienes tienda, complementa con cómo proteger los datos de clientes de tu tienda online.

• Formularios: en Contact Form 7 usa la etiqueta [acceptance]; en WPForms, Fluent Forms, Gravity Forms o Elementor Pro, el campo de consentimiento o aceptación. Una casilla por finalidad, sin marcar.
• Datos guardados: revisa dónde quedan los envíos (base de datos, correo, CRM) y borra los que superen tu plazo de conservación.
• Cookies: instala un gestor de consentimiento (por ejemplo, Complianz o CookieYes) y prueba en incógnito que GA4 y el píxel no se disparan antes de aceptar.
• Accesos: doble factor para administradores y baja de cuentas de exempleados.
• Registro de actividad: un plugin como WP Activity Log, con retención de dos años.
• Backups: semanales como mínimo, fuera del servidor y con prueba de restauración.
• Documentos: política con los 10 puntos del artículo 6, documento de seguridad y protocolo de incidentes.
• Trámites: bancos de datos y flujo transfronterizo comunicados a la ANPD.

Adecuar una web no exige rehacerla. En KOM desarrollamos páginas web en WordPress con consentimiento, banner de cookies y formularios configurados según la Ley 29733; si tu sitio actual necesita ajustes, podemos revisarlo contigo y priorizar qué cambiar primero.

Preguntas frecuentes

¿Una persona natural con negocio (RUC 10) también debe cumplir el reglamento?

Sí. El reglamento se aplica al tratamiento de datos personales que hagan personas naturales, empresas y entidades públicas, sin importar su tamaño (artículo IV). La única excepción es el uso exclusivamente doméstico o familiar (artículo V). Si vendes por tu web o por WhatsApp y guardas datos de clientes, debes informar, pedir consentimiento para publicidad e inscribir tu banco de datos. Lo que sí depende del tamaño es el calendario del oficial de datos personales.

¿Puedo enviar promociones a los clientes que ya tenía antes del nuevo reglamento?

Depende de cómo obtuviste sus datos. Si en su momento aceptaron recibir publicidad de forma informada y puedes probarlo, en principio puedes seguir usando esa base. Si solo te dejaron sus datos para comprar o cotizar, el artículo 26 exige consentimiento directo para publicidad. Puedes hacer un único primer contacto para pedirlo; si no aceptan, no puedes volver a escribirles con fines comerciales.

¿Basta con poner «al enviar aceptas la política de privacidad»?

Para responder una consulta o cotización, normalmente sí, porque esos datos son necesarios para la relación precontractual (artículo 14 de la Ley) y basta con informar. Para publicidad o para compartir datos con terceros, no. Esas finalidades necesitan una acción concreta y separada, como marcar una casilla vacía (artículos 5 y 10.2). Una casilla premarcada no muestra una aceptación activa del usuario.

¿Cuánto cuesta inscribir un banco de datos ante la ANPD?

Nada. El artículo 43.3 del reglamento establece que la inscripción, su modificación y su cancelación en el Registro Nacional de Protección de Datos Personales son gratuitas, y el artículo 45.2 dispone que el procedimiento es de aprobación automática. El trámite se hace con el formulario de la Autoridad Nacional de Protección de Datos Personales en gob.pe. Lo que sí toma tiempo es preparar bien la información de cada banco.

¿Quién responde si mi agencia o mi programador maneja los datos de mis formularios?

Tú sigues siendo el responsable frente a tus clientes y a la ANPD. Tu agencia, tu hosting o tu programador actúan como encargados: deben guardar confidencialidad, no pueden quedarse con tus bases y deben avisarte de inmediato si hay un incidente (artículos 29, 30 y 36). Conviene firmar un contrato o cláusula de encargo de tratamiento y limitar sus accesos al mínimo necesario.

Este contenido es informativo y no reemplaza la asesoría legal.