Política de privacidad: modelo y qué debe incluir (Ley 29733)

Si tu web tiene un formulario de contacto, una tienda online o un boletín, estás recogiendo datos personales — y necesitas una política de privacidad. No es un simple texto de relleno: es una obligación de la Ley 29733 y la base para obtener un consentimiento válido. Aquí te explicamos qué debe incluir y te dejamos un modelo descargable.

Qué es una política de privacidad

Es el documento mediante el cual tu empresa — como titular del banco de datos — informa de manera clara y accesible qué datos personales recoge, con qué finalidad, por cuánto tiempo, con qué medidas de seguridad y cómo la persona puede ejercer sus derechos. Es el cumplimiento, por escrito, del deber de información que impone la ley.

Por qué tu empresa la necesita

La Ley N° 29733 exige que, antes de tratar datos personales, informes a la persona y obtengas su consentimiento. La política de privacidad es la herramienta para cumplir ese deber: sin ella, el consentimiento que recojas puede ser inválido y tu empresa queda expuesta a una sanción de la ANPDP. Además, da confianza a tus clientes.

Qué debe incluir una política de privacidad

El artículo 6 del reglamento fija diez puntos que hay que informar al titular cuando recoges sus datos. Estos son, y conviene que tu política los cubra todos:

• Quién es el responsable: identidad y domicilio de tu empresa, con el canal para revocar el consentimiento o ejercer derechos.
• La finalidad o finalidades del tratamiento.
• Los destinatarios: quiénes son o pueden ser.
• La existencia e identificación del banco de datos donde se almacenan.
• Si responder es obligatorio o facultativo. Este suele faltar: hay que decir qué campos son necesarios y cuáles no.
• Las consecuencias de dar los datos y de negarse a darlos.
• Las transferencias nacionales e internacionales, si las hay.
• Las decisiones automatizadas y la elaboración de perfiles, si las usas. También suele faltar, y alcanza a cualquier segmentación o puntuación automática.
• El plazo de conservación de los datos.
• Los mecanismos para ejercer los derechos.

A esto se suma declarar la base que legitima cada finalidad por separado: no es lo mismo tratar datos porque la persona consintió que porque lo exige una norma tributaria o porque hace falta para ejecutar un contrato.

Modelo de política de privacidad

Adapta este modelo a tu empresa y a los datos que realmente tratas. Para webs con cookies, marketing o pagos, conviene una versión más completa revisada por un abogado.

Qué cambió con el reglamento de 2024

El reglamento vigente es el Decreto Supremo N° 016-2024-JUS, que entró en vigor el 30 de marzo de 2025 y reemplazó al de 2013. Si tu política se redactó antes de esa fecha y no se ha revisado, es muy probable que le falte lo siguiente.

• Dos derechos nuevos. A los clásicos ARCO (acceso, rectificación, cancelación y oposición) se suman la portabilidad —recibir tus datos en un formato que otra empresa pueda leer y pedir que se los envíen— y la desindexación, que permite pedir que los datos dejen de aparecer en buscadores. Una política que no los menciona quedó desactualizada.
• Más cosas son datos personales. El reglamento incluye expresamente los datos de ubicación y los identificadores en línea. Si tu web usa cookies, analítica o registra IPs, estás tratando datos personales aunque nunca pidas un nombre.
• Oficial de Datos Personales. Según el artículo 37, designarlo es obligatorio para las entidades públicas, para quienes tratan grandes volúmenes de datos y para quienes tienen como actividad principal el tratamiento de datos sensibles. Cuando corresponde, sus datos de contacto deben ser públicos y hay que comunicar la designación a la autoridad.
• Incidentes de seguridad: 48 horas. El artículo 34 obliga a notificar a la ANPDP dentro de las 48 horas de haber tomado conocimiento del incidente, y a comunicárselo también a las personas afectadas. El plazo corre desde que te enteras, no desde que decides qué hacer, así que conviene tener el procedimiento definido de antemano.

Nada de esto se resuelve solo publicando un texto en la web: hay que inscribir el banco de datos, firmar contratos de encargo con los proveedores que tratan datos por ti y poder acreditar cómo obtuviste cada consentimiento.

Errores frecuentes

• Copiar una política de otra empresa sin adaptar finalidades ni datos.
• No tener forma de probar el consentimiento.
• Omitir las transferencias a proveedores o servicios en el extranjero.
• No habilitar un canal para los derechos ARCO.
• No registrar el banco de datos pese a tener la política.

Conclusión

Una política de privacidad bien hecha es el primer paso visible de tu cumplimiento de la Ley 29733: informa, sustenta el consentimiento y da confianza. Pero debe reflejar lo que tu empresa realmente hace con los datos, no ser un texto copiado.

Si quieres una política a la medida de tu web y tu negocio, escríbenos: la redactamos junto con tus textos de consentimiento y el registro de tus bancos de datos.