Última actualización: septiembre 2026 Base legal: Ley N° 29733, Opinión Consultiva N° 02-2022-JUS/DGTAIPD de la ANPD Aplica a: todo sitio web que use cookies, píxeles de rastreo o tecnologías de seguimiento y tenga usuarios en territorio peruano.
Si tu página web usa Google Analytics, Meta Pixel, cualquier herramienta de remarketing o simplemente guarda preferencias del usuario en el navegador, estás usando cookies. Y en Perú, las cookies que permiten identificar o perfilar a una persona son datos personales.
Esto significa que necesitas una política de cookies, un banner de consentimiento y opciones granulares para el usuario. Aquí explicamos exactamente qué exige la ley, qué tipos de cookies necesitan permiso y qué prácticas están prohibidas.
¿Las cookies son datos personales en Perú?
Sí, cuando permiten individualizar o perfilar el comportamiento de una persona natural.
La Autoridad Nacional de Protección de Datos Personales (ANPD) lo estableció a través de la Opinión Consultiva N° 02-2022-JUS/DGTAIPD, alineándose con la interpretación que ya aplica la Unión Europea bajo el RGPD.
El criterio es funcional, no técnico. No importa si la cookie guarda un nombre o un código alfanumérico. Lo que importa es si ese identificador, solo o combinado con otros datos, permite:
- Saber quién es el usuario.
- Rastrear su comportamiento de navegación.
- Crear un perfil de sus intereses, hábitos o preferencias.
- Dirigirle publicidad personalizada.
¿Qué tecnologías están incluidas?
La interpretación de la ANPD no se limita a las cookies clásicas. Abarca cualquier tecnología de rastreo:
| Tecnología | Qué hace | ¿Es dato personal? |
|---|---|---|
| Cookies HTTP | Archivos que el sitio web almacena en el navegador del usuario | Sí, cuando permiten identificar o perfilar |
| Píxeles de rastreo (Meta Pixel, LinkedIn Insight Tag) | Imágenes invisibles que registran visitas y acciones del usuario | Sí — diseñados específicamente para perfilar |
| Device fingerprinting | Combinación de datos del dispositivo (navegador, resolución, fuentes instaladas) para crear un identificador único | Sí — permite individualizar sin cookie |
| Local Storage / Session Storage | Almacenamiento en el navegador similar a cookies pero con mayor capacidad | Sí, si almacena identificadores o datos de comportamiento |
| SDKs de terceros | Código de plataformas externas integrado en tu web (analytics, ads, chat) | Sí, si recopilan datos del usuario |
Tipos de cookies y cuáles necesitan consentimiento
No todas las cookies requieren permiso. La normativa peruana distingue cuatro categorías según su finalidad, cada una con un requisito legal diferente.
1. Cookies estrictamente necesarias (técnicas)
| Qué hacen | Ejemplos |
|---|---|
| Permiten el funcionamiento básico del sitio | Mantener la sesión del usuario activa, conservar artículos en el carrito de compras, gestionar la seguridad anti-fraude, equilibrar la carga de servidores |
¿Requieren consentimiento? → No. Están exentas porque sin ellas el sitio no funciona. Se activan por defecto.
Pero: debes informar al usuario de su existencia en tu política de cookies, aunque no necesites pedirle permiso.
2. Cookies de preferencia (funcionales)
| Qué hacen | Ejemplos |
|---|---|
| Recuerdan opciones del usuario que no son esenciales para el funcionamiento | Idioma elegido, región del usuario, tamaño de fuente, modo oscuro/claro, última búsqueda |
¿Requieren consentimiento? → Sí. El usuario debe poder aceptarlas o rechazarlas.
Importante: rechazar estas cookies no debe impedir el acceso al sitio web. Solo puede reducir la personalización de la experiencia.
3. Cookies analíticas (de medición)
| Qué hacen | Ejemplos |
|---|---|
| Miden el tráfico y el comportamiento de los usuarios de forma agregada | Google Analytics, Matomo, Hotjar (mapas de calor), herramientas de A/B testing |
¿Requieren consentimiento? → Sí, como regla general.
Existe una zona gris: si las cookies analíticas están configuradas para anonimización absoluta (sin almacenar IP completa, sin cruzar con otros datos, uso estrictamente estadístico interno), algunos argumentos doctrinales sostienen que podrían eximirse. Sin embargo, la postura conservadora —y la más segura legalmente— es pedir consentimiento siempre, porque:
- Google Analytics en su configuración por defecto no anonimiza completamente.
- La ANPD no ha emitido una exención expresa para analíticas anonimizadas.
- Si algún día te fiscalizan, «yo creía que estaba anonimizado» no es una defensa sólida.
4. Cookies publicitarias y comportamentales
| Qué hacen | Ejemplos |
|---|---|
| Perfilan los hábitos de navegación del usuario para servir publicidad dirigida | Meta Pixel (Facebook Ads), Google Ads remarketing, TikTok Pixel, LinkedIn Insight Tag, plataformas de retargeting |
¿Requieren consentimiento? → Sí, consentimiento explícito y previo. Son las de mayor riesgo para la privacidad.
Estas cookies no pueden activarse hasta que el usuario haya dado su consentimiento afirmativo. No después de que cargue la página. No mientras «decide». Antes de que se activen.
Tabla resumen
| Tipo de cookie | Consentimiento | Si el usuario rechaza… |
|---|---|---|
| Estrictamente necesarias | No requerido | No se pueden rechazar (son esenciales) |
| De preferencia | Sí | El sitio funciona pero pierde personalización |
| Analíticas | Sí | No se mide el tráfico de ese usuario |
| Publicitarias | Sí, explícito y previo | No se perfila ni se le muestra publicidad dirigida |
Qué está prohibido
La ANPD y los estándares internacionales que Perú ha adoptado como referencia son claros sobre las prácticas que no están permitidas.
1. Consentimiento por navegación
❌ Prohibido: interpretar que si el usuario hace scroll, hace clic en otro enlace o simplemente sigue usando la web, ha «aceptado» las cookies.
El scroll no es un acto afirmativo. La inacción no es consentimiento. Frases como «Al continuar navegando, acepta el uso de cookies» no cumplen el estándar legal.
2. Muros de cookies (cookie walls)
❌ Prohibido: bloquear el acceso total al contenido del sitio web a menos que el usuario acepte todas las cookies, incluyendo las publicitarias.
Condicionar el acceso a tu web a la aceptación de cookies de rastreo viola la libertad de elección del titular del dato. El usuario debe poder navegar el sitio aunque rechace las cookies no esenciales.
Matiz: existen debates internacionales sobre si un muro de cookies es aceptable cuando se ofrece una alternativa genuina (por ejemplo, una suscripción de pago). En Perú, la postura más segura es no implementarlos.
3. Botón de «rechazar» oculto o difícil de encontrar
❌ Prohibido: diseñar el banner de cookies de forma que la opción de aceptar sea un botón grande y colorido, mientras que la opción de rechazar sea un texto pequeño, gris, escondido en una esquina o accesible solo después de varios clics.
La opción de rechazar las cookies no esenciales debe ser tan accesible y visible como la de aceptarlas. Misma jerarquía visual.
4. Cookies activadas antes del consentimiento
❌ Prohibido: cargar cookies analíticas o publicitarias antes de que el usuario interactúe con el banner. Los scripts de Google Analytics, Meta Pixel o cualquier otra herramienta de tracking deben dispararse solo después de que el usuario haya dado su consentimiento.
Esto requiere configuración técnica: los scripts no pueden estar en el <head> del HTML cargándose automáticamente. Deben activarse condicionalmente mediante el sistema de gestión de consentimiento.
5. Casillas premarcadas
❌ Prohibido: si ofreces opciones granulares (aceptar analíticas sí/no, aceptar publicitarias sí/no), las casillas deben estar desmarcadas por defecto. El usuario las marca activamente para aceptar.
Cómo implementar un banner de cookies legal
Elementos obligatorios del banner (primera capa)
El banner es lo primero que ve el usuario. Debe ser claro, directo y funcional:
| Elemento | Qué debe decir/hacer |
|---|---|
| Información básica | «Este sitio web utiliza cookies» + breve explicación de para qué |
| Enlace a la política de cookies | Link directo al documento completo |
| Botón de aceptar | «Aceptar todas» o equivalente |
| Botón de rechazar | «Rechazar no esenciales» o equivalente — mismo nivel visual que aceptar |
| Opción de configurar | «Configurar preferencias» que abra un panel con opciones granulares |
Panel de configuración (segunda capa)
Al hacer clic en «Configurar preferencias», el usuario debe ver:
| Elemento | Detalle |
|---|---|
| Categorías de cookies | Listado por tipo: necesarias, funcionales, analíticas, publicitarias |
| Descripción de cada categoría | Qué hacen y para qué se usan, en lenguaje claro |
| Toggle o checkbox por categoría | Activar/desactivar cada tipo individualmente |
| Cookies necesarias | Marcadas y no desactivables (pero explicando por qué son esenciales) |
| Todas las demás | Desactivadas por defecto, el usuario las activa si quiere |
| Botón de guardar | «Guardar mis preferencias» |
Comportamiento técnico del banner
| Regla | Implementación |
|---|---|
| Las cookies no esenciales no se cargan hasta que el usuario acepta | Los scripts de analytics y ads se disparan condicionalmente |
| La elección del usuario se guarda | Mediante una cookie técnica de consentimiento (esta sí es necesaria y no requiere permiso) |
| El banner no reaparece en cada visita | Una vez que el usuario eligió, se respeta su decisión. El banner solo reaparece si la cookie de consentimiento expira o si cambiaron las cookies del sitio |
| El usuario puede cambiar su elección | Un enlace permanente (footer o política de cookies) permite reabrir el panel de configuración en cualquier momento |
La política de cookies: qué debe contener
Además del banner, necesitas un documento de política de cookies accesible en tu web. Puede ser una página independiente o una sección dentro de tu política de privacidad.
Contenido mínimo
1. ¿Qué son las cookies?
→ Explicación sencilla en lenguaje no técnico
2. ¿Qué cookies usamos?
→ Tabla con TODAS las cookies de tu sitio:
- Nombre de la cookie
- Proveedor (propio o de terceros)
- Finalidad
- Tipo (necesaria, funcional, analítica, publicitaria)
- Duración (sesión o persistente, con tiempo)
3. ¿Cómo gestionar tus preferencias?
→ Explicar cómo cambiar la configuración desde el banner
→ Explicar cómo desactivar cookies desde el navegador
4. Cookies de terceros
→ Identificar qué terceros instalan cookies en tu web
→ Enlazar a sus respectivas políticas de privacidad
5. Actualización de esta política
→ Fecha de última modificación
→ Cómo se notifican cambiosEjemplo de tabla de cookies
| Cookie | Proveedor | Finalidad | Tipo | Duración |
|---|---|---|---|---|
| PHPSESSID | Propio | Mantener la sesión activa del usuario | Necesaria | Sesión |
| cookieconsent_status | Propio | Guardar la preferencia de cookies del usuario | Necesaria | 12 meses |
| _ga | Google Analytics | Distinguir usuarios únicos para medir tráfico | Analítica | 2 años |
| _gid | Google Analytics | Distinguir usuarios durante 24 horas | Analítica | 24 horas |
| _fbp | Meta (Facebook) | Identificar navegadores para publicidad dirigida | Publicitaria | 3 meses |
| fr | Meta (Facebook) | Servir anuncios relevantes y medir conversiones | Publicitaria | 3 meses |
Cada sitio web tiene cookies diferentes. Esta tabla es un ejemplo. Debes auditar tu propio sitio para identificar todas las cookies que instala — incluyendo las que instalan los plugins, temas o scripts de terceros que tengas integrados.
Herramientas para implementar el banner en WordPress
Si tu sitio está en WordPress, estos plugins te ayudan a gestionar el consentimiento de cookies:
| Plugin | Qué hace | Consideración |
|---|---|---|
| Complianz | Banner configurable, bloqueo de scripts antes del consentimiento, escaneo de cookies | Versión gratuita funcional, premium con más control |
| CookieYes | Banner con opciones granulares, registro de consentimiento | Interfaz sencilla, buena para sitios pequeños |
| FLAVOR (WP Cookie Consent) | Configurable por categoría, bloqueo de scripts | Opción gratuita con funcionalidades básicas |
Advertencia importante: instalar un plugin no es suficiente para cumplir la ley. Debes:
- Configurar el bloqueo de scripts: el plugin debe impedir que Google Analytics, Meta Pixel y cualquier cookie no esencial se cargue antes del consentimiento. Muchos plugins necesitan configuración manual para esto.
- Auditar las cookies reales: el escaneo del plugin puede no detectar todas las cookies. Verifica manualmente usando las herramientas de desarrollador del navegador (DevTools → Application → Cookies).
- Redactar tu propia política de cookies: los textos genéricos del plugin no cubren las particularidades de tu sitio ni cumplen todos los requisitos de la Ley 29733.
- Diseñar el banner correctamente: asegurarte de que el botón de rechazar tenga la misma visibilidad que el de aceptar.
Errores comunes en sitios web peruanos
1. Banner solo informativo sin opción real
Muchos sitios peruanos tienen un banner que dice «Usamos cookies para mejorar tu experiencia» con un solo botón de «Aceptar» y ninguna opción de rechazar o configurar. Esto no cumple la ley.
2. Google Analytics cargando antes del consentimiento
Es el error técnico más frecuente. El script de GA está en el <head> del HTML y se ejecuta inmediatamente al cargar la página, antes de que el usuario interactúe con el banner. La cookie _ga ya se instaló — el consentimiento posterior es irrelevante.
3. Meta Pixel sin consentimiento
El mismo problema que con Analytics, pero agravado porque Meta Pixel es una cookie publicitaria que requiere consentimiento explícito y previo. Muchos sitios lo tienen activo por defecto para «no perder datos de conversión».
4. No listar las cookies reales del sitio
La política de cookies dice genéricamente «usamos cookies analíticas y publicitarias» sin identificar cuáles son, de quién son, cuánto duran ni para qué sirve cada una.
5. Cookie wall disfrazado
«Para acceder a este contenido exclusivo, acepta nuestras cookies.» Si el contenido no es verdaderamente premium con alternativa de pago, esto es un muro de cookies encubierto.
6. Cambiar la configuración es imposible
El usuario aceptó las cookies al principio pero ahora quiere revocar su consentimiento. No hay forma de hacerlo: el banner no reaparece, no hay enlace en el footer, la política de cookies no explica cómo cambiar la configuración.
Preguntas frecuentes
¿Si mi web solo usa cookies necesarias, necesito banner?
No necesitas pedir consentimiento, pero sí necesitas informar. Una política de cookies accesible que explique qué cookies técnicas usas es suficiente. El banner con opciones de aceptar/rechazar solo es necesario cuando hay cookies que requieren consentimiento.
¿Google Analytics 4 está exento por «anonimizar» datos?
No automáticamente. GA4 tiene configuraciones de anonimización más avanzadas que Universal Analytics, pero en su configuración por defecto sigue recopilando datos que permiten perfilar usuarios. Para argumentar exención necesitarías demostrar anonimización total y uso estrictamente estadístico interno. La recomendación segura es pedir consentimiento.
¿Puedo usar Matomo como alternativa sin consentimiento?
Matomo (antes Piwik) permite configuración de primera parte con anonimización completa de IP y sin compartir datos con terceros. En esa configuración específica, algunos doctrinarios argumentan que podría eximirse de consentimiento. Pero en Perú no hay una resolución expresa de la ANPD que confirme esta exención. La postura segura sigue siendo pedir consentimiento.
¿Cuánto tiempo dura el consentimiento de cookies?
No hay un plazo legal específico en Perú. La práctica internacional recomendada es 12 meses. Después de ese período, el banner debería reaparecer para que el usuario confirme o cambie su elección. Configura tu plugin de cookies para que la cookie de consentimiento expire en ese plazo.
¿La política de cookies es lo mismo que la política de privacidad?
No. Son documentos distintos con finalidades diferentes. La política de cookies se enfoca específicamente en las tecnologías de rastreo. Puede ser un documento separado o una sección dentro de la política de privacidad, pero su contenido no puede omitirse ni fusionarse de forma que pierda especificidad.
¿Qué pasa si no cumplo con la regulación de cookies?
Las cookies que son datos personales están protegidas por la Ley 29733. El incumplimiento se sanciona como infracción a esta ley. Dependiendo de la gravedad, las multas van de 0.5 UIT (S/ 2,750) a 100 UIT (S/ 550,000) en 2026.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales. Base legal para la regulación de cookies como datos personales.
- Opinión Consultiva N° 02-2022-JUS/DGTAIPD — Interpretación oficial de la ANPD sobre cookies, identificadores en línea y datos personales en entornos digitales.
- Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador.
Este artículo es informativo y no constituye asesoría legal. Para implementar una política de cookies conforme a la legislación peruana, consulta con un abogado especializado en protección de datos y un desarrollador web que configure correctamente el bloqueo de scripts.
¿Necesitas mejorar tu presencia digital?
Cuéntame sobre tu negocio y revisemos qué solución de diseño web, SEO o marketing puede ayudarte a crecer.