Blog

Código abierto e IA en el sector público peruano: qué dice el reglamento

Última actualización: septiembre 2026 Base legal: Ley N° 31814, Decreto Supremo N° 115-2025-PCM (Reglamento) Aplica a: entidades de la administración pública, empresas de tecnología que desarrollan soluciones para el Estado, startups de IA y desarrolladores interesados en contratación pública tecnológica.

El Reglamento de la Ley de Inteligencia Artificial en Perú no solo regula al sector privado. Incluye una disposición que puede cambiar el mercado tecnológico peruano: las entidades del Estado deben priorizar el desarrollo de sistemas de IA basados en código abierto.

Esto abre oportunidades concretas para empresas de tecnología, startups y desarrolladores que quieran trabajar con el sector público. Aquí explicamos qué dice la norma, por qué importa y qué oportunidades genera.

¿Qué dice exactamente el Reglamento?

El Decreto Supremo N° 115-2025-PCM establece que las entidades de la Administración Pública deben priorizar el desarrollo de sistemas basados en inteligencia artificial de código abierto (open source).

Los tres objetivos de esta disposición

Objetivo	Qué busca
Democratizar el ecosistema tecnológico	Que la tecnología de IA desarrollada con recursos públicos sea accesible para todos, no solo para las empresas que la construyeron
Reducir barreras de entrada para startups	Que empresas pequeñas puedan participar en el ecosistema de IA sin depender de licencias costosas o tecnología propietaria
Fomentar la interoperabilidad	Que los sistemas de IA del Estado puedan comunicarse entre sí y ser auditados, evitando la dependencia de un solo proveedor (vendor lock-in)

La limitación explícita

La norma incluye una salvaguarda importante: la priorización del código abierto debe respetar indefectiblemente la seguridad de la información. Esto significa que:

No se puede liberar código que comprometa datos sensibles del Estado o de ciudadanos.
Los componentes de seguridad críticos pueden mantenerse cerrados si su liberación genera vulnerabilidades.
La decisión de qué es «seguro» de liberar corresponde a cada entidad según su análisis de riesgos.

¿Qué significa «priorizar» código abierto?

La palabra clave es priorizar, no «obligar». La norma establece una preferencia, no un mandato absoluto:

Interpretación	Implicación práctica
Es una preferencia, no una prohibición del software propietario	Las entidades públicas pueden usar software propietario cuando el open source no cumpla los requisitos técnicos, de seguridad o de funcionalidad
Aplica al desarrollo, no solo a la adquisición	Cuando el Estado desarrolla o encarga el desarrollo de un sistema de IA, el resultado debería ser open source como regla general
Requiere justificación para elegir cerrado	Si una entidad elige software propietario sobre una alternativa open source equivalente, debería poder justificar por qué
No obliga a liberar sistemas existentes	Los sistemas de IA ya implementados antes del Reglamento no están obligados a convertirse en open source retroactivamente

¿Por qué el Estado peruano apuesta por el código abierto en IA?

La decisión no es arbitraria. Responde a problemas concretos del ecosistema tecnológico público peruano:

1. Dependencia de proveedores (vendor lock-in)

Cuando el Estado contrata un sistema de IA propietario, queda atado al proveedor original para mantenimiento, actualizaciones y soporte. Si el proveedor sube precios, degrada el servicio o desaparece, la entidad pública no puede migrar fácilmente porque no tiene acceso al código fuente.

Con software propietario	Con software open source
Solo el proveedor puede mantener el sistema	Cualquier empresa calificada puede dar mantenimiento
Cambiar de proveedor implica reconstruir desde cero	Cambiar de proveedor es viable porque el código está disponible
El Estado paga licencias recurrentes	El Estado invierte en desarrollo y el resultado queda como activo público
Si el proveedor quiebra, el sistema queda huérfano	El código sobrevive al proveedor

2. Transparencia y auditoría algorítmica

La Ley 31814 exige que los sistemas de IA del Estado sean transparentes y auditables. Con código abierto, esto es inherente:

Aspecto	Código cerrado	Código abierto
¿Se puede auditar el algoritmo?	Solo si el proveedor lo permite	Sí — cualquiera puede revisar el código
¿Se puede verificar si hay sesgos?	Depende del proveedor	Sí — investigadores y sociedad civil pueden analizar
¿Se puede entender cómo toma decisiones?	Caja negra	Transparente
¿Cumple con la supervisión humana exigida por la ley?	Difícil de verificar internamente	Verificable por diseño

3. Costo a largo plazo

El argumento económico es especialmente relevante para un país donde el presupuesto público de tecnología es limitado:

Inversión	Software propietario	Software open source
Costo inicial	Licencia + implementación	Solo implementación y desarrollo
Costo recurrente	Licencias anuales + soporte exclusivo	Soporte competitivo (múltiples proveedores)
Escalabilidad	Cada nueva instancia = nueva licencia	Sin costo de licencia por escalar
Reutilización	Prohibida sin nueva licencia	Una entidad puede compartir con otra sin costo

4. Inclusión del ecosistema local

Las startups y pymes tecnológicas peruanas tienen dificultad para competir contra grandes corporaciones internacionales en licitaciones de software propietario. El código abierto nivela el campo:

Una startup puede contribuir a un proyecto open source del Estado sin necesidad de tener la infraestructura de una multinacional.
El conocimiento generado queda en el país, no se exporta con el proveedor.
Desarrolladores peruanos pueden especializarse en los sistemas del Estado y ofrecer servicios de mantenimiento y mejora.

Oportunidades para empresas de tecnología

La disposición de código abierto crea oportunidades concretas en el mercado de contratación pública tecnológica:

1. Desarrollo de sistemas de IA para el Estado

Oportunidad	Detalle
Qué	Diseñar, desarrollar e implementar sistemas de IA para entidades públicas
Diferencial	El resultado será open source — tu ventaja competitiva está en la capacidad de ejecución, no en la propiedad del código
Para quién	Empresas de desarrollo de software, consultoras de IA, equipos especializados en machine learning
Cómo acceder	A través de procesos de contratación pública (OSCE, SEACE)

2. Mantenimiento y soporte de sistemas existentes

Oportunidad	Detalle
Qué	Mantener, actualizar y dar soporte a sistemas de IA open source ya implementados por el Estado
Diferencial	Como el código es abierto, no necesitas ser el proveedor original para dar mantenimiento
Para quién	Empresas de soporte técnico, consultoras, freelancers especializados
Ventaja	Múltiples proveedores pueden competir por el contrato de soporte, lo que baja costos para el Estado y abre mercado

3. Consultoría y auditoría de IA

Oportunidad	Detalle
Qué	Auditar sistemas de IA del Estado para verificar cumplimiento de la Ley 31814 (sesgos, transparencia, supervisión humana)
Diferencial	La Ley 31814 exige evaluaciones de impacto y auditorías — el Estado necesita quién las haga
Para quién	Consultoras de tecnología, firmas de auditoría, especialistas en ética de IA
Demanda	Creciente — conforme avancen los plazos de adecuación sectorial (sept. 2026 en adelante)

4. Contribución a proyectos open source del Estado

Oportunidad	Detalle
Qué	Contribuir directamente a repositorios de código abierto de proyectos de IA del Estado
Diferencial	Visibilidad, reputación técnica y posicionamiento como experto en el ecosistema
Para quién	Desarrolladores individuales, startups, comunidades tech
Modelo	Similar a cómo funciona la contribución a proyectos open source internacionales, pero con impacto directo en servicios públicos peruanos

5. Capacitación y formación

Oportunidad	Detalle
Qué	Capacitar a funcionarios públicos en el uso, gestión y supervisión de sistemas de IA
Diferencial	La Ley 31814 exige supervisión humana — los funcionarios necesitan entender lo que supervisan
Para quién	Empresas de capacitación, universidades, consultoras
Demanda	Alta — el cronograma de adecuación genera urgencia de formación en los sectores prioritarios

Cronograma: cuándo se activan las oportunidades

Las oportunidades se alinean con el cronograma de adecuación sectorial de la Ley 31814:

Sector	Fecha de adecuación	Oportunidades
Salud, Educación, Justicia, Seguridad, Economía y Finanzas	10 sept. 2026	Ya deben estar implementando — demanda inmediata de desarrollo, auditoría y capacitación
Transporte, Comercio y Trabajo	10 sept. 2027	En fase de planificación — oportunidad de consultoría y desarrollo
Producción, Agricultura, Energía y Minería	10 sept. 2028	En fase temprana — oportunidad de posicionamiento
Todos los demás	10 sept. 2029	Mercado en expansión

Los sectores con fecha más cercana son los que tienen mayor urgencia y, por lo tanto, mayor disposición a contratar.

Ejemplos de sistemas de IA en el sector público donde aplica

Sector	Posible sistema de IA	Clasificación de riesgo
Salud	Triaje automatizado en centros de salud, análisis de imágenes médicas, predicción de brotes epidemiológicos	Riesgo alto — supervisión humana obligatoria
Educación	Plataformas de aprendizaje adaptativo, detección temprana de deserción escolar, calificación asistida	Riesgo alto
Justicia	Análisis predictivo de carga judicial, asistentes para búsqueda de jurisprudencia	Riesgo alto
Economía y Finanzas	Detección de fraude tributario, análisis de riesgo fiscal, chatbots de atención al contribuyente	Riesgo alto a aceptable
Transporte	Optimización de rutas de transporte público, análisis de siniestralidad vial	Riesgo alto a aceptable
Agricultura	Predicción de cosechas, detección de plagas por imágenes satelitales, gestión de recursos hídricos	Riesgo aceptable a alto
Seguridad	Análisis de patrones delictivos, videovigilancia inteligente	Riesgo alto — potencialmente prohibido si involucra reconocimiento facial para inferir datos sensibles

Todos estos sistemas, bajo el Reglamento, deberían ser desarrollados priorizando el código abierto.

Marco de contratación pública para tecnología

Las contrataciones del Estado peruano se rigen por la Ley de Contrataciones del Estado y el sistema SEACE (Sistema Electrónico de Contrataciones del Estado). Para empresas tech interesadas:

Aspecto	Detalle
Dónde se publican las licitaciones	SEACE (seace.gob.pe)
Quién puede participar	Personas naturales y jurídicas inscritas en el Registro Nacional de Proveedores (RNP)
Requisito básico	Inscripción en el RNP administrado por el OSCE
Tipos de procedimiento	Licitación pública, concurso público, adjudicación simplificada, contratación directa (según montos)
Consideración especial para startups	La ley de contrataciones contempla mecanismos para fomentar la participación de micro y pequeñas empresas

Desafíos y consideraciones

La priorización del código abierto no está exenta de retos:

Desafío	Detalle
Seguridad vs. transparencia	Algunos componentes de sistemas críticos (seguridad nacional, datos clasificados) pueden requerir mantenerse cerrados. La norma lo permite, pero la línea entre «necesario por seguridad» y «excusa para no compartir» puede ser difusa.
Calidad del código abierto	Que el código sea abierto no garantiza que sea bueno. Se necesitan estándares de calidad, documentación y mantenibilidad.
Sostenibilidad a largo plazo	Un proyecto open source sin comunidad activa ni presupuesto de mantenimiento puede quedar abandonado. El Estado debe planificar el soporte continuo.
Propiedad intelectual del proveedor	Si una empresa desarrolla un sistema para el Estado, ¿quién tiene los derechos? La disposición de código abierto implica que el código se libera, pero los términos específicos deben pactarse contractualmente.
Resistencia institucional	Cambiar la cultura de contratación pública de «comprar licencias» a «invertir en desarrollo open source» requiere tiempo y capacitación.
Capacidad técnica interna	Las entidades públicas necesitan personal técnico capaz de evaluar, supervisar y mantener sistemas open source. No todas lo tienen.

Preguntas frecuentes

¿Esto significa que todo el software del Estado será open source?

No. La norma establece una priorización, no una obligación absoluta. El software propietario sigue siendo una opción válida cuando el open source no cumple los requisitos técnicos, funcionales o de seguridad. Pero la carga de justificación se invierte: ahora hay que justificar por qué no se elige open source, no al revés.

¿Las empresas que desarrollan para el Estado pierden su propiedad intelectual?

Depende del contrato. Si el sistema se desarrolla como open source, el código se libera bajo una licencia abierta — lo que significa que la empresa no puede impedir que otros lo usen. Pero la empresa conserva la autoría, la reputación técnica y puede ofrecer servicios de valor agregado (soporte, personalización, capacitación) sobre el código liberado. El modelo de negocio cambia de «vender licencias» a «vender servicios».

¿Qué licencias open source se usarían?

El Reglamento no especifica una licencia particular. Las más comunes en proyectos de gobierno a nivel internacional son MIT, Apache 2.0 y GPL. La elección depende de cada proyecto y de si se quiere permitir uso comercial sin restricciones (MIT, Apache) o exigir que las modificaciones también sean abiertas (GPL).

¿Esto aplica a los gobiernos regionales y municipales?

Sí. La Administración Pública incluye todos los niveles de gobierno: central, regional y local. Un municipio que desarrolle un sistema de IA para gestión de trámites debería priorizar el código abierto igual que un ministerio.

¿Puedo como ciudadano pedir acceso al código de un sistema de IA del Estado?

Si el sistema fue desarrollado como open source conforme a la norma, el código debería ser accesible. Si no está publicado, podrías solicitarlo a través de los mecanismos de transparencia y acceso a la información pública (Ley 27806). La disposición de código abierto refuerza el derecho de los ciudadanos a conocer cómo funcionan los algoritmos que el Estado usa para tomar decisiones que los afectan.

¿Hay países que ya implementan esto?

Sí. Varios gobiernos han adoptado políticas de código abierto para tecnología pública. La Unión Europea tiene directrices de open source para instituciones comunitarias, Estonia publica gran parte de su infraestructura digital como open source, y Brasil, Uruguay y Argentina tienen políticas similares en distintos niveles de implementación. Perú se suma a esta tendencia con un enfoque específico en IA.

Referencias legales

Ley N° 31814 — Ley que promueve el uso de la Inteligencia Artificial en favor del desarrollo económico y social del país.
Decreto Supremo N° 115-2025-PCM — Reglamento de la Ley 31814. Establece la priorización del código abierto para sistemas de IA en la Administración Pública.
Secretaría de Gobierno y Transformación Digital (SGTD-PCM) — Organismo rector de la política de gobierno digital y fiscalizador de la Ley 31814.
Ley de Contrataciones del Estado — Marco general de contratación pública para proveedores de tecnología.
SEACE — Sistema Electrónico de Contrataciones del Estado (seace.gob.pe).

Este artículo es informativo y no constituye asesoría legal. Para participar en procesos de contratación pública tecnológica o desarrollar sistemas de IA para el Estado, consulta con un abogado especializado en contrataciones del Estado y un profesional de tecnología.

septiembre 28, 2026

Registro de Bancos de Datos Personales en Perú: cómo inscribirte ante la ANPD

Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: toda persona natural con actividad empresarial o persona jurídica que recopile y almacene datos personales de forma organizada, incluyendo sitios web, aplicaciones, tiendas online y plataformas digitales.

Si tu sitio web tiene una base de datos de clientes, una lista de suscriptores o un registro de usuarios, tienes un Banco de Datos Personales. Y en Perú, ese banco debe estar inscrito ante la ANPD.

Lo que sorprende a muchos: no registrarlo es una infracción autónoma. Te pueden multar por el solo hecho de no tenerlo inscrito, aunque nunca hayas tenido un problema con los datos de tus usuarios.

Aquí explicamos qué es un banco de datos, cómo registrarlo y qué pasa si no lo haces.

¿Qué es un Banco de Datos Personales?

Es cualquier conjunto organizado de datos personales, sea automatizado (base de datos digital) o no (archivos físicos), que permita el acceso a los datos según criterios determinados.

No es un concepto técnico sofisticado. Si tienes datos de personas organizados de alguna forma — en una tabla, en un CRM, en un Excel, en la base de datos de tu web — tienes un banco de datos personales.

Ejemplos comunes en sitios web

Banco de datos	Qué contiene	Dónde suele estar
Clientes	Nombre, email, teléfono, dirección, historial de compras, datos de pago	Base de datos de WooCommerce, Shopify, tu ERP
Suscriptores de newsletter	Nombre, email, preferencias de contenido	Mailchimp, Brevo, ActiveCampaign, base de datos local
Usuarios registrados	Nombre, email, contraseña (hasheada), datos de perfil	Base de datos de WordPress, tu app
Leads / contactos	Nombre, email, teléfono, empresa, mensaje	CRM (HubSpot, Pipedrive), formularios de contacto
Libro de Reclamaciones	Nombre, DNI, dirección, teléfono, email, detalle del reclamo	Sistema del Libro de Reclamaciones Virtual
Empleados	Nombre, DNI, dirección, datos bancarios, información laboral	Planilla, sistema de RRHH
Proveedores	Nombre/razón social, RUC, datos de contacto, datos bancarios	ERP, Excel, sistema contable

¿Cuántos bancos tienes? Probablemente más de los que crees. Cada conjunto organizado con finalidad diferente puede ser un banco distinto. Una empresa típica con web y e-commerce puede tener 3 a 5 bancos: clientes, suscriptores, leads, empleados y proveedores.

¿Es obligatorio registrarlo?

Sí. La Ley 29733 obliga a toda persona jurídica o persona natural con actividad empresarial que administre bancos de datos personales a inscribirlos ante el Registro Nacional de Protección de Datos Personales, administrado por la ANPD.

¿Qué pasa si no lo registro?

Consecuencia	Detalle
Infracción autónoma	El solo hecho de operar sin registro es una infracción, independiente de cualquier otro incumplimiento
No necesitan quejarse	No requiere que un usuario presente denuncia — la ANPD puede detectarlo de oficio
Multa	Infracción grave: 5 a 50 UIT = S/ 27,500 — S/ 275,000 en 2026
Agravante en otros procedimientos	Si la ANPD te investiga por otra razón (brecha, consentimiento inválido) y descubre que además no tienes bancos registrados, es una infracción adicional

¿Por qué es infracción «autónoma»?

Porque se sanciona por sí misma, sin necesidad de que haya ocurrido otro problema. No necesitas haber filtrado datos, no necesitas haber negado un derecho ARCO, no necesitas haber recibido una queja. Si recopilas datos y no registraste el banco, ya estás en infracción.

Es similar al Libro de Reclamaciones: te multan por no tenerlo, aunque nadie haya querido usarlo.

¿Dónde y cómo se registra?

Entidad responsable

Dato	Detalle
Organismo	Autoridad Nacional de Protección de Datos Personales (ANPD)
Dependencia	Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales — Ministerio de Justicia y Derechos Humanos
Registro	Registro Nacional de Protección de Datos Personales
Modalidad	Trámite que puede iniciarse en línea a través de la plataforma del Estado peruano

Proceso general de inscripción

Paso	Acción	Detalle
1	Identificar tus bancos de datos	Listar todos los conjuntos de datos personales que administras, por finalidad
2	Preparar la información requerida	Completar los datos de cada banco según el formulario de la ANPD
3	Presentar la solicitud	A través de la plataforma en línea o en mesa de partes del Ministerio de Justicia
4	Recibir la inscripción	La ANPD revisa y registra. El registro es público.
5	Mantener actualizado	Si cambian las características del banco, debes actualizar la inscripción

¿Qué información debes declarar en el registro?

Para cada banco de datos que inscribas, debes proporcionar:

Datos del responsable

Campo	Qué declarar
Razón social o nombre	De la empresa o persona natural titular del banco
RUC	Registro Único de Contribuyente
Domicilio legal	Dirección fiscal
Representante legal	Nombre y documento de identidad
Datos de contacto	Email y teléfono del responsable de los datos

Datos del banco

Campo	Qué declarar	Ejemplo
Nombre del banco	Denominación que identifica al banco	«Banco de datos de clientes e-commerce»
Finalidad	Para qué se recopilan y usan los datos	«Gestión de pedidos, envío de productos, facturación»
Tipo de datos	Categorías de datos almacenados	Identificativos, de contacto, económicos, de navegación
Datos sensibles	Si contiene datos de categoría especial	Datos de salud, biometría, opiniones políticas (si aplica)
Origen de los datos	Cómo se obtienen	Formulario web, proceso de compra, suscripción voluntaria
Procedimiento de obtención	Mecanismo de consentimiento	Checkbox activo en formulario de registro
Destinatarios	Con quién se comparten los datos	Hosting (AWS), email marketing (Mailchimp), pasarela de pago (Stripe)
Transferencia internacional	Si los datos salen del Perú	Sí — Estados Unidos (AWS, Mailchimp, Stripe)
Medidas de seguridad	Controles implementados	SSL/TLS, cifrado de base de datos, controles de acceso por roles
Tiempo de conservación	Cuánto tiempo se almacenan	Mientras dure la relación comercial + 4 años (obligación tributaria)
Soporte del banco	Tipo de almacenamiento	Automatizado (base de datos digital)

¿Cuántos bancos debo registrar?

Depende de cuántos conjuntos organizados de datos con finalidades distintas tengas. La regla general: un banco por cada finalidad principal.

Modelo para un e-commerce típico

Banco	Finalidad	Datos principales
Clientes	Gestión de pedidos, envíos, facturación, soporte post-venta	Nombre, email, teléfono, dirección, historial de compras, datos de facturación
Suscriptores	Envío de newsletters y comunicaciones comerciales	Nombre, email, preferencias
Leads	Gestión de consultas y prospectos comerciales	Nombre, email, teléfono, mensaje, origen
Libro de Reclamaciones	Atención de quejas y reclamos del consumidor	Nombre, DNI, dirección, teléfono, email, detalle del reclamo

Modelo para una empresa de servicios con web

Banco	Finalidad	Datos principales
Clientes	Prestación de servicios, facturación, soporte	Nombre, email, teléfono, datos de facturación, historial de servicios
Leads	Gestión de consultas comerciales	Nombre, email, teléfono, empresa, mensaje
Empleados	Gestión laboral, planilla, obligaciones legales	Nombre, DNI, dirección, datos bancarios, información laboral
Proveedores	Gestión de pagos y relación comercial	Razón social, RUC, datos de contacto, datos bancarios

¿Puedo agrupar todo en un solo banco?

Técnicamente puedes, pero no es recomendable. Agrupar datos con finalidades diferentes en un solo banco dificulta la gestión de consentimientos (el usuario que aceptó comprar no necesariamente aceptó recibir newsletters) y complica las solicitudes ARCO. La ANPD recomienda la separación por finalidad.

Actualización del registro

El registro no es un trámite que haces una vez y olvidas. Debes mantenerlo actualizado cuando cambien las características del banco:

Cambio	¿Debo actualizar?
Cambié de hosting (de servidor peruano a AWS)	Sí — nuevo destinatario y/o nueva transferencia internacional
Agregué Mailchimp para newsletters	Sí — nuevo destinatario + transferencia internacional + posible nuevo banco (suscriptores)
Amplié las finalidades del tratamiento (ahora también hago remarketing)	Sí — nueva finalidad
Cambié de pasarela de pago	Sí — nuevo destinatario
Eliminé un banco de datos (dejé de recopilar ciertos datos)	Sí — cancelación del banco en el registro
Cambié las medidas de seguridad	Sí — actualizar la declaración de medidas
Cambié de razón social o domicilio	Sí — datos del responsable

La regla práctica: cada vez que algo cambie en tu respuesta a «qué datos tengo, para qué los uso, con quién los comparto, dónde están y cómo los protejo», actualiza el registro.

Relación entre el registro y otras obligaciones

El registro de bancos de datos no es un trámite aislado. Se conecta con todas las demás obligaciones de protección de datos:

Obligación	Conexión con el registro
Política de Privacidad	Lo que declaras en el registro debe ser coherente con lo que dice tu política de privacidad. Si tu política dice que solo usas los datos para envíos pero el registro declara finalidad publicitaria, hay una inconsistencia que la ANPD detecta.
Consentimiento	El consentimiento que obtienes de los usuarios debe cubrir las finalidades declaradas en el registro.
Derechos ARCO	Cuando un usuario ejerce un derecho ARCO, debes poder identificar en cuáles de tus bancos registrados están sus datos.
Flujo transfronterizo	Si declaraste transferencia internacional en el registro, debe estar reflejada en tu Política de Privacidad y cubierta por el consentimiento.
Brechas de seguridad	Si sufres una brecha, la ANPD verificará si el banco afectado estaba registrado y si las medidas de seguridad declaradas eran reales.

Coherencia es clave. La ANPD cruza la información del registro con tu Política de Privacidad, tus formularios de consentimiento y la realidad operativa de tu web. Las inconsistencias generan preguntas, y las preguntas generan fiscalizaciones.

Errores comunes en el registro

1. No saber que debes registrar

El error más frecuente. Muchas empresas peruanas con presencia digital desconocen la obligación. Creen que «protección de datos» es algo que solo aplica a grandes corporaciones o al sector salud.

2. Registrar un solo banco genérico

Declarar un único «Banco de datos de la empresa» que mezcla clientes, suscriptores, empleados y proveedores. Cada finalidad debería tener su propio banco para gestión correcta de consentimientos y derechos ARCO.

3. No actualizar cuando cambian las herramientas

Registraste el banco hace 3 años cuando usabas un hosting local. Ahora estás en AWS con Mailchimp y Stripe, pero el registro sigue igual. La declaración no refleja la realidad.

4. Declarar medidas de seguridad que no tienes

Poner «cifrado de base de datos» en el registro cuando tu base de datos está en texto plano. Ante una brecha, la ANPD verificará si las medidas declaradas eran reales. Declarar medidas falsas agrava la situación.

5. No incluir al Libro de Reclamaciones

El Libro de Reclamaciones Virtual recopila datos personales (nombre, DNI, dirección, teléfono, email). Esos datos forman un banco que también debe registrarse.

Checklist de registro

#	Acción	Estado
1	Identificar todos los conjuntos de datos personales que administras	☐
2	Clasificar por finalidad: clientes, suscriptores, leads, empleados, proveedores, reclamos	☐
3	Documentar para cada banco: qué datos contiene, cómo se obtienen, para qué se usan, con quién se comparten, dónde se almacenan	☐
4	Verificar coherencia con tu Política de Privacidad y tus formularios de consentimiento	☐
5	Registrar cada banco ante la ANPD a través de la plataforma del Estado	☐
6	Conservar el comprobante de inscripción	☐
7	Establecer un proceso interno para actualizar el registro cuando cambien las características	☐
8	Revisar anualmente que el registro refleje la realidad operativa	☐

Preguntas frecuentes

¿Si soy persona natural con negocio (RUS), también debo registrar?

Si recopilas datos personales de forma organizada como parte de tu actividad empresarial (lista de clientes en un Excel, contactos en WhatsApp Business con datos organizados), técnicamente sí. La ley aplica a toda persona natural con actividad empresarial que administre bancos de datos. En la práctica, la fiscalización de la ANPD se ha enfocado más en personas jurídicas, pero la obligación legal existe.

¿El registro es gratuito?

El trámite ante la ANPD no tiene costo de inscripción. Lo que sí tiene costo es el tiempo de preparar la información y, si contratas asesoría, los honorarios profesionales.

¿Cuánto tarda el registro?

El plazo varía según la carga de trabajo de la ANPD. Generalmente se resuelve en semanas, no meses. Lo importante es iniciar el trámite — tener la solicitud presentada demuestra diligencia.

¿El registro es público?

Sí. El Registro Nacional de Protección de Datos Personales es público. Cualquiera puede consultar qué bancos de datos tiene registrada una empresa. Esto es positivo: demuestra transparencia y cumplimiento.

¿Si uso WordPress y WooCommerce, la base de datos de WordPress es un banco?

La base de datos de WordPress como software no es un banco en sí misma. Los conjuntos de datos organizados dentro de ella sí lo son: la tabla de usuarios, los datos de pedidos de WooCommerce, los suscriptores de tu plugin de newsletter. Cada conjunto con finalidad diferente es un banco que debes registrar.

¿Si ya registré mis bancos pero agrego un nuevo plugin que recopila datos, debo actualizar?

Sí. Si el nuevo plugin recopila datos para una finalidad no cubierta por tus bancos existentes, debes registrar un nuevo banco o actualizar uno existente. Si el plugin agrega un nuevo destinatario (el proveedor del plugin procesa datos en sus servidores), también debes actualizar.

¿Qué pasa si la ANPD detecta que tengo bancos no registrados durante una fiscalización por otro motivo?

Se convierte en una infracción adicional dentro del mismo procedimiento. Si te fiscalizaban por una brecha de seguridad y descubren que además no tenías bancos registrados, tienes dos infracciones: la brecha + la falta de registro. Las multas se acumulan.

Referencias legales

Ley N° 29733 — Ley de Protección de Datos Personales. Establece la obligación de inscripción de bancos de datos personales.
Reglamento de la Ley 29733 — Detalla el procedimiento de inscripción, la información requerida y las obligaciones de actualización.
Registro Nacional de Protección de Datos Personales — Registro público administrado por la ANPD donde se inscriben los bancos de datos.
Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo administrador del registro y fiscalizador del cumplimiento.

Este artículo es informativo y no constituye asesoría legal. Para identificar y registrar tus bancos de datos personales, consulta con un abogado especializado en protección de datos.

septiembre 28, 2026

Derechos ARCO en Perú: qué son y cómo implementarlos en tu sitio web

Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: todo sitio web, aplicación o plataforma digital que recopile datos personales de usuarios en territorio peruano.

Un usuario te escribe: «Quiero saber qué datos míos tienen. Y quiero que los borren.» ¿Sabes qué responder? ¿Tienes un canal para recibirlo? ¿Conoces el plazo legal para contestar?

En Perú, todo usuario tiene cuatro derechos fundamentales sobre sus datos personales — Acceso, Rectificación, Cancelación y Oposición — conocidos como derechos ARCO. Tu sitio web está obligado a ofrecer un canal para que los usuarios los ejerzan y a responder dentro de los plazos legales.

No tener ese canal o ignorar una solicitud puede generar un procedimiento sancionador ante la ANPD con multas de hasta S/ 275,000.

¿Qué significa ARCO?

ARCO es el acrónimo de los cuatro derechos que la Ley 29733 garantiza a toda persona sobre sus datos personales:

Letra	Derecho	Qué puede hacer el usuario
A	Acceso	Conocer qué datos suyos tienes, cómo los obtuviste, para qué los usas y con quién los compartes
R	Rectificación	Corregir datos inexactos, incompletos o desactualizados
C	Cancelación	Solicitar la eliminación de sus datos cuando ya no sean necesarios para la finalidad original, cuando revoque su consentimiento o cuando el tratamiento sea ilícito
O	Oposición	Negarse a que sus datos sean tratados para una finalidad específica, especialmente prospección comercial

Estos derechos son irrenunciables. Ninguna cláusula de tus términos y condiciones puede eliminarlos o limitarlos. El usuario siempre los tiene, independientemente de lo que haya aceptado al registrarse.

Cada derecho explicado con ejemplos prácticos

Derecho de Acceso

El usuario tiene derecho a saber exactamente qué datos suyos almacenas y qué haces con ellos.

Lo que el usuario puede pedir	Lo que tú debes responder
«¿Qué datos míos tienen?»	Lista completa de los datos personales que almacenas sobre esa persona
«¿De dónde sacaron mis datos?»	Origen de los datos: formulario web, compra, suscripción, tercero
«¿Para qué usan mis datos?»	Finalidades del tratamiento: operativas, comerciales, analíticas
«¿Con quién comparten mis datos?»	Terceros destinatarios: hosting, email marketing, pasarela de pago, socios comerciales
«¿Cuánto tiempo van a guardar mis datos?»	Período de conservación según tu política

Ejemplo real: un usuario que compró en tu e-commerce hace 2 años quiere saber si todavía tienes sus datos de tarjeta, su historial de compras y su dirección. Debes poder responderle con exactitud.

Derecho de Rectificación

El usuario tiene derecho a que corrijas cualquier dato suyo que sea inexacto o esté incompleto.

Solicitud típica	Acción requerida
«Mi apellido está mal escrito»	Corregir en la base de datos
«Ya no vivo en esa dirección»	Actualizar la dirección
«Mi número de teléfono cambió»	Actualizar el teléfono
«Mi nombre legal cambió»	Actualizar con la documentación de respaldo que el usuario proporcione

Obligación adicional: si compartiste los datos incorrectos con terceros (por ejemplo, los enviaste a Mailchimp con el apellido mal escrito), debes notificar la corrección a esos terceros para que también la apliquen, siempre que sea posible.

Derecho de Cancelación

El usuario tiene derecho a que elimines sus datos personales. Es el derecho más delicado operativamente porque implica borrar registros de tus sistemas.

Cuándo procede	Cuándo NO procede
El usuario revoca su consentimiento	Los datos son necesarios para cumplir una obligación legal (tributaria, laboral)
Los datos ya no son necesarios para la finalidad por la que fueron recopilados	Existe un contrato vigente que requiere los datos para ejecutarse
El tratamiento fue ilícito (datos recopilados sin consentimiento válido)	Los datos son necesarios para ejercer o defender un derecho en un proceso judicial
Venció el plazo de conservación declarado en tu política	Los datos están anonimizados y ya no identifican a la persona

Ejemplo real: un usuario que se suscribió a tu newsletter hace 3 años quiere que borres su email y todos los datos asociados. Si no hay otra base legal para conservarlos (no tiene pedidos pendientes, no hay obligación tributaria vinculada), debes eliminarlos.

Importante: la cancelación puede implicar el bloqueo (hacer los datos inaccesibles) seguido de la supresión (eliminación definitiva) dentro de un plazo razonable. Algunos datos pueden pasar a un estado de bloqueo primero si hay obligaciones legales de conservación temporal (por ejemplo, datos de facturación que la SUNAT exige conservar por 4 años).

Derecho de Oposición

El usuario tiene derecho a negarse al tratamiento de sus datos para finalidades específicas sin necesidad de cancelar su cuenta completa.

Solicitud típica	Qué debes hacer
«No quiero recibir más emails promocionales»	Dejar de enviarle newsletters y publicidad, pero mantener su cuenta activa si tiene pedidos o servicios vigentes
«No quiero que usen mis datos para publicidad dirigida»	Excluirlo de segmentos publicitarios y remarketing
«No quiero que compartan mis datos con socios comerciales»	Dejar de transferir sus datos a terceros para fines comerciales
«No quiero que perfilen mi comportamiento de navegación»	Desactivar cookies analíticas y publicitarias para ese usuario

La oposición es parcial: el usuario puede oponerse a una finalidad (publicidad) sin oponerse a otra (ejecución de su contrato). No es todo o nada.

Cómo implementar canales ARCO en tu sitio web

Opciones de canal

Tu web necesita al menos un canal claramente identificado para recibir solicitudes ARCO:

Canal	Ventajas	Desventajas
Email dedicado (privacidad@tuempresa.pe, datospersonales@tuempresa.pe)	Fácil de implementar, bajo costo, queda registro escrito	Puede mezclarse con otras comunicaciones si no se gestiona bien
Formulario web específico en la sección de privacidad	Estructurado, guía al usuario, facilita la clasificación	Requiere desarrollo, mantenimiento
Sección en el panel de usuario (self-service)	El usuario gestiona directamente: descarga sus datos, edita su perfil, elimina su cuenta	Requiere desarrollo significativo, pero es la mejor experiencia
Combinación de canales	Máxima accesibilidad	Requiere gestión centralizada para no perder solicitudes

Implementación mínima recomendada

Nivel de complejidad	Qué implementar
Básico (blog, web institucional, landing pages)	Email dedicado + mención en la Política de Privacidad
Medio (e-commerce, plataforma con registro de usuarios)	Email dedicado + formulario web + opción de «darse de baja» en newsletters
Avanzado (plataforma con datos sensibles, fintech, salud)	Todo lo anterior + panel de self-service + proceso interno documentado

Dónde publicar el canal ARCO

Ubicación	Prioridad
Política de Privacidad	Obligatorio — sección dedicada con el canal de contacto y el procedimiento
Footer de todas las páginas	Recomendado — enlace directo o mención del email de privacidad
Formulario de registro	Recomendado — informar al usuario de sus derechos al momento de registrarse
Email de confirmación de cuenta	Recomendado — incluir referencia a los derechos ARCO
Sección «Mis datos» o «Mi cuenta»	Recomendado para plataformas con panel de usuario

Plazos legales de respuesta

La Ley 29733 establece plazos perentorios para responder solicitudes ARCO:

Derecho	Plazo de respuesta	Cómputo
Acceso	20 días hábiles	Desde la recepción de la solicitud
Rectificación	10 días hábiles	Desde la recepción de la solicitud
Cancelación	10 días hábiles	Desde la recepción de la solicitud
Oposición	10 días hábiles	Desde la recepción de la solicitud

¿Qué son días hábiles?

Días de lunes a viernes, excluyendo sábados, domingos y feriados nacionales.

¿Qué debe contener la respuesta?

Elemento	Detalle
Referencia a la solicitud	Fecha de recepción, tipo de derecho ejercido
Decisión	Si procede o no la solicitud, con fundamento
Acción tomada	Qué datos se proporcionaron (acceso), corrigieron (rectificación), eliminaron (cancelación) o dejaron de tratar (oposición)
Si no procede	Motivo legal por el cual se deniega (obligación legal de conservar, contrato vigente, etc.)
Constancia	Enviar la respuesta por un medio que permita acreditar la recepción (email con confirmación de lectura, carta notarial, registro en plataforma)

Flujo interno para gestionar solicitudes ARCO

Proceso en 5 pasos

Paso	Plazo sugerido	Acción	Responsable
1. Recepción	Día 0	Registrar la solicitud, asignar número de referencia, confirmar recepción al usuario	Responsable de atención o privacidad
2. Verificación de identidad	Día 1-2	Confirmar que el solicitante es el titular de los datos (solicitar DNI, verificar email registrado)	Responsable de privacidad
3. Evaluación	Día 3-7	Determinar si la solicitud procede, localizar los datos en los sistemas, evaluar si hay excepciones legales	Responsable de privacidad + legal
4. Ejecución	Día 8-15	Proporcionar los datos (acceso), corregirlos (rectificación), eliminarlos (cancelación) o excluir del tratamiento (oposición)	Equipo técnico
5. Respuesta	Día 16-18	Enviar respuesta formal al usuario con la acción tomada o la justificación de denegación	Responsable de privacidad
Margen	Día 19-20	Colchón de seguridad para imprevistos (solo para acceso — los demás vencen en 10 días)	—

Verificación de identidad

Antes de entregar, modificar o eliminar datos, debes confirmar que quien lo pide es realmente el titular. Métodos aceptables:

Método	Cuándo usarlo
Verificar desde el email registrado	Si la solicitud llega desde el mismo email con el que el usuario se registró
Solicitar copia de DNI	Para solicitudes de alto impacto (cancelación total, acceso a datos sensibles)
Verificar con datos conocidos	Preguntar datos que solo el titular conocería (número de pedido, fecha de registro, último producto comprado)
Autenticación en la plataforma	Si el usuario hace la solicitud desde su cuenta autenticada (ya verificó su identidad al hacer login)

No entregues datos a quien no pueda demostrar que es el titular. Una solicitud ARCO mal gestionada que entrega datos a un tercero no autorizado es en sí misma una brecha de seguridad.

Excepciones: cuándo puedes denegar una solicitud ARCO

No todas las solicitudes deben aceptarse. La ley contempla excepciones legítimas:

Excepción	Aplica a	Ejemplo
Obligación legal de conservar	Cancelación	Datos de facturación que la SUNAT exige conservar por 4 años
Contrato vigente	Cancelación, Oposición	El usuario tiene un pedido pendiente de entrega — necesitas sus datos para completarlo
Interés público	Acceso, Cancelación	Datos requeridos por autoridades en investigaciones legales
Ejercicio de derechos en proceso judicial	Cancelación	Datos necesarios como evidencia en un litigio pendiente
Solicitud manifiestamente infundada o excesiva	Todos	Solicitudes repetitivas sin cambio de circunstancias, diseñadas para obstaculizar la operación

Importante: si deniegas una solicitud, debes explicar el motivo legal con claridad. «No podemos eliminar sus datos porque la normativa tributaria nos obliga a conservar los registros de facturación por 4 años» es una denegación válida. «No es posible» sin explicación no lo es.

Self-service: el estándar que los usuarios esperan

Los usuarios de 2026 están acostumbrados a plataformas como Google, Facebook e Instagram donde pueden descargar sus datos, editar su perfil y eliminar su cuenta desde un panel de configuración sin hablar con nadie.

Funcionalidades de self-service recomendadas

Funcionalidad	Derecho ARCO que cubre	Cómo implementarlo
«Descargar mis datos»	Acceso	Botón que genera un archivo (JSON, CSV o PDF) con todos los datos del usuario
«Editar perfil»	Rectificación	Campos editables: nombre, email, teléfono, dirección
«Eliminar mi cuenta»	Cancelación	Botón con confirmación («¿Está seguro?») + período de gracia antes de la eliminación definitiva
«Darme de baja del newsletter»	Oposición	Link de desuscripción en cada email + opción en el panel de preferencias
«Gestionar mis preferencias de comunicación»	Oposición	Panel donde el usuario elige qué tipo de comunicaciones recibir
«Gestionar cookies»	Oposición	Enlace permanente para reabrir el banner de configuración de cookies

En WordPress / WooCommerce

Plugin o función	Qué resuelve
WordPress nativo (desde 4.9.6)	Incluye herramientas de exportación y eliminación de datos personales en el panel de administración
WooCommerce	Integra solicitudes de exportación y eliminación con los datos de pedidos
Plugins de RGPD (Complianz, FLAVOR)	Automatizan parte del proceso de solicitudes ARCO

Advertencia: las herramientas nativas de WordPress facilitan la gestión pero no la automatizan completamente. Aún necesitas un proceso interno para verificar identidad, evaluar excepciones y documentar las respuestas.

¿Qué pasa si no atiendes una solicitud ARCO?

Consecuencia	Detalle
Denuncia del usuario ante la ANPD	El usuario puede presentar una denuncia si no respondiste, respondiste fuera de plazo o denegaste sin fundamento
Procedimiento sancionador	La ANPD abre procedimiento de oficio o a pedido del usuario
Multas	Infracción grave: 5 a 50 UIT = S/ 27,500 — S/ 275,000 en 2026
Medida correctiva	La ANPD puede ordenarte que atiendas la solicitud + implementes un canal adecuado
Registro público	La resolución sancionadora es pública

Preguntas frecuentes

¿Puedo cobrar por atender una solicitud ARCO?

La primera solicitud de acceso debe ser gratuita. Para solicitudes posteriores repetitivas o que requieran esfuerzo desproporcionado, la ley permite cobrar un costo razonable que cubra solo los gastos administrativos. No puede ser un costo disuasorio que impida el ejercicio del derecho.

¿Qué hago si el usuario quiere que borre todo pero tiene facturas emitidas?

Los datos vinculados a facturas están sujetos a obligación de conservación tributaria (4 años mínimo según la normativa de SUNAT). Puedes bloquear los datos para que no se usen para ninguna otra finalidad, pero no eliminarlos hasta que venza la obligación tributaria. Explica esto claramente al usuario.

¿Un menor de edad puede ejercer derechos ARCO?

Los menores de edad ejercen sus derechos a través de sus padres o tutores legales. Si tu plataforma permite el registro de menores, el canal ARCO debe contemplar solicitudes de representantes legales con acreditación.

¿Debo atender solicitudes ARCO de personas que no son clientes?

Si tienes datos de una persona (por ejemplo, un lead que llenó un formulario de contacto pero nunca compró), esa persona tiene los mismos derechos ARCO sobre sus datos. No necesita ser cliente activo.

¿Puedo automatizar completamente la respuesta a solicitudes ARCO?

Para rectificación, oposición (baja de newsletter) y algunas solicitudes de cancelación (eliminar cuenta), la automatización vía self-service es viable y recomendable. Para solicitudes de acceso complejas o cancelaciones que requieren evaluación de excepciones legales, necesitas revisión humana.

¿Qué pasa si un usuario ejerce su derecho de cancelación y después quiere volver a registrarse?

Puede hacerlo. La cancelación elimina los datos existentes pero no impide que la persona cree una nueva cuenta en el futuro proporcionando sus datos nuevamente con nuevo consentimiento.

Referencias legales

Ley N° 29733 — Ley de Protección de Datos Personales. Título III: Derechos del titular de datos personales (derechos ARCO).
Reglamento de la Ley 29733 — Detalla los plazos, procedimientos y requisitos para el ejercicio de derechos ARCO.
Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo ante el cual el usuario puede denunciar la falta de atención a sus derechos ARCO.

Este artículo es informativo y no constituye asesoría legal. Para implementar canales y procesos de atención ARCO en tu plataforma, consulta con un abogado especializado en protección de datos personales.

septiembre 28, 2026

Notificación de brechas de seguridad en Perú: plazo de 48 horas y protocolo

Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: todo responsable del tratamiento de datos personales que opere un sitio web, aplicación o plataforma digital con usuarios en territorio peruano.

Tu base de datos fue hackeada. Un empleado filtró información de clientes. Un error de configuración dejó datos expuestos en internet. Un ransomware cifró tus servidores.

¿Qué haces? En Perú, lo primero es contener la brecha. Lo segundo es notificar a la ANPD. Y tienes exactamente 48 horas para hacerlo.

No notificar a tiempo convierte un incidente de seguridad en una doble infracción: la brecha en sí + la omisión de notificación. Aquí explicamos qué cuenta como brecha, cómo notificar, qué incluir en el reporte y cómo prepararte antes de que ocurra.

¿Qué es una brecha de seguridad de datos personales?

Es cualquier incidente que provoque la alteración, pérdida, tratamiento o acceso no autorizado a datos personales que tu sitio web o plataforma almacena.

No se limita a hackeos sofisticados. Incluye cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de los datos:

Tipos de brecha

Tipo	Qué ocurre	Ejemplo en un sitio web
Confidencialidad	Datos accedidos por personas no autorizadas	Hackeo a la base de datos, empleado que descarga y comparte información de clientes, acceso no autorizado al panel de administración
Integridad	Datos alterados sin autorización	Inyección SQL que modifica registros, ransomware que cifra la base de datos, error de código que corrompe información
Disponibilidad	Datos inaccesibles temporal o permanentemente	Ataque DDoS que tumba el servidor, ransomware que bloquea el acceso, fallo de hardware que destruye datos sin backup

Ejemplos comunes en el entorno web peruano

Incidente	¿Es brecha de datos personales?
Hackeo a la base de datos de clientes de tu e-commerce	Sí — acceso no autorizado a datos personales
Filtración de lista de suscriptores del newsletter	Sí — emails son datos personales
Empleado que copia la base de clientes en un USB personal	Sí — acceso y tratamiento no autorizado
Error de configuración que deja el phpMyAdmin accesible sin contraseña	Sí — exposición de datos por negligencia, aunque nadie acceda comprobadamente
Plugin de WordPress vulnerado que expone datos de usuarios	Sí — vulnerabilidad que compromete datos
Ransomware que cifra el servidor sin exfiltrar datos	Sí — afecta la disponibilidad de datos personales
Caída del servidor por fallo eléctrico con backup vigente	No necesariamente — si los datos se recuperan íntegramente y no hubo exposición
Ataque de phishing a un empleado que entrega credenciales del CRM	Sí — las credenciales comprometidas dan acceso a datos personales

El plazo de 48 horas: cuándo empieza a correr

La normativa peruana, alineada con las mejores prácticas internacionales, impone la obligación de notificar a la ANPD en un plazo de 48 horas desde que se toma conocimiento del incidente.

¿Qué significa «tomar conocimiento»?

Momento	¿Empieza a correr el plazo?
Tu sistema de monitoreo detecta actividad sospechosa	Aún no — hay indicios pero no confirmación
Tu equipo técnico investiga y confirma que hubo acceso no autorizado a datos personales	Sí — aquí empieza el conteo de 48 horas
Un tercero te informa que encontró datos de tus clientes filtrados online	Sí — desde que recibes la notificación
Un usuario te avisa que recibió comunicaciones sospechosas con datos que solo tu web tenía	Sí — desde que tomas conocimiento del reporte
Ves la noticia en medios de comunicación	Sí — desde que te enteras

El plazo no empieza cuando «confirmas al 100% el alcance». Empieza cuando sabes que ocurrió un incidente que comprometió datos personales, aunque aún no conozcas todos los detalles. La investigación completa puede continuar después de la notificación inicial.

Cómputo de las 48 horas

Aspecto	Detalle
Son horas corridas	No son días hábiles — son 48 horas desde el momento de conocimiento
Incluyen fines de semana y feriados	Si descubres la brecha un viernes a las 6 PM, tienes hasta el domingo a las 6 PM
El reloj no se pausa	No puedes «pausar» el conteo porque es fin de semana o porque tu equipo legal no está disponible

¿A quién se notifica?

1. A la Autoridad Nacional de Protección de Datos Personales (ANPD)

Obligatorio. Es el destinatario principal de la notificación dentro del plazo de 48 horas.

Dato	Detalle
Organismo	ANPD — Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales
Dependencia	Ministerio de Justicia y Derechos Humanos
Plazo	48 horas desde el conocimiento del incidente

2. A los usuarios afectados

Buena práctica alineada con estándares internacionales, altamente recomendable aunque la ley peruana no lo exija con la misma fuerza que el RGPD europeo.

Cuándo notificar a los usuarios	Detalle
Si la brecha puede generar un riesgo alto para sus derechos	Datos financieros, contraseñas, datos sensibles, datos que permitan suplantación de identidad
Si los datos filtrados pueden ser usados para fraude	Números de tarjeta, datos bancarios, DNI + datos de contacto combinados
Si hay evidencia de que los datos ya están siendo explotados	Reportes de phishing, cargos no reconocidos, suplantación

Qué decirle a los usuarios afectados

Elemento	Qué comunicar
Qué ocurrió	Descripción clara y honesta del incidente, sin tecnicismos innecesarios
Qué datos se vieron afectados	Tipos de datos comprometidos (nombre, email, contraseña, datos de pago, etc.)
Qué has hecho	Medidas inmediatas que tomaste (contención, reseteo de contraseñas, bloqueo de accesos)
Qué deben hacer ellos	Acciones recomendadas: cambiar contraseñas, vigilar movimientos bancarios, desconfiar de correos sospechosos
Cómo contactarte	Canal directo para consultas sobre el incidente

Qué incluir en la notificación a la ANPD

La notificación inicial no necesita ser un informe forense completo. Debe contener la información disponible al momento:

Contenido mínimo de la notificación

Sección	Qué incluir
Identificación del responsable	Razón social, RUC, datos de contacto, responsable designado para el incidente
Descripción del incidente	Qué ocurrió, cuándo se detectó, cómo se descubrió
Tipo de brecha	Confidencialidad, integridad, disponibilidad, o combinación
Datos afectados	Categorías de datos comprometidos (identificativos, financieros, de salud, credenciales, etc.)
Número estimado de afectados	Cuántos titulares de datos se vieron potencialmente afectados (puede ser estimación inicial)
Medidas de contención	Qué acciones inmediatas se tomaron para detener o limitar el incidente
Medidas de mitigación	Qué se está haciendo para reducir el impacto sobre los afectados
Próximos pasos	Plan de investigación y acciones correctivas previstas

¿Puedo enviar información adicional después?

Sí. La notificación inicial cumple con el plazo de 48 horas. La investigación forense completa puede tardar días o semanas. Envía actualizaciones a la ANPD conforme descubras más detalles:

Notificación	Plazo	Contenido
Inicial	48 horas	Lo que sabes hasta el momento: qué pasó, qué datos, cuántos afectados (estimación), medidas inmediatas
Actualización 1	Cuando haya hallazgos relevantes	Alcance confirmado, vector de ataque identificado, medidas adicionales
Informe final	Al concluir la investigación	Análisis completo: causa raíz, alcance definitivo, medidas correctivas permanentes, lecciones aprendidas

Protocolo de respuesta ante brechas: el plan que debes tener ANTES

No puedes diseñar tu respuesta en medio de la crisis. El protocolo debe estar documentado, probado y accesible antes de que ocurra el incidente.

Estructura del protocolo

Fase	Plazo	Acciones	Responsable
1. Detección	Minutos	Identificar el incidente, evaluar si involucra datos personales, alertar al equipo de respuesta	Equipo técnico / monitoreo
2. Contención	Horas 0-6	Aislar el sistema afectado, bloquear accesos comprometidos, preservar evidencia, evitar que la brecha se expanda	Equipo técnico + responsable de seguridad
3. Evaluación	Horas 6-24	Determinar el alcance: qué datos, cuántos afectados, qué vector de ataque, si hay exfiltración confirmada	Equipo técnico + legal
4. Notificación	Horas 24-48	Preparar y enviar notificación a la ANPD. Evaluar si notificar a los usuarios.	Legal + dirección
5. Comunicación	Horas 48+	Notificar a usuarios afectados si procede. Preparar comunicado si hay exposición mediática.	Comunicaciones + legal
6. Investigación	Días/semanas	Análisis forense completo, identificar causa raíz, evaluar si hay responsabilidad de terceros	Equipo técnico + forense externo si es necesario
7. Remediación	Semanas	Implementar medidas correctivas permanentes, actualizar controles de seguridad, capacitar al equipo	Equipo técnico + dirección
8. Documentación	Continuo	Documentar todo el proceso para la defensa ante la ANPD y para mejorar el protocolo	Legal + técnico

Equipo de respuesta

Define previamente quién participa en cada fase:

Rol	Responsabilidad
Responsable de seguridad / IT	Lidera la contención y la investigación técnica
Responsable legal	Evalúa obligaciones de notificación, prepara la comunicación a la ANPD, gestiona riesgos legales
Dirección / gerencia	Toma decisiones sobre comunicación pública y asignación de recursos
Comunicaciones	Redacta la notificación a usuarios y el comunicado público si aplica
Proveedor externo de ciberseguridad (si aplica)	Apoyo forense, análisis de malware, recuperación de sistemas

Lo mínimo que necesita una pyme

No necesitas un departamento de ciberseguridad. Necesitas:

Un documento de 2-3 páginas con el protocolo básico.
Datos de contacto de quién hace qué ante un incidente (puede ser una sola persona en empresas pequeñas).
Datos de contacto de la ANPD para la notificación.
Plantilla de notificación prellenada con tus datos de empresa, lista para completar con los detalles del incidente.
Acceso a un profesional externo (abogado o técnico) que puedas contactar en emergencia.

Medidas técnicas obligatorias de seguridad

La Ley 29733 impone el principio de seguridad: implementar medidas técnicas, organizativas y legales para proteger los datos. No esperes a la brecha para implementarlas:

Medidas básicas (todo sitio web)

Medida	Prioridad	Detalle
HTTPS (SSL/TLS)	Crítica	Cifrado de datos en tránsito. Sin excepción.
Contraseñas hasheadas	Crítica	Nunca almacenar contraseñas en texto plano. Usar bcrypt, scrypt o Argon2 con salt
Actualizaciones al día	Crítica	WordPress, plugins, PHP, sistema operativo del servidor — todo actualizado
Backups automáticos cifrados	Alta	Diarios, almacenados en ubicación separada del servidor principal
Controles de acceso por roles	Alta	No todos los empleados acceden a todos los datos
Autenticación de doble factor (2FA)	Alta	Para el panel de administración y accesos críticos
Firewall de aplicación web (WAF)	Recomendable	Cloudflare, Sucuri o equivalente

Medidas avanzadas (e-commerce y plataformas con datos sensibles)

Medida	Prioridad	Detalle
Cifrado de base de datos	Alta	Datos sensibles cifrados en reposo (at rest)
Logs de acceso	Alta	Registro de quién accede a qué datos, cuándo y desde dónde
Monitoreo de intrusiones	Alta	Sistema que detecte actividad anómala en tiempo real
Segmentación de red	Media	Separar la base de datos del servidor web público
Pruebas de penetración	Media	Auditoría de seguridad periódica por un tercero
Plan de continuidad del negocio	Media	Qué hacer si el sitio cae completamente

Consecuencias de no cumplir

Si hay brecha Y no notificas

Consecuencia	Detalle
Infracción por la brecha	Falta de medidas de seguridad adecuadas → infracción muy grave (50-100 UIT = S/ 275,000 — S/ 550,000)
Infracción por no notificar	Omisión de notificación en 48 horas → infracción adicional
Agravante	Ocultar un incidente se considera agravante en la graduación de la multa
Responsabilidad civil	Los usuarios afectados pueden demandar por daños y perjuicios
Daño reputacional	La resolución de la ANPD es pública

Si hay brecha PERO notificas a tiempo y demuestras diligencia

Factor	Efecto
Notificación dentro de 48 horas	Cumplimiento del deber de notificación — no hay infracción por omisión
Medidas de seguridad documentadas	Puede atenuar la multa por la brecha si demuestras que tenías controles razonables
Protocolo de respuesta activado	Demuestra diligencia y profesionalismo
Cooperación con la ANPD	Atenuante en la graduación de la multa
Notificación proactiva a usuarios	Demuestra buena fe y reduce el daño

La diferencia entre «nos hackearon» con protocolo y «nos hackearon» sin protocolo puede ser de cientos de miles de soles en la multa.

Preguntas frecuentes

¿Si descubro la brecha un viernes a las 11 PM, tengo hasta el domingo a las 11 PM?

Sí. Las 48 horas son corridas, sin excluir fines de semana ni feriados. Por eso tu protocolo debe incluir datos de contacto de emergencia accesibles fuera del horario laboral.

¿Qué pasa si no estoy seguro de que hubo brecha?

Si hay indicios razonables de que datos personales fueron comprometidos, notifica preventivamente. Es mejor notificar una sospecha que resulte menor, que no notificar una brecha real. La notificación puede indicar que estás en fase de investigación y que enviarás actualizaciones.

¿Debo notificar si la brecha fue de un proveedor externo (mi hosting, mi pasarela de pago)?

Si los datos comprometidos son de tus usuarios, tú eres el responsable del tratamiento ante la ANPD, independientemente de que la falla técnica haya sido del proveedor. Notifica tú y gestiona la responsabilidad con tu proveedor por vía contractual.

¿Si la brecha solo afectó datos de empleados, no de clientes, debo notificar?

Sí. Los datos de empleados son datos personales protegidos por la Ley 29733. La obligación de notificación aplica a cualquier brecha de datos personales, no solo a datos de clientes.

¿Puedo contratar un seguro de ciberseguridad que cubra las multas?

Existen pólizas de ciber-riesgo que cubren costos de respuesta a incidentes, investigación forense, notificación a afectados y defensa legal. Algunas cubren parcialmente las multas administrativas. Consulta con un corredor de seguros especializado. El seguro no elimina la obligación de notificar ni de cumplir la ley, pero reduce el impacto financiero.

¿Cuánto tiempo debo conservar la documentación del incidente?

No hay un plazo específico para incidentes. Como referencia, conserva toda la documentación por al menos 5 años — suficiente para cubrir plazos de prescripción y posibles procesos judiciales.

Referencias legales

Ley N° 29733 — Ley de Protección de Datos Personales. Principio de seguridad y obligaciones del responsable del tratamiento.
Reglamento de la Ley 29733 — Detalla las medidas de seguridad y el deber de notificación de incidentes.
Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo ante el cual se notifica la brecha.

Este artículo es informativo y no constituye asesoría legal. Para elaborar tu protocolo de respuesta ante brechas de seguridad, consulta con un abogado especializado en protección de datos y un profesional de ciberseguridad.

septiembre 28, 2026

Flujo transfronterizo de datos personales en Perú: qué debes declarar si usas hosting extranjero

Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: todo sitio web, aplicación o plataforma digital que use servidores, herramientas o servicios ubicados fuera del Perú y que procesen datos de usuarios peruanos.

Tu web está en un hosting de Estados Unidos. Usas Mailchimp para enviar newsletters. Tu pasarela de pago procesa transacciones en servidores de Virginia. Google Analytics manda los datos de tus visitantes a infraestructura de Google en Iowa.

¿Sabías que todo eso es transferencia internacional de datos personales y que la ley peruana te obliga a declararlo?

La mayoría de sitios web peruanos están en esta situación y casi ninguno lo declara. Aquí explicamos qué es el flujo transfronterizo, por qué debes informarlo y cómo hacerlo correctamente.

¿Qué es un flujo transfronterizo de datos personales?

Es la transferencia de datos personales desde el Perú hacia un país extranjero para su almacenamiento, procesamiento o cualquier tipo de tratamiento.

En el contexto digital, ocurre cada vez que un dato personal de un usuario peruano sale del territorio nacional a través de una herramienta, plataforma o servidor ubicado en el exterior.

¿Es diferente a una transferencia nacional?

Tipo	Qué es	Ejemplo
Transferencia nacional	Datos se mueven entre dos entidades dentro del Perú	Tu web en un servidor en Lima comparte datos con tu CRM también alojado en Lima
Flujo transfronterizo	Datos se mueven del Perú hacia otro país	Tu web recoge datos en Perú pero el hosting está en AWS Virginia (Estados Unidos)

¿Por qué ocurre en casi todos los sitios web?

La infraestructura del internet moderno está globalizada. La gran mayoría de herramientas que usan los sitios web peruanos procesan datos fuera del país, simplemente porque sus servidores están en Estados Unidos, Europa u otras regiones.

Herramientas comunes que generan flujo transfronterizo

Categoría	Herramienta	Datos que transfiere	Ubicación típica de servidores
Hosting	AWS, Google Cloud, DigitalOcean, Azure, Cloudflare	Todos los datos almacenados en tu web	Estados Unidos, Europa
Email marketing	Mailchimp, Brevo (Sendinblue), ActiveCampaign, ConvertKit	Nombres, emails, datos de suscriptores	Estados Unidos
Pasarelas de pago	Stripe, PayPal	Datos de tarjeta, nombre, dirección de facturación	Estados Unidos
Analítica web	Google Analytics, Hotjar, Mixpanel	IP, comportamiento de navegación, dispositivo, ubicación	Estados Unidos, Europa
Publicidad	Meta Pixel (Facebook), Google Ads, TikTok Pixel, LinkedIn Insight Tag	Datos de navegación, perfilamiento, conversiones	Estados Unidos
CRM	HubSpot, Salesforce, Pipedrive, Zoho	Datos de clientes, leads, historial de interacciones	Estados Unidos, India
Formularios	Typeform, JotForm, Google Forms	Datos ingresados por el usuario	Estados Unidos, Europa
Chat y soporte	Zendesk, Intercom, Tawk.to, Crisp	Conversaciones, datos del visitante	Estados Unidos, Europa
Almacenamiento	Google Drive, Dropbox, OneDrive	Documentos con datos personales	Estados Unidos
Videoconferencia	Zoom, Google Meet, Microsoft Teams	Grabaciones, datos de participantes	Estados Unidos
Agendamiento	Calendly, Cal.com	Nombre, email, teléfono, horarios	Estados Unidos
E-commerce	Shopify	Todo el contenido de la tienda, datos de clientes y pedidos	Canadá, Estados Unidos
WordPress plugins	WooCommerce con extensiones cloud, plugins de backup en la nube	Variable según el plugin	Variable

Si usas al menos una herramienta de esta lista — y casi seguro usas varias — estás realizando flujo transfronterizo de datos.

¿Es legal transferir datos fuera del Perú?

Sí, es completamente legal. La Ley 29733 no prohíbe el flujo transfronterizo de datos. Lo que exige es que se cumplan ciertas condiciones.

Condiciones para que la transferencia sea lícita

Condición	Detalle
Declarar la transferencia	Informar al usuario en la Política de Privacidad que sus datos serán transferidos fuera del Perú
Identificar los destinatarios	Nombrar a los terceros que recibirán los datos y su ubicación
Informar la finalidad	Explicar para qué cada tercero recibe los datos
Garantizar protección adecuada	Asegurar que el país de destino o el tercero receptor ofrezca un nivel de protección equivalente al peruano
Consentimiento del titular	El consentimiento informado del usuario debe cubrir la transferencia internacional

¿Qué significa «nivel de protección adecuado»?

La Ley 29733 exige que los datos transferidos al exterior reciban protección equivalente a la peruana. Esto se puede garantizar mediante:

Mecanismo	Cómo funciona
País con legislación adecuada	El país de destino tiene una ley de protección de datos equiparable a la peruana (la ANPD no ha publicado una lista formal de países adecuados, a diferencia de la UE)
Cláusulas contractuales	El contrato con el proveedor extranjero incluye compromisos de protección de datos (Data Processing Agreement o DPA)
Políticas corporativas vinculantes	Para grupos empresariales multinacionales con normas internas de protección
Consentimiento expreso del titular	El usuario consintió expresamente la transferencia sabiendo que sus datos irán al exterior

En la práctica, la mayoría de proveedores tecnológicos grandes (AWS, Google, Microsoft, Mailchimp, Stripe) ofrecen cláusulas contractuales de protección de datos (DPA) como parte de sus términos de servicio. Lo que muchas empresas peruanas no hacen es declararlo en su Política de Privacidad.

Cómo declarar el flujo transfronterizo en tu Política de Privacidad

Tu Política de Privacidad debe incluir una sección específica sobre transferencia internacional de datos. Aquí tienes la estructura y un modelo:

Información mínima que debe contener

Dato	Qué declarar
Que existe transferencia internacional	Declaración expresa de que los datos se transfieren fuera del Perú
Países de destino	En qué países se procesan los datos (generalmente Estados Unidos)
Identidad de los terceros	Quiénes son los proveedores que reciben los datos
Finalidad de cada transferencia	Para qué cada proveedor procesa los datos
Garantías de protección	Qué mecanismo protege los datos en el exterior (DPA, cláusulas contractuales)

Modelo de sección para tu Política de Privacidad

TRANSFERENCIA INTERNACIONAL DE DATOS PERSONALES

Para la operación de nuestra plataforma, utilizamos servicios
de terceros cuyos servidores se encuentran ubicados fuera del
territorio peruano. Esto implica que sus datos personales
pueden ser transferidos y procesados en los siguientes países:

| Proveedor | Servicio | País | Finalidad |
|-----------|----------|------|-----------|
| Amazon Web Services (AWS) | Hosting | Estados Unidos | Almacenamiento y procesamiento de todos los datos de la plataforma |
| Mailchimp (Intuit) | Email marketing | Estados Unidos | Envío de newsletters y comunicaciones comerciales |
| Stripe | Pasarela de pago | Estados Unidos | Procesamiento de pagos con tarjeta |
| Google LLC | Analytics | Estados Unidos | Medición de tráfico web y comportamiento de navegación |
| Meta Platforms | Publicidad | Estados Unidos | Medición de conversiones publicitarias |

Estas transferencias se realizan bajo las siguientes garantías:
- Contratos de procesamiento de datos (Data Processing Agreements)
  suscritos con cada proveedor.
- Los proveedores mencionados cuentan con políticas de seguridad
  y privacidad que ofrecen un nivel de protección adecuado para
  sus datos personales.

Al aceptar nuestra Política de Privacidad, usted consiente
expresamente la transferencia internacional de sus datos
personales en los términos aquí descritos.

Adapta este modelo con tus proveedores reales. No copies una lista genérica — debe reflejar las herramientas que efectivamente usas.

Cómo auditar tu propio flujo transfronterizo

Muchas empresas no saben exactamente qué herramientas están transfiriendo datos al exterior. Este proceso te ayuda a identificarlas:

Paso 1: Inventariar tus herramientas

Pregunta	Dónde buscar
¿Dónde está alojada mi web?	Panel de control de hosting (cPanel, Plesk) o contrato con el proveedor
¿Qué scripts de terceros carga mi web?	Herramientas de desarrollador del navegador (DevTools → Network / Sources)
¿Qué plugins de WordPress tengo activos?	Panel de WordPress → Plugins
¿Qué herramientas de marketing uso?	Listar todas: email, analytics, ads, CRM, chat
¿Qué pasarelas de pago tengo integradas?	Configuración de WooCommerce o tu plataforma de e-commerce
¿Dónde almaceno documentos con datos de clientes?	Google Drive, Dropbox, disco local, ERP en la nube
¿Uso herramientas de videoconferencia o agendamiento?	Zoom, Calendly, etc.

Paso 2: Identificar ubicación de servidores

Para cada herramienta, verifica dónde están sus servidores:

Método	Cómo hacerlo
Términos de servicio del proveedor	La mayoría indica en sus TOS o Privacy Policy dónde procesan datos
Data Processing Agreement (DPA)	El DPA del proveedor especifica las regiones de procesamiento
Contacto con soporte	Pregunta directamente al proveedor dónde se almacenan tus datos
Documentación técnica	AWS, Google Cloud y Azure permiten elegir región — verifica cuál seleccionaste

Paso 3: Documentar y declarar

Acción	Detalle
Crear una tabla interna con todos los flujos	Proveedor, tipo de dato, país, finalidad, evidencia de DPA
Actualizar la Política de Privacidad	Incluir la sección de transferencia internacional con los datos reales
Verificar DPA con cada proveedor	Descargar y conservar copia del Data Processing Agreement
Actualizar el registro del banco de datos	Si tu registro ante la ANPD no declara transferencia internacional, actualízalo

El caso especial de hosting nacional vs. internacional

¿Usar hosting peruano elimina el flujo transfronterizo?

Solo parcialmente. Si alojas tu web en un servidor físicamente en Perú, los datos almacenados no cruzan fronteras por el hosting. Pero si tu web usa Google Analytics, Mailchimp o cualquier otra herramienta en la nube, esos datos sí salen del país.

Configuración	¿Hay flujo transfronterizo?
Hosting en Perú + sin herramientas externas	No
Hosting en Perú + Google Analytics	Sí — los datos de analytics salen del país
Hosting en Perú + Mailchimp	Sí — los datos de suscriptores salen del país
Hosting en AWS (EEUU) + cualquier herramienta	Sí — todo sale del país
Hosting en Perú + Matomo self-hosted + pasarela peruana	Posiblemente no — depende de la configuración exacta

¿Existe hosting peruano confiable?

Sí. Hay proveedores de hosting con servidores en Perú. Sin embargo, la decisión no debe basarse solo en evitar el flujo transfronterizo (que es legal y declarable), sino en factores como rendimiento, seguridad, soporte y escalabilidad. Para la mayoría de negocios, usar hosting internacional con la declaración correcta en la Política de Privacidad es perfectamente aceptable y legal.

¿Qué pasa si no declaras el flujo transfronterizo?

Consecuencia	Detalle
El consentimiento puede ser inválido	Si el usuario no sabía que sus datos saldrían del país, su consentimiento no fue informado — y un consentimiento no informado no cumple la Ley 29733
Infracción administrativa	La ANPD puede sancionar por tratamiento sin consentimiento válido (infracción grave: 5-50 UIT = S/ 27,500 — S/ 275,000) o por transferencia sin garantías (grave a muy grave: hasta 100 UIT = S/ 550,000)
Vulnerabilidad en disputas	Si un usuario reclama por el tratamiento de sus datos, la falta de declaración debilita tu posición defensiva

¿La ANPD está fiscalizando activamente el flujo transfronterizo?

Hasta ahora, la ANPD ha enfocado su fiscalización en infracciones más visibles: bancos de datos no registrados, consentimientos inválidos, filtraciones. El flujo transfronterizo no declarado es una infracción masiva pero poco fiscalizada aún.

Sin embargo, conforme madura la regulación y la ANPD aumenta su capacidad operativa, este rubro será cada vez más fiscalizado. Declararlo ahora te pone adelante de la curva y elimina un riesgo que puedes resolver con un par de párrafos en tu Política de Privacidad.

Preguntas frecuentes

¿Si mi hosting tiene CDN global (Cloudflare), los datos se replican en varios países?

Sí. Un CDN distribuye copias del contenido en servidores alrededor del mundo para mejorar la velocidad. Si tu web tiene datos personales accesibles públicamente o si Cloudflare procesa datos de tus visitantes (lo cual hace), hay flujo transfronterizo hacia múltiples países. Declara que usas CDN con distribución global.

¿Google Analytics 4 transfiere datos fuera del Perú?

Sí. Aunque GA4 ofrece más controles de privacidad que Universal Analytics, los datos se procesan en infraestructura de Google ubicada principalmente en Estados Unidos. Esto es flujo transfronterizo que debes declarar.

¿Las pasarelas de pago peruanas (Culqi, Niubiz) generan flujo transfronterizo?

Si la pasarela procesa datos en servidores dentro del Perú, no hay flujo transfronterizo por ese concepto. Verifica con cada proveedor dónde están sus servidores. Algunas pasarelas peruanas usan infraestructura cloud internacional como respaldo.

¿Necesito un contrato específico con cada proveedor extranjero?

Lo ideal es tener un Data Processing Agreement (DPA) con cada proveedor que procese datos de tus usuarios. La mayoría de proveedores grandes lo ofrecen como parte de sus términos de servicio o como documento descargable. Revisa si ya lo tienes aceptado como parte del contrato existente.

¿Si uso WordPress con plugins, cada plugin puede generar flujo transfronterizo?

Sí. Cada plugin que se conecta a un servicio externo (analytics, email, seguridad, backup en la nube, formularios) puede estar transfiriendo datos fuera del Perú. Audita cada plugin activo y verifica si envía datos a servidores externos.

¿Puedo negarme a transferir datos al exterior y usar solo herramientas peruanas?

Técnicamente sí, pero en la práctica es muy difícil. La oferta de herramientas de marketing, analytics, email y hosting 100% peruanas es limitada. La alternativa realista es usar las herramientas internacionales que necesites, declarar correctamente la transferencia y asegurar las garantías de protección.

Referencias legales

Ley N° 29733 — Ley de Protección de Datos Personales. Regula las condiciones para la transferencia internacional de datos personales.
Reglamento de la Ley 29733 — Detalla los requisitos del flujo transfronterizo y las garantías de protección exigidas.
Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador del cumplimiento.
Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.

Este artículo es informativo y no constituye asesoría legal. Para auditar tu flujo transfronterizo de datos y actualizar tu Política de Privacidad, consulta con un abogado especializado en protección de datos personales.

septiembre 28, 2026

UIT 2026 en Perú: valor, multas actualizadas y cómo afecta a tu negocio digital

Última actualización: septiembre 2026 Base legal: Decreto Supremo N° 301-2025-EF Aplica a: toda empresa, emprendedor o profesional independiente que opere en el mercado peruano, especialmente quienes tienen presencia digital (sitios web, e-commerce, redes sociales).

La UIT subió a S/ 5,500 en 2026. Eso significa que todas las multas de Indecopi, la ANPD, SUNAFIL y cualquier otra entidad fiscalizadora también subieron. Lo que antes costaba S/ 400,000 como multa máxima, ahora puede llegar a S/ 550,000.

Si tienes un negocio digital, este número te afecta directamente. Aquí explicamos qué es la UIT, cómo impacta en las sanciones del entorno digital y cuánto te costaría cada infracción en soles reales.

¿Qué es la UIT?

La Unidad Impositiva Tributaria (UIT) es el índice de referencia que usa el Estado peruano para calcular:

Multas y sanciones administrativas
Límites de regímenes tributarios
Topes de deducciones fiscales
Obligaciones formales
Tasas y contribuciones

No es un impuesto. Es una unidad de medida que se actualiza cada año para reflejar la inflación y los cambios económicos.

Valor UIT 2026

Año	Valor UIT	Norma
2024	S/ 5,150	D.S. N° 309-2023-EF
2025	S/ 5,350	D.S. N° 260-2024-EF
2026	S/ 5,500	D.S. N° 301-2025-EF

Incremento 2025 → 2026: S/ 150 (2.8% de aumento).

¿Por qué importa la UIT si tengo un negocio digital?

Porque prácticamente todas las multas que podrían afectarte están expresadas en UIT. Cuando la UIT sube, las multas suben automáticamente — sin que cambie ninguna ley.

El efecto multiplicador

Un ejemplo concreto:

Infracción	Multa en UIT	Con UIT 2025 (S/ 5,350)	Con UIT 2026 (S/ 5,500)	Diferencia
Filtración de datos (muy grave) – máximo	100 UIT	S/ 535,000	S/ 550,000	+S/ 15,000
No tener Libro de Reclamaciones – máximo	450 UIT	S/ 2,407,500	S/ 2,475,000	+S/ 67,500
No registrar banco de datos (grave) – máximo	50 UIT	S/ 267,500	S/ 275,000	+S/ 7,500

La subida parece modesta en porcentaje, pero en valores absolutos cada infracción se encarece en miles de soles.

Tabla completa de multas para negocios digitales en 2026

Protección de datos personales (ANPD)

La Autoridad Nacional de Protección de Datos Personales sanciona infracciones a la Ley 29733:

Infracción	Gravedad	Rango UIT	Rango en soles 2026
No actualizar política de privacidad	Leve	0.5 — 5	S/ 2,750 — S/ 27,500
Deficiencias en registro de banco de datos	Leve	0.5 — 5	S/ 2,750 — S/ 27,500
Tratar datos sin consentimiento válido	Grave	5 — 50	S/ 27,500 — S/ 275,000
No registrar banco de datos ante la ANPD	Grave	5 — 50	S/ 27,500 — S/ 275,000
No atender solicitudes ARCO	Grave	5 — 50	S/ 27,500 — S/ 275,000
No declarar flujo transfronterizo	Grave a muy grave	5 — 100	S/ 27,500 — S/ 550,000
Filtración masiva por falta de seguridad	Muy grave	50 — 100	S/ 275,000 — S/ 550,000
No notificar brecha en 48 horas	Muy grave	50 — 100	S/ 275,000 — S/ 550,000
Tratamiento ilícito de datos sensibles	Muy grave	50 — 100	S/ 275,000 — S/ 550,000

Protección al consumidor (Indecopi)

La Comisión de Protección al Consumidor sanciona infracciones al Código del Consumidor (Ley 29571):

Infracción	Rango UIT	Rango en soles 2026
No tener Libro de Reclamaciones (máximo)	Hasta 450	Hasta S/ 2,475,000
No exhibir aviso del Libro de Reclamaciones	Variable	Hasta S/ 275,000
No responder reclamo en 15 días hábiles	1 — 50	S/ 5,500 — S/ 275,000
Cláusulas abusivas en términos y condiciones	1 — 450	S/ 5,500 — S/ 2,475,000
Incumplimiento de garantía de idoneidad	1 — 450	S/ 5,500 — S/ 2,475,000
Negar devolución en producto defectuoso	1 — 50	S/ 5,500 — S/ 275,000

Competencia desleal y publicidad (Indecopi)

La Comisión de Fiscalización de la Competencia Desleal sanciona infracciones al D. Leg. 1044:

Infracción	Rango en soles 2026
Publicidad engañosa (sin sustanciación previa)	Variable — hasta millones de soles según afectación
Publicidad encubierta con influencers	Hasta S/ 250,000+
Promociones sin duración ni stock mínimo	Variable según gravedad
Comparativa desleal sin sustento	Variable según gravedad

Laboral digital (SUNAFIL)

Si tu plataforma involucra relaciones laborales, teletrabajo o contratación:

Infracción	Gravedad	Rango en soles 2026
No registrar trabajadores en planilla electrónica	Grave	Variable según número de afectados
Incumplimiento de condiciones de teletrabajo	Variable	Según normativa específica
No registrar jornada laboral	Grave	Variable

Impacto real por tamaño de empresa

Para dimensionar el riesgo, comparemos las multas con la capacidad operativa de distintos tipos de negocio:

Microempresa (facturación hasta S/ 622,500 anuales)

Multa	Monto 2026	Impacto
Leve ANPD (5 UIT máx.)	S/ 27,500	Un mes de facturación o más
Grave ANPD (50 UIT máx.)	S/ 275,000	Casi la mitad de la facturación anual
Libro de Reclamaciones (50 UIT referencial para microempresa)	S/ 275,000	Puede liquidar el negocio

Pequeña empresa (facturación hasta S/ 7,820,000 anuales)

Multa	Monto 2026	Impacto
Grave ANPD (50 UIT máx.)	S/ 275,000	Golpe financiero significativo
Muy grave ANPD (100 UIT máx.)	S/ 550,000	Puede comprometer la operación
Publicidad engañosa	Variable — potencialmente millonario	Riesgo existencial

Mediana y gran empresa

Multa	Monto 2026	Impacto
Muy grave ANPD (100 UIT)	S/ 550,000	Manejable financieramente pero costoso
Libro de Reclamaciones (450 UIT)	S/ 2,475,000	Impacto significativo + daño reputacional
Publicidad engañosa con alta afectación	Millones de soles	Golpe financiero y reputacional severo

La conclusión es la misma para todos los tamaños: el costo de prevención siempre es menor que el costo de la sanción. Un abogado, una auditoría de cumplimiento o la implementación de un sistema de cookies legal cuestan una fracción de la multa más baja.

Otros usos de la UIT que afectan a negocios digitales

La UIT no solo determina multas. También define límites y topes relevantes para tu operación:

Regímenes tributarios

Régimen	Límite de ingresos anuales	En soles 2026
NRUS (Nuevo RUS)	Hasta S/ 96,000	S/ 96,000 (fijo, no varía con UIT)
Régimen Especial de Renta	Hasta S/ 525,000	S/ 525,000 (fijo)
Régimen MYPE Tributario	Hasta 1,700 UIT	S/ 9,350,000

Obligaciones formales

Obligación	Referencia UIT	En soles 2026
Obligación de llevar libros contables completos	Ingresos > 150 UIT	> S/ 825,000
Obligación de auditoría externa	Ingresos > 500 UIT (según sector)	> S/ 2,750,000

Deducciones y topes

Concepto	Referencia UIT	En soles 2026
Deducción de 7 UIT para trabajadores en quinta categoría	7 UIT	S/ 38,500
Gastos de representación deducibles	0.5% de ingresos brutos, máximo 40 UIT	Máximo S/ 220,000

Histórico: cómo ha subido la UIT

Año	Valor UIT	Variación
2020	S/ 4,300	—
2021	S/ 4,400	+S/ 100
2022	S/ 4,600	+S/ 200
2023	S/ 4,950	+S/ 350
2024	S/ 5,150	+S/ 200
2025	S/ 5,350	+S/ 200
2026	S/ 5,500	+S/ 150

Tendencia: la UIT ha subido ininterrumpidamente todos los años. En 6 años pasó de S/ 4,300 a S/ 5,500 — un incremento del 28%. Las multas crecieron en la misma proporción sin que cambiara ninguna ley sancionadora.

Checklist: ¿estás expuesto a multas digitales?

#	Pregunta	Si la respuesta es NO, estás en riesgo de…	Multa máxima 2026
1	¿Tienes Libro de Reclamaciones Virtual?	Sanción por Indecopi	S/ 2,475,000
2	¿Respondes reclamos en 15 días hábiles?	Sanción por Indecopi	S/ 275,000
3	¿Tienes política de privacidad completa?	Sanción por ANPD	S/ 27,500
4	¿El consentimiento de datos es con checkbox activo?	Sanción por ANPD	S/ 275,000
5	¿Registraste tus bancos de datos ante la ANPD?	Sanción por ANPD	S/ 275,000
6	¿Tienes política y banner de cookies legal?	Sanción por ANPD	S/ 275,000
7	¿Declaras el flujo transfronterizo de datos?	Sanción por ANPD	S/ 550,000
8	¿Tus claims publicitarios tienen sustanciación previa?	Sanción por Indecopi	Millones
9	¿Etiquetas el contenido de influencers como #Publicidad?	Sanción por Indecopi	S/ 250,000+
10	¿Tus términos y condiciones no tienen cláusulas abusivas?	Sanción por Indecopi	S/ 2,475,000
11	¿Tu IA cumple la clasificación de riesgo de la Ley 31814?	Sanción por SGTD	Por definir
12	¿Tienes protocolo de brechas de seguridad (48 horas)?	Sanción por ANPD	S/ 550,000

Suma de multas máximas teóricas si incumples todo: más de S/ 9 millones.

Obviamente, es improbable que una sola empresa reciba todas las multas máximas simultáneamente. Pero basta con una infracción «muy grave» para comprometer seriamente la operación de una pyme.

Preguntas frecuentes

¿La UIT cambia cada año?

Sí. El Ministerio de Economía y Finanzas fija el valor mediante Decreto Supremo, generalmente publicado en diciembre del año anterior. El valor 2026 (S/ 5,500) fue establecido por el D.S. N° 301-2025-EF.

¿Las multas se calculan con la UIT vigente al momento de la infracción o de la resolución?

Con la UIT vigente al momento de la resolución sancionadora. Si cometiste la infracción en 2025 pero Indecopi resuelve en 2026, la multa se calcula con la UIT 2026 (S/ 5,500). Esto incentiva resolver los procedimientos lo antes posible.

¿Puedo pagar una multa en cuotas?

Depende de la autoridad y del monto. Algunas entidades permiten fraccionamiento bajo ciertas condiciones. Consulta directamente con la autoridad sancionadora.

¿La UIT 2026 aplica retroactivamente a infracciones de años anteriores?

No retroactivamente, pero sí a la resolución. La infracción se tipifica bajo la ley vigente al momento de cometerla, pero el monto de la multa se calcula con la UIT vigente al momento de la resolución.

¿Por qué la UIT sube todos los años?

La UIT se ajusta para reflejar los cambios en el nivel de precios de la economía. No necesariamente sigue la inflación oficial de forma exacta, pero tiende a incrementarse gradualmente cada año.

¿Existe algún beneficio por pronto pago de multas?

En algunos procedimientos sancionadores, subsanar la infracción voluntariamente antes de la resolución puede funcionar como atenuante que reduce el monto de la multa. Pero no existe un «descuento por pronto pago» generalizado.

Referencias legales

Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT para el año fiscal 2026 en S/ 5,500.
Ley N° 29733 — Ley de Protección de Datos Personales (multas de la ANPD).
Ley N° 29571 — Código de Protección y Defensa del Consumidor (multas de Indecopi).
Decreto Legislativo N° 1044 — Ley de Represión de la Competencia Desleal (multas por publicidad).
Ley N° 31814 — Ley de Inteligencia Artificial (plazos de adecuación por sector).

Este artículo es informativo y no constituye asesoría legal ni tributaria. Para evaluar tu exposición a sanciones y diseñar un plan de cumplimiento, consulta con un abogado y un contador especializados.

septiembre 27, 2026

Firma electrónica vs firma digital en Perú: diferencias, validez legal y cuándo usar cada una

Última actualización: septiembre 2026 Base legal: Ley N° 27269 (Ley de Firmas y Certificados Digitales), Código Civil arts. 141 y 141-A Aplica a: empresas, emprendedores, plataformas de e-commerce, profesionales independientes y cualquier persona que necesite cerrar contratos, acuerdos o transacciones a través de medios digitales en Perú.

¿Los contratos firmados online tienen validez legal en Perú? ¿El checkbox de «Acepto los términos y condiciones» cuenta como firma? ¿Qué pasa si un cliente dice que nunca aceptó?

La respuesta corta: sí, los contratos electrónicos son legalmente válidos en Perú. Pero no todas las firmas electrónicas tienen el mismo peso probatorio. La diferencia entre una firma electrónica simple y una firma digital cualificada puede determinar si ganas o pierdes un juicio.

Aquí explicamos las diferencias, cuándo usar cada una y cómo proteger tus transacciones digitales.

El principio de equivalencia funcional

La base legal de todo es simple. La Ley N° 27269, complementada por los artículos 141 y 141-A del Código Civil peruano, establece el principio de equivalencia funcional:

La firma electrónica tiene la misma validez, eficacia jurídica y capacidad para manifestar voluntad que la firma manuscrita.

Esto significa que firmar un contrato en una pantalla, aceptar términos con un clic o validar una transacción con una contraseña OTP tiene, en principio, el mismo efecto legal que firmar con lapicero sobre papel.

Pero «en principio» no significa «siempre». La fuerza probatoria varía según el tipo de firma utilizada.

Los tres niveles de firma electrónica en Perú

El reglamento de la Ley 27269 clasifica las firmas en tres modalidades con diferente nivel de seguridad y peso legal:

1. Firma electrónica simple

Aspecto	Detalle
Qué es	Cualquier dato electrónico que identifica al firmante e indica su aprobación
Tecnología	Checkbox de aceptación (clickwrap), escritura de nombre en un campo, aceptación por email, PIN básico
Seguridad	Baja — fácil de repudiar
Validez legal	Válida para la mayoría de contratos privados
Carga de la prueba	Recae sobre la empresa si el firmante niega haber aceptado

Ejemplo típico: un usuario marca la casilla «Acepto los términos y condiciones» y hace clic en «Comprar». Eso es una firma electrónica simple.

2. Firma electrónica avanzada

Aspecto	Detalle
Qué es	Firma que vincula al firmante de forma única, permite su identificación y detecta cambios posteriores en el documento
Tecnología	Contraseñas de un solo uso (OTP por SMS o email), trazos biométricos en pantalla táctil, autenticación de doble factor
Seguridad	Media — más difícil de repudiar pero no imposible
Validez legal	Válida para contratos privados con mayor peso probatorio que la simple
Carga de la prueba	Sigue recayendo sobre la empresa, pero con más herramientas para demostrar

Ejemplo típico: un usuario firma un contrato de servicios digitando un código OTP que recibió en su celular, más un trazo con el dedo en la pantalla de su tablet.

3. Firma digital (cualificada)

Aspecto	Detalle
Qué es	Firma basada en criptografía asimétrica (par de claves pública/privada) respaldada por un certificado digital emitido por una entidad acreditada
Tecnología	Certificados digitales de la Infraestructura Oficial de Firma Electrónica (IOFE), tokens criptográficos, DNI electrónico
Seguridad	Alta — prácticamente imposible de falsificar
Validez legal	Máximo peso probatorio. Presunción absoluta de autoría e integridad
Carga de la prueba	Se invierte: quien quiera negar la firma debe probar que es falsa

Ejemplo típico: una empresa firma un contrato corporativo de alto valor usando un certificado digital emitido por una entidad acreditada por Indecopi dentro de la IOFE.

Tabla comparativa completa

Característica	Firma simple	Firma avanzada	Firma digital (cualificada)
Tecnología	Checkbox, email, PIN	OTP, biometría, doble factor	Criptografía asimétrica + certificado IOFE
Identifica al firmante	Débilmente	Sí, con mayor certeza	Sí, con certeza total
Detecta alteraciones	No	Sí	Sí
No repudio	No — el firmante puede negar fácilmente	Parcial — más difícil de negar	Sí — presunción legal a favor
Integridad del documento	No garantizada	Parcialmente garantizada	Totalmente garantizada (hash criptográfico)
Carga de prueba en juicio	La empresa debe probar que el usuario firmó	La empresa debe probar, pero tiene más evidencia	Quien niega la firma debe probar que es falsa
Validez legal	✅ Válida	✅ Válida	✅ Válida con máximo peso
Costo	Gratis / muy bajo	Bajo a medio	Medio a alto (certificado + token)
Complejidad técnica	Mínima	Baja a media	Media a alta
Uso típico	E-commerce, suscripciones, términos de servicio	Contratos de servicios, acuerdos laborales, documentos internos	Contratos de alto valor, trámites con el Estado, comprobantes electrónicos SUNAT

¿Cuándo usar cada tipo de firma?

Firma electrónica simple: el día a día del e-commerce

Suficiente para la mayoría de transacciones comerciales cotidianas:

Transacción	Mecanismo	¿Suficiente?
Compra en tienda online	Checkbox «Acepto T&C» + botón «Comprar»	✅ Sí
Suscripción a newsletter	Ingreso de email + confirmación	✅ Sí
Aceptación de política de privacidad	Checkbox activo antes del envío del formulario	✅ Sí
Registro de usuario	Formulario + verificación de email	✅ Sí
Aceptación de cotización por email	Respuesta escrita confirmando aceptación	✅ Sí
Contrato de locación de servicios de bajo monto	Aceptación por email o plataforma de firma	✅ Sí, pero refuerza con OTP

Firma electrónica avanzada: cuando necesitas más seguridad

Recomendada para transacciones donde el riesgo de repudio es mayor:

Transacción	Por qué necesitas más seguridad
Contratos de prestación de servicios profesionales	El proveedor o el cliente podrían negar los términos acordados
Acuerdos de confidencialidad (NDA)	La información compartida tiene valor comercial
Contratos laborales remotos	El trabajador podría negar haber aceptado ciertas condiciones
Autorizaciones de tratamiento de datos sensibles	La autorización debe ser inequívoca
Pedidos B2B de montos significativos	Mayor riesgo financiero si hay disputa

Firma digital cualificada: cuando no puedes perder

Obligatoria o altamente recomendable para:

Transacción	Por qué es necesaria
Comprobantes de pago electrónicos (SUNAT)	Obligatoria — facturas y boletas electrónicas requieren certificado digital
Trámites con la administración pública	Obligatoria — interacciones formales con entidades del Estado
Contratos de alto valor financiero	El costo del certificado es insignificante frente al monto en juego
Contratos de transferencia de inmuebles o activos	La inversión justifica el máximo nivel de seguridad
Contratos corporativos y M&A	Múltiples partes, alto riesgo, necesidad de no repudio absoluto
Poderes y documentos notariales electrónicos	Requieren máxima certeza de autoría

El problema del repudio: qué pasa cuando alguien niega haber firmado

El repudio es el escenario más común y más peligroso en las transacciones electrónicas: el usuario dice «yo nunca acepté eso».

Con firma simple: tú debes probar

Si un cliente niega haber aceptado los términos de tu e-commerce, la carga de la prueba recae sobre ti. Debes demostrar pericialmente:

Evidencia	Para qué sirve
Dirección IP del dispositivo que realizó la acción	Ubica el dispositivo desde donde se firmó
Sello de tiempo (timestamp)	Prueba cuándo ocurrió la aceptación
Geolocalización si está disponible	Refuerza la identificación del lugar
Hash del documento (algoritmo criptográfico)	Prueba que el documento no fue alterado después de la firma
Logs del servidor	Registran la secuencia de acciones del usuario
Capturas de pantalla o grabación del flujo	Muestran qué vio el usuario antes de aceptar
Email de confirmación enviado al usuario	Prueba que la transacción se comunicó a su dirección

Recomendación: aunque uses firma simple, implementa un sistema que capture y almacene todas estas evidencias automáticamente. Muchas plataformas de e-commerce lo hacen por defecto, pero verifica que tu sistema conserve estos registros por al menos el período de prescripción de las acciones legales (generalmente 10 años para acciones contractuales).

Con firma digital: el otro debe probar

Con una firma digital cualificada, la presunción legal se invierte. El documento se presume:

Auténtico — fue firmado por quien dice haberlo firmado.
Íntegro — no fue modificado después de la firma.
No repudiable — el firmante no puede negar haberlo firmado.

Quien quiera impugnar la firma debe probar que es falsa, lo cual requiere evidencia pericial contundente contra la criptografía asimétrica. En la práctica, es extremadamente difícil.

La Infraestructura Oficial de Firma Electrónica (IOFE)

La firma digital cualificada en Perú funciona dentro de un sistema regulado llamado IOFE (Infraestructura Oficial de Firma Electrónica), supervisado por Indecopi.

¿Cómo funciona?

Componente	Función
Entidad de certificación	Emite los certificados digitales que vinculan la identidad de una persona con un par de claves criptográficas
Entidad de registro	Verifica la identidad del solicitante antes de emitir el certificado
Certificado digital	Archivo electrónico que contiene la clave pública del firmante, su identidad y la firma de la entidad certificadora
Par de claves	Clave privada (solo la tiene el firmante, almacenada en un token o dispositivo seguro) + clave pública (disponible para verificar la firma)
Indecopi	Acredita a las entidades de certificación dentro de la IOFE

¿Cómo obtener un certificado digital?

Paso	Detalle
1	Elegir una entidad de certificación acreditada por Indecopi
2	Verificar tu identidad (presencial o remota según la entidad)
3	Recibir tu certificado digital y dispositivo de almacenamiento (token USB, tarjeta inteligente, o el DNI electrónico)
4	Instalar el software necesario para firmar documentos
5	Firmar documentos con tu certificado — la firma es verificable por cualquiera con tu clave pública

¿Cuánto cuesta?

Los precios varían según la entidad certificadora, el tipo de certificado y la duración. A modo referencial:

Tipo	Rango de costo	Duración típica
Certificado digital para persona natural	S/ 100 — S/ 300	1-2 años
Certificado digital para persona jurídica	S/ 200 — S/ 500	1-2 años
Token USB o tarjeta inteligente	S/ 50 — S/ 150	Dispositivo reutilizable
Renovación anual	S/ 80 — S/ 250	1 año

Contratos clickwrap vs browsewrap: validez en Perú

Las dos formas más comunes de aceptar contratos en línea tienen diferente peso legal:

Clickwrap

Aspecto	Detalle
Mecanismo	El usuario marca activamente un checkbox («Acepto los términos») antes de completar la acción
Validez en Perú	Alta — hay una acción afirmativa registrable
Fuerza probatoria	Buena — demuestra que el usuario realizó una acción deliberada
Requisito	El enlace a los términos completos debe estar visible y accesible antes de la aceptación

Browsewrap

Aspecto	Detalle
Mecanismo	Los términos están enlazados en el footer o en una página secundaria; usar el sitio implica aceptación
Validez en Perú	Débil — difícil probar que el usuario los leyó o siquiera los vio
Fuerza probatoria	Baja — ante un repudio, es difícil demostrar consentimiento informado
Riesgo	El usuario puede argumentar que nunca vio los términos y que el mero uso del sitio no constituye aceptación

Recomendación clara: usa clickwrap para cualquier transacción con implicaciones legales. El browsewrap es un riesgo innecesario.

Implementación práctica para sitios web

E-commerce: flujo mínimo recomendado

Paso del checkout	Firma/Consentimiento
1. Carrito de compras	Precio visible con impuestos incluidos
2. Datos de envío y facturación	Formulario con datos del comprador
3. Antes del pago	☐ Checkbox: «He leído y acepto los [Términos y Condiciones]» (enlace activo)
4. Antes del pago	☐ Checkbox separado: «Acepto la [Política de Privacidad]» (enlace activo)
5. Botón de pago	«Confirmar compra» — solo activo si los checkboxes están marcados
6. Post-compra	Email de confirmación con resumen del pedido, copia de los términos vigentes y enlace al Libro de Reclamaciones

Contratos de servicios B2B o freelance

Nivel de riesgo	Firma recomendada	Herramientas
Bajo (< S/ 5,000)	Simple o avanzada	DocuSign, HelloSign, firma por email con confirmación
Medio (S/ 5,000 — S/ 50,000)	Avanzada con OTP	Plataformas con verificación por SMS/email + timestamp
Alto (> S/ 50,000)	Digital cualificada	Certificado IOFE + plataforma de firma digital acreditada

Preguntas frecuentes

¿Un contrato firmado por WhatsApp tiene validez legal?

Un acuerdo por WhatsApp puede tener validez como manifestación de voluntad (art. 141 del Código Civil), pero es una firma electrónica simple con fuerza probatoria débil. Si la otra parte niega haber aceptado, debes probar que el mensaje fue enviado desde su número, que no fue alterado y que expresa consentimiento claro. Es mejor que nada, pero no es recomendable para acuerdos importantes.

¿DocuSign, HelloSign o PandaDoc tienen validez en Perú?

Sí, como firmas electrónicas avanzadas. Estas plataformas capturan evidencias de identificación (email, IP, timestamp) y aplican sellos de integridad al documento. Son válidas para contratos privados. Para máxima protección, verifica que la plataforma permita configurar verificación adicional (OTP, autenticación de identidad).

¿El DNI electrónico sirve como firma digital?

Sí. El DNI electrónico peruano (emitido por RENIEC) contiene un certificado digital que permite generar firmas digitales cualificadas dentro de la IOFE. Es una de las formas más accesibles de obtener firma digital para personas naturales en Perú.

¿Puedo usar firma electrónica simple para contratos laborales?

Sí, es legalmente válida. Pero dada la naturaleza del contrato laboral y el riesgo de disputas futuras (despido, beneficios no pagados, condiciones no reconocidas), es recomendable usar al menos firma avanzada con OTP y conservar todas las evidencias.

¿Necesito firma digital para emitir facturas electrónicas?

Sí. La SUNAT exige el uso de certificados digitales para la emisión de comprobantes de pago electrónicos (facturas, boletas, notas de crédito). Esto aplica a empresas en el Régimen General y otros regímenes que emiten comprobantes electrónicos.

¿Qué pasa si pierdo mi certificado digital o token?

Debes revocar el certificado inmediatamente ante la entidad certificadora. Una vez revocado, las firmas posteriores con ese certificado serán inválidas. Las firmas realizadas antes de la revocación mantienen su validez.

Referencias legales

Ley N° 27269 — Ley de Firmas y Certificados Digitales. Establece el principio de equivalencia funcional y las categorías de firma electrónica.
Código Civil, artículos 141 y 141-A — Reconocen la manifestación de voluntad por medios electrónicos.
Reglamento de la Ley 27269 — Detalla las categorías técnicas y probatorias de las firmas (simple, avanzada, digital).
Indecopi — Acredita a las entidades de certificación dentro de la IOFE.
RENIEC — Emite el DNI electrónico con certificado digital incorporado.
SUNAT — Exige firma digital para comprobantes de pago electrónicos.

Este artículo es informativo y no constituye asesoría legal. Para implementar un sistema de firma electrónica en tu plataforma o elegir el tipo de firma adecuado para tus contratos, consulta con un abogado especializado en derecho digital.

septiembre 27, 2026

Contenido generado por IA y derechos de autor en Perú: ¿se puede proteger?

Última actualización: septiembre 2026 Base legal: Decreto Legislativo N° 822 (Ley sobre el Derecho de Autor) Aplica a: empresas, creadores de contenido, agencias de marketing, desarrolladores y cualquier persona que use inteligencia artificial generativa para producir textos, imágenes, código o cualquier otro contenido para su sitio web o plataforma digital.

Usas ChatGPT para redactar los textos de tu blog. Generas imágenes con Midjourney para tu tienda online. Tu desarrollador usa GitHub Copilot para escribir código. Publicas todo en tu web como contenido propio.

¿Ese contenido te pertenece? ¿Alguien puede copiarlo legalmente sin que puedas hacer nada?

En Perú, la respuesta corta es incómoda: el contenido generado puramente por IA, sin intervención creativa humana sustancial, no tiene protección de derechos de autor. Cualquiera puede copiarlo sin cometer infracción.

Aquí explicamos por qué, qué dice la ley, y cómo proteger tu contenido si usas IA en tu proceso creativo.

¿Qué dice la ley peruana sobre autoría?

El Decreto Legislativo N° 822 basa toda la protección del derecho de autor en un concepto fundamental: la originalidad vinculada a la impronta de la personalidad humana.

Los dos requisitos para la protección

Requisito	Qué significa
Originalidad	La obra debe ser una creación intelectual con rasgos propios, no una copia ni un resultado mecánico
Autoría humana	La creación debe provenir de una persona natural. La ley peruana reconoce como autor exclusivamente a seres humanos

Estos dos requisitos son acumulativos. No basta con que el resultado sea original o novedoso. Debe ser el producto de una decisión creativa humana.

¿Por qué importa la autoría humana?

El DL 822, como la mayoría de legislaciones de tradición jurídica continental, fue diseñado bajo una premisa antropológica: el derecho de autor protege la expresión de la personalidad del creador. Los derechos morales (paternidad, integridad) existen porque hay una persona detrás de la obra cuya reputación y visión están en juego.

Una IA no tiene personalidad, reputación ni voluntad creativa. No «decide» crear algo — procesa patrones estadísticos y genera un output probabilístico basado en datos de entrenamiento.

¿El contenido generado por IA tiene protección en Perú?

Depende del nivel de intervención humana.

Escenario 1: generación pura con prompt básico

Ejemplo: escribes «genera un artículo de 500 palabras sobre marketing digital» en ChatGPT y publicas el resultado tal cual.

¿Tiene protección? → No.

El prompt es una instrucción descriptiva, no una creación intelectual. La IA hizo todo el trabajo creativo (selección de palabras, estructura, argumentación). El resultado carece de impronta humana.

Consecuencia: ese texto está en el dominio público. Cualquier persona puede copiarlo, modificarlo y publicarlo como propio sin cometer infracción de derechos de autor.

Escenario 2: generación con edición humana sustancial

Ejemplo: usas ChatGPT para generar un borrador, pero luego reorganizas la estructura, reescribes párrafos enteros, añades datos de tu investigación, ajustas el tono y la voz, incorporas ejemplos propios y eliminas secciones completas.

¿Tiene protección? → Probablemente sí, en la medida en que el resultado final refleje tu intervención creativa.

La clave es que la versión publicada sea sustancialmente diferente del output original de la IA y que las decisiones creativas determinantes (estructura, selección, expresión) sean tuyas.

Escenario 3: IA como herramienta dentro de un proceso creativo humano

Ejemplo: un diseñador usa Midjourney para generar 20 variantes de una imagen, selecciona elementos de varias, los combina en Photoshop, ajusta colores, añade elementos propios y produce una composición final que refleja su visión artística.

¿Tiene protección? → Sí, con alta probabilidad.

La IA fue una herramienta — como un pincel o una cámara. Las decisiones creativas sustanciales (selección, combinación, composición, dirección artística) son humanas.

Tabla resumen

Nivel de intervención humana	Ejemplo	¿Protección autoral?	Riesgo
Nula — prompt básico, se publica el output tal cual	«Escribe un artículo sobre X» → copiar y pegar	No — dominio público	Cualquiera puede copiar tu contenido
Mínima — prompt detallado pero sin edición del resultado	Prompt largo y específico, pero el output se publica sin cambios	No — el prompt no es intervención creativa sobre el resultado	Cualquiera puede copiar tu contenido
Moderada — edición parcial del output	Corriges errores, ajustas datos, pero mantienes la estructura y redacción de la IA	Zona gris — depende de cuánto cambiaste	Riesgo de que no alcance el umbral de originalidad
Sustancial — el output de la IA es solo un insumo	Reescribes, reorganizas, añades contenido propio, el resultado final es mayoritariamente tuyo	Sí — la obra refleja tu impronta creativa	Protección sólida
IA como herramienta — proceso creativo dirigido por humano	Generas variantes, seleccionas, combinas, editas manualmente	Sí — la IA es herramienta, la autoría es humana	Protección sólida

¿Qué significa esto para tu negocio?

Si tu web depende de contenido generado por IA

Tipo de contenido	Riesgo si es generado por IA sin intervención humana
Textos de blog	Tus competidores pueden copiar tus artículos legalmente
Descripciones de producto	Otros e-commerce pueden usar tus mismas descripciones
Imágenes de producto	Cualquiera puede descargar y usar tus imágenes generadas
Código de tu plataforma	Fragmentos generados puramente por IA no tienen exclusividad
Contenido de redes sociales	Tus posts pueden ser replicados sin infracción
Material de marketing	Tus campañas pueden ser copiadas por competidores

El problema comercial

Más allá de lo legal, hay un problema de ventaja competitiva: si cimentas el valor de tu plataforma en contenido que cualquiera puede copiar libremente, estás construyendo sobre una base sin exclusividad jurídica.

Un competidor puede:

Copiar los textos de tu web.
Publicarlos en su propia web.
Posicionar esos textos en Google.
Quitarte tráfico con tu propio contenido.
Y no estaría cometiendo ninguna infracción.

Cómo proteger contenido que usa IA

La solución no es dejar de usar IA. Es usarla como herramienta, no como autora.

Principio general

La IA genera el borrador. Tú creas la obra final.

Prácticas que refuerzan la protección

Práctica	Por qué protege
Reescribir sustancialmente el output de la IA	El texto final refleja tu expresión, no la de la IA
Añadir contenido original — datos propios, experiencia, ejemplos, investigación	La IA no tiene acceso a tu conocimiento específico
Decidir la estructura tú mismo — no usar la estructura que la IA propone	La organización y selección son decisiones creativas
Aplicar tu voz y estilo de marca de forma consistente	El tono distintivo es parte de la originalidad
Combinar múltiples fuentes — IA, investigación propia, datos de clientes	El proceso de selección y síntesis es creativo
Documentar tu proceso — guardar versiones, borradores, evidencia de edición	Si alguien disputa, puedes demostrar la intervención humana
Usar la IA para tareas mecánicas — corrección, resumen, traducción	Estas tareas no generan obra nueva, pero facilitan tu trabajo creativo

Prácticas que debilitan la protección

Práctica	Por qué debilita
Copiar y pegar el output de la IA directamente	Sin intervención humana = sin protección
Usar la IA para toda la cadena creativa (concepto → borrador → texto final)	No hay punto donde tu creatividad entre al proceso
Pedir a la IA que «mejore» su propio texto en lugar de editarlo tú	Sigue siendo output de IA, solo refinado por IA
Generar imágenes con un prompt y publicarlas sin modificación	El prompt no es la obra; la imagen sí — y es de la IA
No guardar evidencia de tu proceso de edición	Si no puedes demostrar intervención, es difícil defender autoría

El caso especial del código generado por IA

Los desarrolladores que usan GitHub Copilot, Cursor, Claude o ChatGPT para generar código enfrentan la misma pregunta: ¿el código generado por IA es protegible?

Escenario	¿Protección?
Copilot autocompleta una función entera que publicas sin cambios	No — output de IA sin intervención sustancial
Usas la sugerencia de Copilot como base pero reescribes la lógica, optimizas y adaptas a tu arquitectura	Sí — la versión final refleja tus decisiones técnicas
Pides a ChatGPT que genere un componente completo y lo pegas en tu proyecto	No — es código de IA publicado sin intervención
Diseñas la arquitectura, defines la lógica de negocio, y usas IA para acelerar la escritura de código boilerplate	Sí — las decisiones creativas (arquitectura, diseño) son tuyas

Implicación para empresas

Si contrataste un desarrollador que generó todo el código con IA sin intervención sustancial propia, el contrato de cesión de derechos que firmaron puede ser irrelevante: no puedes ceder derechos que no existen. Si el código no tiene protección autoral, la cesión es sobre un objeto vacío.

Esto no significa que el código no funcione o que no puedas usarlo. Significa que no puedes impedir que otros lo copien basándote en derechos de autor.

¿Qué pasa en otros países?

El debate es global y las respuestas varían:

País / Jurisdicción	Postura sobre contenido generado por IA
Estados Unidos	La Copyright Office ha rechazado registros de obras generadas por IA sin autoría humana sustancial. Caso emblemático: «Zarya of the Dawn» (se protegió la selección y composición humana, no las imágenes generadas por IA)
Unión Europea	La directiva de derechos de autor exige originalidad como expresión de la creatividad intelectual del autor (humano). Output puro de IA no califica
Reino Unido	Excepción notable: la ley reconoce protección para obras «generadas por computadora» donde no hay autor humano, otorgando la titularidad a quien hizo los arreglos necesarios. Caso atípico a nivel global
China	Tribunales han otorgado protección a imágenes generadas por IA cuando el usuario demostró «arreglo intelectual» significativo en el proceso
Perú	DL 822 exige originalidad + impronta humana. Sin intervención creativa sustancial, no hay protección

Perú está alineado con la postura mayoritaria a nivel global: la tendencia es no proteger el output puro de IA, pero sí las obras donde la IA es una herramienta dentro de un proceso creativo dirigido por humanos.

Implicaciones para estrategia de contenido

SEO y contenido de blog

Estrategia	Riesgo
Generar 100 artículos con IA y publicarlos sin edición	Alto — contenido sin protección + Google penaliza contenido de baja calidad / spam
Usar IA para generar borradores y editarlos sustancialmente con expertise propio	Bajo — contenido protegido + Google valora contenido con expertise (E-E-A-T)
Mezclar investigación propia, datos originales y redacción asistida por IA	Bajo — el valor está en tu conocimiento, no en las palabras de la IA

E-commerce e imágenes de producto

Estrategia	Riesgo
Generar todas las imágenes de productos con IA	Alto — competidores pueden usar las mismas imágenes
Usar fotos reales de tus productos	Bajo — fotografías originales tienen protección autoral
Combinar fotos reales con edición asistida por IA (fondo, iluminación)	Bajo — la fotografía base es tuya, la IA es herramienta de edición

Marca y branding

Estrategia	Riesgo
Logo generado por IA sin modificación	Alto — sin protección autoral. Además, no puede registrarse como marca si no tiene originalidad humana
Logo diseñado por humano con asistencia de IA en el proceso creativo	Bajo — la decisión de diseño es humana
Identidad visual completa generada por IA	Alto — todo tu branding sería copiable sin consecuencia legal

Preguntas frecuentes

¿Si yo escribí el prompt, no soy el autor?

No. El prompt es una instrucción, no una creación. Escribir «pinta un paisaje con montañas al atardecer» no te convierte en el pintor del cuadro. La obra es el resultado (el texto, la imagen, el código), no la instrucción que lo generó. Un prompt muy detallado y específico puede demostrar mayor dirección creativa, pero si el output se publica sin intervención adicional, sigue siendo output de IA.

¿Puedo registrar en Indecopi un texto generado por IA?

Técnicamente puedes presentar la solicitud, pero si se determina que la obra fue generada por IA sin intervención humana sustancial, el registro no otorgará protección real. Un registro no convierte en protegible algo que la ley no protege. Si alguien impugna tu autoría y demuestras que lo generó una IA, el registro pierde efecto.

¿Esto aplica solo a ChatGPT o a toda IA generativa?

A toda IA generativa: ChatGPT, Claude, Gemini, Midjourney, DALL-E, Stable Diffusion, GitHub Copilot, Suno (música), y cualquier herramienta que genere contenido a partir de prompts. El análisis es el mismo independientemente de la herramienta.

¿Si uso IA para traducir mi contenido, pierdo la protección?

No. La traducción automática es una herramienta de procesamiento, no una creación nueva. Tu contenido original en el idioma fuente sigue protegido. La traducción en sí puede tener protección limitada si la editas sustancialmente, pero tu obra original no se ve afectada.

¿Mi competidor puede copiar mis textos si fueron generados por IA?

Si los textos fueron generados puramente por IA sin intervención creativa humana sustancial, sí — legalmente puede copiarlos sin cometer infracción de derechos de autor. Por eso es fundamental que tu proceso creativo incluya intervención humana sustancial y que puedas demostrarlo.

¿Va a cambiar la ley peruana sobre esto?

Es probable que la legislación evolucione. El debate global sobre IA y derechos de autor está activo y varios países están revisando sus marcos legales. Perú podría seguir la tendencia internacional de crear regulaciones específicas para obras asistidas por IA. Pero al septiembre 2026, la interpretación vigente del DL 822 es clara: sin autoría humana sustancial, no hay protección.

Referencias legales

Decreto Legislativo N° 822 — Ley sobre el Derecho de Autor. Fundamenta la protección en la originalidad vinculada a la personalidad humana del creador.
Convenio de Berna — Tratado internacional ratificado por Perú que establece los principios fundamentales del derecho de autor.
Tratados OMPI — Organización Mundial de la Propiedad Intelectual, cuyos estándares Perú ha armonizado en su legislación nacional.
Dirección de Derecho de Autor del Indecopi — Oficina encargada del registro y defensa de derechos de autor en Perú.

Este artículo es informativo y no constituye asesoría legal. Para evaluar la protección de contenido generado con asistencia de IA en tu plataforma, consulta con un abogado especializado en propiedad intelectual y derecho digital.

septiembre 27, 2026

Derechos de autor sobre código fuente y diseño web en Perú: lo que debes saber

Última actualización: septiembre 2026 Base legal: Decreto Legislativo N° 822 (Ley sobre el Derecho de Autor) Aplica a: empresas que contratan desarrollo web, agencias de marketing digital, desarrolladores freelance, startups y cualquier persona que cree o encargue la creación de un sitio web, aplicación o plataforma digital.

Pagaste por tu sitio web. Lo diseñaron a tu medida, lo programaron desde cero, corre en tu servidor con tu dominio. Es tuyo, ¿verdad?

No necesariamente. En Perú, el que paga no es automáticamente el dueño del código. La ley presume que los derechos son del creador — la persona que diseñó y programó — no de quien encargó y financió el trabajo.

Si no tienes un contrato de cesión de derechos, el desarrollador que hizo tu web puede reclamarte regalías, prohibirte modificar el código o impedir que lo uses si la relación comercial se deteriora.

Aquí explicamos cómo funciona la propiedad intelectual sobre sitios web en Perú y cómo proteger tu inversión.

¿Qué protege la ley peruana?

El Decreto Legislativo N° 822 (Ley sobre el Derecho de Autor) protege las creaciones intelectuales originales. En el contexto de un sitio web, los elementos protegidos son:

Elemento	Tipo de protección	Detalle
Código fuente	Protegido como obra literaria	El código tal como fue escrito por el programador
Código objeto	Protegido como obra literaria	El código compilado o ejecutable
Documentación técnica	Protegida como obra literaria	Manuales, diagramas de arquitectura, especificaciones técnicas preparatorias
Diseño visual (UI)	Protegido como obra artística	La composición visual, el layout, las ilustraciones originales
Contenido textual original	Protegido como obra literaria	Textos de la web redactados originalmente
Base de datos	Protección sui generis	La estructura y organización de la base de datos (no los datos en sí)
Fotografías originales	Protegidas como obra fotográfica	Fotos tomadas específicamente para el sitio
Ilustraciones y gráficos	Protegidos como obra artística	Iconos, infografías, elementos gráficos creados a medida

¿Qué NO está protegido?

Elemento	Por qué no tiene protección autoral
Ideas y conceptos	La ley protege la expresión, no la idea. «Quiero un e-commerce con carrito de compras» no es protegible
Funcionalidades genéricas	Un formulario de contacto, un carrito de compras o un login son funcionalidades estándar, no obras originales
Datos e información fáctica	Los datos de tus clientes, precios, descripciones de producto no son obra autoral
Código de terceros con licencia open source	El código bajo licencias como MIT, GPL o Apache tiene sus propias reglas de uso
Templates y themes comerciales	Si usaste un theme de WordPress que compraste, la propiedad es del autor del theme bajo los términos de su licencia

¿Quién es dueño del código? La regla que sorprende a todos

Aquí está el punto central que la mayoría de empresas peruanas desconoce.

La presunción legal: el creador es el titular

El artículo 10° del Decreto Legislativo 822 establece que la persona natural que crea la obra es presumida como titular originaria de los derechos. No la empresa que pagó. No el cliente que encargó el proyecto. El programador o diseñador que hizo el trabajo.

Situación	¿Quién es dueño del código?
Contrataste a una agencia para hacer tu web	La agencia (o el programador empleado de la agencia) — no tú
Contrataste a un freelancer	El freelancer — no tú
Tu empleado en planilla programó la web	Tu empresa — pero solo si hay contrato laboral que lo establezca
Compraste un template y lo personalizaste	El autor del template retiene la propiedad del template; tú tienes licencia de uso
Usaste código open source	Los autores originales según los términos de la licencia

¿Por qué es diferente a lo que esperamos?

En muchos países anglosajones existe la doctrina del «work for hire» (obra por encargo), donde el que paga es automáticamente el titular de los derechos patrimoniales. En Perú — y en la mayoría de países con tradición jurídica continental — esa presunción no existe.

La ley peruana distingue entre:

Tipo de derecho	Qué incluye	¿Se puede transferir?
Derechos morales	Paternidad de la obra (ser reconocido como autor), integridad (que no modifiquen tu obra de forma que afecte tu reputación)	No — son irrenunciables e intransferibles, perpetuos
Derechos patrimoniales	Reproducción, distribución, transformación, comunicación pública, explotación comercial	Sí — mediante contrato de cesión

Esto significa que incluso después de ceder los derechos patrimoniales, el programador siempre conserva el derecho moral a ser reconocido como autor del código. Lo que tú necesitas como empresa son los derechos patrimoniales para poder usar, modificar, reproducir y explotar comercialmente el sitio web.

El contrato de cesión de derechos: tu única protección

La explotación comercial, modificación futura o cesión a terceros del código de tu sitio web requiere la suscripción de un Contrato de Cesión de Derechos de Autor.

¿Qué debe incluir?

Elemento del contrato	Detalle	Por qué importa
Identificación de las partes	Datos completos del cedente (desarrollador/agencia) y cesionario (empresa/cliente)	Saber quién cede y quién recibe
Descripción de la obra	Detalle preciso de qué se cede: código fuente, código objeto, diseño visual, documentación técnica	Sin descripción precisa, la cesión es ambigua
Derechos patrimoniales cedidos	Reproducción, distribución, transformación, comunicación pública	Cada derecho debe mencionarse explícitamente
Alcance territorial	Mundial o restringido a ciertos territorios	Para una web, necesitas alcance mundial (internet no tiene fronteras)
Duración	Perpetua o por un plazo determinado	Si es por plazo, al vencer el desarrollador recupera los derechos
Exclusividad	Exclusiva (solo tú puedes usar el código) o no exclusiva	Si no es exclusiva, el desarrollador puede vender el mismo código a otro cliente
Contraprestación	El precio pagado por la cesión	Puede estar incluido en el precio del proyecto o ser un monto adicional
Código fuente incluido	Declaración expresa de que se entrega el código fuente	Sin esto, podrían cederte solo el código compilado sin acceso al fuente
Derecho de transformación	Autorización para modificar, adaptar y crear obras derivadas	Sin esto, no puedes actualizar ni modificar tu propia web sin permiso

Modelo de cláusula de cesión

CLÁUSULA DE CESIÓN DE DERECHOS PATRIMONIALES DE AUTOR

El CEDENTE transfiere de manera perpetua, exclusiva e irrevocable
a favor del CESIONARIO, la totalidad de los derechos patrimoniales
sobre la obra consistente en [descripción del sitio web/software],
incluyendo sin limitación los derechos de:

a) Reproducción total o parcial
b) Distribución por cualquier medio
c) Transformación, adaptación y creación de obras derivadas
d) Comunicación pública por cualquier medio, incluyendo internet
e) Puesta a disposición del público

La presente cesión incluye expresamente la entrega del código
fuente completo, la documentación técnica y todos los archivos
necesarios para la operación, mantenimiento y modificación
independiente de la obra por parte del CESIONARIO o terceros
que este designe.

La cesión tiene alcance mundial y por toda la duración legal
de los derechos patrimoniales de autor.

La contraprestación por esta cesión se encuentra incluida en
el precio total del proyecto pactado en la cláusula [X] del
presente contrato.

Este es un modelo referencial. Cada contrato debe adaptarse a las circunstancias específicas del proyecto. Consulta con un abogado especializado.

¿Qué pasa si no tienes contrato de cesión?

Sin un contrato que transfiera los derechos patrimoniales, te expones a riesgos concretos:

Riesgo	Escenario
Demanda por infracción	El desarrollador te demanda por usar comercialmente una obra de la que él es titular
Interdicción de uso	Un juez puede ordenar que dejes de usar el sitio web hasta que se resuelva la titularidad
Solicitud de regalías	El desarrollador reclama un pago periódico por la explotación de su obra
Bloqueo de modificaciones	No puedes encargar a otro desarrollador que modifique el código porque no tienes el derecho de transformación
Chantaje comercial	Si la relación con el desarrollador se deteriora, puede usar la titularidad como herramienta de presión
Pérdida del activo	Si el desarrollador fallece o su empresa quiebra, la titularidad pasa a sus herederos o a la masa concursal — y tú sigues sin derechos

Caso típico que genera problemas

Empresa contrata a freelancer para hacer su web.
Freelancer entrega la web terminada. Empresa paga.
No se firma contrato de cesión. Ambos asumen que «pagando es suficiente».
Dos años después, la empresa quiere rediseñar la web con otra agencia.
El freelancer original se entera y reclama que no cedió los derechos.
La empresa no puede demostrar la titularidad del código.
Conflicto legal que puede costar más que el proyecto original.

¿Es necesario registrar el software en Indecopi?

El Decreto Legislativo 822, alineado con los tratados de la Organización Mundial de la Propiedad Intelectual (OMPI), establece que el derecho de autor nace del acto de creación. No necesitas registrar nada para ser titular de los derechos.

Sin embargo, el registro ante la Dirección de Derecho de Autor del Indecopi tiene ventajas estratégicas:

Aspecto	Sin registro	Con registro
¿Existen los derechos?	Sí — nacen de la creación	Sí — nacen de la creación
¿Se presume la autoría?	Solo con evidencia (contratos, versiones, repositorio git)	Sí — el registro genera presunción legal de autoría
¿Es más fácil defender en juicio?	Más difícil — debes probar que eres el autor	Más fácil — la carga de la prueba se invierte
¿Protege contra copias?	Sí, pero necesitas demostrar autoría	Sí, con la ventaja de la presunción registral

El registro es declarativo, no constitutivo. Esto significa que facilita la defensa de tus derechos pero no los crea. Los derechos existen con o sin registro.

¿Cuándo vale la pena registrar?

Situación	¿Registrar?
Software comercial que vendes como producto (SaaS, app)	Sí — alta exposición a copia
Sitio web institucional estándar	Probablemente no — bajo riesgo de copia
Código con ventaja competitiva significativa	Sí — protege tu diferenciador
Diseño visual de marca altamente diferenciado	Sí — complementa el registro de marca

Situaciones especiales

Desarrollador empleado en planilla

Si el programador es tu empleado bajo contrato laboral, la situación cambia parcialmente. La legislación laboral y autoral se cruzan:

Escenario	Titularidad
Empleado creó el software como parte de sus funciones laborales, dentro de su horario de trabajo	La empresa puede argumentar titularidad patrimonial, pero es recomendable que el contrato laboral incluya una cláusula de cesión expresa
Empleado creó el software fuera de su horario, con sus propios recursos, sin relación con sus funciones	Del empleado — la empresa no tiene derechos
Empleado creó el software fuera del horario pero usando recursos de la empresa (computadora, acceso a sistemas)	Zona gris — depende del contrato y las circunstancias

Recomendación: incluye en los contratos laborales de tu equipo de desarrollo una cláusula de cesión de derechos patrimoniales sobre las obras creadas en el ejercicio de sus funciones. No lo asumas.

Agencia de marketing o desarrollo que subcontrata

Si contratas una agencia y la agencia subcontrata a un freelancer:

Eslabón	¿Quién tiene los derechos?
Freelancer	Los derechos nacen en el freelancer (creador)
Agencia	Solo tiene derechos si el freelancer le cedió mediante contrato
Tu empresa (cliente)	Solo tienes derechos si la agencia te cedió Y si la agencia realmente los tiene del freelancer

El riesgo: si la agencia no tiene contrato de cesión con su freelancer, no puede cederte lo que no tiene. Tú terminas sin derechos aunque hayas pagado a la agencia.

Solución: exige a tu agencia que te garantice contractualmente que tiene los derechos patrimoniales sobre todo el trabajo entregado y que te los cede. La agencia es responsable de gestionar la cesión con sus propios subcontratistas.

Código open source integrado en tu web

La mayoría de sitios web modernos incluyen componentes open source (WordPress, React, Laravel, librerías de npm). Esto no es un problema, pero debes conocer las implicaciones:

Licencia open source	Qué permite	Qué exige
MIT	Uso libre, modificación, distribución comercial	Incluir la nota de copyright original
Apache 2.0	Similar a MIT	Incluir licencia y aviso de cambios
GPL	Uso libre, modificación	Si distribuyes el código modificado, debe ser también GPL (copyleft)
BSD	Uso libre	Incluir la nota de copyright

El código original que tu desarrollador escribe ENCIMA de frameworks open source sí es protegible y sí necesita cesión. La personalización, la lógica de negocio, el diseño visual y la integración son obras originales.

Checklist de protección de activos digitales

#	Acción	Estado
1	Contrato de cesión de derechos firmado con cada desarrollador, diseñador o agencia que haya trabajado en tu web	☐
2	Cesión perpetua, exclusiva y con alcance mundial de derechos patrimoniales (reproducción, distribución, transformación, comunicación pública)	☐
3	Entrega del código fuente completo, no solo del sitio terminado	☐
4	Documentación técnica entregada (arquitectura, diagramas, credenciales de acceso)	☐
5	Cláusula de cesión en contratos laborales del equipo de desarrollo	☐
6	Garantía de la agencia de que tiene los derechos sobre trabajo de subcontratistas	☐
7	Inventario de licencias open source usadas en el proyecto	☐
8	Repositorio propio del código fuente bajo tu control (GitHub, GitLab, Bitbucket propio)	☐
9	Registro en Indecopi para software comercial o con ventaja competitiva	☐ (opcional)
10	Backup independiente del código, fuera del control del desarrollador	☐

Preguntas frecuentes

¿Si pagué por la web, no me pertenece automáticamente?

No. En Perú, pagar por la creación de una obra no transfiere automáticamente los derechos patrimoniales. Necesitas un contrato de cesión. El pago te da derecho a usar el resultado entregado, pero la titularidad legal del código permanece en el creador salvo cesión expresa.

¿Un email donde el desarrollador dice «te entrego todo» sirve como cesión?

Es evidencia de intención, pero no es un contrato de cesión formal. En una disputa judicial, su peso probatorio es limitado. Lo ideal es un contrato firmado que especifique exactamente qué derechos se ceden, con qué alcance y por cuánto tiempo.

¿Puedo exigir retroactivamente la cesión a un desarrollador con quien ya trabajé?

Puedes negociarla, pero no exigirla. Si no se pactó en su momento, el desarrollador puede pedir una contraprestación adicional por la cesión, o negarse. Es mejor prevenir que remediar.

¿Los diseños de Canva o Figma que usé en mi web me pertenecen?

Depende de la licencia. Los elementos de stock de Canva, Figma o Freepik tienen licencias específicas que debes revisar. Generalmente otorgan una licencia de uso, no una cesión de propiedad. Los diseños originales que TÚ creas en esas herramientas sí son tuyos.

¿Si mi sitio web usa WordPress, quién es dueño del código?

WordPress es software libre bajo licencia GPL. El código de WordPress como tal no es tuyo ni de nadie en particular. Lo que sí puede ser tuyo es el código del theme personalizado, los plugins a medida y cualquier desarrollo original hecho sobre WordPress — siempre que tengas la cesión de quien lo programó.

¿Puedo impedir que mi desarrollador reutilice partes de mi código en otros proyectos?

Solo si el contrato de cesión establece exclusividad. Sin exclusividad, el desarrollador puede reutilizar soluciones similares (no idénticas) en otros proyectos. Si quieres exclusividad total, debes pactarla y probablemente pagar un premium por ella.

Referencias legales

Decreto Legislativo N° 822 — Ley sobre el Derecho de Autor. Artículo 10° (presunción de titularidad del creador). Protege el software como obra literaria.
Tratados OMPI — Convenio de Berna y Tratado de la OMPI sobre Derecho de Autor, ratificados por Perú. Armonizan la protección internacional del software.
Dirección de Derecho de Autor del Indecopi — Oficina encargada del registro facultativo de obras y de la defensa de los derechos de autor.

Este artículo es informativo y no constituye asesoría legal. Para redactar contratos de cesión de derechos de autor adaptados a tu proyecto, consulta con un abogado especializado en propiedad intelectual.

septiembre 27, 2026

¿Debo poner mi RUC en la publicidad digital? Lo que cambió en Perú

Última actualización: septiembre 2026 Base legal: Decreto Legislativo N° 1524 (derogado parcialmente), legislación tributaria vigente Aplica a: comerciantes, emprendedores, creadores de contenido y cualquier persona que venda productos o servicios a través de redes sociales, páginas web o plataformas digitales en Perú.

Durante un tiempo, la SUNAT obligó a todo vendedor digital a mostrar su RUC y razón social en cada publicación, story o anuncio. Las multas llegaban al 30% de la UIT. El requisito generó caos: ¿cómo metes datos tributarios en un TikTok de 15 segundos?

La buena noticia: esa obligación ya no existe. El Congreso la derogó.

Pero eso no significa que puedas vender online sin ninguna obligación tributaria. Aquí explicamos qué decía la norma, por qué se eliminó y qué obligaciones sí siguen vigentes.

¿Qué decía el Decreto Legislativo 1524?

El Decreto Legislativo N° 1524, impulsado por la Superintendencia Nacional de Aduanas y de Administración Tributaria (SUNAT), estableció la obligación de que toda persona natural o jurídica que comercializara bienes debía mostrar de forma visible:

Su número de RUC (Registro Único de Contribuyente)
Su razón social o nombre comercial

En toda pieza de publicidad digital difundida a través de:

Canal	¿Debía incluir RUC?
Publicaciones en redes sociales (Facebook, Instagram, TikTok)	Sí
Stories y contenido efímero	Sí
Correos electrónicos comerciales	Sí
Páginas web y tiendas online	Sí
Videos promocionales	Sí
Anuncios pagados en cualquier plataforma	Sí

Período de vigencia

Etapa	Detalle
Publicación	El D. Leg. 1524 fue publicado como parte de un paquete de reformas tributarias
Marcha blanca	Período de gracia donde se informaba pero no se multaba
Plena vigencia	Las sanciones se activaron tras el cese de la marcha blanca en diciembre de 2023
Derogación	El Pleno del Congreso derogó la obligación mediante ley posterior

¿Cuál era el objetivo de la norma?

La SUNAT tenía un propósito claro: la formalización coercitiva del comercio digital.

Objetivo	Contexto
Identificar vendedores informales	Se estimaban más de 200,000 comercios no registrados vendiendo por redes sociales sin RUC ni comprobantes
Ampliar la base tributaria	Captar a emprendedores digitales que vendían sin declarar ingresos
Facilitar la fiscalización	Con el RUC visible, la SUNAT podía rastrear ventas y cruzar información
Inscribir de oficio	La norma permitía inscribir automáticamente en regímenes tributarios a infractores detectados

Las sanciones originales

Infracción	Sanción
No mostrar RUC y razón social en publicidad digital	Multa de hasta 30% de la UIT (aproximadamente S/ 1,545 en aquel momento)
Reincidencia	Multas acumulables + inscripción de oficio en régimen tributario general
Fiscalización cruzada	La SUNAT podía compartir información con Indecopi para sanciones adicionales

¿Por qué generó tanta polémica?

La norma enfrentó una oposición intensa tanto del sector privado como de instituciones públicas. Las razones fueron principalmente operativas y prácticas:

Problemas de implementación

Problema	Detalle
Formatos ágiles incompatibles	Stories de Instagram (15 segundos), TikToks, Reels — no hay espacio ni tiempo para datos tributarios legibles
Estética publicitaria	Incluir «RUC: 20XXXXXXXXX – EMPRESA SAC» en una pieza visual arruinaba el diseño y la efectividad del anuncio
Microemprendedores afectados	La norma no distinguía entre una corporación con departamento legal y una persona que vende tortas por Instagram desde su cocina
Carga desproporcionada	El costo de cumplimiento (rediseñar cada pieza, capacitar al equipo, verificar cada publicación) era desproporcionado frente al objetivo
Competitividad internacional	Vendedores peruanos competían con plataformas extranjeras (Amazon, Shein, AliExpress) que no cumplían la norma

Oposición institucional

Varias cámaras de comercio, gremios empresariales y asociaciones de emprendedores digitales presentaron observaciones formales argumentando que la norma:

Desincentivaba la formalización en lugar de promoverla (generaba rechazo, no cumplimiento voluntario)
Creaba una barrera de entrada para microemprendedores que recién se digitalizaban
Era inaplicable en la práctica para formatos de contenido efímero
No abordaba el problema real (evasión tributaria) de forma efectiva

¿Qué pasó? La derogación

Ante la presión del sector privado y el reconocimiento de las dificultades operativas, el Pleno del Congreso de la República derogó mediante ley la obligación específica de exhibir el RUC y la razón social en la publicidad digital.

¿Qué se eliminó exactamente?

Antes (vigente hasta la derogación)	Después (situación actual)
Obligatorio mostrar RUC en toda publicidad digital	No obligatorio — ya no se exige
Obligatorio mostrar razón social en toda publicidad digital	No obligatorio — ya no se exige
Multas del 30% de la UIT por omisión	Eliminadas — estas sanciones específicas ya no aplican
Inscripción de oficio en régimen tributario por omisión	Eliminada — bajo este concepto específico ya no procede

¿Qué NO se eliminó?

La derogación fue quirúrgica: eliminó la obligación publicitaria, pero no tocó las obligaciones tributarias sustantivas. Todo lo demás sigue vigente.

Obligaciones tributarias que SÍ persisten

Si vendes productos o servicios por internet en Perú, estas obligaciones siguen plenamente vigentes independientemente de la derogación del D. Leg. 1524:

1. Tener RUC

Obligación	Detalle
Inscripción en el RUC	Toda persona que realice actividad económica habitual debe inscribirse ante la SUNAT
¿Quién debe inscribirse?	Cualquiera que venda productos o servicios de forma regular — incluyendo ventas por redes sociales, web o marketplace
¿Cuándo es «habitual»?	No hay un monto mínimo definido. Si vendes con regularidad (no una venta esporádica de algo personal), debes tener RUC

2. Emitir comprobantes de pago

Obligación	Detalle
Boletas de venta	Para ventas a consumidores finales
Facturas	Cuando el comprador solicita factura (necesita RUC del comprador)
Comprobantes electrónicos	La SUNAT promueve la emisión electrónica. Muchos regímenes la exigen
¿Por cada venta online?	Sí — cada transacción debe generar un comprobante, incluyendo ventas por redes sociales

3. Declarar y pagar impuestos

Impuesto	Detalle
Impuesto a la Renta	Según el régimen tributario elegido (RUS, Régimen Especial, Régimen MYPE, Régimen General)
IGV	18% sobre las ventas gravadas (algunos regímenes simplifican o exoneran)
Declaraciones mensuales	Según el régimen, declaración y pago mensual o anual

4. Estar en un régimen tributario

Régimen	Para quién	Límite de ingresos
NRUS (Nuevo RUS)	Personas naturales con ventas pequeñas	Hasta S/ 96,000 anuales
Régimen Especial	Personas naturales y jurídicas	Hasta S/ 525,000 anuales
Régimen MYPE Tributario	Micro y pequeñas empresas	Hasta 1,700 UIT anuales
Régimen General	Sin límite	Sin límite

¿Debo poner mi RUC en mi página web?

La obligación de mostrar RUC en la publicidad digital fue derogada. Pero existen otros contextos donde sí debes mostrarlo:

Contexto	¿Debo mostrar RUC?	Base legal
Publicidad en redes sociales	No — obligación derogada	D. Leg. 1524 (derogado)
Anuncios pagados (Google Ads, Meta Ads)	No — obligación derogada	D. Leg. 1524 (derogado)
Comprobantes de pago	Sí — obligatorio	Reglamento de Comprobantes de Pago
Facturas y boletas	Sí — obligatorio	Normativa tributaria SUNAT
Libro de Reclamaciones (aviso)	Sí — identificación del proveedor	Código del Consumidor
Política de privacidad	Sí — identificación del responsable del tratamiento	Ley 29733
Contratos y términos y condiciones	Sí — identificación de las partes	Código Civil

En resumen: no necesitas poner tu RUC en tus posts de Instagram, pero sí en tus documentos legales (política de privacidad, términos y condiciones, libro de reclamaciones) y en tus comprobantes de pago.

Implicaciones para la estrategia de marketing digital

La derogación devolvió agilidad a las estrategias de marketing digital en Perú:

Antes	Después
Cada pieza publicitaria debía incluir datos tributarios	Libertad creativa sin restricciones de datos tributarios
Stories y Reels requerían overlay con RUC	Contenido efímero sin obligaciones de texto tributario
Rediseñar materiales existentes para incluir RUC	Sin necesidad de modificar materiales
Riesgo de multa por omisión en cada publicación	Sin riesgo por este concepto específico

Lo que SÍ debes seguir haciendo

Obligación publicitaria vigente	Base legal
Etiquetar contenido patrocinado con influencers (#Publicidad)	D. Leg. 1044 + Guía Indecopi
Incluir duración y stock en promociones	D. Leg. 1044
Sustanciar claims objetivos antes de publicar	D. Leg. 1044
No hacer publicidad engañosa	D. Leg. 1044
Respetar la regulación de cookies y datos personales	Ley 29733

Preguntas frecuentes

¿Entonces ya no necesito RUC para vender por internet?

Sí necesitas RUC para vender. Lo que ya no necesitas es mostrarlo en cada pieza publicitaria. El RUC sigue siendo obligatorio para operar legalmente, emitir comprobantes y declarar impuestos. La derogación solo eliminó la obligación de exhibirlo en la publicidad digital.

¿Puede la SUNAT volver a implementar esta obligación?

Sí, mediante una nueva ley o decreto legislativo. La derogación no impide que en el futuro se promulgue una norma similar con un diseño más práctico. De hecho, el objetivo de formalización del comercio digital sigue en la agenda de la SUNAT.

¿Y si voluntariamente quiero poner mi RUC en mi publicidad?

Puedes hacerlo. Algunas empresas lo hacen como señal de formalidad y confianza. No está prohibido, simplemente ya no es obligatorio.

¿Los vendedores en marketplaces (MercadoLibre, Falabella.com) estaban incluidos?

Sí estaban incluidos en la norma original. Pero los marketplaces como plataformas intermediarias también implementaron sus propios controles de formalización (exigir RUC para vender). Esos controles de las plataformas pueden seguir vigentes como política privada, independientemente de la derogación de la norma pública.

¿Qué pasa si la SUNAT detecta que vendo sin RUC?

La derogación del D. Leg. 1524 no te protege de la obligación de tener RUC. Si la SUNAT detecta actividad comercial sin inscripción, puede inscribirte de oficio en el RUC y en un régimen tributario, además de imponer las sanciones correspondientes por no emitir comprobantes de pago y no declarar ingresos.

¿Los creadores de contenido que monetizan (YouTube, TikTok) necesitan RUC?

Si generas ingresos de forma habitual por monetización de contenido, sí. Los pagos de plataformas (YouTube AdSense, TikTok Creator Fund) son ingresos que deben declararse. Necesitas RUC, régimen tributario y emitir recibos por honorarios o el comprobante que corresponda según tu régimen.

Línea de tiempo: del D. Leg. 1524 a la derogación

Fecha	Evento
Publicación del D. Leg. 1524	SUNAT establece obligación de mostrar RUC en publicidad digital
Período de marcha blanca	Informar sin sancionar — período de adaptación
Diciembre 2023	Fin de la marcha blanca — comienzan a aplicarse sanciones
Vigencia plena	Multas del 30% de la UIT, inscripciones de oficio, fiscalización activa
Oposición del sector privado	Cámaras de comercio, gremios y asociaciones presentan observaciones
Derogación por el Congreso	El Pleno del Congreso deroga la obligación mediante ley — se eliminan las sanciones conexas
Situación actual (2026)	No existe obligación de mostrar RUC en publicidad digital. Persisten todas las obligaciones tributarias sustantivas

Referencias legales

Decreto Legislativo N° 1524 — Estableció la obligación de exhibir RUC en publicidad digital. Posteriormente derogado en su aspecto publicitario por el Congreso de la República.
Ley derogatoria del Congreso — Eliminó la obligación de exhibir RUC y razón social en publicidad digital y suprimió las sanciones conexas.
SUNAT — Superintendencia Nacional de Aduanas y de Administración Tributaria, entidad que impulsó y administró la norma original.
Código Tributario — Marco general de obligaciones tributarias que persisten independientemente de la derogación.

Este artículo es informativo y no constituye asesoría legal ni tributaria. Para determinar tus obligaciones fiscales como vendedor digital, consulta con un contador o abogado tributarista.

septiembre 27, 2026