Problemas con cookies y trackers: cómo ajustarte a la normativa de privacidad

¿Tienes razón?

No es que exista una prohibición absoluta sobre el uso de cookies y trackers en Perú; el punto clave es cómo los implementas. Tres elementos determinan si tu uso es correcto: la naturaleza de los datos que recoge la cookie o tracker (si son datos personales o permiten perfilar a una persona), el consentimiento efectivo e informado de la persona afectada y la transparencia de la información que le das (qué datos recoges, con qué fin, y quién los procesa). Si las cookies solo gestionan una sesión técnica para que la página funcione, suelen considerarse necesarias. Si sirven para publicidad dirigida, analítica avanzada o compartir datos con terceros, necesitarás una base legal clara y, en la mayoría de los casos, el consentimiento previo.

También influye dónde prestas servicio: si tu web se dirige específicamente a personas en Perú, debes atender las reglas locales de protección de datos personales y las obligaciones de información de consumo digital. Si ofreces servicios a menores o recopilas información especialmente sensible, la exigencia de protección y control aumenta.

Si al auditar tu web encuentras que instalas trackers de terceros sin decirlo o que el consentimiento se recoge con casillas ya marcadas, tu posición es débil. Si has documentado los fines, proveedores y acuerdos con terceros y tus usuarios pueden retirar el consentimiento con la misma facilidad con la que lo dieron, estás en una posición mucho más sólida.

Cómo se soluciona

1. Inventario de cookies y trackers.

• Haz un escaneo completo de tu web y de los scripts que cargas. Identifica cada cookie (nombre, proveedor, finalidad, duración, si es propia o de terceros) y cada tracker.
• Exporta esa lista y guarda copia fuera de la web; sirve como evidencia de auditoría.

1. Clasifica por finalidad.

• Señala cuáles son estrictamente necesarias para la prestación del servicio, cuáles son de preferencia (funcionales), cuáles de análisis y cuáles de marketing o publicidad.
• Para las que sirven a análisis o marketing, anota si envían datos a terceros fuera de tu control.

1. Revisa bases contractuales con terceros.

• Pide a proveedores (plataformas de analítica, redes publicitarias, CDNs) los contratos o términos de tratamiento. Exige cláusulas de protección de datos y medidas de seguridad.
• Documenta quién es responsable del tratamiento y quién es encargado.

1. Redacta o ajusta la política de privacidad y la política de cookies.

• Escribe en lenguaje claro qué cookies usas, por qué y cómo las personas pueden rechazarlas o retirarlas.
• Incluye lista descargable con los detalles técnicos básicos y enlaces a instrucciones para revocar consentimiento en navegadores.

1. Implementa un gestor de consentimiento efectivo.

• La primera vez que un usuario entra, muéstrale la información esencial y opciones claras para aceptar o rechazar por categorías.
• No uses aceptación por omisión ni casillas pre-marcadas para cookies de análisis o publicidad.

1. Conserva registros de consentimiento.

• Guarda quién dio consentimiento, qué aceptó y desde qué IP o sesión, y una copia de la versión de la política que aplicaba en ese momento.

1. Procedimiento de revisión periódica.

• Establece un registro de cambios cada vez que cambies proveedores o añadas scripts.

Qué puedes hacer tú solo y qué requiere ayuda profesional:

• Tú puedes hacer el inventario básico, colocar un gestor de consentimiento de mercado y actualizar la política con plantillas.
• Necesitarás apoyo legal para revisar contratos complejos con proveedores internacionales, para diseñar cláusulas de tratamiento a medida o para valorar riesgos si recoges datos sensibles o diriges campañas de perfilado masivo.

Qué puede pasar

1) Se arregla con una carta o cambio técnico.

• Muchas incidencias se solucionan ajustando la configuración del gestor de consentimiento o corrigiendo la política y enviando una comunicación a los usuarios afectados. Si el proveedor acepta cambios contractuales, se termina en corto plazo.

2) Acuerdo o procedimiento ante autoridad o centro de resolución.

• Si un usuario reclama formalmente o si hay denuncia ante la autoridad de protección de datos o ante INDECOPI por prácticas comerciales, lo normal es una negociación o un procedimiento administrativo que puede terminar en medidas correctivas y sanciones. Llegar a un acuerdo con la persona afectada puede ser preferible para evitar costes y publicidad adversa.

3) Litigio o sanción.

• Si la autoridad establece infracción y el proveedor o el responsable no demuestra medidas adoptadas, puede imponer sanciones administrativas y exigencias de remediación. Si la empresa pierde un procedimiento, además del coste reputacional puede enfrentar multas y órdenes de ajuste de prácticas.

Y si ganas, ¿cobras?

• Si consigues una resolución favorable y la otra parte está solvente, se pueden ordenar medidas de reparación, rectificación o compensación. Si la parte responsable es insolvente o tiene proveedores en el extranjero sin activos en Perú, ejecutar la reparación puede ser complicado.

Errores que arruinan el caso

• Borrar registros de consentimiento o no conservar versiones antiguas de la política: sin registro no puedes demostrar que obtuviste consentimiento.
• Usar casillas pre-marcadas o justificar la recogida de datos de marketing como “necesaria” cuando no lo es.
• Ignorar scripts que cargan desde terceros: a veces un plugin aparentemente inocuo incorpora trackers ajenos.
• No revisar contratos con proveedores: te crees responsable limitado cuando en la práctica compartes datos que no controlas.
• No dar opciones reales para revocar el consentimiento: obligar a la persona a ejecutar pasos técnicos largos para decir “no” es una mala práctica que debilita tu defensa.