Ley de protección de datos personales y cookies en Latinoamérica

Las leyes de protección de datos personales de México, Argentina, Colombia, Chile y Perú exigen, para cookies y píxeles de seguimiento, lo mismo en lo esencial: informar al visitante antes de recabar sus datos, obtener su consentimiento cuando la ley lo pide y poder demostrarlo después. Una sola configuración bien hecha en Google Tag Manager puede servir de base en los cinco países.

Esta guía compara las cinco leyes desde el punto de vista de quien mide su sitio web con Google Analytics 4, Google Ads o el píxel de Meta, y explica qué configurar para cumplirlas. Este artículo no es asesoría legal.

¿Qué dice cada ley de protección de datos personales?

Cada país tiene su propia ley de protección de datos personales y su propia autoridad, pero todas se inspiran en principios parecidos: finalidad, información, consentimiento y seguridad. La tabla resume lo que importa para el seguimiento en un sitio web. Las reglas detalladas cambian por país, así que revisa siempre el texto vigente.

México: la nueva LFPDPPP y el aviso de privacidad

México publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) en el Diario Oficial de la Federación el 20 de marzo de 2025. La ley de 2010 quedó abrogada, el INAI desapareció y sus funciones pasaron a la Secretaría Anticorrupción y Buen Gobierno. La pieza central sigue siendo el aviso de privacidad, que el responsable debe poner a disposición del titular desde que recaba sus datos.

Para un sitio web, el aviso de privacidad debe explicar qué datos se recaban, con qué finalidades y cómo ejercer los derechos de acceso, rectificación, cancelación y oposición. Las reglas mexicanas piden desde hace años informar también sobre cookies, web beacons y tecnologías parecidas que recaban datos de forma automática. En general basta el consentimiento tácito, pero los datos sensibles requieren consentimiento expreso.

→ Banner de cookies con Consent Mode v2: conforme, sin cuota mensual

Argentina, Colombia y Perú: consentimiento expreso

Argentina, Colombia y Perú exigen un consentimiento más claro que México. En Argentina, la Ley 25.326 pide un consentimiento libre, expreso e informado. En Colombia, la Ley 1581 de 2012 exige una autorización previa, expresa e informada, y el responsable debe conservar una copia de esa autorización. En Perú, la Ley 29733 pide un consentimiento libre, previo, informado, expreso e inequívoco, y un nuevo reglamento, aprobado por el Decreto Supremo 016-2024-JUS a fines de 2024, detalla estas reglas.

Para cookies de publicidad y píxeles, esto significa en la práctica: las etiquetas publicitarias no deberían activarse antes de que el visitante acepte, y la aceptación tiene que poder demostrarse. Un banner con opciones por finalidad, que guarde la decisión con fecha y hora, cumple ambas cosas.

Chile: la Ley 21.719 cambia las reglas

Chile tiene hoy la Ley 19.628, una de las más antiguas de la región, pero la Ley 21.719, publicada el 13 de diciembre de 2024, la reforma a fondo y crea la Agencia de Protección de Datos Personales. Según su texto, entra en vigencia el 1 de diciembre de 2026. En septiembre de 2026 el Gobierno presentó un proyecto para postergarla un año, así que revisa el estado antes de planificar.

La Ley 21.719 exige que el consentimiento sea libre, informado y específico en cuanto a su finalidad, y que se manifieste de forma previa e inequívoca, por ejemplo mediante un acto afirmativo. Para un sitio web chileno esto apunta en la misma dirección que Colombia y Perú: las cookies de publicidad y los píxeles deberían esperar a que el visitante acepte. Prepararse ahora evita cambios apurados cuando la ley esté vigente.

→ Configuración correcta del Consent Mode v2: sin advertencias en Tag Assistant

Una configuración que sirve en los cinco países

Una configuración común funciona mejor si aplica la regla más exigente a todos los visitantes. En Google Tag Manager, usa el modo de consentimiento de Google con ad_storage, ad_user_data y ad_personalization denegados por defecto, y actualízalos a concedidos cuando el visitante acepte la publicidad en el banner. Las etiquetas de Meta, TikTok o LinkedIn necesitan activadores que revisen el mismo estado.

• Banner con opciones por finalidad: medición y publicidad por separado
• Etiquetas publicitarias bloqueadas hasta que el visitante acepte
• Registro de cada decisión con fecha y hora como prueba
• Aviso de privacidad o política de cookies que nombre las herramientas y sus finalidades
• Revisión de URLs y formularios para no enviar nombres ni correos a las plataformas

La política de cookies, o el apartado de cookies dentro del aviso de privacidad, debe coincidir con lo que tu sitio realmente carga. Nombra cada herramienta, por ejemplo Google Analytics 4, Google Ads o el píxel de Meta, explica para qué sirve y si los datos salen del país, y di cómo cambiar la decisión más tarde. Actualízala cada vez que agregues un plugin o una etiqueta nueva.

Un caso típico: una tienda en línea de Guadalajara que vende también a Colombia y Perú tenía el píxel de Meta instalado directamente en el tema de su tienda. Se activaba antes de cualquier decisión del visitante. Al moverlo a Google Tag Manager con un activador ligado al consentimiento, la tienda pudo usar la misma configuración para los tres países.

Revisa lo que carga tu sitio hoy

Antes de cambiar nada, conviene ver qué carga realmente tu sitio. La revisión gratuita de Trackum, en trackum.app/check, abre tu página de inicio tres veces en un navegador real, sin responder el banner, rechazándolo y aceptándolo, más dos páginas internas, y muestra qué etiquetas y cookies se cargan en cada caso, sin registro y en unos dos minutos. Si quieres que alguien lo resuelva, Trackum instala Google Tag Manager, GA4 y Consent Mode v2 por un precio fijo de 150 € en un solo pago, probado con y sin consentimiento. Precios sin impuestos.