La loi péruvienne 29733 : les règles cookies pour les visiteurs du Pérou
Le Pérou exige un consentement libre, préalable, exprès, univoque et éclairé avant tout traitement de données personnelles, et son nouveau règlement, en vigueur depuis fin mars 2025, précise qu’un clic ou une pression sur l’écran vaut consentement exprès, tandis qu’une politique de confidentialité publiée ne le remplace pas. Le règlement atteint aussi les entreprises à l’étranger qui analysent le comportement de personnes au Pérou ou établissent leur profil, ce que font les cookies publicitaires. L’Autoridad Nacional de Protección de Datos Personales (Autorité nationale de protection des données personnelles), rattachée au ministère de la Justice et des Droits humains, peut infliger des amendes jusqu’à 100 UIT, plafonnées à 10 % du revenu annuel brut du contrevenant.En bref
| S’applique à | Les traitements réalisés dans un établissement au Pérou, par des sous-traitants agissant pour un responsable de traitement péruvien, et par des responsables de traitement à l’étranger qui proposent des biens ou des services à des personnes au Pérou ou analysent leur comportement ou établissent leur profil (règlement, article VI) |
| Modèle de consentement | Libre, préalable, exprès et univoque, et éclairé (règlement, articles 2 à 6) ; cliquer, toucher l’écran ou des actions similaires valent consentement exprès ; consentement écrit pour les données sensibles (article 8) |
| Règle pour les cookies | Aucun article propre aux cookies ; une politique de confidentialité remplit l’obligation d’information mais ne remplace pas le consentement (règlement, article 7) ; un traitement sans le consentement requis est une infraction grave |
| Autorité | Autoridad Nacional de Protección de Datos Personales (ANPD), exercée par le ministère de la Justice et des Droits humains (MINJUSDH) |
| Amende maximale | 0,5 à 5 UIT (légère), plus de 5 à 50 UIT (grave), plus de 50 à 100 UIT (très grave), jamais plus de 10 % du revenu brut du contrevenant l’année précédente (loi, article 39) |
| En vigueur depuis | Loi 29733 du 3 juillet 2011 ; nouveau règlement publié le 30 novembre 2024, en vigueur 120 jours calendaires plus tard (fin mars 2025), en remplacement du Decreto Supremo 003-2013-JUS |
Qu’est-ce que la loi péruvienne sur la protection des données ?
La loi 29733, loi sur la protection des données personnelles, a été adoptée en 2011 pour mettre en œuvre l’article 2(6) de la Constitution péruvienne, qui protège les personnes contre les services d’information portant atteinte à leur intimité personnelle et familiale. Son premier règlement, le Decreto Supremo 003-2013-JUS, s’appliquait depuis 2013. Le 30 novembre 2024, le gouvernement a publié un nouveau règlement, approuvé par le Decreto Supremo 016-2024-JUS, qui abroge le texte de 2013 et, selon ses propres termes, régit le traitement « en particulier dans l’environnement numérique ». Il est entré en vigueur 120 jours calendaires après sa publication, fin mars 2025.
Selon l’article 32 de la loi, l’Autoridad Nacional de Protección de Datos Personales (ANPD) est exercée par le ministère de la Justice et des Droits humains, par l’intermédiaire de sa direction générale de la transparence, de l’accès à l’information publique et de la protection des données personnelles. Elle tient le registre national de la protection des données personnelles, instruit les plaintes des personnes concernées, contrôle et sanctionne.
À qui s’applique la loi ?
L’article VI du nouveau règlement fixe le champ territorial. La loi s’applique aux traitements réalisés :
- dans un établissement du responsable de traitement situé au Pérou ;
- par un sous-traitant, où qu’il se trouve, agissant pour un responsable de traitement établi au Pérou ;
- par un responsable de traitement non établi au Pérou qui utilise des moyens situés au Pérou, y compris lorsqu’il propose des biens ou des services à des personnes au Pérou ou mène des activités d’analyse du comportement de personnes situées au Pérou et établit des profils visant à prédire des conduites, des préférences ou des habitudes ;
- par un responsable de traitement à l’étranger auquel le droit péruvien s’applique par contrat ou en vertu du droit international.
Les responsables de traitement étrangers couverts par ces règles doivent, dans la plupart des cas, désigner un représentant. Un site à l’étranger qui utilise des cookies de mesure d’audience ou de publicité pour profiler des visiteurs péruviens est dans le champ.
Une donnée personnelle est toute information sur une personne physique qui l’identifie ou la rend identifiable par des moyens raisonnablement utilisables. Au Pérou, les données sensibles comprennent les données biométriques qui peuvent identifier une personne à elles seules, l’origine raciale et ethnique, les revenus économiques, les opinions ou convictions politiques, religieuses, philosophiques ou morales, l’appartenance syndicale, et les informations sur la santé ou la vie sexuelle.
Qu’exige la loi pour les cookies ?
Il n’existe pas d’article sur les cookies, mais les règles de consentement du règlement sont détaillées et s’appliquent à tout cookie qui traite des données personnelles.
Quatre conditions. Le consentement n’est valable que s’il est libre, préalable, exprès et univoque, et éclairé (article 2 du règlement).
- Libre : donné sans erreur, mauvaise foi, violence ni fraude. Subordonner un service au consentement à des données qui ne lui sont pas indispensables porte atteinte à cette liberté (article 3).
- Préalable : demandé avant la collecte des données (article 4). Les cookies qui collectent des données personnelles ne doivent pas se déclencher avant le choix.
- Exprès et univoque : manifesté par une action qui démontre une acceptation concrète, directe et explicite. L’article 5 liste les formes verbales et écrites et les canaux numériques, notamment le fait de « cliquer », de « toucher », les actions tactiles ou similaires, et exige que les actes de la personne montrent l’acceptation sans laisser place au doute.
- Éclairé : la personne doit être informée, clairement et en termes simples, de l’identité et de l’adresse du responsable de traitement, des finalités, des destinataires, de la base de données, des conséquences de la fourniture ou du refus des données, des éventuels transferts nationaux ou internationaux, de l’existence de décisions automatisées y compris le profilage, de la durée de conservation, et de la manière d’exercer ses droits (article 6).
Une politique de confidentialité n’est pas un consentement. L’article 7 dispose que publier une politique de confidentialité remplit l’obligation d’information et le principe de transparence, mais ne dispense pas le responsable de traitement d’obtenir le consentement. Un lien vers une politique en pied de page, suivi de la poursuite de la navigation, ne suffit donc pas pour les cookies qui exigent un consentement.
Exceptions. L’article 14 de la loi liste les cas où le consentement n’est pas nécessaire, notamment les données nécessaires à la préparation, à la conclusion ou à l’exécution d’un contrat auquel la personne est partie. Les cookies strictement nécessaires à un service demandé par le visiteur relèvent de cette exception.
Données sensibles et preuve. Le consentement aux données sensibles doit être écrit, par une signature manuscrite, numérique ou électronique ou une autre méthode qui garantit la volonté de la personne (article 8), et la charge de la preuve du consentement pèse toujours sur le responsable de traitement (article 9). Le consentement peut être retiré à tout moment sans justification (article 10).
Délégué à la protection des données. Le règlement impose un délégué à la protection des données pour les traitements à grande échelle ou portant sur des données sensibles, avec une mise en place échelonnée selon la taille de l’entreprise, d’un an après la publication pour les entreprises dont le chiffre d’affaires annuel dépasse 2 300 UIT à quatre ans pour les microentreprises.
Quelles sont les sanctions ?
L’article 39 de la loi fixe les amendes en unités fiscales (UIT, unidad impositiva tributaria, actualisée chaque année) : de 0,5 à 5 UIT pour les infractions légères, de plus de 5 à 50 UIT pour les graves, et de plus de 50 à 100 UIT pour les très graves. Une amende ne peut jamais dépasser 10 % du revenu annuel brut du contrevenant l’année précédente. Le règlement classe les infractions :
| Catégorie | Exemples tirés du règlement |
|---|---|
| Légère (article 132) | Traiter des données qui ne sont pas nécessaires à la finalité, informer de façon incomplète sur deux conditions ou moins, répondre en retard aux demandes d’exercice des droits, ne pas inscrire les bases de données |
| Grave (article 133) | Traiter sans consentement libre, exprès, univoque, préalable et éclairé lorsqu’il est requis, ne pas informer sur trois conditions ou plus, entraver l’exercice des droits, défaillances de sécurité qui portent préjudice à la personne |
| Très grave (article 134) | Traiter par des moyens frauduleux, déloyaux ou illicites, fournir de fausses informations à l’Autorité, ignorer des mesures correctives, défaillances de sécurité exposant des données sensibles |
Répéter la même infraction dans l’année est une circonstance aggravante (article 135).
Comment Cookiequiet gère le Pérou
Le Pérou ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-le à une liste personnalisée avec le ciblage géographique, gratuit dans chaque offre, et les visiteurs péruviens verront le bandeau de consentement : un clic sur « Tout accepter » ou « Tout refuser », tous deux de même poids, des catégories désactivées par défaut, et un texte en espagnol choisi selon le navigateur. Les scripts attendent le consentement, conformément à la règle du consentement préalable, et le registre des consentements garde la preuve que l’article 9 met à votre charge. Le scanner de cookies liste les cookies et les destinataires à décrire au titre de l’article 6. Voir aussi la Colombie, le Chili et la LGPD brésilienne.