Fundamentos histórico-constitucionales del Derecho del Consumidor en el Perú

El Derecho del Consumidor surge como respuesta jurídica a las transformaciones generadas por el desarrollo de las economías liberales y la masificación de las relaciones de consumo. En sus orígenes, la protección del consumidor no existía como disciplina autónoma; sin embargo, el desequilibrio estructural entre proveedores y consumidores, derivado de la asimetría informativa, la concentración del poder económico y la proliferación de contratos de adhesión, evidenció la insuficiencia del Derecho Civil clásico para resolver estas controversias con justicia y equidad.

Como señala ^{Durand Carrión (2007)}, el consumo, por estar ligado íntimamente a los derechos fundamentales de la persona humana, siempre ha tenido alguna forma de regulación especial, desde los mecanismos más primitivos hasta las modernas sanciones administrativas, con un denominador común invariable: proteger al consumidor de los efectos nocivos de los vicios ocultos de bienes y servicios, y de las estrategias agresivas y engañosas de venta de los proveedores en su afán de ganar mercado (p. 36).

Esta evolución normativa, que atraviesa el Derecho Romano, con su teoría de los vicios ocultos, la Edad Media, con sus reglas éticas para comerciantes, y la irrupción del liberalismo codificador del siglo XIX que subordinó la protección del consumidor a la libertad contractual, encontró su punto de inflexión en las décadas de los cincuenta y sesenta del siglo XX. Fue en ese período que comenzaron a tomar forma los primeros movimientos pro consumidor de alcance político y jurídico, siendo sus precursores más destacados el presidente Kennedy en los Estados Unidos y la Comisión Molony en Gran Bretaña, movimientos que se extendieron con rapidez hacia los principales sistemas jurídicos europeos, particularmente Francia y Alemania.

La consolidación de esta disciplina como rama jurídica autónoma responde, como señala ^{Malpartida (2003)}, a que el Derecho del Consumidor opera bajo un criterio colectivo y solidario que difiere estructuralmente del criterio individualista del Derecho decimonónico: la persona no es solo individualidad, sino también socialidad, aspectos no contrapuestos sino complementarios (pp. 56-57). Esta perspectiva resulta fundamental para comprender por qué los derechos del consumidor poseen una naturaleza grupal, distintos de los derechos civiles de carácter privado y personal: su protección se articula en función de un estatus colectivo, el del "consumidor" como categoría jurídica (^{Durand Carrión, 2015}).

El Derecho del Consumidor peruano encuentra su fundamento más alto en la Constitución Política del Perú (¹⁹⁹³), que establece como modelo económico la economía social de mercado. Este modelo admite la libre iniciativa privada, pero la enmarca en un conjunto de obligaciones de protección hacia los consumidores y usuarios que el Estado asume como propias (^{Donayre Montesinos, 2015}).

En este sentido, el Tribunal Constitucional del Perú (²⁰⁰⁷) ha precisado que, así como la Constitución protege a los agentes económicos encargados de establecer la oferta en el mercado a través del ejercicio de los derechos de libre empresa, comercio e industria, con igual énfasis protege al individuo generador de demanda, es decir, al consumidor o usuario. Esta formulación es coherente con el artículo 59° constitucional, que si bien garantiza la libertad de empresa, comercio e industria, establece que su ejercicio no debe ser lesivo a la moral, la salud ni la seguridad pública; y con el artículo 65°, que de manera expresa encarga al Estado la defensa del interés de los consumidores y usuarios, garantizando su derecho a la información sobre los bienes y servicios disponibles en el mercado, y velando en particular por la salud y la seguridad de la población (^{Quinteros Cortez, 2023}).

Como sostiene ^{Malpartida (2003)}, dentro de una concepción liberal y en un régimen de economía de mercado, la protección al consumidor pone particular énfasis en la existencia de la llamada "asimetría informativa" en la relación empresa-consumidor, obligando a un trasvase informativo de la empresa al consumidor o usuario, a partir del cual el propio mercado podría alcanzar soluciones más eficientes (p. 53). Esta concepción ha permeado todo el desarrollo legislativo posterior y constituye uno de los ejes centrales del sistema de protección vigente.

Esta tradición constitucional no es exclusiva de la Carta de 1993. La Constitución de 1979 también reconocía, en su artículo 110°, el compromiso del Estado de defender el interés de los consumidores como parte de su función de promoción del desarrollo económico y social. E incluso la Constitución de 1933, aunque de manera incipiente, prohibía los monopolios y acaparamientos industriales y comerciales en su artículo 16°, reconociendo ya el vínculo entre la estructura del mercado y la protección de los ciudadanos como consumidores.

El instrumento normativo central del Derecho del Consumidor en el Perú es el Código de Protección y Defensa del Consumidor, promulgado mediante ^{Ley N.º 29571} y vigente desde el 14 de agosto de 2010. Su aprobación representó un hito en el proceso de sistematización normativa del sector, al reunir en un único cuerpo legal las dispersas disposiciones que hasta entonces regulaban las relaciones de consumo, complementándolas con nuevas instituciones y principios.

Sus antecedentes directos son numerosos: el Decreto Legislativo N.º 716 sobre protección al consumidor de 1991, la Ley N.º 27311 de fortalecimiento del sistema de protección al consumidor, el Decreto Legislativo N.º 1044 sobre represión de la competencia desleal, el Decreto Supremo N.º 006-2009-PCM, así como diversas leyes complementarias que fueron configurando el sistema de manera fragmentada durante casi dos décadas.

La importancia del Código trasciende la mera sistematización normativa. Como destaca ^{Durand Carrión (2015)}, el texto vigente establece una mirada distinta al fenómeno de consumo, reconociendo que la protección al consumidor no puede descansar solo ni principalmente en la información, como lo hacía el modelo anterior, sino que debe articularse desde un enfoque sistémico que involucre tanto los derechos que el Código establece, como la política pública sobre la materia y la institucionalidad de los órganos tutelares competentes (p. 97). Este cambio de perspectiva es de enorme relevancia para el tema que nos ocupa, pues supone reconocer que la vulneración de datos personales mediante prácticas comerciales agresivas no es solo un problema de información insuficiente, sino una afectación estructural que requiere una respuesta integral del sistema jurídico.

La finalidad del Código, expresada en su artículo I del Título Preliminar, es asegurar que los consumidores puedan acceder a productos y servicios idóneos y gozar de sus derechos, en el marco de la economía social de mercado establecida por la Constitución. Para ello, sus mecanismos fundamentales de actuación son la reducción de la asimetría informativa y la corrección, prevención o eliminación de las conductas y prácticas que afecten los legítimos intereses de los consumidores (artículo II del Título Preliminar).

El Código consagra en su artículo V un conjunto de principios que constituyen las líneas rectoras para la interpretación y aplicación de todas sus disposiciones. Siguiendo a ^{Durand Carrión (2015)}, estos principios no son simplemente declaraciones programáticas, sino grandes directrices que deberán ser tomadas en cuenta al momento de resolver conflictos de consumo (p. 104). Su análisis es indispensable para comprender el alcance de la protección frente a los métodos comerciales agresivos o engañosos que vulneran datos personales.

El principio de soberanía del consumidor establece que las normas de protección y defensa del consumidor rigen para fomentar las decisiones libres e informadas de los mismos, orientando al mercado hacia la mejora de las condiciones de los productos y servicios ofrecidos (^{Escudero Alarcón, 2017}). Este principio resulta directamente afectado cuando un proveedor emplea métodos comerciales engañosos o agresivos, pues dichos métodos anulan o distorsionan precisamente la libertad de decisión del consumidor, que es el bien jurídico que la soberanía del consumidor busca resguardar.

El principio pro consumidor opera como criterio hermenéutico de cierre del sistema: ante la duda insalvable en la interpretación de una norma o en los alcances de los contratos de adhesión y los celebrados con cláusulas generales de contratación, se deberá acoger la interpretación más favorable al consumidor. En el contexto de la protección de datos personales, este principio adquiere especial relevancia frente a las cláusulas contractuales que pretenden legitimar el uso de datos sin un consentimiento verdaderamente informado y libre.

El principio de buena fe exige que todos los participantes de la relación de consumo, proveedores, consumidores y asociaciones, actúen con confianza y lealtad mutua. La utilización de los datos personales del consumidor para fines distintos a los declarados, o la recopilación de datos mediante mecanismos engañosos, constituye una violación directa de este principio, pues quiebra la confianza legítima del consumidor en la relación comercial.

Complementan este conjunto el principio de protección mínima, que establece el Código como piso normativo susceptible de ser ampliado por normas sectoriales, el principio pro asociativo, que reconoce el rol de las organizaciones de consumidores, y el principio de primacía de la realidad, que ordena atender a la naturaleza real de las conductas más allá de su forma jurídica. Este último reviste particular importancia cuando los proveedores encubren prácticas comerciales agresivas bajo apariencias contractuales formalmente válidas.

El Código define al consumidor o usuario como aquella persona natural o jurídica que, en una relación comercial, adquiere, utiliza o disfruta, como destinatario final, productos o servicios en beneficio propio o de su entorno. Esta definición establece un criterio funcional y no meramente formal: lo determinante no es la calidad del sujeto, sino su posición en la relación de consumo como destinatario final del bien o servicio.

El consumidor es reconocido por la doctrina y por el propio ordenamiento como el sujeto más vulnerable de la relación de consumo, sobre el cual recaerá la protección jurídica del sistema (^{Durand Carrión, 2007}). Esta vulnerabilidad no deriva únicamente de consideraciones económicas, sino también informativas, técnicas y, en el contexto digital actual, tecnológicas. El consumidor carece, en la mayor parte de los casos, de los conocimientos especializados necesarios para evaluar la calidad real de los productos o servicios que adquiere, para comprender el alcance de las cláusulas contractuales que suscribe, o para discernir cuándo sus datos personales están siendo recopilados, procesados o cedidos a terceros sin su consentimiento genuino.

Esta vulnerabilidad estructural es la que justifica la existencia de un sistema normativo especial, distinto e independiente del Derecho Civil, orientado a garantizar que el consumidor pueda ejercer sus derechos en condiciones de equidad. Como subraya ^{Durand Carrión (2015)}, los derechos del consumidor no son derechos personales en sentido estricto, sino derechos grupales que pertenecen al "consumidor" entendido como estatus colectivo, razón por la cual su protección tiene una dimensión necesariamente social que trasciende el interés individual.

INDECOPI y la tutela administrativa del consumidor frente a métodos comerciales agresivos o engañosos

El INDECOPI constituye el eje institucional del sistema de protección al consumidor en el Perú. Creado mediante Decreto Ley N.º 25868 en 1992, es un organismo público especializado adscrito a la Presidencia del Consejo de ministros, dotado de personería jurídica de derecho público interno, autonomía funcional, técnica, económica, presupuestal y administrativa.

Su rol en la defensa de los derechos del consumidor no es meramente declarativo. Como ha precisado el Tribunal Constitucional del Perú (²⁰⁰⁶) en la sentencia recaída en el Expediente N.º 1963-2006-PA/TC, INDECOPI juega un rol preponderante en la protección a los consumidores y usuarios, cumpliendo un deber especial de protección de los derechos fundamentales, lo cual implica exigirle una labor de vigilancia, regulación y sanción de las conductas y prácticas contrarias a los derechos de los consumidores. Esta caracterización constitucional del rol de INDECOPI es de suma importancia: no se trata de un organismo de supervisión burocrática, sino de un garante activo de derechos fundamentales (^{Higa, 2007}).

Desde la perspectiva doctrinal, ^{Durand Carrión (2007)} sostiene que INDECOPI, como organismo tutelar en la protección de los consumidores, debe repensar permanentemente sus políticas de defensa del consumidor y emprender procesos sostenidos de capacitación y difusión, realizando campañas públicas por sectores de actividad, orientadas no solo a sancionar sino a establecer políticas de respeto a los derechos de los consumidores conjuntamente con los propios empresarios proveedores (p. 88). Esta visión pone de relieve que la función de INDECOPI trasciende la represión de conductas ilícitas: su rol preventivo y educativo es igualmente esencial para la consolidación de una cultura de consumo responsable.

El órgano competente para conocer en primera instancia administrativa los procedimientos relativos a la vulneración de los derechos de los consumidores es la Comisión de Protección al Consumidor, una de las seis comisiones con las que cuenta INDECOPI. Esta Comisión goza de autonomía técnica y funcional, y se encuentra facultada tanto para adoptar medidas correctivas como para imponer sanciones administrativas, teniendo como función esencial custodiar el cumplimiento del Código de Protección y Defensa del Consumidor.

Como señala ^{Durand Carrión (2015)}, la Comisión de Protección al Consumidor tiene la facultad de ordenar, entre otras medidas, la reparación o reposición del producto, la devolución de lo pagado, el cumplimiento de la prestación ofrecida, el pago de los gastos incurridos por el consumidor para mitigar los efectos de la infracción, así como cualquier medida necesaria para revertir los efectos de la conducta infractora. Estas facultades la convierten en el primer y más accesible mecanismo de tutela para el consumidor que ha sido víctima de prácticas comerciales agresivas o engañosas (^{Núñez Sáenz, 1997}).

El procedimiento administrativo sancionador ante la Comisión puede iniciarse por denuncia de parte, esto es, del consumidor afectado o de una asociación de consumidores debidamente reconocida, o de oficio, por iniciativa del propio INDECOPI cuando este detecta conductas que vulneran el Código. Este doble mecanismo de activación es relevante desde la perspectiva de la protección de datos personales, pues en muchos casos los consumidores no son conscientes de que sus datos han sido indebidamente recopilados o utilizados, por lo que la actuación de oficio por parte de INDECOPI resulta especialmente necesaria.

El Código de Protección y Defensa del Consumidor tipifica y prohíbe expresamente los métodos comerciales agresivos o engañosos como conductas infractoras de los derechos de los consumidores. Esta prohibición se sustenta en el reconocimiento de que dichas prácticas distorsionan la voluntad del consumidor, anulan su capacidad de decisión libre e informada, y generan perjuicios concretos que el ordenamiento jurídico está obligado a remediar.

Los métodos comerciales engañosos comprenden todas aquellas prácticas que inducen a error al consumidor respecto de las características, condiciones, precio, disponibilidad o cualquier otra circunstancia relevante de un producto o servicio. Esta inducción al error puede producirse tanto mediante afirmaciones falsas como mediante omisiones relevantes, es decir, cuando el proveedor omite deliberadamente información que el consumidor habría necesitado para tomar una decisión informada. En el contexto de la recopilación y uso de datos personales, los métodos engañosos se manifiestan, entre otras formas, en la obtención del consentimiento del consumidor mediante cláusulas contractuales oscuras o formuladas en términos técnicos incomprensibles, en la declaración de finalidades de uso de datos distintas a las realmente perseguidas, o en el diseño de interfaces digitales que inducen al consumidor a autorizar el tratamiento de sus datos sin plena conciencia de ello.

Los métodos comerciales agresivos, por su parte, se caracterizan por el uso de presión indebida, acoso, coerción o influencia injustificada que limitan o anulan la libertad de elección del consumidor. Estas conductas se despliegan frecuentemente en el ámbito de la contratación masiva y en los canales de venta directa, tanto presenciales como digitales, donde el proveedor cuenta con una posición de superioridad informativa y técnica que le permite ejercer presión sobre el consumidor en situaciones de vulnerabilidad.

La intersección entre los métodos comerciales agresivos o engañosos y la vulneración de datos personales es especialmente intensa en el entorno digital. La captación de datos a través de formularios engañosos, el uso de técnicas de dark patterns, diseños de interfaz deliberadamente confusos que llevan al consumidor a compartir más datos de los necesarios, y la comercialización de perfiles de usuario sin consentimiento explícito son manifestaciones contemporáneas de esta problemática que el sistema normativo peruano enfrenta con instrumentos que, si bien existentes, requieren actualización y fortalecimiento.

Uno de los aspectos más relevantes del sistema sancionador de INDECOPI es la existencia de criterios legalmente establecidos para graduar las sanciones administrativas impuestas a los proveedores infractores. Estos criterios, consagrados en el artículo 112° del Código, son de aplicación optativa por parte de la Comisión, lo que dota al sistema de cierta flexibilidad para adaptarse a la singularidad de cada caso concreto.

El primero y más frecuentemente invocado por INDECOPI en sus resoluciones es el beneficio ilícito esperado u obtenido por la realización de la infracción. Como explica ^{Silva Vásquez (2017)}, el beneficio ilícito consiste en todo beneficio asociado a la infracción, incluyendo el obtenido de la explotación posterior del mismo. En términos concretos, si un proveedor hubiera percibido cien unidades respetando la ley, pero percibe ciento cincuenta al cometer la infracción, el beneficio ilícito es de cincuenta unidades (p. 50). Este criterio es de particular relevancia en los casos de vulneración de datos personales mediante prácticas comerciales, donde el valor económico de los datos captados puede ser extraordinariamente elevado, especialmente cuando estos son comercializados o utilizados para segmentación publicitaria.

El segundo criterio es la probabilidad de detección de la infracción, que atiende a la posibilidad, tanto para INDECOPI como para el propio consumidor, de descubrir la conducta infractora. La importancia de este criterio, como señala ^{Silva Vásquez (2017)} siguiendo publicaciones institucionales de INDECOPI, reside en que, a mayor probabilidad percibida de ser detectado, menor es el incentivo a delinquir, por lo que las autoridades pueden establecer rangos según el tipo de infracción con el objetivo de predictibilidad (pp. 51-52). En el ámbito de la vulneración de datos personales, la probabilidad de detección suele ser baja, pues el consumidor raramente tiene acceso a la información necesaria para advertir que sus datos han sido indebidamente tratados, lo que justifica la imposición de sanciones de mayor entidad cuando estas conductas son finalmente descubiertas.

El tercer criterio es el daño resultante de la infracción, entendido como el perjuicio concreto provocado al consumidor por la conducta del proveedor. El cuarto es los efectos que la conducta infractora puede haber generado en el mercado, que atiende a las consecuencias negativas de la infracción sobre la confianza de los consumidores y la normalización de conductas ilícitas. El quinto criterio alude a la naturaleza del perjuicio causado o el grado de afectación a la vida, salud, integridad o patrimonio del consumidor, que se diferencia del daño resultante en que no atiende a la cuantía del daño sino a su naturaleza y al nivel de afectación que implica para los bienes jurídicos del consumidor.

Finalmente, el Código contempla una cláusula abierta que permite a la Comisión optar por otros criterios que, atendiendo al caso concreto, resulten adecuados para graduar la sanción. Esta apertura es especialmente valiosa en el ámbito de la protección de datos personales, donde los perjuicios pueden ser difícilmente mensurables en términos puramente económicos, pero pueden tener un impacto profundo sobre la dignidad, la privacidad y la autonomía informativa del consumidor.

El sistema sancionador del Código incorpora también un conjunto de circunstancias agravantes y atenuantes que modulan la sanción en función de las características de la conducta del infractor y de su actitud durante el procedimiento. Las circunstancias agravantes especiales incluyen la reincidencia o el incumplimiento reiterado de las normas; la conducta contraria al principio de buena fe procedimental durante el desarrollo del procedimiento; el haber puesto en riesgo u ocasionado daño a la salud, la vida o la seguridad del consumidor; la omisión de medidas necesarias para evitar o mitigar los efectos de la conducta infractora cuando el proveedor tenía conocimiento de ella; y la afectación de intereses difusos o colectivos de los consumidores.

Este último agravante es de especial aplicación en los casos de vulneración masiva de datos personales, donde la conducta del proveedor no afecta a un consumidor individual sino a grupos indeterminados o determinables de consumidores que se encuentran en una misma situación de vulnerabilidad. La afectación de intereses difusos o colectivos transforma cualitativamente la dimensión del daño y justifica una respuesta sancionadora de mayor severidad.

Las circunstancias atenuantes, por su parte, comprenden la subsanación voluntaria del acto u omisión infractor antes de la notificación de la imputación de cargos; la presentación de una propuesta conciliatoria acorde con la medida correctiva ordenada por INDECOPI; la acreditación de que el proveedor cesó la conducta infractora al tomar conocimiento de ella y adoptó medidas para remediar sus efectos; y la demostración de contar con un programa efectivo de cumplimiento normativo. Estas atenuantes incentivan comportamientos de colaboración y autorregulación que, en el largo plazo, contribuyen a la construcción de una cultura empresarial más respetuosa de los derechos de los consumidores.

Junto a las sanciones propiamente dichas, el sistema establece dos tipos de medidas complementarias de gran relevancia práctica: las medidas reparadoras y las medidas correctivas.

Las medidas reparadoras tienen como finalidad retrotraer el estado de cosas al momento anterior a la producción del daño patrimonial causado directa o indirectamente al consumidor por la infracción administrativa (^{Ley n.° 29571}, art. 115). Entre las más relevantes se encuentran la reparación o cambio del producto defectuoso, el cumplimiento de la prestación incumplida, la devolución de la contraprestación pagada más los intereses legales correspondientes, la devolución de montos pagados en exceso, y el pago de los gastos en que haya incurrido el consumidor para mitigar las consecuencias de la infracción.

Las medidas correctivas, en cambio, apuntan hacia el futuro: su finalidad es evitar que las conductas infractoras se repitan. Entre las más significativas figuran la declaración de invalidez de las cláusulas abusivas identificadas en el procedimiento, el decomiso y destrucción de mercaderías o materiales infractores, la publicación de avisos informativos para revertir los efectos del acto sancionado, y en casos de infracciones muy graves y reiteradas, la clausura temporal del establecimiento o la inhabilitación temporal o permanente del proveedor.

Sin embargo, es preciso reconocer aquí una limitación estructural del sistema administrativo que resulta especialmente relevante en el contexto de la vulneración de datos personales: como advierte ^{Durand Carrión (2015)}, ni las sanciones ni las medidas correctivas de INDECOPI tienen carácter indemnizatorio, pues ello escapa de la naturaleza jurídica del organismo. La reparación integral del daño sufrido por el consumidor, incluyendo el daño moral, el daño a la persona y el daño a la privacidad derivados del uso indebido de sus datos personales, solo puede ser obtenida por la vía judicial, a través de los mecanismos de la responsabilidad civil, tema al que se dedica la sección siguiente del presente artículo.

El artículo 110° del Código establece la escala de sanciones administrativas que INDECOPI puede imponer, clasificándolas según la gravedad de la infracción: las infracciones leves son sancionadas con amonestación o multa de hasta 50 UIT; las infracciones graves con multa de hasta 150 UIT; y las infracciones muy graves con multa de hasta 450 UIT.

No obstante, el Código introduce matizaciones importantes para proteger la supervivencia empresarial de las micro y pequeñas empresas: cuando el infractor sea una microempresa, la multa no puede superar el 10% de sus ventas o ingresos brutos percibidos; y cuando sea una pequeña empresa, el límite es el 20% de dichos ingresos. Estas limitaciones operan siempre que los infractores no sean reincidentes, hayan acreditado sus ingresos y el caso no involucre la vida, la salud o la integridad de los consumidores.

Como sostiene ^{Silva Vásquez (2017)}, el principal objetivo que debe perseguir la autoridad con la imposición de una multa es apartar la realización de conductas ilícitas, lo que se logrará graduando la multa de manera que no resulte más rentable para el infractor cometer la infracción y pagar la multa como consecuencia de la vulneración normativa (p. 40). Este criterio de racionalidad económica en la determinación de la sanción, orientado a eliminar el incentivo para infringir, adquiere especial relevancia en el ámbito de la explotación comercial de datos personales, donde el beneficio económico obtenido puede ser de enorme magnitud y donde una sanción insuficiente podría no tener ningún efecto disuasorio real.

La responsabilidad civil frente a la vulneración de datos personales mediante métodos comerciales agresivos o engañosos

La responsabilidad civil constituye uno de los pilares fundamentales del ordenamiento jurídico privado, y su función en el contexto de la vulneración de datos personales mediante prácticas comerciales agresivas o engañosas es de una relevancia que no puede ser subestimada. Mientras el sistema administrativo sancionador de INDECOPI opera sobre la conducta del proveedor con una finalidad predominantemente punitiva y disuasoria, la responsabilidad civil se orienta hacia la reparación integral del daño sufrido por el consumidor, atendiendo a su situación concreta y a la totalidad de los perjuicios que la conducta infractora le ha ocasionado.

La responsabilidad, como señala ^{Corral Talciani (2003)} siguiendo a Hervada, está indisolublemente ligada a la condición humana de libertad: solo puede ser responsable quien tiene la condición de libre voluntad, pues los actos propios le son predicables en toda su significación y en todas sus consecuencias. En ese sentido, libertad y responsabilidad son dos manifestaciones de la dignidad del ser humano (p. 11). Esta vinculación entre libertad y responsabilidad es especialmente pertinente en el análisis de las prácticas comerciales agresivas o engañosas, pues estas actúan precisamente sobre la libertad del consumidor, distorsionando o anulando su capacidad de autodeterminación, tanto en la decisión de consumo como en el control sobre sus propios datos personales.

En el ordenamiento jurídico peruano, la responsabilidad civil se encuentra regulada fundamentalmente en el ^{Código Civil de 1984}, que distingue entre la responsabilidad civil contractual, derivada del incumplimiento de una obligación previamente asumida, y la responsabilidad civil extracontractual, derivada de la violación del deber general de no causar daño a otro, sin que medie entre las partes vínculo obligacional previo. Como ha definido el Tribunal Constitucional del Perú (²⁰⁰⁷) en la sentencia recaída en el Expediente N.º 1776-2004-AA/TC, la responsabilidad civil es aquel principio jurídico esencial consistente en que quien ha sido perjudicado sin culpa con un acto ilícito no tiene que asumir las consecuencias negativas de dicho acto, sustentándose en los artículos 210°, 212° y 1985° del Código Civil Peruano.

Siguiendo a ^{Alpa (2006)}, la responsabilidad civil cumple cuatro funciones primordiales que resultan todas ellas relevantes para el análisis de la vulneración de datos personales mediante prácticas comerciales agresivas: la función resarcitoria, la restaurativa, la punitiva y la preventiva.

La función resarcitoria consiste en reaccionar contra el acto ilícito que provoca el daño, a fin de resarcir a los sujetos que han sido sus víctimas. Como señala ^{Arteaga Lozada (2018)}, la función primaria de todo sistema de responsabilidad civil es proporcionar a quien sufre un daño injusto los medios jurídicos necesarios para obtener una reparación o una compensación, para lo cual se requiere un hecho antijurídico imputable a un autor (p. 51). En el contexto que nos ocupa, esta función se activa cuando un proveedor utiliza métodos comerciales engañosos o agresivos para recopilar, tratar o ceder los datos personales del consumidor sin su consentimiento genuino, generando perjuicios patrimoniales y extrapatrimoniales que el sistema jurídico debe remediar.

La función restaurativa apunta a retornar al estado anterior al daño, restituyendo en lo posible la situación del consumidor afectado. Tratándose de la vulneración de datos personales, la restauración plena puede ser difícil o imposible, los datos ya divulgados o cedidos a terceros no pueden ser "recuperados" en sentido estricto, lo que refuerza la importancia de la función preventiva y pone de manifiesto las limitaciones intrínsecas de cualquier mecanismo puramente reparatorio frente a este tipo de daños.

La función punitiva reafirma el poder sancionador del ordenamiento civil frente a conductas moralmente censurables. Como apunta ^{Arteaga Lozada (2018)}, esta finalidad, que tuvo un protagonismo menor en los últimos años, retoma relevancia en varios ámbitos en los que la noción de "pena civil" sirve para censurar conductas especialmente reprensibles, como en los daños ambientales, los causados por productos elaborados y, en general, en los daños masivos (p. 51). La vulneración masiva de datos personales mediante prácticas comerciales deliberadamente agresivas o engañosas se inscribe precisamente en esta categoría de daños masivos, donde la función punitiva de la responsabilidad civil puede operar como complemento esencial de las sanciones administrativas.

La función preventiva, también denominada tutela inhibitoria, consiste en disuadir a los potenciales causantes de daños de ejecutar conductas que generen perjuicios a terceros. Esta función opera mediante la amenaza de consecuencias jurídicas desfavorables, que incluyen no solo las sanciones administrativas de INDECOPI sino también la obligación de indemnizar los daños causados, que hacen económicamente irracional la comisión de la infracción. Como sostiene ^{Arteaga Lozada (2018)}, la función preventiva comprende una serie de acciones, entre ellas las medidas cautelares inhibitorias y los daños punitivos, destinadas a actuar antes de que el daño se produzca (p. 51).

La doctrina clásica distingue dos grandes tipos de responsabilidad civil: la contractual y la extracontractual. La responsabilidad civil contractual surge del incumplimiento de una obligación previamente asumida por las partes en virtud de un contrato, y se centra en la inejecución de la prestación pactada o en su cumplimiento defectuoso o tardío. La responsabilidad civil extracontractual nace de la violación del deber general de no dañar a otro, sin que medie entre el causante y la víctima vínculo contractual alguno.

La configuración de la responsabilidad civil, ya sea contractual o extracontractual, requiere la concurrencia de cuatro elementos esenciales: la antijuridicidad de la conducta, el daño causado, la relación de causalidad entre la conducta y el daño, y los factores de atribución (^{Vásquez Ferreyra, 1997}). El análisis de cada uno de estos elementos en el contexto específico de la vulneración de datos personales mediante prácticas comerciales agresivas o engañosas permite comprender tanto el alcance de la tutela disponible como las dificultades probatorias que enfrenta el consumidor afectado.

La antijuridicidad consiste en la contrariedad de la conducta con el ordenamiento jurídico considerado en su conjunto. En el contexto que nos ocupa, la antijuridicidad puede derivar de múltiples fuentes normativas que operan de manera complementaria: el Código de Protección y Defensa del Consumidor, que prohíbe los métodos comerciales agresivos o engañosos y establece las obligaciones de información y transparencia de los proveedores, la Ley N.º 29733 de Protección de Datos Personales (^{Congreso de la República del Perú, 2011}), que exige el consentimiento informado del titular para el tratamiento de sus datos personales, y el ^{Código Civil (1984)}, que consagra el deber general de no dañar a otro y los principios de buena fe en la celebración y ejecución de los actos jurídicos.

La concurrencia de estas fuentes normativas genera un escenario de antijuridicidad reforzada: la conducta del proveedor que utiliza métodos comerciales engañosos para recopilar datos personales de los consumidores no solo infringe el Código de Consumo, sino que simultáneamente vulnera la legislación de protección de datos personales y el deber general de no dañar consagrado en el ^{Código Civil (1984)}. Esta pluralidad de infracciones concurrentes no solo facilita la configuración del elemento de antijuridicidad, sino que también puede tener consecuencias en la determinación del quantum indemnizatorio.

El daño es el eje estructural de la responsabilidad civil, en tanto constituye el presupuesto sin el cual no puede nacer la obligación resarcitoria. Sin embargo, cuando la lesión proviene del tratamiento indebido de datos personales, su identificación, prueba y cuantificación se tornan particularmente complejas, especialmente en el ámbito de los daños inmateriales o no patrimoniales (^{León, 2017}).

El daño puede ser de naturaleza patrimonial o extrapatrimonial. El daño patrimonial comprende tanto el daño emergente, la pérdida efectiva sufrida por el consumidor como consecuencia directa de la conducta infractora del proveedor, como el lucro cesante, la ganancia o beneficio que el consumidor dejó de obtener a causa de dicha conducta (^{Código Civil, 1984}, arts. 1321 y 1985; ^{Espinoza Espinoza, 2014}, pp. 116-117). En los casos de vulneración de datos personales, el daño patrimonial puede manifestarse, por ejemplo, en los gastos en que incurre el consumidor para remediar los efectos de la vulneración, contratación de servicios de protección de identidad, asesoría legal, pérdida de tiempo laboral, en el perjuicio económico derivado del uso fraudulento de sus datos financieros, o en la pérdida de oportunidades comerciales o laborales provocada por la divulgación indebida de información personal sensible.

El daño extrapatrimonial, en el régimen peruano de responsabilidad civil, comprende al menos las categorías expresamente contempladas en el artículo 1985 del ^{Código Civil (1984)}: el daño moral y el daño a la persona. El daño moral suele identificarse con el sufrimiento, la angustia, la aflicción o la perturbación anímica que provoca el hecho dañoso, sin traducción patrimonial necesaria. El daño a la persona, por su parte, posee un alcance más amplio en la doctrina peruana contemporánea, pues abarca las lesiones a la persona en su integridad y en sus derechos de la personalidad; por ello, dentro de su ámbito pueden proyectarse afectaciones a la privacidad, la imagen, la identidad personal y la autodeterminación informativa (^{Fernández Sessarego, 1998}).

En los casos de vulneración de datos personales mediante prácticas comerciales engañosas o agresivas, el daño extrapatrimonial suele ser de enorme entidad. La divulgación no autorizada de datos personales sensibles puede generar en el consumidor afectado una profunda perturbación emocional, pérdida de control sobre su propia identidad digital, exposición a riesgos de discriminación o acoso, y una lesión duradera a su sentimiento de seguridad y privacidad. Todos estos perjuicios son jurídicamente relevantes y deben ser objeto de reparación en el marco de la responsabilidad civil.

La indemnización, como señala ^{Osterling Parodi (1968)}, quiere decir poner a una persona, en cuanto sea posible, en la misma situación en que se encontraría si no se hubiese producido el acontecimiento que obliga a indemnizar (p. 100). Esta aspiración de restitución integral es el horizonte al que apunta la responsabilidad civil, aunque en la práctica, especialmente tratándose de daños a la privacidad y a los datos personales, la reparación perfecta sea una meta difícilmente alcanzable.

La relación de causalidad exige que exista un nexo adecuado entre la conducta del agente y el daño producido. El ordenamiento peruano acoge la teoría de la causa adecuada para la responsabilidad extracontractual, conforme al artículo 1985° del ^{Código Civil (1984)}, que requiere una relación de causalidad adecuada entre el hecho y el daño producido.

En los casos de vulneración de datos personales mediante prácticas comerciales, la acreditación de la relación causal puede presentar dificultades probatorias considerables. El consumidor afectado debe demostrar no solo que sus datos fueron indebidamente recopilados o utilizados, sino que dicha recopilación o uso fue la causa adecuada de los daños que alega haber sufrido. Esta exigencia probatoria puede ser especialmente onerosa cuando los daños son de naturaleza extrapatrimonial, cuya relación con la conducta infractora no siempre es directamente observable, o cuando entre la conducta del proveedor y la manifestación del daño median actos de terceros, como en los casos de cesión de datos a otras empresas que los utilizan posteriormente con fines ilícitos.

El ^{Código Civil (1984)} reconoce dos figuras relevantes para modular la relación causal. De un lado, la concausa, prevista en el artículo 1973, se presenta cuando la imprudencia de la víctima concurre en la producción del daño, lo que autoriza al juez a reducir la indemnización según las circunstancias. De otro lado, la denominada fractura causal —categoría elaborada por la doctrina a partir del artículo 1972— opera cuando el daño resulta jurídicamente atribuido a una causa ajena que desplaza el nexo causal inicialmente imputado al agente, como ocurre con el caso fortuito, la fuerza mayor, el hecho determinante de un tercero o la conducta de la propia víctima (^{Beltrán Pacheco, 2004}).

Los factores de atribución son los criterios que determinan en última instancia a quién corresponde asumir la responsabilidad por el daño causado. El ordenamiento peruano reconoce tanto factores de atribución subjetivos, la culpa y el dolo, como factores objetivos, basados en el riesgo creado (^{Tello, 2025}; ^{Trazegnies Granda, 2005}).

En los factores subjetivos, el dolo implica la intención del agente de perjudicar a la víctima. Como señala ^{García Rojas (2015)}, en los supuestos dolosos el ordenamiento civil debe perseguir la proscripción de dichas conductas mediante desincentivos de las mismas, siendo en estos casos donde las funciones de desincentivación y punición entran en juego (p. 59). Los métodos comerciales agresivos o engañosos desplegados deliberadamente para captar datos personales de los consumidores configuran, en la mayor parte de los casos, supuestos dolosos, lo que agrava la responsabilidad del proveedor y justifica la imposición de indemnizaciones de mayor cuantía.

La culpa, por su parte, puede ser percibida como una falta de previsión a propósito de una omisión, o una imprudencia en el actuar (^{García Rojas, 2015}). En el ámbito de la protección de datos personales, la culpa puede manifestarse en la adopción de sistemas de recopilación de datos que, por negligencia en su diseño, no garantizan el consentimiento informado de los consumidores, o en el mantenimiento de bases de datos sin las medidas de seguridad adecuadas para prevenir accesos no autorizados.

Los factores objetivos de atribución, en cambio, prescinden de la evaluación de la conducta del agente y señalan como responsable a quien produjo el daño en el ejercicio de una actividad riesgosa o peligrosa. El artículo 1970° del ^{Código Civil (1984)} establece que aquel que, mediante un bien riesgoso o peligroso, o por el ejercicio de una actividad riesgosa o peligrosa, causa un daño a otro, está obligado a repararlo. En el contexto de las actividades empresariales que implican el tratamiento masivo de datos personales, como las plataformas digitales, las empresas de comercio electrónico o los servicios de telecomunicaciones, podría sostenerse que dicho tratamiento constituye en sí mismo una actividad de riesgo que justifica la aplicación de un factor objetivo de atribución, liberando al consumidor de la carga de probar la culpa o el dolo del proveedor.

Un aspecto de especial interés doctrinal en el contexto de la vulneración masiva de datos personales es la figura de la indemnización punitiva, entendida como aquel monto que se otorga en favor del demandante y que no se basa en el criterio de reparar el daño producido, sino en el de sancionar al causante por la gravedad de su conducta (^{Alcántara Francia, 2021}, pp. 30-31; ^{Pérez Fuentes, 2019}, pp. 221-253).

Como señala la doctrina, esta indemnización punitiva o vindicativa se presenta cuando, para calcular el monto que debe pagar el demandado al demandante, se atiende antes a la gravedad de la falta que a la naturaleza del daño: si frente a dos daños semejantes se obliga a uno de los causantes a pagar una indemnización mayor porque tuvo más culpa, o cuando ante un daño perfectamente valorizado el juez fija una indemnización mayor porque la falta era particularmente grave, estamos ante un caso de indemnización punitiva, que tiene el carácter de una suerte de pena privada (^{Osterling Parodi, 1968}).

Este tipo de criterio es contrario al fin ontológico clásico de la responsabilidad civil, que es reparar el daño antes que punir, y su aplicación en el ordenamiento peruano es objeto de debate doctrinario. Sin embargo, su pertinencia en los casos de vulneración masiva de datos personales mediante prácticas comerciales deliberadamente agresivas o engañosas merece una reflexión detenida. Cuando el beneficio económico obtenido por el proveedor mediante la explotación ilícita de datos personales es de una magnitud significativamente superior al daño individualmente sufrido por cada consumidor afectado, una indemnización puramente reparatoria puede resultar insuficiente para disuadir futuras conductas similares y para restaurar la confianza de los consumidores en el mercado.

Si bien el artículo 1985° del ^{Código Civil (1984)} no contempla expresamente un elemento punitivo en el contenido de la indemnización, el artículo 1983°, que regula la responsabilidad solidaria de varios causantes del daño y establece que la repartición interna corresponde al juez fijarla según la gravedad de la falta de cada uno, introduce un criterio que, desde la perspectiva del causante, tiene el carácter de una indemnización proporcional a la gravedad de su conducta, aproximándose funcionalmente a la lógica punitiva. Esta apertura, aunque limitada, ofrece un espacio de interpretación que los tribunales podrían desarrollar en los casos más graves de vulneración de datos personales.

El análisis precedente permite concluir que la tutela efectiva del consumidor frente a la vulneración de sus datos personales mediante métodos comerciales agresivos o engañosos requiere la articulación complementaria de dos sistemas de protección que, aunque operan de manera independiente, son funcionalmente convergentes: el sistema administrativo sancionador liderado por INDECOPI y el sistema de responsabilidad civil que corresponde activar ante el Poder Judicial.

Como advierte ^{Durand Carrión (2015)}, para que el sistema de protección al consumidor sea completo, debe darse también en un ámbito de protección judicial y no solo administrativo, sobre todo en lo que respecta a la reparación del daño, dado que los criterios de la indemnización solo pueden ser fijados por mandato judicial (p. 106). Esta afirmación tiene una relevancia particular en el contexto de la vulneración de datos personales, donde los daños, especialmente los de naturaleza extrapatrimonial, exigen una evaluación individualizada y una valoración judicial que la vía administrativa no está en condiciones de proporcionar.

La complementariedad entre ambos sistemas no solo es funcional sino también temporal: mientras el procedimiento administrativo ante INDECOPI permite una respuesta rápida y accesible para el consumidor afectado, con plazos procesales definidos y costos relativamente bajos, el proceso civil ante el Poder Judicial ofrece la posibilidad de obtener una reparación integral que incluya todos los componentes del daño sufrido, incluyendo el daño moral, el daño a la persona y el lucro cesante. La coexistencia de ambas vías, lejos de generar duplicidades inconvenientes, enriquece el sistema de protección y garantiza que ningún aspecto del daño sufrido por el consumidor quede sin reparación adecuada.

La defensa colectiva de los consumidores en el contexto de la vulneración masiva de datos personales

La vulneración de datos personales mediante métodos comerciales agresivos o engañosos rara vez afecta a un único consumidor de manera aislada. Por el contrario, la naturaleza masiva de las relaciones de consumo contemporáneas, especialmente en el entorno digital, determina que las conductas infractoras de los proveedores impacten simultáneamente sobre grupos indeterminados o determinables de consumidores que se encuentran en una misma situación de vulnerabilidad frente a una práctica comercial ilícita. Esta dimensión colectiva del daño exige instrumentos jurídicos específicos que superen las limitaciones de la tutela individual y permitan una respuesta proporcionada a la magnitud real del perjuicio causado.

El Código de Protección y Defensa del Consumidor dedica el Título VI a regular la defensa colectiva de los consumidores, articulando para ello dos categorías conceptuales fundamentales (^{Congreso de la República del Perú, 2010}). El interés colectivo de los consumidores es definido como los derechos comunes a un conjunto determinado o determinable de consumidores que se encuentran ligados con un proveedor y que pueden ser agrupados dentro de una misma clase (artículo 128°, literal a). El interés difuso de los consumidores, por su parte, es aquel que pertenece a un conjunto indeterminado de consumidores (artículo 128°, literal b), es decir, a una masa de personas que no puede ser identificada con precisión pero que comparte la condición de haber sido afectada por la misma conducta infractora.

Esta distinción entre intereses colectivos e intereses difusos es de enorme relevancia práctica en el contexto de la vulneración masiva de datos personales. Cuando un proveedor recopila datos personales de sus clientes mediante cláusulas contractuales engañosas, los consumidores afectados constituyen un grupo determinable, los clientes del proveedor durante un período determinado, lo que configura un supuesto de interés colectivo (^{Ley n.° 29571}, art. 128). En cambio, cuando una empresa despliega prácticas comerciales agresivas en canales públicos de comunicación, como publicidad engañosa difundida masivamente por medios digitales, los afectados potenciales son un conjunto indeterminado de usuarios, configurando un supuesto de interés difuso.

En el ámbito administrativo, los procedimientos para la defensa colectiva pueden iniciarse por denuncia de las asociaciones de consumidores ante la Comisión de Protección al Consumidor u otros órganos competentes de INDECOPI, o por iniciativa del propio organismo cuando detecta conductas que afectan intereses colectivos o difusos. Adicionalmente, el Código reconoce la facultad de las asociaciones de consumidores para formular denuncias ante otros organismos reguladores de servicios públicos cuando la conducta infractora se produzca en sectores de su competencia.

En el ámbito judicial, el artículo 130° del Código, en concordancia con el artículo 82° del ^{Código Procesal Civil (1993)}, faculta a INDECOPI para promover de oficio procesos judiciales en defensa de los intereses difusos de los consumidores, previo acuerdo de su Consejo Directivo. Para la defensa de los intereses colectivos, INDECOPI también puede promover de oficio procesos judiciales que se tramitan en la vía sumarísima, pudiendo delegar esta facultad a las asociaciones de consumidores debidamente reconocidas.

En estos procesos judiciales colectivos, INDECOPI ejerce la representación de todos los consumidores afectados, con la única excepción de aquellos que manifiesten por escrito, dentro del plazo de treinta días contados desde las publicaciones correspondientes, su voluntad de no hacer valer su derecho colectivamente o de hacerlo por separado. Este mecanismo de representación legal automática es de enorme valor práctico, pues libera al consumidor individual de la carga de iniciar un proceso judicial propio y le garantiza participación en la tutela colectiva sin necesidad de acción alguna de su parte.

Las pretensiones que pueden acumularse en estos procesos judiciales de defensa colectiva comprenden la indemnización por daños y perjuicios, la reparación o sustitución de productos, el reembolso de cantidades indebidamente pagadas y cualquier otra pretensión necesaria para proteger los intereses colectivos de los consumidores que guarde relación con las anteriores (^{Ley n.° 29571}, art. 131.2). En el contexto de la vulneración masiva de datos personales, tales procesos resultan especialmente relevantes por la posible entidad económica y colectiva del daño ocasionado (^{Casarosa, 2020}).

La entrada en vigor del Código de Protección y Defensa del Consumidor (2010) trajo consigo la creación del Sistema Nacional Integrado de Protección del Consumidor, definido en su artículo 132° como el conjunto de principios, normas, procedimientos, técnicas e instrumentos destinados a armonizar las políticas públicas con el fin de optimizar las actuaciones de la administración del Estado para garantizar el cumplimiento de las normas de protección y defensa del consumidor en todo el país, en el marco de las atribuciones y autonomía de cada uno de sus integrantes.

Este sistema tiene como órganos integrantes fundamentales al Consejo Nacional de Protección del Consumidor, presidido por INDECOPI y cuya participación es ad honorem, y a la Autoridad Nacional de Protección del Consumidor, rol que corresponde al propio INDECOPI. La articulación institucional que propone el Sistema es especialmente relevante para la protección de datos personales en el contexto de las relaciones de consumo, pues la multiplicidad de actores institucionales implicados, INDECOPI, la Autoridad Nacional de Protección de Datos Personales, los organismos reguladores sectoriales, el Poder Judicial, requiere mecanismos de coordinación que eviten duplicidades, superpongan competencias o generen vacíos de tutela.

Entre los instrumentos innovadores que el Sistema incorpora, destaca la creación del Sistema de Arbitraje de Consumo, orientado a la resolución rápida, sencilla y gratuita de los conflictos surgidos de relaciones de consumo, así como la instauración de la conciliación y la mediación como mecanismos alternativos de resolución de conflictos. Estos mecanismos ofrecen al consumidor afectado por prácticas comerciales agresivas una vía de tutela más accesible y expedita que el proceso judicial ordinario, aunque con las limitaciones propias de todo mecanismo alternativo en cuanto a la coercibilidad de sus resultados.

El Libro de Reclamaciones, instrumento cuya obligatoriedad alcanza a todos los establecimientos comerciales, ya sea en formato físico o virtual, constituye, asimismo, un mecanismo de registro y evidencia de gran valor para la detección de patrones de conducta infractora por parte de los proveedores, incluyendo las relacionadas con el tratamiento indebido de datos personales de los consumidores.

Vacíos normativos y desafíos del sistema de protección frente a la vulneración de datos personales

El análisis del sistema de protección al consumidor peruano revela, junto a sus importantes fortalezas institucionales y normativas, un conjunto de vacíos y tensiones que limitan su eficacia frente a la vulneración de datos personales mediante métodos comerciales agresivos o engañosos. El primero y más estructural de estos vacíos es la ya señalada incapacidad del sistema administrativo para proporcionar una reparación integral del daño sufrido por el consumidor. Las sanciones impuestas por INDECOPI y las medidas correctivas y reparadoras que puede ordenar tienen una naturaleza esencialmente administrativa que no alcanza a cubrir la dimensión extrapatrimonial del daño, el daño moral y el daño a la persona, que con frecuencia es la más significativa en los casos de vulneración de datos personales.

A ello se suma la dificultad estructural que enfrenta el consumidor individual para activar los mecanismos de tutela disponibles. La asimetría informativa que caracteriza las relaciones de consumo no desaparece en el ámbito procesal: el consumidor que ha sido víctima de prácticas comerciales engañosas que afectaron sus datos personales frecuentemente no tiene conciencia plena de haber sido dañado, carece de acceso a la información técnica necesaria para acreditar la infracción, y no cuenta con los recursos económicos suficientes para sostener un proceso judicial de larga duración (^{Kramer, 2024}).

El entorno digital ha multiplicado exponencialmente tanto la capacidad de los proveedores para recopilar y explotar datos personales de los consumidores como la sofisticación de los métodos utilizados para obtener dicha información de manera engañosa o coercitiva (^{Van Ooijen y Vrabec, 2019}). Los llamados dark patterns, estrategias de diseño de interfaces digitales deliberadamente orientadas a inducir al usuario a compartir más datos de los necesarios, a aceptar condiciones que no ha leído comprensivamente o a suscribirse a servicios que no desea (^{Mathur et al., 2019}), representan una manifestación contemporánea de los métodos comerciales engañosos que el Código prohíbe, pero cuya identificación y sanción por parte de INDECOPI resulta especialmente compleja dada la velocidad de evolución tecnológica y la naturaleza transfronteriza de muchas de las plataformas que los despliegan.

La economía de los datos, en la que la información personal del consumidor constituye el principal activo comercializable, ha generado modelos de negocio cuya subsistencia depende precisamente de maximizar la recopilación de datos de los usuarios, frecuentemente a través de mecanismos que no respetan los estándares de consentimiento informado que el ordenamiento jurídico exige. Frente a este escenario, el sistema de protección al consumidor enfrenta el desafío de actualizar sus instrumentos normativos, sus capacidades institucionales y sus mecanismos de tutela para dar respuesta a una realidad tecnológica que evoluciona a una velocidad muy superior a la del proceso legislativo.

Ante los vacíos y desafíos identificados, es posible formular un conjunto de propuestas orientadas al fortalecimiento del sistema de protección al consumidor frente a la vulneración de datos personales mediante métodos comerciales agresivos o engañosos.

En primer lugar, resulta necesario fortalecer la coordinación institucional entre INDECOPI y la Autoridad Nacional de Protección de Datos Personales, estableciendo protocolos de actuación conjunta para los casos en que la vulneración de datos personales se produzca en el contexto de una relación de consumo. Esta coordinación permitiría aprovechar las fortalezas de cada institución, la especialización técnica en materia de datos personales de una, y la proximidad al consumidor y la agilidad procedimental de la otra, para ofrecer una respuesta institucional más completa y eficaz.

En segundo lugar, es indispensable avanzar hacia el reconocimiento explícito en el Código de la naturaleza de los daños extrapatrimoniales derivados de la vulneración de datos personales, estableciendo criterios orientadores para su valoración que faciliten tanto la labor de los jueces civiles como el acceso del consumidor a una reparación integral. La ausencia de parámetros claros para la cuantificación del daño moral y del daño a la persona en este contexto específico genera una incertidumbre jurídica que desincentiva el ejercicio de acciones civiles por parte de los consumidores afectados.

En tercer lugar, el sistema debería incorporar mecanismos de inversión de la carga probatoria en favor del consumidor en los casos de vulneración de datos personales, de manera análoga a cómo opera en otras ramas del ordenamiento jurídico, como el Derecho Laboral, cuando la prueba de un hecho determinante se encuentra razonablemente en poder de la parte más fuerte de la relación. Dado que el proveedor es quien controla los sistemas de recopilación y tratamiento de datos, resulta razonable que sea él quien acredite haber actuado de conformidad con el ordenamiento, y no el consumidor quien pruebe la infracción.

Finalmente, la educación del consumidor en materia de derechos digitales y protección de datos personales constituye una condición indispensable para la eficacia de cualquier sistema normativo de tutela. Como señala ^{Durand Carrión (2007)}, INDECOPI debe emprender procesos sostenidos de capacitación y difusión sobre políticas de defensa del consumidor, realizando campañas públicas por sectores de actividad que no solo sancionen, sino que establezcan políticas de respeto a los derechos de los consumidores conjuntamente con los propios empresarios proveedores (p. 88). En el contexto digital, esta labor educativa es más urgente que nunca, pues la capacidad del consumidor de identificar cuándo sus datos están siendo vulnerados es el primer y más importante eslabón de la cadena de tutela.