Actualización diciembre 2025: El 25 de noviembre de 2025 se promulgó la Ley Nº 7593 de Protección de Datos Personales, dando nacimiento a un régimen general de protección de datos en Paraguay, alineado con las prácticas internacionales. Los invitamos a consultar la nueva normativa, en este enlace.
Artículo original:
Con el avance de la tecnología y el desarrollo de nuevos productos innovadores, plataformas, el traspaso ilimitado de información y de datos personales en un mundo cada vez más digital, las personas están cada vez más limitadas al control de sus datos personales y al uso o finalidad que personas o empresas puedan dar a los mismos, más aún cuando no existe un consentimiento por parte del titular de los datos personales para su tratamiento.
Paraguay no cuenta con una normativa actualizada -según el avance de la tecnología- integral y adecuada sobre la protección de los datos personales, su recolección, tratamiento y finalidad, bajo una idónea supervisión. De hecho, toda norma existente cuya aplicación se extienda a la protección de datos personales merece una revisión constante o ajustes, de ser necesario. Esto, a fin de garantizar y proteger los derechos de intimidad y personales del individuo con el apoyo de una entidad o autoridad de aplicación que supervise y controle a las personas o empresas que se dedican a la recolección y tratamiento de datos. Toda persona tiene el derecho a saber -y el Estado a garantizar- qué tratamiento y finalidad tendrán sus datos y tener la tranquilidad de que, si no se cumple con esa finalidad por el tiempo determinado, una autoridad competente pueda tener la facultad de sancionar a dicha persona o empresa, sin perjuicio de las acciones legales que el afectado pudiera eventualmente reclamar.
Regulación actual y antecedentes
Con el fin de establecer una norma concreta sobre datos personales, se había promulgado la Ley N° 1682/2001 de Protección de Información de Carácter Privado que tenía por objeto el derecho a recolectar, almacenar y procesar datos personales para uso estrictamente privado. Sin embargo, esa ley fue derogada por la actual Ley N° 6534/2020 (“la ley”) que refiere a la protección de datos personales crediticios” y tiene por objeto garantizar la protección de datos crediticios de toda persona, cualquiera sea su nacionalidad, residencia o domicilio, con la finalidad de regular la actividad de recolección y acceso a datos y preservar los derechos fundamentales de las personas.
La ley define a los “datos personales” como la información de cualquier tipo, referida a personas jurídicas o personas físicas determinadas o determinables. Se entenderá por determinable la persona que pueda ser identificada mediante algún identificador o por uno o varios elementos característicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Los derechos y garantías de protección de datos personales serán extendidos a personas jurídicas en cuanto le sean aplicables y define a los “datos personales sensibles” como aquellos que se refieran a la esfera íntima de su titular, o cuya utilización indebida puedan dar origen a discriminación o conlleve un riesgo grave para éste. Se consideran sensibles los datos personales que puedan revelar aspectos como origen racial o étnico, creencias o convicciones religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, datos relativos a la salud, a la vida, preferencia u orientación sexual, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física.
Asimismo, define a la información crediticia como aquella información, positiva y negativa, relacionada con el historial crediticio de personas físicas y jurídicas, acerca de actividades crediticias, comerciales y otras de naturaleza análoga, que sirva para identificar correcta e inequívocamente a la persona, su domicilio, actividad comercial, determinar su nivel de endeudamiento, de cumplimiento de sus obligaciones y, en general, de riesgos crediticios en un determinado momento.
Si bien es cierto que la normativa vigente define y extiende conceptualmente a los datos personales y datos sensibles del individuo, el espíritu de la misma en lo que refiere a la recolección, tratamiento, procesamiento de datos y demás elementos se proyecta a los datos crediticios del individuo. Así, queda descubierto o queda un vacío legal cuestionable sobre el debido y adecuado proceso de control y prevención en la protección de datos personales en general que permita al individuo tener el control razonable de sus datos personales, el conocimiento de su tratamiento y su finalidad, con el fin de evitar que se vulnere el derecho a la vida, a la salud, a la privacidad e intimidad de la persona, derechos fundamentales consagrados en la Constitución Nacional. De hecho, el Art. 1° de la ley, establece en su objeto que la norma busca garantizar la protección de datos “crediticios” de toda persona, cualquiera sea su nacionalidad, residencia o domicilio, mencionando en el mismo artículo que dicha obtención y provisión de información “crediticia” tenga la finalidad de preservar los derechos fundamentales, la intimidad, la autodeterminación informativa, la libertad, la seguridad y el trato justo de las personas, entre otras cosas.
Es decir, el objeto mismo de la ley no incluye expresamente a los datos personales, sino que se limita a los crediticios, y por ello hemos resaltado inicialmente el espíritu de la norma. En la especie, notamos una falta de cobertura integral que comprenda a los datos personales y datos sensibles de toda persona física, más allá de los crediticios. Para ello corresponde, adicionalmente, contar con una autoridad de aplicación experta y especializada en la materia y que los datos e información de la persona física sean debidamente garantizadas por el Estado.
Sin lugar a dudas, la información crediticia del individuo constituye un pilar importante, pero no es la única, ya que hay otros varios pilares que deben ser cubiertos por la normativa y no de manera general, sino específica, otorgando la debida importancia en todas las facetas y procesos del individuo. Un mayor control reduciría, inclusive, casos de extorsión, de ofrecimiento de servicios y productos insistentes que afectan la calidad de vida de la persona, las llamadas y mensajes insistentes, y otros casos que pueden, inclusive, desembocar en pérdidas económicas, sin dejar de mencionar los daños psicológicos que podría acarrear un tratamiento inadecuado de datos personales, que no exista un control debido y que el individuo no cuente con un organismo o autoridad que acompañe la lesión en sus derechos fundamentales.
Por lo tanto, no existe una normativa vigente que incluya datos personales; sin embargo, consideramos que con el traspaso de la información y el avance de la tecnología, la normativa vigente merece una adecuación y actualización más específica en torno a datos sensibles y personales de las personas. Además, debe otorgar una mayor fuerza en el proceso de control de manera que el individuo pueda tener la tranquilidad del uso que terceros, con su consentimiento, den a sus datos o bien, en caso que no exista un consentimiento por el titular, que tenga un lugar al cual acudir para un acompañamiento integral que lo resguarde de posibles lesiones a sus derechos con políticas públicas idóneas, integrales y adecuadas.
Proyecto de ley de protección de datos en Paraguay
Cabe destacar que desde hace unos años se encuentra en curso un proyecto de ley de protección de datos personales en Paraguay, que busca garantizar los derechos de su titular y la circulación de sus datos de conformidad a la Constitución Nacional y tratados internacionales suscriptos por Paraguay.
Algunas novedades del proyecto:
- Establece principios tales como:
Principio de exactitud de datos: deben ser completos, exactos y actualizados.
Principio de licitud: el tratamiento debe ser lícito
Principio de finalidad: deben tener un fin determinado, explícito, legítimo y de duración limitada.
Principio de proporcionalidad: los datos deben ser proporcionales y adecuados a la finalidad.
Principio de lealtad: no se deben obtener los datos por medios fraudulentos, engañosos desleales o ilícitos.
Principio de transparencia: el responsable del tratamiento de datos debe informar al titular sobre la existencia misma y características del tratamiento.
Limitación del plazo para conservación: se limita el plazo por el tiempo necesario para cumplir con la finalidad del tratamiento de datos.
Principio de responsabilidad proactiva: el responsable o encargado del tratamiento debe adoptar las medidas técnicas y necesarias para el adecuado tratamiento de datos personales y cumplimiento de las obligaciones establecidas en la ley.
Principio de seguridad: adopción de medidas que garanticen la seguridad de los datos para su finalidad.
Principio de confidencialidad: el deber de confidencialidad aún después de haberse terminado la relación con el titular de datos. - Establece derechos a los titulares tales como: derecho a la información, de acceso, de rectificación, de oposición, de supresión, portabilidad, y derecho a no ser objeto de decisiones individuales automatizadas o semiautomatizadas.
- Creación de la figura de un delegado de protección de datos: que deberá ser designado por los responsables y encargados del tratamiento de datos bajo determinados supuestos y también la creación de una autoridad de control denominada “Agencia de Protección de Datos” como un ente del derecho público.
- Creación de una nueva autoridad de control, la “Agencia de Protección de Datos” como un ente del derecho público y organismo encargado del control y cumplimiento de las leyes en materia de protección de datos personales con plena autonomía e independencia en el ejercicio de sus funciones.
Importante mencionar que el proyecto de ley no deroga la actual en materia crediticia y se remite a la misma para el tratamiento de datos crediticios.
Comparación con la regulación europea
Con relación al proyecto de ley que se encuentra en trámite, compartimos un paralelismo general sobre elementos y semejanzas con el Reglamento General de Protección de Datos de la Unión Europea (RGPD) sobre la materia y que se detalla a continuación:
| Proyecto de ley paraguayo | Reglamento Unión Europea (RGPD) |
| Refiere a la protección integral de los datos personales de las personas físicas a fin de garantizar el ejercicio pleno de los derechos de sus titulares, y la libre circulación de tales datos, de conformidad a lo establecido en la Constitución Nacional y los tratados internacionales de los cuales la República del Paraguay es parte. | Refiere a la protección a las personas físicas en lo que refiere al tratamiento de datos personales y las normas relativas a su circulación. |
| Define a los datos personales como aquellos datos que colaboren para identificar a personas físicas determinadas o determinables. Se entenderá por determinable la persona que pueda ser identificada mediante algún identificador o por uno o varios elementos característicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Esto también incluye metadatos y fragmentos de datos. | Define a datos personales como toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. |
| Datos personales sensibles: son los referentes a pertenencias raciales o étnicas, preferencias políticas, convicciones religiosas, filosófica o morales; participación o afiliación en una organización sindical o política; información referente a la salud, la preferencia o vida sexual, datos biométricos y genéticos vinculados a una persona física y, en general, los que fomenten prejuicios y discriminaciones ilícitas o arbitrarias. | |
| Define al tratamiento como: cualquier operación o conjunto de operaciones efectuadas mediante procedimientos manuales, automatizados o parcialmente automatizados realizadas sobre datos personales, relacionadas de manera enunciativa más no limitativa, con la obtención, acceso, registro, organización, estructuración, adaptación, indexación, modificación, extracción, consulta, almacenamiento, conservación, bloqueo, elaboración, transferencia, cesión, difusión, posesión, aprovechamiento y en general cualquier uso o disposición de datos personales. | Define al tratamiento como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; |
| Establece principios tales como exactitud, licitud, finalidad, proporcionalidad, lealtad, transparencia, limitación al plazo de conservación, seguridad, confidencialidad. | Establece principios tales como licitud, lealtad y transparencia, limitación de la finalidad, exactitud, minimización de datos, límites en el plazo de conservación, integridad y confidencialidad. |
| Condiciones para el consentimiento: debe ser preciso y de manera específica e inequívoca. El titular podrá revocarlo en cualquier momento. | Condiciones para el consentimiento: claridad, de forma inteligible y de fácil acceso, con lenguaje claro y sencillo. El titular puede retirar su consentimiento en cualquier momento. |
| Define al consentimiento como: toda manifestación de voluntad libre, específica, informada e inequívoca por la que una persona física acepta y autoriza, ya sea mediante una declaración o una clara acción afirmativa realizada por escrito o por medios electrónicos, así como por cualquier forma similar que la tecnología permita, el tratamiento de los datos personales que le conciernen. | Define al consentimiento como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. |
| Se establecen derechos como: de información, derecho de acceso, derecho de rectificación, derecho de oposición, de supresión, de portabilidad, derecho a no ser objeto de decisiones individuales automatizadas o semiautomatizadas. | Se establecen derechos como: derecho de acceso, transparencia de la información, derecho de rectificación, derecho de supresión, derecho a limitación del tratamiento, derecho a portabilidad de datos, derecho de oposición. |
| Se establecen figuras de responsable y encargado de tratamiento. | Se establecen figuras de responsable y encargado de tratamiento. |
En base al cuadro precedente, el proyecto en curso comprende, entre otras cosas, semejanzas importantes con el RGDP de la Unión Europea, en el que se enfatiza en una regulación moderna y actualizada según avance de la tecnología.
Por lo tanto, podríamos concluir que una normativa que regula puntualmente los datos personales en general -como rige en otros países de la región- sigue siendo una materia pendiente en Paraguay.
Para más información sobre la protección de datos personales, contactar con el abogado Enzo Berino (eberino@altra.com.py).
