El 27 de noviembre de 2025 se promulgó la Ley N°7593/2025, la primera ley general de protección de datos personales de nuestro país. Esta norma, inspirada en el Reglamento General de Protección de Datos (RGPD) europeo, llena un vacío normativo que Paraguay arrastraba desde hacía décadas y establece obligaciones concretas para toda empresa que, sin importar su tamaño ni el sector en que opere, trate datos de personas físicas.

Cabe señalar que la ley aún no ha sido reglamentada. El Poder Ejecutivo cuenta con el plazo de 24 meses para hacerlo, y esa reglamentación será la que defina aspectos clave: las medidas técnicas de seguridad exigibles según el tipo de tratamiento, los criterios para la designación del Oficial de Protección de Datos y otros requisitos operativos que hoy la norma deja librados a la autoridad de control.

El alcance de la ley es más amplio de lo que muchas empresas suponen. No solo aplica a quienes tienen sede en Paraguay, sino que también alcanza a compañías del exterior que ofrezcan productos o servicios a residentes en el país o monitoreen su comportamiento en línea. En la práctica, cualquier organización que maneje datos de empleados, clientes, proveedores o distribuidores quedará comprendida.

¿A qué obliga la ley?

La principal obligación puede resumirse en una sola regla: no existe tratamiento de datos personales sin una base jurídica que lo legitime.

El artículo 5 de la ley establece seis bases legales que habilitan a las empresas privadas a tratar datos personales: (i) el consentimiento del titular, (ii) el cumplimiento de una obligación legal, (iii) la ejecución de un contrato, (iv) el interés legítimo, (v) el ejercicio de derechos en procesos judiciales o arbitrales y (vi) la protección de la vida.

En ausencia de alguna de estas bases, el tratamiento de datos será considerado ilícito, con independencia del tiempo durante el cual se haya venido realizando.

Ahora bien, identificar la base jurídica aplicable es solo el primer paso. La ley también exige la implementación de una serie de medidas de cumplimiento, entre las que se destacan:

• Inventario de tratamientos: documentar qué datos se tratan, para qué fin, con qué base legal y por cuánto tiempo.
• Contratos con proveedores: toda empresa que delegue el procesamiento de datos en un tercero debe regularlo con cláusulas específicas de protección y confidencialidad.
• Medidas de seguridad: técnicas y organizativas, proporcionales al riesgo de cada tratamiento.
• Protocolo de incidentes: notificar a la Agencia Nacional y a los afectados dentro de las 72 horas de conocer una brecha de seguridad.
• Evaluación de impacto: acción obligatoria en tratamientos de alto riesgo (perfilado masivo, datos sensibles en escala, videovigilancia sistemática).

La ley también reconoce a los titulares una serie de derechos que pueden ejercer directamente frente a la empresa, entre ellos, los de acceso, rectificación, supresión, oposición, portabilidad y revisión humana de decisiones automatizadas. Las solicitudes deberán ser atendidas dentro de plazos que varían entre 10 días hábiles y 30 días corridos, según el derecho ejercido. Su incumplimiento habilita al titular a presentar un reclamo ante la Agencia Nacional.

Vale destacar un punto que suele pasarse por alto: el uso de huellas dactilares para el control de asistencia, una práctica bastante generalizada en el mercado local, constituye un tratamiento de datos biométricos, los cuales son considerados datos sensibles bajo el artículo 20.

En consecuencia, su tratamiento está sujeto a requisitos más estrictos, entre ellos, contar con una base jurídica específica y adoptar medidas técnicas y organizativas reforzadas para su protección, por lo que representa una de las principales áreas de riesgo para las empresas.

Áreas críticas en las que actuar

La ley atraviesa toda la organización, pero hay cuatro áreas donde los riesgos de incumplimiento son más concretos y frecuentes:

• Recursos humanos.: La gestión de legajos, el uso de datos biométricos para el control de asistencia, el monitoreo de sistemas y el tratamiento de datos de salud para coberturas médicas constituyen tratamientos de datos personales. En estos casos, la base jurídica suele ser la ejecución del contrato laboral o el cumplimiento de una obligación legal, más que el consentimiento, pero debe estar debidamente identificada y documentada.
• Marketing: Las bases de contactos, el envío de newsletters y las campañas digitales requieren una base jurídica adecuada, que en muchos casos será el consentimiento previo del titular, así como un mecanismo sencillo para darse de baja.
• TI y Sistemas: El uso de plataformas cloud o servicios SaaS con servidores ubicados en el exterior constituye una transferencia internacional de datos, por lo que será necesario implementar las garantías contractuales exigidas por la ley.
• Contratos: Los acuerdos con proveedores que traten datos personales deberán incorporar cláusulas específicas sobre protección de datos. Del mismo modo, conviene revisar los contratos laborales, de distribución y cualquier otro que implique el tratamiento de datos personales.

Las sanciones

La ley crea la Agencia Nacional de Protección de Datos Personales, dependiente del MITIC, con facultades para auditar, investigar y sancionar.

El régimen sancionatorio prevé multas de hasta 10.000 jornales mínimos para las infracciones más graves, especialmente aquellas que involucren datos sensibles de niños, niñas y adolescentes. Sin embargo, más allá de las sanciones económicas, un incumplimiento puede generar un impacto significativo en la reputación de la empresa y afectar la confianza de clientes, proveedores y socios comerciales, particularmente de aquellos que operan bajo estándares exigentes en materia de protección de datos.

Cómo prepararse: cinco pasos

El proceso de adecuación no requiere empezar desde cero, pero sí estructura y asesoramiento especializado. Los pasos son:

1. Diagnóstico: mapear todos los tratamientos de datos por área e identificar brechas.
2. Inventario: documentar qué datos, para qué fin, con qué base legal y por cuánto tiempo.
3. Adecuación contractual: actualizar contratos con proveedores, empleados y distribuidores.
4. Políticas y protocolos: política de privacidad, protocolo de incidentes y procedimiento de atención a solicitudes de titulares.
5. Capacitación: formar a los equipos de RRHH, Marketing, TI y Legal en sus obligaciones específicas.

Los 24 meses de vacatio legis sirven como una ventana para organizarse con calma. Las empresas que aprovechen ese tiempo estarán en cumplimiento cuando la ley entre en vigor y tendrán la documentación lista para acreditarlo ante la Agencia. Las que lo dejen para último momento enfrentarán ajustes apresurados, costos mayores y una exposición innecesaria a sanciones desde el primer día de vigencia.

Desde Altra Legal acompañamos a empresas en todo el proceso: diagnóstico inicial, inventario de tratamientos, revisión y actualización contractual, elaboración de políticas internas y capacitación de equipos. En ese sentido, iniciar el proceso cuanto antes no solo reduce el riesgo actual, sino que  también permite ajustarlo oportunamente cuando la reglamentación lo precise.

Larissa Lacout
Abogada en Altra Legal