La insuficiencia estructural del modelo ministerial concentrado: por una Agencia Nacional de Gobernanza Digital y de Datos en la República del Paraguay.

1. Introducción y problema de investigación

La Constitución Nacional de 1992 consagra la inviolabilidad de la intimidad personal y familiar (art. 33) y la tutela de los documentos privados y la comunicación (art. 135), garantía sobre la cual la dogmática nacional ha construido el hábeas data como mecanismo reactivo, pero no un esquema preventivo de gobernanza de datos . Sobre esa base constitucional, Paraguay edificó en dos décadas un entramado normativo fragmentado y reactivo: la Ley N° 1682/2001 sobre información de carácter privado, la Ley N° 6534/2020 de protección de datos personales crediticios —cuya autoridad de aplicación quedó repartida entre el Banco Central del Paraguay y la SEDECO conforme a sus arts. 13 y 20— y la Ley N° 6822/2021 de servicios de confianza, alineada con el estándar europeo eIDAS .

El problema que este artículo aborda no es la ausencia de normas, sino la naturaleza del sujeto institucional llamado a ejecutarlas. La Secretaría General Iberoamericana (SEGIB), en su estudio comparado de febrero de 2026, caracteriza a Paraguay como un caso de "gobernanza digital estratégicamente planificada pero institucionalmente incompleta", donde la brecha principal no es la falta de visión sino la consolidación normativa, técnica y operativa, ubicándolo entre los modelos intermedios o fragmentados de la región. La hipótesis que se defiende aquí es más precisa: el modelo de concentración ministerial encarnado por el MITIC ha llegado a su límite de carga funcional y de compatibilidad jurídica, y la reciente Ley N° 7593/2025 de Protección de Datos Personales —que sitúa la futura autoridad de control bajo dependencia del propio ministerio, con autonomía funcional y rango de dirección nacional— agrava esa contradicción en lugar de resolverla.

2. Marco conceptual y método

Se entiende por gobernanza digital el conjunto de funciones públicas de conducción estratégica, rectoría normativa, implementación operativa y supervisión con garantías democráticas sobre la transformación tecnológica del Estado y de la economía de datos, conforme a la arquitectura funcional propuesta por la SEGIB para Iberoamérica . La premisa teórica central es que estas cuatro funciones son analíticamente distintas y exigen arreglos institucionales diferenciados: quien define la estrategia no debería ejecutarla, y quien la ejecuta no puede fiscalizarse a sí mismo.

El método empleado es el analítico-dogmático, aplicado al ordenamiento positivo paraguayo, combinado con el método comparado funcional frente a cinco experiencias regionales seleccionadas por su pertinencia estructural: Chile (Ley Marco de Ciberseguridad N° 21.663), Uruguay (Ley N° 18.331), España (AESIA), Brasil (ANPD) y México (extinción del INAI como caso negativo de control). El criterio de selección responde a economías de escala comparables, tradición jurídica afín y diversidad de soluciones institucionales.

3. Diagnóstico: la asfixia funcional del MITIC

3.1. Genealogía de una concentración normativa

El MITIC nace de una trayectoria de acumulación sucesiva de competencias. La Ley N° 4989/2013 creó el marco de aplicación de las TIC en el sector público y la Secretaría Nacional (SENATICs), cuya estructura fue reglamentada por el Decreto N° 11.624/2013 . La Ley N° 6207/2018 elevó la figura a ministerio, absorbiendo además a la Secretaría de Información y Comunicación para el Desarrollo (SICOM), con su carta orgánica propia. Sobre esa base, el Decreto N° 3900/2025 aprobó la Estrategia Nacional de Ciberseguridad 2025-2028, que consolida al MITIC como autoridad nacional de ciberseguridad, con una Dirección General de Ciberseguridad y Protección de la Información y el CERT-PY como brazo operativo.

A ello se suman tres capas funcionales adicionales: el rol de entidad de confianza y certificación en el ecosistema de la firma electrónica; la potestad de autorizar las compras TIC del Estado —690 solicitudes revisadas en 2025, con 90 no autorizadas por observaciones técnicas, e intervención técnica obligada incluso en procedimientos especiales de contratación— ; y, desde la Ley N° 7593/2025, la autoridad de aplicación del nuevo régimen general de protección de datos.

3.2. La incompatibilidad estructural: juez y parte

La consecuencia dogmática es una triple incompatibilidad que la teoría del Estado regulador considera patológica:

Promotor y fiscalizador: el MITIC impulsa la digitalización acelerada de la administración —el Sistema de Expedientes Electrónicos Digitalia ya opera en más de diez organismos, con ahorros superiores a tres toneladas de papel— y, a la vez, deberá supervisar la licitud del tratamiento masivo de datos que esos mismos sistemas realizan. El mayor responsable estatal de tratamiento quedará supervisado por sí mismo.

Operador y autoridad de ciberseguridad: el ministerio opera infraestructura digital crítica del Estado y simultáneamente ejerce la rectoría, la coordinación nacional y la respuesta operativa a incidentes vía CERT-PY, sin contrapeso técnico independiente.

Contratante y auditor: la potestad de autorización de compras TIC lo convierte en gatekeeper de los procesos que él mismo promueve, con el riesgo señalado por la SEGIB de concentración de poder técnico, debilitamiento de controles sin contrapesos claros y captura institucional.

3.3. Evidencia empírica de sobrecarga

La literatura especializada documenta que, pese a la inversión significativa y el apoyo multilateral, los resultados de la transformación digital gubernamental paraguaya han sido limitados por la falta de liderazgo estable, la ausencia de una estrategia integral y la baja ejecución presupuestaria, con avances aislados que no se traducen en cambio cultural profundo ni en eficiencia administrativa integral. En ciberseguridad, la propia Estrategia 2025-2028 admite el déficit al ordenar, como línea de acción prioritaria, "realizar una evaluación exhaustiva del modelo de gobernanza del Sistema Nacional de Ciberseguridad" y proponer las modificaciones necesarias . La sociedad civil, por su parte, ha objetado la ausencia de instituciones clave —Salud, Ministerio de la Mujer, Secretaría de la Niñez, Dirección de Derechos Humanos— en el diseño de la gobernanza, así como la falta de mecanismos concretos de articulación multiactor y el sesgo punitivista del enfoque.

Dato sintomático adicional: la fragmentación vigente. Los datos crediticios se supervisan en el BCP y la SEDECO, los datos generales quedarán en el MITIC, las telecomunicaciones en la CONATEL y el acceso a la información pública en otra órbita administrativa. La nueva estructura "coexistirá" con las autoridades crediticias, lo que confirma que el legislador de 2025 sumó una capa más sin resolver la dispersión.

4. Derecho comparado: la separación funcional como estándar

El recorrido por cinco experiencias jurídicas permite verificar que la maduración de la gobernanza digital pasa, de manera convergente, por la separación institucional de la función supervisora respecto de la promotora.

Chile ofrece el arquetipo más reciente y completo. La Ley N° 21.663, Marco de Ciberseguridad, promulgada el 26 de marzo de 2024, creó la Agencia Nacional de Ciberseguridad (ANCI) como un servicio público funcionalmente descentralizado, con personalidad jurídica y patrimonio propio, dotado de potestad para dictar protocolos y estándares técnicos vinculantes, supervisar al CSIRT nacional y administrar el Registro Nacional de Incidentes de Ciberseguridad . La lección chilena es nítida: la ciberseguridad se profesionaliza fuera del ministerio promotor, con un tipo legal diseñado para la autonomía operativa.

Uruguay aporta el modelo de escala comparable al paraguayo. La Ley N° 18.331 de 2008 creó la Unidad Reguladora y de Control de Datos Personales (URCDP) como órgano desconcentrado de la AGESIC —a su vez ubicada en el ámbito de Presidencia de la República—, pero dotada de la más amplia autonomía técnica y de potestades de fiscalización e inspección sobre bases de datos públicas y privadas . La experiencia uruguaya demuestra que la supervisión autónoma es viable sin crear un ministerio ni estructuras hipertrofiadas, lo que la vuelve directamente transplantable a contextos fiscales restringidos.

España ilustra la variante de la adscripción blindada. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) se encuentra adscrita al Ministerio para la Transformación Digital a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial conforme al Real Decreto 210/2024; sin embargo, su propio Estatuto le reconoce independencia técnica en el ejercicio de las funciones de inspección, comprobación y sanción, manteniéndose la dirección política y normativa separada de la supervisión . La agencia, con sede en A Coruña, desarrolla además los primeros entornos controlados de prueba de IA de Europa . La lección es precisa: la adscripción ministerial solo es institucionalmente aceptable cuando la independencia técnica está estatutariamente blindada.

Brasil muestra la vía evolutiva. La Autoridade Nacional de Proteção de Dados (ANPD) fue creada en 2020 por la Ley N° 13.853 como órgano vinculado a la Presidencia de la República, se transformó luego en autarquía de naturaleza especial y, en 2025, mediante la Medida Provisória N° 1.317, fue elevada a la categoría de agencia reguladora con independencia decisoria, autonomía financiera y competencia normativa propia. El caso brasileño prueba que la transición puede ser gradual —vínculo, autarquía, agencia— sin renunciar al destino autonómico, lo que ofrece una hoja de ruta realista para países que, como Paraguay, acaban de crear su autoridad en sede ministerial.

México, finalmente, funciona como contramodelo. La reforma constitucional en materia de simplificación orgánica, en vigor desde el 20 de diciembre de 2024, extinguió el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) y trasladó sus funciones a la Secretaría Anticorrupción y Buen Gobierno, órgano dependiente del Ejecutivo . La nueva legislación secundaria de 2025 fragmentó la tutela de los datos personales entre dieciséis autoridades y consagró reglas regresivas, como el consentimiento tácito como regla general. La doctrina universitaria ha calificado el proceso como una captura institucional legalista, esto es, el uso formalmente legal de la ley para desmantelar contrapesos democráticos . La advertencia para Paraguay es directa: una autoridad garante subordinada al Ejecutivo sin blindaje institucional es reversible e instrumentalizable.

La comparación revela, en síntesis, una tendencia regional convergente: los sistemas que maduran separan la supervisión de la promoción y le otorgan independencia técnica, decisoria y financiera progresiva. La trayectoria brasileña demuestra que la transición puede ser escalonada; la mexicana, el costo democrático de revertirla.

5. Propuesta: Ley Marco de Gobernanza Digital y de Datos

5.1. Principios rectores y diseño tripartito

Se propone la sanción de una Ley Marco de Gobernanza Digital y de Datos (LMGDD) que reorganice las cuatro funciones del modelo SEGIB en tres planos institucionales, sin crear un ministerio nuevo —exigencia de eficiencia fiscal— y aprovechando estructuras existentes:

Conducción estratégica: un Consejo Nacional de Gobernanza Digital (CNGD), adscripto a Presidencia de la República, con composición interinstitucional y multiactor —MITIC, CONATEL, BCP, SEDECO, DNCP, Ministerios de Salud, de la Mujer, Secretaría de la Niñez, Dirección de Derechos Humanos, gremios empresariales, academia y sociedad civil—, corrigiendo así las omisiones detectadas en la Estrategia de Ciberseguridad . Aprueba la estrategia quinquenal y un tablero público de indicadores.

Rectoría normativa e implementación: el MITIC, liberado de funciones fiscalizadoras, conserva gobierno digital, interoperabilidad, conectividad, infraestructura y operación de plataformas. Su agenda exitosa —Digitalia, expediente sin papel, compras TIC— queda así protegida del conflicto de interés.

Supervisión y garantías: una Agencia Nacional de Gobernanza Digital y de Datos (ANGDD), servicio público descentralizado con personalidad jurídica y patrimonio propio, siguiendo el tipo legal chileno.

5.2. Régimen jurídico de la Agencia

La ANGDD integraría, por economía de alcance, cuatro unidades que hoy están dispersas o son inexistentes: la autoridad de protección de datos (escindida de la Dirección Nacional prevista por la Ley N° 7593/2025), una unidad de supervisión algorítmica e IA de inspiración AESIA , la supervisión del cumplimiento de ciberseguridad —manteniendo al CERT-PY como CSIRT operativo, en el esquema ANCI— y la acreditación de servicios de confianza de la Ley N° 6822/2021, separando la raíz de confianza del operador ministerial.

Su gobierno interno se diseña contra la captura: consejo directivo de cinco miembros con mandatos de cinco años escalonados e irreunovables de modo consecutivo; designación plural (Poder Ejecutivo, Senado por dos tercios sobre ternas de la academia y la sociedad civil, y gremios técnicos); remoción solo por causa comprobada con garantías del debido proceso; e incompatibilidades estrictas con la industria regulada. El financiamiento combinaría partida presupuestaria protegida con tasas por servicios registrales, y las multas ingresarían al Tesoro para eliminar el incentivo sancionador perverso. El contramodelo mexicano demuestra que una autoridad garante subordinada al Ejecutivo sin blindaje es institucionalmente reversible.

5.3. Instrumentos técnicos de regulación

Evaluación de impacto en protección de datos (EIPD) obligatoria y publicable para tratamientos estatales de alto riesgo, con red de Delegados de Protección de Datos certificados en cada organismo público.

Evaluación de impacto algorítmico y registro público de sistemas de decisión automatizada del Estado, que operacionaliza el derecho —ya reconocido por la Ley N° 7593/2025— a solicitar la revisión de decisiones adoptadas por mecanismos automatizados, con explicación de los datos que sirvieron de base.

Notificación de brechas de seguridad en plazo determinado y Registro Nacional de Incidentes, conforme al patrón ANCI .

Sandbox regulatorio digital para fintech, govtech e IA bajo supervisión directa, siguiendo la experiencia española de entornos controlados de prueba , figura ya postulada por la doctrina nacional.

Homologación de transferencias internacionales mediante decisiones de nivel adecuado de protección, competencia que la nueva ley ya atribuye a la autoridad nacional, y que constituye la llave para posicionar a Paraguay como destino seguro de flujos de datos e inversión tecnológica.

Régimen sancionador escalonado (amonestación, multa, suspensión del tratamiento, cancelación registral), con potestad de juzgamiento exclusivamente estatal —como exige el propio Poder Ejecutivo en el debate reglamentario en curso— , recurso jerárquico y control judicial contencioso-administrativo.

5.4. Hoja de ruta y viabilidad

La propuesta se ancla en dos ventanas jurídicas abiertas en este preciso momento: el mandato de la Estrategia Nacional de Ciberseguridad de evaluar y rediseñar su propio modelo de gobernanza y el proceso de reglamentación de la Ley N° 7593/2025, en el que el titular del MITIC ha prometido firmeza y una dirección nacional con independencia funcional . Sobre esa base se proponen cuatro fases: (i) meses 0-6, mesa técnica de rediseño y reglamentación de máximos de la Ley N° 7593/2025 con independencia funcional reforzada al estilo AESIA ; (ii) meses 6-12, sanción de la LMGDD y escisión de la unidad de datos hacia la ANGDD, replicando la transición brasileña hacia la autarquía ; (iii) meses 12-24, instalación del consejo directivo, red de delegados, sandbox y registro algorítmico; (iv) mes 24 en adelante, evaluación independiente con indicadores verificables: tiempo medio de resolución de reclamos de titulares, porcentaje de servicios públicos digitales de punta a punta, brechas notificadas y contenidas, ejecución presupuestaria TIC y posición en los índices regionales de gobierno digital.

6. Conclusiones

Primera. El agotamiento del MITIC no es un juicio de gestión sino de diseño: la acumulación de las funciones de conducción, ejecución, auditoría y supervisión en un solo órgano viola la separación funcional que el derecho comparado iberoamericano ha convertido en estándar, de Chile a Brasil .

Segunda. La Ley N° 7593/2025, aunque histórica al reconocer la protección de datos como derecho fundamental aplicable a entes públicos y privados , reproduce el vicio de origen al anclar la autoridad de control en el ministerio que más datos estatales trata; la autonomía funcional anunciada es un piso aceptable solo como estación intermedia blindada estatutariamente, no como destino.

Tercera. El modelo eficiente para un Estado del tamaño paraguayo no es el maximalismo institucional sino la especialización con contrapesos: un consejo estratégico plural, un ministerio ejecutor y una agencia supervisora autónoma, construida por evolución —como la ANPD— y no por improvisación, evitando tanto la captura como la reversibilidad que ilustra el caso mexicano. La ventana normativa está abierta ahora; cerrarla con una reglamentación minimalista sería una omisión legislativa de largo alcance.