Protección de datos: con ley promulgada, Paraguay enfrenta el reto de su implementación

La Ley N.º 7.593 de Protección de Datos Personales, promulgada en noviembre del 2025, marca un cambio significativo en el tratamiento de la información personal en Paraguay.

Para especialistas y autoridades consultadas por Agenda Legal, la discusión ya no pasa simplemente por la existencia de la norma, sino por su implementación efectiva, la adecuación de las empresas y la necesidad de fortalecer la cultura de protección de datos en un país que todavía presenta importantes vulnerabilidades digitales.

La directora general de Asesoría Jurídica del Ministerio de Tecnologías de la Información y Comunicación (MITIC), Adriana Ramos, explicó a Agenda Legal que la nueva legislación parte de un principio central: que los datos pertenecen a las personas y son ellas quienes deben tener control sobre la información que las identifica.

En ese sentido, la ley incorpora derechos específicos para los ciudadanos, entre ellos el acceso a la información que poseen las empresas, la posibilidad de corregir datos erróneos, solicitar su eliminación cuando ya no exista una justificación para conservarlos, oponerse a determinados tratamientos, trasladar información entre proveedores e incluso cuestionar decisiones tomadas exclusivamente por sistemas automatizados.

La normativa también establece mecanismos para ejercer estos derechos. Las solicitudes deben presentarse inicialmente ante la empresa o entidad que trata los datos, la cual dispone de un plazo máximo de 30 días para responder. Si la respuesta resulta insuficiente o no existe contestación, el ciudadano podrá recurrir a la futura Agencia Nacional de Protección de Datos Personales o promover una acción de hábeas data.

Uno de los cambios más relevantes recae sobre las empresas. Ramos señaló que la recopilación de información mediante formularios, aplicaciones, promociones o programas de fidelización deja de ser una práctica exenta de responsabilidades. Las organizaciones deberán justificar legalmente la recolección de datos, informar con transparencia para qué serán utilizados, limitar la información solicitada a la estrictamente necesaria y adoptar medidas de seguridad para protegerla.

La ley también obliga a actuar frente a incidentes de seguridad. Cuando una empresa sufra una filtración o compromiso de datos personales, deberá comunicarlo a la autoridad competente en un plazo máximo de 72 horas.

Para el ciudadano de a pie, la norma refuerza el derecho a exigir explicaciones antes de entregar información personal. Según la asesora jurídica del MITIC, ninguna organización puede solicitar datos sin informar previamente qué información requiere, para qué finalidad será utilizada y cuál es la base legal que respalda esa recolección. Además, rige el principio de minimización, que impide exigir datos innecesarios para acceder a un servicio o beneficio.

La ley crea además la Agencia Nacional de Protección de Datos Personales, que funcionará dentro de la estructura del MITIC con autonomía funcional.

Este organismo tendrá facultades para recibir denuncias, realizar auditorías, emitir reglamentos, supervisar transferencias internacionales de datos y aplicar sanciones. Estas podrán ir desde apercibimientos hasta multas económicas e incluso la suspensión de actividades de tratamiento en los casos más graves, especialmente cuando estén involucrados datos sensibles o información de niños y adolescentes.

Una ley necesaria en un país vulnerable

Para Miguel Ángel Gaspar, director de Paraguay Ciberseguro y uno de los referentes que impulsaron durante años una legislación integral sobre la materia, Paraguay llega tarde a este debate. Explicó que el país mantuvo durante años una regulación limitada al ámbito crediticio, sin un marco amplio que protegiera efectivamente los datos personales de los ciudadanos.

A su criterio, la nueva ley representa un avance necesario, pero no resolverá por sí sola los problemas de seguridad digital que enfrenta el país.

Gaspar advirtió que todavía persisten malas prácticas en numerosos sectores económicos. Entre ellas mencionó la recolección excesiva de datos, el uso indiscriminado de información biométrica, la ausencia de políticas de privacidad visibles y la falta de mecanismos que permitan a los usuarios conocer quién accede a sus datos y con qué finalidad.

Miguel Ángel Gaspar, director de Paraguay Ciberseguro.

Uno de los puntos que más preocupa al especialista es la protección de los datos médicos. Según explicó, este tipo de información posee un alto valor en mercados ilícitos debido a que no pierde vigencia con el tiempo. Además, una filtración puede derivar en discriminación laboral, afectación reputacional o utilización indebida por terceros.

El experto también alertó sobre prácticas frecuentes en comercios, hoteles, centros educativos y prestadores de servicios, donde se solicitan copias de documentos, fotografías o datos biométricos sin explicar adecuadamente su finalidad ni las medidas de protección aplicadas.

Sin embargo, considera que el principal desafío no es únicamente jurídico. A su entender, la protección de datos debe ir acompañada de estándares reales de ciberseguridad.

“Tener una ley es necesario, pero no suficiente”, sostuvo. Explicó que una organización puede cumplir formalmente con las obligaciones informativas y aun así exponer la información de sus usuarios si no cuenta con infraestructura tecnológica adecuada, protocolos de protección y controles internos efectivos.

Gaspar también vinculó la protección de datos con la competitividad económica del país. Señaló que Paraguay busca atraer inversiones internacionales y posicionarse como un destino favorable para los negocios, pero advirtió que las empresas extranjeras exigen garantías jurídicas y tecnológicas para el tratamiento de información sensible.

En ese contexto, sostuvo que la reglamentación de la ley y la capacitación del sector privado serán determinantes para generar confianza. Cooperativas, entidades financieras, prestadores de salud, comercios y empresas tecnológicas aparecen entre los sectores que deberán realizar mayores esfuerzos de adecuación.

Fragilidad vs competitividad

Para el especialista en Derecho Digital y Sociedad de la Información, Juan Pablo Fernández Bogado, la protección de datos personales trasciende el cumplimiento de una obligación legal. A su criterio, se convirtió en un elemento que incide directamente en la confianza institucional, la competitividad empresarial y la capacidad del país para atraer inversiones.

Fernández Bogado sostuvo que las consecuencias de una deficiente protección de la información no se limitan a las pérdidas económicas. Mencionó que en junio de 2025 Paraguay enfrentó la mayor filtración de datos de su historia, cuando 7,4 millones de registros de ciudadanos fueron ofrecidos en el mercado negro, un episodio que, según afirmó, puso en evidencia la fragilidad de la infraestructura digital del Estado.

En ese contexto, advirtió que un Estado que no resguarda adecuadamente la información de sus ciudadanos también debilita su legitimidad. “Cuando el Estado falla en proteger los datos personales, pierde autoridad para exigir estándares al sector privado y se erosiona la confianza sobre la que funcionan las instituciones”, señaló.

Juan Pablo Fernández Bogado. Abogado y periodista, especialista en Derecho Digital y Sociedad de la Información.

Considera que esa confianza será uno de los factores decisivos para el desarrollo económico del país. Si bien Paraguay logró captar niveles récord de inversión extranjera en los últimos años, refirió que la estabilidad macroeconómica ya no es el único aspecto que evalúan los inversores. Cada vez cobran mayor importancia las garantías sobre el tratamiento seguro de la información, la identidad digital y la gobernanza de los datos.

El especialista también vincula la nueva legislación con la competitividad de las empresas. Describió que una gestión deficiente de los datos puede traducirse en pérdida de productividad, dificultades para acceder a mercados con regulaciones más exigentes e incluso en sanciones previstas por la propia ley de Protección de Datos Personales que contempla multas de hasta G. 1.200 millones y la suspensión de actividades de tratamiento en determinados casos.

A su juicio, la privacidad dejó de ser un costo de cumplimiento para convertirse en un activo estratégico. “Las empresas que entiendan que proteger los datos genera confianza tendrán una ventaja competitiva frente a aquellas que solo busquen cumplir con la ley”, afirma.

De cara a la entrada en vigencia plena de la normativa, Fernández Bogado dijo que el período de adecuación de 24 meses debe ser aprovechado tanto por el Estado como por el sector privado. Al respecto, recomendó fortalecer las capacidades en ciberseguridad, auditar los procesos de tratamiento de datos, capacitar a los equipos y dotar de autonomía y recursos a la futura Agencia Nacional de Protección de Datos Personales.

“Si Paraguay aspira a consolidarse como un exportador de servicios digitales y atraer inversiones de mayor valor agregado, la protección de datos debe asumirse como una política de Estado y un requisito para competir en la economía digital”, finalizó.