Hay una fecha que todavía no está en la agenda de la mayoría de los directorios paraguayos y debería: noviembre de 2027. Ese mes termina el periodo de adecuación de la Ley N° 7593/2025 de Protección de Datos Personales y empieza a ser exigible una norma que cambia el punto de partida de todo tratamiento de datos en el país. La ley ya existe, ya obliga a planificar y ya fija las multas. Lo que todavía no existe es la reglamentación ni la Agencia en funcionamiento. Esa asimetría —obligación sin reglamento— define la ventana de trabajo de 2026 y 2027. Esta guía está escrita sobre el texto oficial publicado por la BACN, cita el artículo de cada afirmación y traduce las sanciones a guaraníes con el jornal mínimo vigente.
Respuesta corta: La Ley N° 7593/2025 entra en vigor a los veinticuatro meses de su publicación oficial (artículo 57); con la publicación registrada por la BACN el 27 de noviembre de 2025, la exigibilidad cae en noviembre de 2027. Crea la Agencia Nacional de Protección de Datos Personales dentro del MITIC, exige base legal para todo tratamiento, notificación de brechas en 72 horas y prevé multas de hasta 10.000 jornales mínimos. La reglamentación sigue pendiente.
- ¿Qué cambia con la Ley 7593/2025 y desde cuándo es exigible?
- ¿A quién alcanza la ley? Ámbito de aplicación y efecto extraterritorial
- ¿Qué es la Agencia Nacional de Protección de Datos Personales y qué puede hacerle a tu empresa?
- Bases de licitud: las siete puertas del artículo 5
- Datos sensibles, menores y videovigilancia: el capítulo que más expone a Recursos Humanos
- Derechos del titular y plazos: el servicio que tu operación tendrá que sostener
- ¿Necesita tu empresa un oficial de protección de datos y un registro de tratamientos?
- Notificación de incidentes en 72 horas: qué exige el artículo 17
- Transferencias internacionales: la regla del artículo 19 y sus excepciones
- Sanciones: cuánto es realmente en guaraníes con el jornal vigente
- Ley 6534/2020 de datos crediticios: qué se deroga y quién manda ahora
- La reglamentación está pendiente: qué falta y por qué esperarla sale caro
- Plan de adecuación en 12 meses: cuatro fases, checklist y qué hacer esta semana
¿Qué cambia con la Ley 7593/2025 y desde cuándo es exigible?
Cambia el punto de partida: hasta ahora tratar datos personales era libre salvo prohibición expresa; con la Ley 7593/2025 ningún tratamiento es lícito si no se apoya en una base legal del artículo 5. El artículo 57 fija la entrada en vigor a los veinticuatro meses de la publicación oficial. La BACN registra promulgación y publicación el 27 de noviembre de 2025, lo que ubica la exigibilidad plena en noviembre de 2027.
La Ley N° 7593/2025 “De Protección de Datos Personales en la República del Paraguay”, promulgada y publicada a fines de noviembre de 2025 (cobertura de La Nación), es la primera norma paraguaya que regula de forma general el tratamiento de datos personales. Hasta ella nadie estaba obligado a documentar por qué recoge un correo electrónico ni cuánto tiempo lo conserva. Los dos artículos que un directorio debe leer primero son los últimos:
- Artículo 57: la ley “entrará en vigor luego de transcurridos veinticuatro meses de su publicación oficial”.
- Artículo 60: el Poder Ejecutivo la reglamentará “dentro del plazo de veinticuatro meses computados a partir de su publicación en la gaceta oficial”.
El plazo para adecuarse y el plazo para que exista reglamento son el mismo plazo. El MITIC, en su comunicado sobre el alcance de la ley, lo resume así: la norma “entrará en vigencia a finales de 2027” y “se prevé la creación de la Agencia Nacional de Protección de Datos Personales”. En marzo de 2026 la directora de Asesoría Jurídica del MITIC, Adriana Ramos, dijo a ABC Color que la implementación “será progresiva y requerirá reglamentación”.
| Dimensión | Antes | Desde noviembre de 2027 |
|---|---|---|
| Punto de partida | Tratamiento libre salvo prohibición puntual | Prohibido salvo base legal acreditable (art. 5) |
| Autoridad | Sin autoridad general; BCP y SEDECO solo en datos crediticios | Agencia Nacional de Protección de Datos Personales, con potestad sancionadora propia (arts. 34 a 40) |
| Brechas | Reporte voluntario al CERT-PY | Notificación obligatoria a la autoridad en 72 horas (art. 17) |
| Derechos | Hábeas data y reglas sectoriales | Información, acceso, rectificación, oposición, supresión, portabilidad y revisión de decisiones automatizadas (arts. 27 a 33), irrenunciables |
| Datos fuera del país | Sin regla general | Solo a destinos con nivel adecuado o con garantías apropiadas (art. 19) |
| Multas | Solo en el ámbito crediticio | De 20 a 10.000 jornales mínimos (art. 46) |
¿A quién alcanza la ley? Ámbito de aplicación y efecto extraterritorial
El artículo 2 alcanza a cualquier tratamiento total o parcialmente automatizado, y al manual cuando los datos forman parte de un archivo, con independencia del medio, del país de la sede y del país donde estén los datos. Alcanza a quien está establecido en Paraguay aunque trate los datos afuera, y a quien no lo está si trata datos de personas situadas en el país, ofrece bienes o servicios a residentes, o controla su comportamiento en territorio paraguayo.
Estás adentro si eres responsable o encargado establecido en Paraguay, incluso si el tratamiento ocurre en otro país —una empresa asuncena con el CRM alojado en Virginia está alcanzada—; o si, sin estar establecido aquí, (a) tratas datos de personas físicas situadas en territorio paraguayo salvo tránsito, (b) tus actividades se relacionan con la oferta de bienes o servicios dirigidos a residentes, o (c) se relacionan con el control del comportamiento de personas físicas en territorio paraguayo.
Ese tercer supuesto es el que pasa inadvertido: cubre analítica web, retargeting, geolocalización y puntuación de usuarios. Si la casa matriz está en São Paulo o Miami y la web mide comportamiento de usuarios en Asunción, la ley paraguaya aplica.
El representante local de empresas no establecidas
El artículo 12 delega a la reglamentación los casos y condiciones en los que un responsable o encargado no establecido en Paraguay deberá designar un representante que responda ante el titular y ante la autoridad. Hoy no se sabe cuáles serán. Lo que sí está definido es la consecuencia: el artículo 45 tipifica como falta grave no designarlo cuando sea exigible.
¿Qué es la Agencia Nacional de Protección de Datos Personales y qué puede hacerle a tu empresa?
El artículo 34 crea la Agencia Nacional de Protección de Datos Personales como unidad desconcentrada dentro del MITIC, con rango de Dirección Nacional y autonomía funcional e independencia. Puede reglamentar, auditar, inspeccionar, instruir sumarios y sancionar sin pasar por la justicia. Su Director General se nombra por decreto del Poder Ejecutivo a partir de una terna del MITIC, previo concurso público, y dura tres años.
Cómo se financia
El artículo 36 fija tres fuentes: el Presupuesto General de la Nación —incorporado al del MITIC pero “plenamente individualizable”—, los ingresos provenientes de las multas que aplique, y fondos de convenios, créditos o donaciones. Las multas van a una cuenta especial destinada en exclusividad a la Agencia.
Gobierno y vía recursiva
Si te sancionan, la ruta está en los artículos 55 y 56: recurso de reconsideración ante el propio Director General —con eso se agota la instancia administrativa, y el artículo 55 aclara que el MITIC “no tendrá competencia” sobre estos trámites— y luego acción contencioso-administrativa ante el Tribunal de Cuentas, en el plazo de la Ley 6715/2021. Ambos recursos tienen efecto suspensivo frente a resoluciones que aplican sanciones, pero no suspenden las medidas cautelares ni las correctivas.
A septiembre de 2026 la Agencia se describe en futuro en la comunicación oficial: no se ha verificado decreto que la constituya ni nombramiento de su Director General.
Hablemos de tu caso concreto
Diagnóstico gratuito de 30 minutos. Uniamos es una agencia remota de automatización con IA (Austin y Ciudad de México) que trabaja por videollamada y WhatsApp.
Bases de licitud: las siete puertas del artículo 5
El artículo 5 admite siete condiciones alternativas: consentimiento, obligación legal, ejercicio de funciones públicas, ejecución de contrato o trámite precontractual, ejercicio de derechos en procedimientos, interés legítimo, y protección de la vida o la salud. Basta una, pero hay que poder acreditarla: el principio de licitud del artículo 4 exige que el responsable “sea capaz de acreditar la licitud del tratamiento”.
| Base legal (art. 5) | Cuándo aplica bien | Riesgo típico |
|---|---|---|
| Consentimiento | Marketing, cookies no esenciales, cesión a terceros, fidelización | Se revoca en cualquier momento (art. 6) y la carga de probarlo es tuya |
| Obligación legal | Libro de Información Laboral, retenciones, facturación electrónica, aportes al IPS, prevención de lavado | Cubre solo lo que la norma exige, ni un dato más |
| Contrato o trámite precontractual | Facturación, entrega, cobranza, soporte, presupuestos pedidos por el cliente | No cubre el perfilado ni la venta cruzada posterior |
| Ejercicio de derechos en procedimientos | Litigios, arbitrajes, reclamos administrativos | Acotado al procedimiento concreto |
| Interés legítimo | Prevención de fraude, seguridad de red, analítica de servicio, gestión interna de grupo | Exige ponderación documentada; no aplica al Estado |
| Protección de la vida o la salud | Emergencias médicas; protección jurídica dispuesta por autoridad | Limitado a profesionales y servicios de salud |
| Funciones públicas | Organismos y entidades del Estado | No disponible para el sector privado |
Consentimiento (art. 6), menores (art. 7) e interés legítimo (art. 8)
Si eliges consentimiento, debe ser previo, libre, informado e inequívoco. Cuando se incluye en una declaración escrita que trata otros asuntos, debe distinguirse claramente del resto: la casilla escondida en el punto 14.3 no sirve. El titular puede retirarlo en cualquier momento por un mecanismo que “no podrá ser más complejo” que el usado para consentir —si el alta fue con un clic, la baja no puede exigir firma certificada—. Y la carga de demostrar que consintió es tuya: hay que guardar evidencia con marca de tiempo y versión del texto mostrado, no un booleano en la base.
El tratamiento de datos de menores de dieciséis años, sensibles o no, requiere consentimiento del titular de la patria potestad, guarda o tutela. Entre los dieciséis y la mayoría de edad, el tratamiento de datos sensibles exige consentimiento del adolescente junto con la autorización del adulto responsable. Toda empresa con app, club infantil, colonia o plan familiar tiene aquí un rediseño pendiente.
El interés legítimo exige que el tratamiento sea necesario, que no prevalezcan los derechos del titular, que exista “una relación pertinente y apropiada” y que se ajuste a las expectativas razonables del titular; además hay que informar cuál es ese interés. Y hay un gancho: la autoridad “podrá requerir un análisis previo que justifique su interés legítimo”. Traducción: escribe la ponderación antes, no cuando te la pidan.
Datos sensibles, menores y videovigilancia: el capítulo que más expone a Recursos Humanos
El artículo 20 prohíbe tratar datos sensibles salvo en once supuestos tasados. Sensibles son, según el artículo 3, los relativos a origen racial o étnico, creencias religiosas, filosóficas y morales, afiliación sindical o política, salud, preferencia u orientación sexual, datos genéticos y biométricos de identificación unívoca. El artículo 22 regula la videovigilancia y el 23 los datos de naturaleza penal.
Muchos directorios asumen que los datos sensibles son un problema de hospitales y aseguradoras. En una empresa paraguaya mediana, el área más expuesta es Recursos Humanos, y en segundo lugar Seguridad Patrimonial. Dónde aparecen sin que nadie los llame así:
- Reloj biométrico: huella o rostro para control horario es dato biométrico de identificación unívoca.
- Certificados médicos y reposos: datos de salud en el legajo y en la planilla que se cruza con el IPS.
- Cuota sindical descontada en nómina: la base de sueldos contiene un dato sensible.
- Exámenes preocupacionales y de salud ocupacional.
El artículo 20 ofrece una salida al empleador: el tratamiento es lícito cuando sea necesario para obligaciones y derechos “en el ámbito del derecho laboral y de la seguridad social”, con garantías adecuadas; y para “medicina preventiva o laboral, evaluación de la capacidad laboral” por profesional sujeto a secreto. Esa es la base a invocar para el legajo médico, no el consentimiento del empleado, que difícilmente sea “libre” en relación de dependencia.
Ojo con el biométrico: la excepción laboral cubre lo que la normativa exige. Registrar la jornada es obligación; hacerlo con huella dactilar es una elección tecnológica entre varias. Ese salto habrá que justificarlo, probablemente con evaluación de impacto. Si estás digitalizando la gestión de personal, conviene resolverlo junto con el Libro de Información Laboral digital del MTESS.
Videovigilancia: el artículo 22 en cuatro reglas
- Se pueden captar imágenes y sonidos para preservar la seguridad de personas, bienes e instalaciones.
- De la vía pública, solo “en la medida en que resulte imprescindible”; se admite mayor extensión para instalaciones estratégicas o de transporte, nunca el interior de un domicilio privado.
- Las grabaciones que acrediten actos contra personas, bienes o instalaciones deben ponerse a disposición de la autoridad competente en un máximo de setenta y dos horas desde que se conoció su existencia.
- La exclusión doméstica no alcanza a la empresa de seguridad privada contratada con acceso a las grabaciones.
Derechos del titular y plazos: el servicio que tu operación tendrá que sostener
El plazo general del artículo 26 es de treinta días corridos desde la solicitud, y la reglamentación puede acortarlo. Hay plazos especiales: diez días hábiles para dejar de tratar tras una oposición (art. 30), quince días hábiles si la oposición es a mercadotecnia directa, y cinco días hábiles para notificar una rectificación al cesionario en caso de cesión o transferencia internacional (art. 29). Los derechos son irrenunciables.
| Derecho | Art. | Plazo | Qué debe existir en tu empresa |
|---|---|---|---|
| Información | 27 | Al obtener los datos | Aviso de privacidad con nueve contenidos mínimos, permanentemente accesible |
| Acceso | 28 | 30 días corridos | Capacidad de extraer todos los datos de una persona de todos los sistemas, sin revelar datos de terceros |
| Rectificación | 29 | 30 días corridos; 5 hábiles para avisar al cesionario | Bloqueo o marca de “en revisión” mientras se verifica |
| Oposición | 30 | 10 días hábiles (15 en marketing directo) | Lista de supresión que efectivamente frene las campañas |
| Supresión | 31 | Sin demora injustificada | Borrado en producción, respaldos, data warehouse y herramientas de terceros |
| Portabilidad | 32 | 30 días corridos | Exportación interoperable, conforme reglamentación técnica |
| Revisión de decisiones automatizadas | 33 | 30 días corridos | Intervención humana documentada y explicación de criterios |
El artículo 27 exige informar, al obtener los datos: categorías de datos; identidad y contacto del responsable; base legal y finalidades; transferencias internacionales previstas con sus destinatarios; forma de ejercer los derechos; tiempo de conservación; existencia de decisiones automatizadas, incluida la elaboración de perfiles, con información significativa sobre la lógica aplicada; origen de los datos si no vinieron del titular; y el derecho a recurrir ante la autoridad.
Gratuidad, abuso y silencio
Todo es gratuito. Ante solicitudes “manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo”, puedes cobrar un canon razonable o negarte, pero la carga de la prueba es tuya y debes guardar registro detallado de los pedidos denegados y sus motivos —el único registro que la ley exige expresamente—. Cuidado: exigir un canon para ejercer cualquiera de los derechos del Título III es falta grave (art. 45).
Vencido el plazo sin respuesta, o si la respuesta es insuficiente, el titular puede recurrir ante la autoridad o interponer hábeas data —vías alternativas, no acumulables—. El artículo 51 le da quince días hábiles desde tu respuesta para reclamar ante la Agencia; si no respondiste, puede hacerlo en cualquier momento. Operativamente necesitas un buzón único con trazabilidad y reloj: un caso de uso clásico de automatización de procesos.
¿Necesita tu empresa un oficial de protección de datos y un registro de tratamientos?
El artículo 18 obliga a designar un oficial de protección de datos “en los casos a ser establecidos en la reglamentación”, que a septiembre de 2026 no existe. Un grupo empresarial puede nombrar uno solo si es fácilmente accesible desde cada establecimiento, y puede ser empleado o prestador de servicios. El registro de actividades de tratamiento no está exigido como artículo autónomo, pero es imprescindible para acreditar la licitud que exigen los artículos 4 y 9.
El oficial de protección de datos
La ley no fija umbrales de empleados, facturación ni volumen: remite a la reglamentación los casos en que la designación es obligatoria. Sí admite expresamente que la función se cubra con personal propio o “en el marco de un contrato de prestación de servicios” —el DPO externo está habilitado— y que un grupo empresarial nombre uno único si es fácilmente accesible desde cada establecimiento.
Las dos faltas graves asociadas (art. 45): no designarlo cuando sea exigible, y no posibilitar su efectiva participación en todas las cuestiones de protección de datos, no prestarle colaboración o interferir en sus funciones. Un DPO decorativo, sin acceso a los proyectos, es en sí mismo una infracción.
El registro de tratamientos: lo que la ley no pide y por qué igual lo necesitas
Conviene ser preciso, porque circula confusión: la Ley 7593/2025 no contiene un artículo que obligue a llevar un registro de actividades de tratamiento al estilo europeo, ni un registro de bases de datos ante la autoridad, ni inscripción previa. Lo que sí contiene son tres obligaciones de rendición de cuentas que no se pueden cumplir sin inventario: el artículo 4 (“el responsable deberá ser capaz de acreditar la licitud del tratamiento”); el artículo 9 (medidas apropiadas “a fin de garantizar y poder demostrar” la conformidad, revisadas y actualizadas); y el principio de diligencia debida del artículo 4, que obliga a privacidad desde el diseño y por defecto, evaluación de impacto y designación de oficial, “y demostrar su efectiva implementación”. Súmale el artículo 8 —la autoridad puede pedirte el análisis del interés legítimo— y el 35 —puede solicitar información y auditar—.
Evaluación de impacto y consulta previa
El artículo 14 obliga a hacerla antes de implementar tratamientos de riesgo significativo, y en tres casos siempre: perfilado automatizado con decisiones de efecto jurídico o afectación significativa; datos sensibles o penales a gran escala; y observación sistemática a gran escala de sitios de acceso público. Si el riesgo persiste, el artículo 15 obliga a consulta previa y prohíbe iniciar el tratamiento hasta que la autoridad se pronuncie, con plazo de treinta días hábiles. Planifica seis a diez semanas de holgura en esos proyectos. Lo desarrollamos, aplicado a la IA, en la guía de uso de IA con datos de clientes.
Conclusión: el registro no es un requisito formal, es la única forma de sobrevivir a una inspección. Un registro mínimo útil lleva una fila por tratamiento y estas columnas: nombre, área dueña, finalidad, categorías de titulares, categorías de datos, si hay sensibles, base legal del artículo 5, sistemas, encargados y subencargados, transferencia internacional y país, plazo de conservación, medidas de seguridad y si requiere evaluación de impacto. En una empresa de 200 empleados suelen salir entre 30 y 60 tratamientos. Se hace en una planilla; lo difícil es que cada área lo complete con honestidad. Ese inventario alimenta después cualquier tablero de cumplimiento.
Notificación de incidentes en 72 horas: qué exige el artículo 17
El artículo 17 obliga al responsable a notificar a la Autoridad de Control y, “en su caso”, al titular, “en un plazo que no podrá exceder de setenta y dos horas contadas a partir de haber tenido conocimiento del incidente”. Las condiciones se establecerán en la reglamentación. Notificar tarde, incompleto o mal es falta leve; no notificar es falta grave.
Tres precisiones que cambian el procedimiento interno
- El reloj arranca con el conocimiento, no con el incidente. Por eso el punto crítico es definir quién tiene autoridad para declarar que hay un incidente y a qué hora quedó registrado. Sin esa marca de tiempo no puedes probar que estuviste en plazo.
- Son 72 horas corridas. La ley no dice hábiles. Un incidente detectado un viernes a las 18:00 vence el lunes a las 18:00.
El encargado también tiene deber de aviso
El artículo 45 tipifica como falta grave “el incumplimiento del deber del encargado de notificar al responsable las violaciones de seguridad de las que tuviera conocimiento”. Consecuencia contractual directa: tus contratos con proveedores deben fijar un plazo interno de aviso muy menor a 72 horas —24 horas es lo habitual—, porque si tu proveedor de hosting te avisa a las 70 horas, tú ya no llegas.
¿Y el CERT-PY?
Son cosas distintas. El CERT-PY, dependiente del MITIC, es el equipo nacional de respuesta a incidentes y actúa como coordinador técnico; para el sector privado el reporte es voluntario y su rol no es sancionador. La obligación jurídica nace del artículo 17 y será exigible desde noviembre de 2027, ante la Agencia. Dicho eso, el CERT-PY publica el panorama nacional en su sección de incidentes cibernéticos de seguridad, útil para dimensionar el riesgo ante un directorio. El procedimiento hora por hora está en el playbook de las primeras 72 horas.
Transferencias internacionales: la regla del artículo 19 y sus excepciones
El artículo 19 permite transferir datos fuera de Paraguay —incluidas las transferencias ulteriores— solo si el destino ofrece un nivel de protección adecuado, determinado por la Agencia mediante resolución fundada o lista oficial. Si no lo ofrece, hacen falta garantías apropiadas: cláusulas contractuales específicas o estándar, normas corporativas vinculantes, códigos de conducta o certificaciones. La ley enumera además ocho supuestos en los que esa exigencia no se aplica.
Primero, adecuación: la evaluación “será realizada por la Agencia Nacional de Datos Personales” por resolución fundada o lista oficial. A septiembre de 2026 no existe ninguna lista de países adecuados. Segundo, si no hay adecuación: garantías apropiadas “siempre de acuerdo con lo que se establezca en la reglamentación”; las cláusulas estándar las dictará la propia Agencia (art. 35). Tampoco existen aún.
Los ocho supuestos en los que no se aplica
- Acuerdos en el marco de tratados internacionales de los que Paraguay sea parte.
- Cooperación judicial internacional.
- Cooperación entre organismos de inteligencia contra terrorismo, narcotráfico, lavado, corrupción, trata y otras formas de criminalidad.
- Datos necesarios para la ejecución de una relación contractual en la que el titular sea parte, incluyendo “autentificación de usuario, mejora y soporte del servicio, monitoreo de la calidad del servicio, soporte para el mantenimiento y facturación de la cuenta”.
- Transferencias bancarias o bursátiles, en lo relativo a las transacciones respectivas.
- Protección, prevención, diagnóstico o tratamiento médico del titular, o estudios epidemiológicos con anonimización adecuada.
- Consentimiento previo, informado, expreso e inequívoco del titular.
- Garantías acreditadas mediante cláusulas contractuales específicas, cláusulas estándar, normas corporativas globales, o sellos, certificados y códigos de conducta.
El cuarto es el más citado y el más malinterpretado: habilita la transferencia necesaria para ejecutar el contrato con el titular, es decir con el cliente. No autoriza a mandar la base a cualquier plataforma porque “tenemos contrato con el proveedor”.
Qué hacer en 2026, sin lista de países ni cláusulas oficiales
- Levantar el mapa de proveedores: quién trata datos por tu cuenta, dónde los aloja y con qué subencargados.
- Firmar contratos de encargo conforme al artículo 11: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos, categorías de titulares, y obligaciones y derechos del responsable.
- Exigir autorización previa para subencargar: subcontratar sin ella es falta grave (art. 45).
Hablemos de tu caso concreto
Diagnóstico gratuito de 30 minutos. Uniamos es una agencia remota de automatización con IA (Austin y Ciudad de México) que trabaja por videollamada y WhatsApp.
Sanciones: cuánto es realmente en guaraníes con el jornal vigente
El artículo 46 prevé apercibimiento, multas de 20 a 2.500 jornales mínimos, hasta 5.000 si la infracción recae sobre datos sensibles y hasta 10.000 si son datos sensibles de niños, niñas y adolescentes, además de la suspensión de las actividades de tratamiento. Con el jornal mínimo de G. 117.077 vigente desde el 1 de julio de 2026, el tope general equivale a unos G. 292,7 millones y el máximo agravado a unos G. 1.170,8 millones.
El jornal mínimo para actividades diversas no especificadas es G. 117.077 desde el 1 de julio de 2026, junto con el salario mínimo de G. 3.044.000, por el Decreto N° 6225 (ABC Color, 18 de junio de 2026; copia del decreto). Como las multas se expresan en jornales, cada aumento del salario mínimo eleva automáticamente el techo sancionador: una relación que conviene explicitar cuando se discute el presupuesto de cumplimiento. El MTESS publica cada reajuste.
| Tramo (art. 46) | Jornales | Equivalente en guaraníes (jornal G. 117.077) |
|---|---|---|
| Piso de multa | 20 | G. 2.341.540 |
| Referencia intermedia | 500 | G. 58.538.500 |
| Referencia intermedia | 1.000 | G. 117.077.000 |
| Tope general | 2.500 | G. 292.692.500 |
| Tope, datos sensibles | 5.000 | G. 585.385.000 |
| Tope, datos sensibles de menores | 10.000 | G. 1.170.770.000 |
A un tipo de cambio de referencia cercano a G. 5.962 por dólar —nivel de agosto de 2026, el más bajo en casi siete años—, el máximo agravado ronda los USD 196.000. La cotización referencial diaria la publica el Banco Central del Paraguay: conviene recalcular antes de llevar la cifra a una presentación.
Faltas leves y graves
El artículo 45 lista casi cuarenta faltas graves, que prescriben a los dos años. Las más relevantes para una empresa mediana: no adoptar medidas de seguridad adecuadas al riesgo; encargar tratamiento sin contrato escrito; no notificar una brecha; tratar sin evaluación de impacto exigible; tratar datos sensibles sin base legal; transferir al exterior sin consentimiento cuando era requerido; no facilitar el acceso de la autoridad a datos, locales y equipos; y revertir deliberadamente una anonimización para reidentificar.
Medidas correctivas y pago
El artículo 42 permite dictar medidas correctivas sin perjuicio de la sanción —cese o suspensión del tratamiento, eliminación de datos, imposición de medidas— y aclara que el recurso contra ellas no tiene efectos suspensivos: una orden de cese puede detener una operación mientras se discute el fondo. El artículo 49 fija treinta días hábiles para pagar desde la notificación; el 48, prescripción de la ejecución a los dos años desde que la resolución queda firme; el 41 remite el procedimiento a la Ley 6715/2021, sin perjuicio de la vía judicial por daños y perjuicios.
Ley 6534/2020 de datos crediticios: qué se deroga y quién manda ahora
La Ley 6534/2020 sigue vigente. El artículo 21 de la 7593 remite la materia crediticia “a la ley específica” y se declara de aplicación supletoria. El artículo 58 traslada a la Agencia toda función que la 6534 asignaba a la SEDECO. El artículo 59 deroga puntualmente los incisos a) y b) del artículo 3°, el artículo 4°, el inciso b) del artículo 20 y el inciso x) del artículo 21. El Banco Central conserva sus atribuciones expresas.
| Cuestión | Qué dice la Ley 7593/2025 |
|---|---|
| ¿Se deroga la Ley 6534/2020? | No. El art. 59 deroga solo los incisos a) y b) del art. 3°, el art. 4°, el inciso b) del art. 20 y el inciso x) del art. 21 |
| ¿Qué norma prevalece en datos crediticios? | La específica. La 7593 es “de aplicación supletoria para las cuestiones no previstas”, si son compatibles con la naturaleza de esa información (art. 21) |
| ¿Quién supervisa a los burós? | El BCP, por la Superintendencia de Bancos, conserva las atribuciones expresamente asignadas (arts. 21 y 35) |
| ¿Y lo que hacía la SEDECO? | Pasa a la Agencia: toda referencia a la SEDECO en la 6534 “se entenderá como una referencia a la Agencia” (art. 58) |
| Sanciones en materia crediticia | Las de la 6534: hasta 15.000 jornales y, en reincidencia, el doble, elevable hasta 50.000 jornales para quien facture más de G. 6.000.000.000 anuales (art. 23) |
La prohibición del artículo 15 que casi nadie cumple
Afecta a casi todas las empresas medianas del país: el artículo 15 de la Ley 6534/2020 prohíbe expresamente a los usuarios de información crediticia “utilizar o proveer a terceros datos crediticios para que éstos sean utilizados para la toma de decisiones laborales, acceso al empleo, promoción, traslado o despido de personal”. También prohíbe usarla para negar o restringir el acceso a la medicina prepaga o a la atención médica de urgencia.
Si tu área de RRHH pide informe crediticio en selección, ese es un hallazgo de cumplimiento con norma vigente hoy, no en 2027. Y si un modelo de scoring usa variables crediticias para decisiones laborales, el problema es doble: la prohibición del artículo 15 de la 6534 y el derecho a impugnar decisiones automatizadas del artículo 33 de la 7593.
La reglamentación está pendiente: qué falta y por qué esperarla sale caro
A septiembre de 2026 no se ha verificado la publicación del decreto reglamentario ni la constitución efectiva de la Agencia. El artículo 60 da al Poder Ejecutivo el mismo plazo de veinticuatro meses. El MITIC comunica la vigencia para “finales de 2027” y describe la Agencia en futuro. Esperar al reglamento deja menos de un año para adecuarse.
Lo que la propia ley delega expresamente y por tanto todavía no se sabe: los casos en que es obligatorio designar oficial de protección de datos y sus funciones (art. 18); los casos para designar representante de no establecidos (art. 12); el contenido de la evaluación de impacto y la lista de tratamientos que la requieren (art. 14); las condiciones de la notificación de incidentes (art. 17); las condiciones técnicas de seguridad mínimas (art. 16); las medidas de privacidad desde el diseño y por defecto (art. 9); las cláusulas estándar y la evaluación de adecuación de países (arts. 19 y 35); la reglamentación técnica de la portabilidad (art. 32); la estructura de la Agencia (art. 34); el procedimiento y plazos del sumario (art. 53); y los requisitos de aprobación de códigos de conducta (art. 13).
En junio de 2026 la senadora Lizarella Valiente reclamó públicamente al Ejecutivo que reglamente la ley, en el marco de un debate más amplio sobre regulación tecnológica. El análisis profesional y de sociedad civil es abundante: FERRERE, Deloitte, TEDIC y ABC Color.
Por qué no conviene esperar
El reglamento no cambia el grueso del trabajo: mapear tratamientos, asignar base legal, reescribir el aviso de privacidad, firmar contratos con encargados y armar el procedimiento de derechos se hace hoy con el texto de la ley en la mano. Lo que sí depende del reglamento —designar formalmente un DPO, adoptar las cláusulas estándar— son ajustes de semanas.
Si el reglamento saliera a mediados de 2027, quedarían cuatro o cinco meses hasta la exigibilidad. Ninguna empresa mediana rehace su gobierno de datos en ese plazo, y menos compitiendo con todas las demás por los mismos asesores. Sigue la fuente primaria: el texto oficial en la BACN, los antecedentes en SILpy y los anuncios en el MITIC.
Plan de adecuación en 12 meses: cuatro fases, checklist y qué hacer esta semana
Con exigibilidad en noviembre de 2027, arrancar en el último trimestre de 2026 deja doce meses cómodos. Cuatro fases: descubrir (meses 1-3), decidir (4-6), implementar (7-10) y probar (11-12). Lo que no puede faltar: inventario de tratamientos, base legal por tratamiento, contratos con encargados, aviso de privacidad, procedimiento de derechos y procedimiento de incidentes.
| Fase | Meses | Entregables | Quién lidera |
|---|---|---|---|
| 1. Descubrir | 1 a 3 | Inventario de tratamientos; mapa de sistemas y flujos; lista de encargados y subencargados; identificación de datos sensibles y de menores; diagnóstico de brechas contra la ley | Responsable del proyecto, con TI y cada área dueña |
| 2. Decidir | 4 a 6 | Base legal por tratamiento; ponderaciones de interés legítimo escritas; política de conservación y borrado; decisión sobre DPO; priorización de alto riesgo | Legales y el comité del proyecto |
| 3. Implementar | 7 a 10 | Aviso de privacidad nuevo; rediseño de formularios y consentimientos; contratos de encargo y adendas; procedimiento de derechos con SLA; procedimiento de incidentes de 72 horas; evaluaciones de impacto; medidas técnicas | Cada área, con TI y Legales |
| 4. Probar | 11 a 12 | Simulacro de incidente; simulacro de acceso, supresión y portabilidad; revisión de evidencia; capacitación; informe al directorio | Responsable del proyecto y Auditoría Interna |
Checklist de adecuación
Gobierno
- Designar un responsable interno del proyecto, con presupuesto y acceso al directorio.
Inventario y bases legales
- Inventario completo de tratamientos, con área dueña identificada.
- Base legal del artículo 5 asignada y justificada por tratamiento.
- Ponderación de interés legítimo escrita para cada tratamiento que lo invoque (art. 8).
- Plazos de conservación definidos y borrado efectivamente implementado.
Proveedores y transferencias
- Lista de encargados y subencargados, con país de alojamiento.
- Contrato de encargo con los elementos del artículo 11 para cada uno.
- Evaluación de la transferencia internacional y la garantía aplicable (art. 19).
Transparencia, derechos y seguridad
- Aviso de privacidad con los nueve contenidos del artículo 27, permanentemente accesible.
- Canal único de solicitudes, gratuito, con registro y reloj, y SLA de 30 días corridos.
Incidentes y alto riesgo
- Procedimiento de incidentes con definición de quién declara y marca de tiempo; plantilla de notificación lista.
- Al menos un simulacro anual, cronometrado.
- Evaluaciones de impacto para perfilado, biometría a escala y videovigilancia extensa (art. 14), con hito de consulta previa de seis a diez semanas (art. 15).
Qué hacer esta semana
- Lunes: descargar el texto oficial de la ley y leer los artículos 2, 5, 17, 19, 46 y 57. Quince minutos que cambian la conversación.
- Martes: pedir a TI la lista de sistemas con datos de personas —clientes, empleados, proveedores, visitantes— y el país de alojamiento de cada uno.
- Miércoles: pedir a RRHH qué datos guarda de cada empleado y por cuánto tiempo, y confirmar si se consulta informe crediticio en selección.
- Jueves: identificar los cinco proveedores que más datos personales tratan por tu cuenta y revisar si hay contrato escrito que mencione protección de datos.
- Viernes: designar formalmente al responsable del proyecto y fijar la primera reunión de comité. Sin dueño, esto no avanza.
Si ya estás en un proyecto de digitalización, aprovecha el mismo mapa: quien toca las integraciones entre sistemas ya tiene media parte del inventario. Uniamos dicta formación en IA y Claude orientada a procesos de empresa, y si necesitas ordenar el flujo de solicitudes y evidencias se puede plantear el caso como un proyecto acotado. La experiencia comparada ayuda: Uruguay lleva años con autoridad de datos en funcionamiento, como contamos en la guía sobre IA y datos personales en Uruguay, y el panorama de automatización con IA en Paraguay ordena las prioridades.
Este artículo es material informativo elaborado a partir del texto oficial de la Ley N° 7593/2025 publicado por la BACN y de las fuentes citadas en el cuerpo. No constituye asesoría legal ni contable. Antes de tomar decisiones, valida tu caso con tu abogado y tu contador, y verifica el estado de la reglamentación, que a la fecha de publicación seguía pendiente.
Preguntas frecuentes
¿Desde cuándo es obligatoria la Ley 7593/2025 en Paraguay?
El artículo 57 establece que la ley entra en vigor a los veinticuatro meses de su publicación oficial. La ficha de la BACN registra promulgación y publicación el 27 de noviembre de 2025, lo que sitúa la exigibilidad plena en noviembre de 2027, y el MITIC comunica que la vigencia será “a finales de 2027”. Conviene verificar la fecha exacta de publicación en la Gaceta Oficial, porque de ella se cuenta el plazo.
¿Mi empresa necesita un oficial de protección de datos?
Todavía no se sabe: el artículo 18 remite a la reglamentación los casos en que la designación es obligatoria, y sigue pendiente. La ley sí permite que un grupo empresarial designe un único oficial si es fácilmente accesible desde cada establecimiento, y que la función se cubra con personal propio o por contrato de servicios. Designar desde ya un responsable interno del proyecto es recomendable aunque aún no seas sujeto obligado.
¿La ley obliga a inscribir las bases de datos ante la autoridad?
No. La ley no crea un registro nacional de bases de datos, ni inscripción previa, ni un artículo específico de registro de actividades de tratamiento. Lo que exige es poder acreditar la licitud (artículo 4) y demostrar el cumplimiento (artículo 9), y eso solo se logra con un inventario interno de tratamientos.
¿Cuánto puede multar la Agencia Nacional de Protección de Datos Personales?
El artículo 46 prevé multas de 20 a 2.500 jornales mínimos, hasta 5.000 jornales si la infracción involucra datos sensibles y hasta 10.000 jornales si son datos sensibles de niños, niñas y adolescentes. Con el jornal mínimo de G. 117.077 vigente desde julio de 2026, eso equivale a un piso de G. 2.341.540 y topes de G. 292.692.500, G. 585.385.000 y G. 1.170.770.000 respectivamente. También puede apercibir y suspender las actividades de tratamiento.
¿Qué pasa si sufrimos una brecha de datos antes de noviembre de 2027?
La obligación legal de notificar en 72 horas nace del artículo 17 y será exigible cuando la ley entre en vigor. Antes el reporte al CERT-PY es voluntario para el sector privado, y el CERT-PY actúa como coordinador técnico, no sancionador. Eso no elimina responsabilidades civiles o contractuales ni obligaciones sectoriales, por ejemplo en el sistema financiero.
¿Puedo seguir usando software y nube alojados fuera de Paraguay?
Sí, con condiciones. El artículo 19 exige nivel de protección adecuado en el destino, determinado por la Agencia, o garantías apropiadas: cláusulas contractuales específicas o estándar, normas corporativas vinculantes, códigos de conducta o certificaciones. La ley enumera supuestos en los que no se aplica, entre ellos la transferencia necesaria para ejecutar la relación contractual con el propio titular y el consentimiento expreso. A septiembre de 2026 no hay lista de países adecuados ni cláusulas estándar oficiales.
¿La Ley 7593/2025 deroga la Ley 6534/2020 de datos crediticios?
No. El artículo 59 deroga solo los incisos a) y b) del artículo 3°, el artículo 4°, el inciso b) del artículo 20 y el inciso x) del artículo 21 de la 6534. El artículo 21 de la 7593 remite la materia crediticia a la ley específica y se declara supletoria, y el artículo 58 traslada a la Agencia las funciones que la 6534 daba a la SEDECO. El BCP conserva sus atribuciones expresas.
¿Puedo pedir informe crediticio a un candidato en un proceso de selección?
No. El artículo 15 de la Ley 6534/2020, vigente desde 2020, prohíbe a los usuarios de información crediticia utilizar o proveer a terceros datos crediticios para decisiones laborales, acceso al empleo, promoción, traslado o despido. También prohíbe usarla para negar o restringir la medicina prepaga o la atención médica de urgencia. Es una infracción con norma vigente hoy.
¿Qué obligaciones alcanzan a una empresa extranjera sin sede en Paraguay?
El artículo 2 la aplica a responsables o encargados no establecidos en el país cuando traten datos de personas situadas en territorio paraguayo, cuando ofrezcan bienes o servicios dirigidos a residentes, o cuando controlen el comportamiento de personas físicas en el país. El artículo 12 anuncia que la reglamentación fijará cuándo deberán designar representante local, y el 45 tipifica como falta grave no hacerlo.
¿Por dónde conviene empezar si tenemos poco presupuesto?
Por el inventario de tratamientos y la asignación de base legal: no depende de la reglamentación, habilita todo lo demás y es lo que más tiempo consume. Con el inventario hecho puedes priorizar los tratamientos de alto riesgo. Lo que sí depende del reglamento, como designar formalmente un oficial o adoptar las cláusulas estándar, son ajustes de semanas.
¿Quieres aplicarlo en tu empresa?
En 30 minutos revisamos tu operación y te decimos qué automatizar primero, sin compromiso.
Artículos relacionados
- Usar ChatGPT, Claude, Copilot o Gemini con datos de clientes en Paraguay
- Ciberataque en tu empresa: el playbook de las primeras 72 horas en Paraguay
- Libro de Información Laboral digital: la Resolución MTESS 462/2026 explicada
- Guía de automatización con IA para empresas paraguayas 2026
- e-Kuatia: los grupos 19 a 24 y la caducidad del timbrado
- IA y datos personales en Uruguay: qué exige la URCDP
- Integraciones y APIs: conectar sistemas sin romper el cumplimiento
- Más artículos del blog de Uniamos