Durante años, la respuesta cómoda en Paraguay fue siempre la misma: “acá no hay ley de datos, así que no pasa nada”. La frase era casi cierta hasta 2025. Solo existían reglas sueltas, sobre todo para información crediticia, más el amparo constitucional del hábeas data (el derecho de una persona a ver y corregir sus propios datos).
Ya no es así. El 27 de noviembre de 2025 se promulgó la Ley N° 7593/2025 “De Protección de Datos Personales”, la primera norma integral del país. No entró en vigencia al día siguiente: tiene dos años de espera, así que rige plenamente en noviembre de 2027. Ese plazo, 2026 y 2027, es la ventana para adecuarse.
Qué es la Ley 7593/2025 y desde cuándo rige
Hasta 2025, Paraguay era uno de los pocos países de la región sin una ley general de privacidad. La Ley 7593 cambia eso de una sola vez: reúne principios, bases legales, derechos de las personas, obligaciones de seguridad y un régimen de sanciones. El modelo sigue de cerca el reglamento europeo de protección de datos: alcance extraterritorial (aplica también fuera del país), privacidad desde el diseño (pensarla desde el inicio), evaluaciones de impacto (análisis previo de riesgos) y notificación de fugas de datos en plazos cortos.
Tiene dos fechas que conviene tener a mano. La promulgación fue el 27 de noviembre de 2025. La entrada en vigencia plena, tras 24 meses de espera, cae en noviembre de 2027. En el medio, durante 2026 se pone en marcha la Agencia Nacional de Protección de Datos Personales, la autoridad de control que va a fiscalizar y sancionar, dentro de la estructura del Ministerio de Tecnologías de la Información y Comunicación, con autonomía funcional.
A quién alcanza (más gente de la que pensás)
La ley aplica a cualquier tratamiento de datos personales (usarlos o guardarlos), en el sector público y en el privado, con o sin computadoras. Alcanza a:
- Empresas que guardan datos de clientes, proveedores o empleados.
- Sistemas propios, planillas compartidas y hasta conversaciones de WhatsApp.
- Organizaciones extranjeras que ofrezcan bienes o servicios a personas en Paraguay, o que controlen su comportamiento.
Si tu negocio tiene el nombre, el teléfono o el correo de una persona en algún lado, ya estás tratando datos personales. La pregunta deja de ser “si me aplica” y pasa a ser “cómo lo hago bien”.
Los derechos que tu sistema tiene que poder cumplir
La ley crea un catálogo de derechos para la persona dueña de los datos: acceder a su información, rectificarla, oponerse a un uso, pedir su supresión, solicitar portabilidad (que sus datos pasen a otro proveedor) y revocar el consentimiento en cualquier momento. Las respuestas deben darse por canales simples y gratuitos, y los pedidos se responden en un plazo de 30 días corridos.
Ahí hay una exigencia concreta para el software. Tu sistema tiene que poder encontrar, exportar, corregir y borrar los datos de una persona cuando lo pida. Si esa información vive repartida entre tres planillas, un sistema viejo y un chat, no vas a poder cumplir. La privacidad empieza por saber dónde está cada dato.
Obligaciones que caen sobre el software, no solo sobre el papel
La ley no se conforma con tener una política escrita. Exige que el tratamiento sea correcto desde el diseño:
- Base legal para cada uso. Casi todo se apoya en el consentimiento libre, previo, expreso e informado. Un consentimiento escondido en términos y condiciones extensos no sirve.
- Privacidad desde el diseño y por defecto, y minimización. No recolectes lo que no necesitás.
- Seguridad. Medidas técnicas y organizativas adecuadas; y si hay una fuga de datos, hay que notificar a la autoridad y a los afectados en un máximo de 72 horas.
- Registro de Actividades de Tratamiento. Un inventario obligatorio de qué datos tratás, con qué fin y con qué base legal.
- Evaluación de Impacto. Obligatoria antes de tratamientos de alto riesgo, como el perfilado automatizado (decidir cosas de una persona con un programa) o el uso masivo de datos sensibles (salud, biometría, entre otros).
- Oficial de protección de datos. En ciertos casos, como el sector público o el tratamiento a gran escala de datos sensibles.
- Transferencias internacionales. Solo se pueden enviar datos a países con un nivel de protección adecuado, según determine la autoridad.
Ese último punto importa más de lo que parece: la mayoría de las empresas paraguayas usa servicios en la nube alojados en el exterior, y cada uno de esos servicios es una transferencia de datos que hay que revisar.
El detalle local que casi nadie mira
Hay una práctica muy extendida en Paraguay que la ley mira de cerca: el control de asistencia con huella dactilar. Un dato biométrico (como la huella) es un dato sensible, y su uso exige base legal, información previa a los empleados, una evaluación de impacto y seguridad reforzada. Los especialistas locales señalan que el error más común no es la tecnología, sino el consentimiento: usar datos sin una autorización previa, libre e informada.
Lo mismo pasa con las planillas “ocultas” donde Recursos Humanos o ventas guardan datos de personas, con la videovigilancia sistemática y con los datos de menores, que tienen protección especial. Y hay un punto importante: la ley no regula la inteligencia artificial de forma específica, pero casi todo uso empresarial de inteligencia artificial trata datos personales. Por lo tanto, te alcanza igual.
Cuánto cuesta no cumplir
La autoridad puede sancionar por vía administrativa, sin necesidad de un juicio previo. El esquema de multas se mide en jornales mínimos:
| Infracción | Multa |
|---|---|
| General | 20 a 2.500 jornales mínimos |
| Con datos sensibles | Hasta 5.000 jornales mínimos |
| Con datos sensibles de niños, niñas y adolescentes | Hasta 10.000 jornales mínimos |
Con el jornal mínimo vigente de G. 117.077 (Decreto N° 6225/2026, desde julio de 2026), 2.500 jornales rondan los G. 292 millones, y el tope de 10.000 llega a unos G. 1.170 millones. Las faltas leves dejan de poder sancionarse en un año, y las graves, en dos, así que la ventana para corregir no es infinita.
Qué hacer durante 2026 y 2027
Noviembre de 2027 suena lejos, pero el trabajo toma meses. Un plan concreto:
- Inventariar qué datos personales tenés y dónde viven (sistemas, planillas, chats, proveedores).
- Definir la base legal de cada tratamiento: por qué y con qué autorización usás cada dato.
- Armar el Registro de Actividades de Tratamiento.
- Revisar contratos y transferencias internacionales con proveedores de nube y herramientas.
- Ordenar el consentimiento y los canales para que alguien pueda ejercer sus derechos.
- Revisar los casos sensibles: biometría, videovigilancia, datos de menores y de salud.
- Designar responsables internos y capacitar a las áreas que tocan datos.
Lo bueno es que definir procesos nuevos es mucho más fácil que corregir procesos viejos. Si estás por desarrollar o renovar un sistema, es el mejor momento para nacer con la ley incorporada.
En YP Software construimos sistemas con privacidad desde el diseño: datos ordenados, consentimiento claro, registro de quién accedió a qué y capacidad real de responder a un pedido de acceso o borrado. Conversemos sobre tu proyecto.
Fuentes
- Ley N° 7593/2025 (texto oficial): Biblioteca y Archivo del Congreso Nacional.
- Promulgación y alcance general: La Nación y Deloitte.
- Multas y plazos (72 horas, 30 días): ABC Color y SMARTFENSE.
- Obligaciones, plazos y valor de la multa en guaraníes: Avanzia Legal.
- Biometría, datos de empleados y evaluación de impacto: Irún & Villamayor y BKM.
- Jornal mínimo vigente (Decreto N° 6225/2026): ABC Color.
(Esta entrada es información general y no es asesoramiento legal. Para la adecuación formal de tu empresa, trabajá con tu asesor jurídico. Los montos de multa se calculan con el jornal mínimo vigente y cambian con cada reajuste.)