Ley N.º 7593/2025 de Protección de Datos Personales en Paraguay
Marco regulatorio y el cambio de paradigma en el tratamiento de datos
La promulgación de la Ley N.º 7593/2025 «De Protección de Datos Personales en la República del Paraguay» constituye el hito normativo más trascendental en materia de privacidad corporativa e institucional en la historia legislativa del país.
Previo a la sanción de este cuerpo normativo integral, el tratamiento de la información personal se encontraba disperso en disposiciones constitucionales y regulaciones sectoriales limitadas, lo que generaba vacíos operativos y contingencias legales para el tráfico transfronterizo de información.
Inspirada en los estándares del Reglamento General de Protección de Datos (RGPD) de la Unión Europea y marcos regionales, la ley establece un régimen general aplicable al tratamiento de datos personales por parte de personas físicas y jurídicas, públicas o privadas, establecidas en Paraguay o cuyas actividades impacten en residentes locales.
Con un período de adaptación (vacatio legis) de 24 meses (hasta noviembre de 2027) desde su promulgación por el Poder Ejecutivo, las organizaciones cuentan con una ventana temporal crítica para adecuar sus arquitecturas de cumplimiento técnico y corporativo ante la futura supervisión de la Autoridad de Protección de Datos Personales.
Bases legales para el tratamiento y superación del consentimiento único
Uno de los avances más sustanciales que introduce la Ley N.º 7593/2025 es la diversificación de las bases jurídicas que legitiman el tratamiento de datos. El marco regulatorio abandona el modelo centrado de forma exclusiva en el consentimiento expreso del titular, incorporando alternativas operativas para el tráfico mercantil y corporativo:
Cumplimiento de obligaciones legales y contractuales: El tratamiento resulta lícito cuando es estrictamente indispensable para la ejecución de un contrato en el que el titular es parte o para la aplicación de medidas precontractuales, así como para el cumplimiento de exigencias regulatorias o tributarias impuestas al responsable.
Satisfacción de intereses legítimos: Se habilita el tratamiento motivado por el interés legítimo del responsable o de terceros, siempre que sobre dicho interés no prevalezcan los derechos fundamentales o libertades del titular. Esta figura requiere de un juicio de ponderación previo y documentado por parte de la empresa.
Protección de intereses vitales y funciones públicas: Habilita la gestión de datos cuando sea necesario para proteger la vida, la integridad física o la salud del titular, así como para el ejercicio regular de funciones asignadas por ley a los Organismos y Entidades del Estado.
En aquellos supuestos donde el consentimiento siga siendo la base aplicable, este debe ser libre, específico, informado e inequívoco. Asimismo, la norma establece un régimen de especial tutela para los datos sensibles (salud, biometría, ideología, afiliación), cuyo tratamiento queda prohibido por regla general, salvo excepciones expresas previstas en la legislación.
Gobierno de datos, Oficial de Protección de Datos (OPD) y derechos del titular
La normativa impone a las organizaciones la adopción obligatoria de principios rectores de gobernanza, tales como la minimización de datos (recolectar únicamente lo estrictamente necesario), la exactitud, la confidencialidad y la limitación del plazo de conservación. Asimismo, se refuerza el catálogo de derechos para los titulares de la información, ampliando los tradicionales derechos de Acceso, Rectificación, Cancelación y Oposición (derechos ARCO) hacia facultades avanzadas como el derecho a la portabilidad de datos en formatos estructurados y la limitación del tratamiento.
En el plano organizativo, la ley introduce la figura del Oficial de Protección de Datos (OPD) o Data Protection Officer (DPO). El OPD podrá formar parte de la nómina de la empresa o prestar sus servicios en modalidad externa mediante contrato de prestación de servicios. Esta figura asume el rol de supervisar el cumplimiento normativo interno, actuar como punto de contacto ante la autoridad de aplicación y canalizar las solicitudes presentadas por los titulares de los datos.
Protocolo de cumplimiento y adecuación corporativa
Considerando la severidad del régimen sancionatorio que entrará en plena aplicación —con multas administrativas y responsabilidad por daños—, las empresas que operan en el mercado paraguayo deben implementar un plan de adecuación por fases:
Inventario y mapeo de datos: Identificar los flujos de recolección de datos personales en todas las áreas operativas (recursos humanos, clientes, proveedores, canales digitales y plataformas e-commerce).
Revisión de contratos y políticas de privacidad: Actualizar los términos y condiciones, avisos de privacidad y contratos con encargados del tratamiento (proveedores de software, servicios de computación en la nube o liquidación de sueldos).
Implementación de medidas técnicas y organizativas: Adoptar protocolos de seguridad de la información para la gestión de incidentes de seguridad y brechas de datos (data breaches).
Durante este tiempo en curso, las autoridades trabajan en las normativas complementarias para definir los detalles operativos y obligaciones exactas.
