Casi todos los planes de adecuación a la Ley N° 7593/2025 empiezan por el mismo lugar equivocado: redactando una política de privacidad. Es entendible —es lo visible, lo que se puede publicar en el sitio— pero pone el carro delante del caballo. No se puede escribir cómo trata sus datos personales una empresa que todavía no sabe cuáles tiene ni dónde están.
El primer paso real es el inventario: una lista concreta de dónde vive cada dato personal que su organización maneja. No requiere contratar a nadie, no requiere herramientas y se puede hacer en una hoja de cálculo. Esta guía explica cómo hacerlo y qué preguntar en cada caso. No es asesoría legal: para saber qué obligaciones alcanzan a su actividad, hable con su abogado.
Por qué el inventario va primero
Hay tres razones bastante prácticas. La primera es que todo lo demás depende de él: no se puede definir cuánto tiempo conservar algo, quién puede acceder ni cómo responder un pedido de eliminación si no está claro dónde está la información.
La segunda es que el inventario casi siempre cambia el plan. La expectativa suele ser encontrar tres o cuatro sistemas; lo que aparece en la realidad son doce o quince lugares, la mayoría fuera del radar de la dirección: planillas compartidas, historiales de chat, formularios que envían correos a casillas personales, respaldos de sistemas que ya no se usan.
La tercera es económica: llegar a la reunión con el abogado con el mapa hecho hace la conversación mucho más corta. Sin inventario, buena parte de las horas de asesoría se van en reconstruir qué hace la empresa con los datos. Con inventario, se van en responder qué corresponde hacer.
¿Prefiere hacerlo acompañado?
En 30 minutos recorremos juntos sus sistemas y armamos el primer borrador del inventario. Se lo lleva hecho, lo use con nosotros o con quien quiera.
Dónde buscar: los diez lugares habituales
Recorra esta lista con alguien de cada área, no solo con sistemas. La persona de ventas conoce planillas que informática nunca vio, y recursos humanos guarda cosas que nadie más toca.
- Sistema de gestión o ERP. Clientes, proveedores, contactos, historial de compras.
- Facturación y cobranzas. Datos fiscales, direcciones, medios de pago.
- Planillas de cálculo compartidas. El lugar donde más datos personales conviven sin control de acceso.
- WhatsApp y canales de atención. Historial completo de conversaciones, muchas veces en dispositivos personales.
- Correo electrónico. Casillas compartidas del tipo contacto o ventas, con años de consultas archivadas.
- Formularios del sitio web. Adónde llegan y quién los lee.
- Recursos humanos. Currículums, legajos, datos de familiares, información médica de ingreso.
- Herramientas de marketing. Listas de correo, audiencias cargadas en plataformas publicitarias, formularios de campañas.
- Respaldos y sistemas dados de baja. El servidor viejo, la copia en un disco externo, la base del sistema anterior a la migración.
- Papel. Fichas, contratos firmados, fotocopias de documentos en un archivador.
Qué anotar de cada uno
Seis columnas alcanzan. La tentación de armar algo más completo es fuerte, pero un inventario de seis columnas terminado sirve muchísimo más que uno de veinte columnas abandonado a la mitad.
| Columna | Qué responder |
|---|---|
| Dónde está | Nombre del sistema, planilla o carpeta, y en qué servicio o servidor vive |
| Qué datos tiene | Nombre, teléfono, documento, dirección, salud, datos de menores, etc. |
| De quién son | Clientes, postulantes, empleados, proveedores, pacientes |
| Quién accede | Personas o roles concretos. Si la respuesta es «todos», anótelo así |
| Para qué se usa | La finalidad real, en una línea. Si no hay ninguna, es candidato a depuración |
| Desde cuándo | Qué antigüedad tiene el registro más viejo que sigue ahí |
Una recomendación de método: complete primero todas las filas con información aproximada y recién después vuelva a afinar. Si intenta dejar cada fila perfecta antes de pasar a la siguiente, el inventario muere en el tercer sistema.
Marque los datos sensibles aparte
La ley reserva una protección reforzada para ciertas categorías —entre ellas datos biométricos y genéticos, información de menores de edad y datos que revelan creencias religiosas, afiliación política u orientación sexual—, y el techo de las sanciones sube considerablemente cuando están involucradas: hasta 5.000 jornales mínimos con datos sensibles y hasta 10.000 cuando se trata de datos sensibles de niños, niñas y adolescentes.
La consecuencia práctica es simple: esas bases deberían ser las primeras en ordenarse, con menos personas con acceso, menos tiempo de conservación y más registro de quién las consultó. Si su actividad toca salud o menores, empiece por ahí — para el caso específico de salud escribimos una guía para clínicas y centros médicos.
Cuando el inventario revela que falta algo en el sistema
A veces el problema no es de orden sino de herramienta: el sistema no separa permisos o no permite exportar los datos de una persona. Le decimos si eso se configura o se construye.
Checklist: el inventario en diez pasos
- Arme una planilla con las seis columnas de arriba.
- Reúna quince minutos a una persona de cada área y pregunte dónde guardan datos de gente. No pregunte por sistemas: pregunte por información.
- Recorra los diez lugares habituales de la lista anterior, uno por uno.
- Sume los proveedores externos que tratan datos por usted: quien le lleva la contabilidad, la agencia de marketing, el servicio de nube donde está el sistema.
- Marque en color las filas que contienen datos sensibles.
- Marque también las filas donde la columna «quién accede» dice «todos».
- Marque las que tienen datos con más de cinco años sin uso.
- Revise campo por campo qué pide cada formulario y cada bot, y anote los que nadie usa.
- Ordene las filas marcadas por riesgo: sensibles primero, después acceso abierto, después antigüedad.
- Lleve la planilla a su abogado y a quien maneja sus sistemas. Ese documento es la base de todo lo que sigue.
Del uno al ocho no necesita a nadie externo ni presupuesto. Es la parte más barata de toda la adecuación y la que más ordena el resto: cuando llegue a la fila diez va a tener bastante claro qué le va a costar tiempo y qué le va a costar plata.
Qué suele aparecer (y sorprender)
- Bases duplicadas. Los mismos clientes en el sistema, en una planilla y en la herramienta de correos, con datos distintos en cada lado.
- Accesos de gente que ya no trabaja. Cuentas activas de ex colaboradores, a veces de hace años.
- Datos de terceros que nadie recuerda haber pedido. Fotos de documentos, contactos de referencia, información de familiares.
- Sistemas dados de baja que siguen prendidos. Servidores viejos con la base completa, encendidos por si acaso.
- Proveedores que tratan más datos de los esperados. Herramientas contratadas para una función puntual que terminaron con una copia de la base de clientes.
Preguntas frecuentes
¿Cuánto tiempo lleva hacer un inventario de datos?
En una pyme de hasta veinte personas, entre dos y cuatro jornadas de trabajo repartidas, siempre que participe alguien de cada área. Lo que consume tiempo no es llenar la planilla sino descubrir los lugares que nadie tenía presentes: la planilla que armó alguien de ventas, el archivo de currículums, el respaldo del sistema anterior. En organizaciones más grandes conviene hacerlo por áreas y consolidar al final. Una advertencia útil: no intente que quede perfecto en la primera pasada. Un inventario aproximado pero completo es infinitamente más útil que uno detallado que cubre solo el treinta por ciento de la empresa.
¿Necesito una herramienta especial para hacerlo?
No. Una hoja de cálculo compartida alcanza y sobra para la primera versión, y tiene la ventaja de que cualquiera puede aportar sin aprender nada nuevo. Las herramientas específicas de gestión de inventario de datos tienen sentido cuando la organización es grande, cuando hay muchas bases que cambian seguido o cuando se necesita evidencia formal del proceso. Para la mayoría de las empresas paraguayas que están arrancando la adecuación, invertir en software antes de tener el mapa es gastar en la solución equivocada. Primero el inventario en planilla; después se evalúa si hace falta algo más.
¿Tengo que incluir los datos que están en papel?
Conviene incluirlos, sí. Un archivador con fichas de clientes, contratos firmados o fotocopias de documentos contiene datos personales igual que una base de datos, y suele tener menos control de acceso que cualquier sistema: está en una oficina donde entra cualquiera. Además, el papel tiende a acumular información que ya no se usa, porque nadie asume el costo de revisarlo y descartarlo. Anotarlo en el inventario no obliga a resolverlo de inmediato, pero evita la sorpresa de descubrir después que la parte más desprotegida de la operación no estaba en ningún plan.
¿Los datos de mis empleados también cuentan?
Sí, y es una de las omisiones más comunes. Las empresas piensan en clientes y se olvidan de que legajos, currículums de postulantes que nunca ingresaron, datos de familiares declarados y eventual información médica de los exámenes de ingreso son todos datos personales, y algunos de ellos de los más delicados que la organización maneja. Recursos humanos suele ser además el área con las carpetas más antiguas y menos revisadas. Si va a priorizar por dónde empezar, esa área compite en importancia con la base de clientes, aunque no genere facturación.
¿Qué hago con las bases que descubro y ya no uso?
Lo primero es no borrar por impulso: puede haber obligaciones de conservación —contables, laborales, contractuales— que hagan necesario mantener cierta información por plazos determinados. Lo correcto es marcarlas como candidatas a depuración, consultar con su abogado y su contador qué corresponde conservar y por cuánto, y recién entonces definir un criterio y ejecutarlo. Lo que sí puede hacerse de inmediato y sin riesgo es reducir quién tiene acceso a esas bases mientras se decide su destino: si nadie las usa para trabajar, nadie necesita poder abrirlas.
¿Y si el inventario muestra que mi sistema no sirve?
Es un resultado frecuente y no siempre implica cambiar de sistema. Los tres límites que más aparecen son que no se pueden separar permisos por rol, que no queda registro de quién consultó qué, y que no hay forma de exportar o eliminar toda la información de una persona puntual. A veces se resuelven con configuración o con un módulo adicional del mismo proveedor; otras veces requieren desarrollo. Lo que rara vez conviene es reemplazar todo por las dudas: primero se identifica la función que falta, después se decide si se configura, se integra o se construye.
Siguiente paso
El inventario es la parte de la adecuación que no se puede delegar del todo, porque nadie conoce la operación como quien trabaja en ella. También es la más barata y la que más claridad genera: al terminarla va a saber qué se arregla ordenando, qué se arregla configurando y qué necesita construirse. Y va a poder pedir presupuestos concretos en vez de escuchar propuestas genéricas.
Este artículo es informativo y no constituye asesoramiento legal. Para determinar qué obligaciones concretas alcanzan a su empresa, consulte a un profesional del derecho.
Agende su consultoría gratuita de 30 minutos →
Adecuación técnica a la Ley 7593 · software a medida · consultoría en IA · contacto.
Más del blog Cercai Paraguay: Ley 7593 y sus sistemas · Bots y datos personales · Clínicas y datos de salud · SaaS vs a medida · Ver blog.