En noviembre de 2025 Paraguay promulgó su primera ley integral de protección de datos personales: la Ley N° 7593/2025. Hasta entonces, el país regulaba principalmente la información crediticia; a partir de ahora existe un marco general que alcanza a cualquier organización que trate datos de personas. Su exigibilidad plena llega a fines de 2027, y durante 2026 se pone en marcha la autoridad encargada de aplicarla.
Casi todo lo que se publicó sobre la ley está escrito desde el lado jurídico, y está bien que así sea. Pero hay una mitad de la que casi nadie habla: buena parte de estas obligaciones no se cumplen con un documento, se cumplen dentro del software. Esta guía es sobre esa mitad — qué tiene que cambiar en sus sistemas, sus bases de datos y sus canales de atención. No es asesoría legal: para saber exactamente qué le corresponde a su actividad, hable con su abogado.
Lo esencial en cuatro puntos
- Qué es. La Ley N° 7593/2025 de Protección de Datos Personales, promulgada el 27 de noviembre de 2025. Es la primera norma integral del país en la materia.
- Desde cuándo. Su aplicación plena se ubica a fines de 2027, con un plazo de adecuación de dos años. Durante 2026 se crea y pone en funcionamiento la autoridad nacional de protección de datos, dentro de la órbita del MITIC pero con autonomía funcional.
- A quién alcanza. A entidades públicas y privadas que traten datos personales. El tamaño de la empresa no es por sí solo un criterio de exclusión.
- Qué pasa si no se cumple. Un régimen de sanciones que va de 20 a 2.500 jornales mínimos para infracciones generales, hasta 5.000 cuando hay datos sensibles involucrados y hasta 10.000 cuando se trata de datos sensibles de niños, niñas y adolescentes. La autoridad puede aplicarlas por vía administrativa.
Ese último punto explica por qué el tema dejó de ser una conversación de abogados. Cuando la multa máxima supera los mil millones de guaraníes y no hace falta un juicio previo para aplicarla, la protección de datos deja de ser un trámite y pasa a ser un riesgo operativo como cualquier otro.
Por qué 2027 está más cerca de lo que parece
Dos años suenan a mucho tiempo hasta que se hace la lista de lo que hay que tocar. La adecuación técnica no es un proyecto de una semana: implica revisar sistemas que están en producción, cambiar permisos que la gente usa todos los días, depurar bases históricas que nadie quiere ser el primero en borrar y, muchas veces, desarrollar funciones que hoy simplemente no existen — como poder exportar o eliminar toda la información de una persona puntual.
Además, cada uno de esos cambios compite con la operación diaria. Nadie detiene la facturación para revisar accesos. Por eso las empresas que arrancan durante 2026 lo hacen de a poco, con presupuesto repartido y sin frenar nada; las que esperen al último año van a pagar el precio de la urgencia, que en tecnología siempre es alto.
¿Quiere saber cuán lejos está hoy?
En 30 minutos repasamos qué datos maneja, en qué sistemas viven y quién accede a ellos. Al final va a tener claro qué se resuelve con configuración, qué necesita desarrollo y qué corresponde derivar a su abogado.
Los cinco cambios técnicos que casi toda empresa va a necesitar
1. Saber qué datos tiene y dónde están
Es el punto de partida y el que más sorprende. En la mayoría de las empresas los datos personales están mucho más repartidos de lo que la dirección cree: el sistema de gestión, una planilla en la nube que armó alguien de ventas, el historial completo de WhatsApp, un formulario web que dispara correos a una casilla compartida, la carpeta de currículums, los respaldos de un sistema que se dejó de usar en 2021 pero sigue ahí.
Nadie puede proteger, minimizar ni borrar lo que no sabe que tiene. Por eso el inventario va antes que la política: primero el mapa, después las reglas. Lo desarrollamos paso a paso en la guía sobre cómo hacer el inventario de bases de datos.
2. Pedir solo lo que necesita
El principio de minimización dice, en criollo, que no debería recolectar datos que no le hacen falta para el servicio que presta. Suena obvio y sin embargo casi todos los formularios de Paraguay piden campos que nadie usa jamás: número de documento para bajar un catálogo, fecha de nacimiento para una cotización, dirección completa para un contacto que se responde por correo.
La revisión es sencilla y barata: tome cada formulario, cada campo obligatorio de su sistema y cada dato que pide su bot, y pregunte para qué se usa concretamente. Todo lo que no tenga respuesta clara es dato que está guardando gratis y que le suma riesgo sin sumarle nada.
3. Controlar quién accede a qué
El escenario más común en una pyme no es un ataque sofisticado: es que todo el equipo tiene acceso a todo porque así se configuró el primer día, y que las cuentas de quienes ya no trabajan siguen activas. Definir permisos por rol —quién ve la base completa de clientes, quién solo su cartera, quién puede exportar— es de los cambios que más reducen el riesgo real por la menor cantidad de trabajo.
4. Definir cuánto tiempo guarda cada cosa
Casi nadie borra nada, porque borrar da miedo y guardar es gratis. Pero una base con quince años de clientes inactivos es exactamente el tipo de cosa que convierte un incidente menor en uno grave. Fijar un criterio de conservación por tipo de dato, y automatizar la depuración, es trabajo de sistemas que además suele mejorar el rendimiento de todo lo demás.
5. Poder responder cuando alguien pregunta o pide borrado
La ley reconoce a las personas el derecho a saber qué información tienen sobre ellas, a corregirla, a pedir su eliminación y a retirar el consentimiento. Traducido a sistemas: alguien en su empresa tiene que poder buscar a una persona por documento o correo, ver todo lo que hay sobre ella en todos los sistemas, exportarlo y eliminarlo. Si hoy esa consulta requiere que tres personas revisen cinco lugares distintos a mano, esa es una función que hay que construir.
| Obligación | Quién la define | Quién la ejecuta |
|---|---|---|
| Qué obligaciones alcanzan a su actividad | Su abogado | Su abogado |
| Políticas de privacidad y contratos | Su abogado | Su abogado |
| Inventario de bases de datos | Ambos | Sistemas / proveedor técnico |
| Permisos, retención y trazabilidad | Ambos | Sistemas / proveedor técnico |
| Función de acceso y supresión de datos | Su abogado define el alcance | Desarrollo |
| Qué pide cada formulario y cada bot | Ambos | Desarrollo / marketing |
El punto ciego: los canales conversacionales
Hay un lugar donde se acumulan datos personales que casi nunca aparece en los planes de adecuación: WhatsApp y los chats de atención. No solo porque ahí se piden datos, sino porque la gente escribe de más. Un paciente que consulta por un turno termina contando su diagnóstico. Alguien que pide una cotización manda una foto de su cédula sin que nadie se la haya pedido. Un postulante adjunta su currículum completo a un número que atiende cualquiera del equipo.
Todo eso queda guardado, muchas veces en el teléfono personal de alguien. Si su empresa automatizó la atención o está por hacerlo, conviene definir desde el diseño qué datos se piden, qué se hace con lo que llega sin pedirse, cuánto se conserva la conversación y quién puede leerla. Lo tratamos en detalle en la guía sobre chatbots, WhatsApp y datos personales.
Su operación primero, la norma después
Traiga los sistemas que usa hoy y le mostramos qué parte de la adecuación se resuelve configurando lo que ya tiene y qué parte necesita construirse. Sin tecnicismos y sin vender de más.
Por dónde empezar si no empezó nada
- Haga la lista de dónde hay datos personales. Una hoja, sin herramientas. Sistemas, planillas, formularios, chats, correos, respaldos, papeles.
- Marque cuáles contienen datos sensibles. Salud, biométricos, información de menores, y todo lo que la ley clasifica como categoría especial. Esos son los que tienen el techo de sanción más alto.
- Anote quién accede a cada uno. Si la respuesta honesta es «todos», ya encontró la primera tarea.
- Revise sus formularios y su bot. Campo por campo, para qué se usa.
- Lleve esa lista a su abogado. Con el mapa en la mano, la conversación legal es mucho más corta y mucho más barata.
Los primeros cuatro puntos no requieren contratar a nadie. Si al terminarlos ve que el problema es de sistemas —permisos que no se pueden separar, datos imposibles de exportar, un canal de atención sin reglas—, ahí es donde entra el trabajo técnico. Para eso está nuestra página de adecuación técnica a la Ley 7593.
¿Y la ley de inteligencia artificial?
Es la pregunta que aparece siempre a continuación, así que conviene ser preciso: Paraguay todavía no tiene una ley de inteligencia artificial. Existe un anteproyecto en el Senado, impulsado desde la presidencia del Congreso y discutido en audiencias públicas con participación del MITIC y otros organismos, además de iniciativas vinculadas a la protección de menores en entornos digitales. Nada de eso es ley vigente al día de hoy.
Lo que sí es relevante ahora: si usa inteligencia artificial sobre datos de personas —un asistente que lee conversaciones, un modelo que clasifica clientes, una herramienta que procesa documentos— eso ya está alcanzado por la ley de datos personales, aunque no exista una norma específica de IA. La regulación de datos es la que manda hoy, y es la que conviene tener resuelta.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 7593 en Paraguay?
La ley fue promulgada el 27 de noviembre de 2025 y su exigibilidad plena se ubica a fines de 2027, tras un plazo de adecuación de dos años. Durante 2026 se pone en marcha la autoridad nacional de protección de datos, en la órbita del MITIC y con autonomía funcional, y se espera reglamentación que precise mecanismos y plazos específicos. En términos prácticos, hoy nadie está fiscalizando, pero el trabajo de adecuación toma meses porque toca sistemas en producción. Las empresas que arrancan durante 2026 reparten el esfuerzo y el presupuesto; las que esperan al último tramo terminan pagando por urgencia.
¿Cuáles son las multas por incumplir la ley de datos personales?
El régimen sancionatorio distingue infracciones leves, graves y muy graves, con multas que van de 20 a 2.500 jornales mínimos en el caso general, hasta 5.000 jornales cuando están involucrados datos sensibles y hasta 10.000 jornales cuando se trata de datos sensibles de niños, niñas y adolescentes. En el tramo más alto eso supera los mil millones de guaraníes por infracción. La autoridad de protección de datos puede aplicar sanciones y medidas correctivas por vía administrativa, sin necesidad de un proceso judicial previo. El detalle de cómo se gradúa cada caso corresponde analizarlo con un asesor legal.
¿La ley obliga a tener un oficial de protección de datos?
La designación de un responsable u oficial de protección de datos aparece entre las medidas de adecuación que se recomiendan a las organizaciones, en los casos que corresponda según la naturaleza y el volumen del tratamiento que realizan. No todas las empresas quedan en la misma situación, y la reglamentación que se emita durante el período de adecuación debería precisar los supuestos. Es exactamente el tipo de pregunta que conviene llevarle a un abogado con el inventario de sus bases de datos ya hecho: con el mapa sobre la mesa, la respuesta es concreta en vez de teórica.
¿Qué se considera dato sensible en Paraguay?
La ley reserva una protección reforzada para categorías especiales de información, entre las que se cuentan los datos biométricos y genéticos, la información relativa a menores de edad y datos que revelan creencias religiosas, afiliación política u orientación sexual. La consecuencia práctica para una empresa es doble: por un lado, el techo de las sanciones sube; por otro, esas bases deberían tratarse con controles más estrictos que el resto — menos personas con acceso, menos tiempo de conservación y más registro de quién las consultó. Si su actividad implica datos de salud o de menores, ese es el primer lugar por donde conviene empezar.
¿Aplica a una empresa paraguaya que usa servidores en el exterior?
El hecho de que la información esté alojada fuera del país no saca a la empresa del alcance de la norma, y las transferencias internacionales de datos son justamente uno de los temas que la ley aborda y que la autoridad de control supervisa. Desde el lado técnico, lo que conviene tener claro es dónde está alojado cada sistema que usa, qué proveedor lo opera y qué dice el contrato con ese proveedor sobre el manejo de la información. Es información que hoy probablemente esté dispersa entre facturas y correos, y que forma parte del mismo inventario inicial.
¿Esto significa que tengo que cambiar todos mis sistemas?
En la mayoría de los casos no. Buena parte de la adecuación se resuelve configurando mejor lo que ya tiene: separar permisos, cerrar accesos que sobran, depurar bases viejas, sacar campos innecesarios de los formularios. El desarrollo aparece cuando el sistema actual no permite hacer algo que la ley requiere — típicamente cuando no hay forma de registrar quién accedió a qué, o de exportar y eliminar toda la información de una persona puntual. Por eso el diagnóstico va primero: cambiar sistemas por las dudas es caro y muchas veces innecesario.
Siguiente paso
La Ley 7593 no es un problema que se resuelva el último trimestre de 2027. Es un trabajo de meses, repartido entre lo legal y lo técnico, y la parte técnica casi siempre tarda más de lo que se estima porque toca sistemas que están en uso. La buena noticia es que el primer tramo —saber qué datos tiene y quién accede— no cuesta plata, cuesta un par de tardes de trabajo ordenado.
Este artículo es informativo y no constituye asesoramiento legal. Para determinar qué obligaciones concretas alcanzan a su empresa, consulte a un profesional del derecho.
Agende su consultoría gratuita de 30 minutos →
Adecuación técnica a la Ley 7593 · software a medida · consultoría en IA · contacto.
Más del blog Cercai Paraguay: Inventario de bases de datos · Bots y datos personales · Clínicas y datos de salud · WhatsApp Business · IA para pymes · Ver blog.