La nueva Ley de Protección de Datos Personales entrará en vigencia el 27 de noviembre de 2027. Su alcance supera la información crediticia: también abarca los datos de pacientes y los registros de empleados, entre otros.
El cambio exigirá a las organizaciones un mayor control sobre la información que reciben y el uso que le dan. Para las personas, supondrá nuevas herramientas para reclamar ante una utilización que afecte sus derechos, según explicaron los invitados del programa Plaza Pública de Desarrollo en Democracia (Dende), emitido por ABC TV.
Paula Velilla, directora del Club Ejecutivo y presidenta de Sistemas y Gestiones S.A. (Sigesa), y Paulo Debuchy, abogado y socio de Gross Brown y Asociados, analizaron las obligaciones previstas. Ambos señalaron el peso que tendrá la reglamentación para aclarar cómo se aplicará la norma.
Lea más: Araico y Crusoe usarán energía de Itaipú para un centro de IA, confirma el MIC
Qué son los datos personales y a quiénes alcanza la ley
Un número de teléfono es un dato personal. También lo es la información que permite identificar a alguien o conocer aspectos de su vida, como su historial de salud.
Debuchy explicó que la Constitución Nacional reconoce el derecho a la intimidad y el derecho a la información. La protección de datos busca dar reglas al uso de esa información, que tiene valor económico y pertenece a cada persona.
Por eso, el alcance de la nueva ley va más allá de los bancos. Una empresa que conserva datos de sus empleados o un centro médico con registros de pacientes también deberá revisar sus prácticas. “Prácticamente todo el país está sujeto a la ley”, expresó Velilla.
Consentimiento: una firma ya no bastará para cualquier uso
Uno de los cambios centrales será la forma de pedir autorización para utilizar los datos. Según explicó Velilla, un permiso genérico no será suficiente para destinarlos a cualquier actividad.
Las organizaciones deberán precisar el propósito de su uso y el plazo de conservación. Además, tendrán que conocer el origen de la información y controlar quién puede acceder a ella. “No, ya no existe un consentimiento genérico que te permita a vos utilizar el dato para una campaña”, afirmó.
La exigencia también comprende qué ocurre al finalizar el propósito que justificó la recolección. Velilla indicó que las empresas deberán justificar el destino posterior de esos registros o su eliminación de las bases de datos.
Lea más: Expectativas empresariales avanzan con perspectivas todavía dispares, según indicador
Créditos e inteligencia artificial: el derecho a pedir una revisión
La nueva norma también tendrá efectos sobre las decisiones que resulten de sistemas automáticos. Un ejemplo es el rechazo de una solicitud de crédito a partir de un puntaje que calcula un programa.
Debuchy explicó que el titular podrá pedir una revisión. Ante una solicitud fundada, la entidad deberá confirmar si utilizó un mecanismo automático y explicar qué datos sirvieron de base para la decisión. “Lo que sí se le reconoce al titular de datos es el derecho a solicitar la revisión de decisiones tomadas a través de mecanismos automatizados”, señaló.
El abogado aclaró que la ley no busca impedir el uso de inteligencia artificial. El desafío será precisar las condiciones de respuesta a los reclamos, con respeto al secreto comercial de las empresas.
Empresas deberán revisar cómo protegen la información
Velilla advirtió que la adaptación exigirá cambios dentro de las organizaciones. No bastará con un formulario, deberán existir controles sobre el almacenamiento y el acceso a los registros.
La preparación será distinta según el punto de partida de cada empresa. Las entidades financieras ya cuentan con regulaciones y estructuras de control, mientras que otros sectores deberán desarrollar mecanismos para responder a estas exigencias.
La empresaria también alertó sobre las consecuencias económicas de un incumplimiento, ante los plazos de respuesta y las sanciones previstas.
Lea más: Energía nuclear en Paraguay: el primer reactor tardaría hasta 15 años
Una agencia de protección de datos bajo el Mitic
La ley prevé una agencia especializada, bajo la dependencia del Ministerio de Tecnologías de la Información y Comunicación (Mitic). Según Debuchy, tendrá autonomía funcional y rango de dirección nacional.
Su tarea incluirá el control de las obligaciones y un papel de orientación. El abogado explicó que ciertos proyectos con efectos relevantes sobre los datos personales requerirán evaluaciones de impacto, de acuerdo con lo que establezca la reglamentación.
La nueva estructura coexistirá con las autoridades que ya intervienen en materia de datos crediticios, como el Banco Central del Paraguay (BCP) y la Secretaría de Defensa del Consumidor y el Usuario (Sedeco).
Velilla señaló que será necesario delimitar las competencias para que las personas sepan dónde reclamar y las empresas conozcan ante qué autoridad deben responder.
Reglamentación pendiente: piden una mesa multisectorial
Durante el programa, los participantes indicaron que no conocían un primer borrador público de la reglamentación. La norma fue promulgada en noviembre de 2025 y prevé dos años antes de su entrada en vigencia.
Velilla propuso una mesa de trabajo con participación de los sectores afectados. El objetivo es que las reglas contemplen la realidad de las organizaciones y permitan una adaptación progresiva. “Nosotros tenemos que colaborar y cocrear esta reglamentación”, concluyó.
Lea más: PGN 2027: Bicameral inicia este lunes las deliberaciones sobre presupuestos de 107 entidades