Una planilla de RR.HH. con datos biométricos. Un historial de compras en un e-commerce. La ficha clínica de un paciente. Hasta hace poco, cada uno vivía bajo reglas distintas, o directamente sin reglas en Paraguay. Eso cambió el 27 de noviembre de 2025, cuando el Poder Ejecutivo promulgó la Ley Nº 7593/2025, la primera norma integral de protección de datos personales del país.
Para Álvaro Rojas, asociado sénior de Berkemeyer, el mayor desafío no será únicamente cumplir con una nueva normativa, sino entender que la protección de datos deja de ser un asunto restringido a la información crediticia para convertirse en una obligación transversal que involucra a toda la organización.
El especialista explica, en diálogo con ABC Negocios, que el cambio marca un giro respecto al régimen anterior, la Ley Nº 6534/2020, cuando muchas compañías asociaban el cumplimiento exclusivamente con los burós de crédito o el tratamiento de información financiera. Con la nueva norma, prácticamente cualquier tratamiento de datos personales —público o privado— queda sujeto a regulación.
Un cambio que involucra a toda la empresa
La adecuación arranca con un ejercicio que muchas organizaciones nunca hicieron: identificar qué datos recopilan, para qué los usan, quiénes acceden a ellos, cuánto tiempo los conservan y con qué terceros los comparten.
Rojas sostiene que este proceso trasciende lo jurídico y exige una revisión integral de la operación. La protección de datos pasa a involucrar aspectos tecnológicos, organizacionales y culturales, y se convierte en un componente permanente de la gestión corporativa.
Aunque la ley recién regirá plenamente en 2027, numerosas empresas ya iniciaron los trabajos de adecuación: inventario de bases de datos, revisión de contratos con clientes y proveedores, actualización de políticas de privacidad, refuerzo de controles de seguridad informática y capacitación del personal.
De obligación a ventaja competitiva
Según Rojas, todavía hay un grupo importante de empresas que ve la nueva legislación únicamente como una carga regulatoria. Esa percepción empieza a cambiar entre las organizaciones que tienen clientes internacionales, inversionistas o plataformas digitales, donde los estándares de privacidad ya forman parte de las exigencias habituales.
En ese grupo, una buena gestión de los datos deja de ser un requisito legal para transformarse en una ventaja competitiva. Rojas lo enmarca en una tendencia global hacia el fortalecimiento de la privacidad, que facilitará la inserción de empresas paraguayas en mercados internacionales y mejorará las condiciones para atraer inversión digital.
La confianza, dice, se convirtió en uno de los activos más valiosos de cualquier organización: los consumidores conocen cada vez mejor el valor de su información y eligen relacionarse con empresas transparentes.
Los sectores con exigencias más altas, por el volumen y la sensibilidad de los datos que manejan, son entidades financieras, seguros, salud, telecomunicaciones, comercio electrónico y tecnología. Ahí circulan datos especialmente sensibles: registros biométricos, información médica, geolocalización, perfiles de consumo. Esas empresas deberán fortalecer sus mecanismos de seguridad, demostrar la licitud del tratamiento y garantizar transparencia frente a los titulares.
Lea más: Ley de datos personales en Paraguay: desde cuándo entra en vigencia y qué cambia para los ciudadanos
Errores que hay que corregir ya
El error más habitual detectado por el especialista es la ausencia de un consentimiento válido. No alcanza con una autorización genérica: debe ser previa, libre, informada e inequívoca.
Otros errores frecuentes: recopilar información innecesaria para el servicio, conservar bases de datos históricas sin criterio de eliminación, accesos internos demasiado amplios, ausencia de protocolos ante incidentes de seguridad, y usar datos personales para fines distintos a los comunicados originalmente. También se repite la contratación de proveedores tecnológicos sin cláusulas claras de confidencialidad y seguridad.
Las sanciones no son menores: la ley prevé multas de 20 a 2.500 jornales mínimos para infracciones generales, hasta 5.000 cuando involucran datos sensibles, y hasta 10.000 si afectan a niños, niñas o adolescentes. El control quedará en manos de la nueva Agencia Nacional de Protección de Datos Personales, que funcionará bajo la órbita del Mitic.
Prepararse desde ahora
Rojas considera que la transición será especialmente exigente para las pymes, que suelen tener menos recursos humanos y tecnológicos para montar un programa de cumplimiento. Aun así, el período de adaptación es una oportunidad para desarrollar capacidades internas de forma progresiva.
El plazo hasta 2027 puede parecer lejano. La experiencia de otros países con leyes similares muestra que la adecuación real toma más tiempo del previsto.
