Paraguay tiene desde 2025 una ley integral de protección de datos personales. La Ley 7593 de Paraguay reúne en un solo cuerpo los principios que rigen todo tratamiento, las bases legales que lo habilitan, los derechos del titular, el deber de seguridad y el régimen de las transferencias internacionales, y crea la Agencia Nacional de Protección de Datos Personales como autoridad de control. Es el equivalente paraguayo del reglamento europeo.
Si trabajas en una organización paraguaya, pública o privada, buena parte de lo que la ley pide no se resuelve en el área legal ni en sistemas. Se resuelve en el escritorio de quien atiende una consulta, carga un formulario o comparte una planilla con un proveedor.
Este artículo no resume el articulado completo. Se enfoca en la capa que suele quedar fuera del análisis jurídico: qué te exige a ti, qué relojes pone a correr y cómo se demuestra después que tu organización preparó a su gente.
¿Qué es la Ley 7593 de Paraguay?
La Ley N° 7593/2025 es la ley de protección de datos personales de la República del Paraguay. Su objeto es la protección integral de los datos personales de las personas físicas, para garantizar el ejercicio pleno de sus derechos y, a la vez, el libre flujo de la información.
Aplica a cualquier tratamiento de datos personales total o parcialmente automatizado, y también al no automatizado que forme parte de un archivo, sin importar si lo realiza una persona física o jurídica, pública o privada. El artículo 4 fija los principios que gobiernan ese tratamiento: exactitud, licitud, finalidad, minimización, limitación del plazo de conservación, lealtad y transparencia, seguridad, confidencialidad y diligencia debida.
Tiene además alcance extraterritorial. Alcanza a organizaciones de otros países cuando el tratamiento se relaciona con la oferta de bienes o servicios a residentes en Paraguay o con el control de su comportamiento en el territorio nacional. Una empresa argentina, chilena o española que le vende a clientes paraguayos entra en el alcance sin tener una oficina en Asunción.
¿Desde cuándo hay que cumplirla?
La Ley 7593 de Paraguay entra en vigor 24 meses después de su publicación oficial (27 de noviembre de 2025), según el artículo 57, y el Poder Ejecutivo la reglamenta dentro de ese mismo plazo, según el artículo 60.
Ese detalle cambia la conversación interna. No hay una fecha inminente que fuerce una carrera, pero sí hay un reloj corriendo. Los dos años son el tiempo disponible para inventariar qué datos trata la organización, ordenar las bases legales de cada tratamiento, escribir los procedimientos y preparar a las personas que van a ejecutarlos.
Escribir los procedimientos es la parte rápida. La lenta es que la gente los conozca y los aplique sin tener que pensarlo, y eso no se resuelve en el mes 23.
¿Qué le exige la ley a las personas de tu organización?
Cuatro obligaciones aterrizan de forma directa en el trabajo cotidiano.
Una confidencialidad que no vence. El principio de confidencialidad del artículo 4 alcanza a toda persona que intervenga en cualquier fase del tratamiento, y subsiste aun después de que termine su relación con el titular. Quien deja la organización se lleva lo que sabe, y el deber de callarlo se va con esa persona.
La seguridad como práctica periódica. El artículo 16 no pide un proyecto con fecha de cierre. Pide que el responsable y el encargado lleven a cabo, de manera periódica, acciones que establezcan, operen, monitoreen, revisen y mejoren las medidas de seguridad aplicables al tratamiento. Buena parte de esas medidas son organizativas, y las medidas organizativas se ejecutan a través de personas.
El reloj de las 72 horas. Ante un incidente de seguridad de datos personales, el artículo 17 obliga a notificar a la autoridad de control y, cuando corresponde, al titular afectado, en un plazo que no puede exceder las 72 horas contadas desde que se tuvo conocimiento del incidente. Ese conocimiento casi nunca empieza en el equipo de seguridad. Empieza en quien recibe el correo raro o nota que un archivo salió al destinatario equivocado. Si esa persona no sabe que tiene que avisar, ni a quién, las horas se consumen antes de que el reloj formal arranque. Para ver cómo se compara ese plazo con otros regímenes, ordenamos los marcos más citados en notificación de brechas: las 72 horas comparadas.
Derechos con plazo de respuesta. El titular puede pedir acceso, rectificación, supresión, oposición y portabilidad en cualquier momento, y el artículo 26 obliga a responderle en un máximo de 30 días corridos, con medios sencillos, expeditos, accesibles y gratuitos para ejercer esos derechos. El pedido no llega etiquetado como tal: llega como un correo a atención al cliente o como un comentario en el mostrador. Reconocerlo y derivarlo a tiempo es parte del cumplimiento.
¿Qué pasa si no se cumple?
El artículo 46 le da a la Agencia tres herramientas: apercibimiento con plazo y forma para corregir, multa y suspensión de las actividades de tratamiento. Pueden aplicarse por separado o de forma acumulativa.
Las multas van de 20 a 2500 jornales mínimos. El techo sube hasta 5000 jornales cuando la infracción involucra datos sensibles, y hasta 10000 cuando esos datos sensibles son de niños, niñas y adolescentes.
Conviene leer el catálogo de faltas leves del artículo 44, que en total tipifica nueve, porque describe errores de ejecución antes que decisiones de directorio. Tres de esas nueve son las que con más facilidad comete una persona en su rutina de trabajo: recolectar datos sin informar suficientemente al titular, usar mecanismos inseguros de recolección o transmisión, o notificar de forma incompleta o tardía una violación de seguridad. Las tres son cosas que hace, o deja de hacer, una persona en su trabajo diario.
¿Cómo se demuestra el cumplimiento del componente humano?
El principio de diligencia debida del artículo 4 pide algo más que actuar bien: pide poder demostrar la implementación. Llevado a la formación, eso se traduce en tres evidencias.
La primera es que el entrenamiento existe y llega a la audiencia correcta, con segmentación por rol. No se le pide lo mismo a quien atiende el mostrador que al directorio, que aprueba el presupuesto y responde por la cadena de proveedores.
La segunda es que las personas entendieron lo que se les enseñó, algo que se mide con evaluaciones asociadas a cada módulo.
La tercera es que el comportamiento mejora con el tiempo, que se observa con simulaciones de phishing o ransomware y con la evolución de las métricas mes a mes.
Ese rastro es lo que convierte “capacitamos a nuestra gente” en una afirmación verificable. El patrón se repite en toda la región: lo desarrollamos para el caso ecuatoriano en qué te exige la Ley de Ciberseguridad de Ecuador, para el uruguayo en qué te exige el Marco de Ciberseguridad de Uruguay 5.0 y para el chileno en la Ley Marco de Ciberseguridad de Chile y el nuevo rol de la concientización.
Cómo acompaña SMARTFENSE a la Ley 7593/2025
En SMARTFENSE construimos contenido de concientización específico para la Ley 7593/2025, mapeado a sus artículos y separado por audiencia. Son 30 contenidos repartidos en dos programas: uno de cuatro módulos para todo el personal y otro de seis para el directorio y los mandos altos, cada uno con sus exámenes y sus newsletters de refuerzo.
Cada pieza está vinculada a los artículos que cubre, así que desde la gestión de normativas, políticas y procedimientos se ve el grado de cumplimiento según el entrenamiento asignado a cada persona. El detalle del programa está en la página de la Ley de Protección de Datos de Paraguay.
La ley todavía no está en vigor, y ese margen es el activo más valioso que tiene hoy una organización paraguaya. El reloj sigue avanzando: ya corrió casi la mitad del plazo de adecuación, y lo que resta se acorta cada día. Todavía están a tiempo de adecuarse, siempre que el trabajo empiece antes de que el plazo se vuelva noticia.
Deja un comentario