Paraguay fija en 2027 la ley de datos personales

Actualización 26 de agosto de 2026: la ley ya tiene vacatio legis de 24 meses y su vigencia plena queda fijada para noviembre de 2027. También se incorporaron precisiones sobre la autoridad de aplicación, la notificación de brechas en 72 horas y el alcance de las multas.

La Ley N° 7593/2025 de Protección de Datos Personales de Paraguay ya se proyecta sobre sectores que manejan grandes volúmenes de información de clientes, entre ellos comercio electrónico, aplicaciones móviles, servicios financieros, seguros y telecomunicaciones, según un análisis especializado citado por EMERiCs.

¿A quiénes alcanza la nueva ley?

La norma alcanza a empresas presentes en Paraguay aunque procesen datos en otro país, a organizaciones que traten datos de personas ubicadas en territorio paraguayo, a las que ofrezcan bienes o servicios en Paraguay y a aquellas que monitoricen el comportamiento de individuos localizados en Paraguay, según un análisis para clientes corporativos de Daniel Advogados. Ese alcance extraterritorial la acerca a esquemas como el GDPR.

La cobertura de medios paraguayos señala que la norma incorpora derechos de acceso, rectificación, eliminación de registros sin justificación, oposición al uso de datos con fines comerciales o publicitarios, portabilidad entre proveedores y la posibilidad de cuestionar decisiones tomadas exclusivamente por algoritmos o sistemas automatizados.

Ese mismo enfoque periodístico destaca el principio de minimización de datos. En la práctica, obliga a las empresas a pedir solo la información necesaria para prestar un servicio o ejecutar una actividad determinada.

¿Qué obligaciones agrega para las empresas?

La ley suma reglas de seguridad, confidencialidad y respuesta a incidentes, además de un esquema de supervisión a cargo de la Agencia Nacional de Protección de Datos Personales, creada por la propia Ley N° 7593/2025 como autoridad de aplicación.

Un análisis del European IP Helpdesk subraya que se trata de la primera norma paraguaya integral de protección de datos y que introduce derechos como acceso, rectificación, supresión y portabilidad, junto con protección especial para niños y adolescentes, bajo supervisión de la ANPDP dependiente del MITIC.

La fuente jurídica local indica que ante una brecha de seguridad el responsable debe notificar a la autoridad y, cuando corresponda, a los titulares afectados en un plazo que no puede exceder 72 horas desde que tomó conocimiento. Guías de cumplimiento internacionales para empresas refuerzan ese mismo estándar de notificación.

¿Qué pasa si no se cumple?

El régimen sancionatorio contempla multas de 20 a 2.500 jornales mínimos para infracciones generales, hasta 5.000 jornales para datos sensibles y hasta 10.000 jornales cuando se involucran datos sensibles de niños, niñas y adolescentes, de acuerdo con coberturas jurídicas y prensa económica paraguaya.

Una fuente jurídica local también reporta que la ley fue promulgada el 27 de noviembre de 2025 y que el régimen sancionatorio contempla multas de hasta 10.000 jornales mínimos en los supuestos más graves. ABC Color tradujo esos topes a montos que, en términos empresariales, ninguna compañía puede ignorar por su impacto financiero potencial.

¿Cómo se reclama y cuándo entra en vigencia?

Los procedimientos para ejercer los derechos previstos por la ley serán gratuitos, según la cobertura publicada por La Nación en Paraguay. Si una persona detecta un uso indebido de sus datos, primero deberá reclamar ante la empresa. Si la respuesta no alcanza, podrá acudir a la Agencia de Protección de Datos o recurrir a la garantía constitucional de hábeas data.

El mismo material disponible apunta a que la entrada en vigencia plena quedó diferida por una vacatio legis de 24 meses, lo que fija noviembre de 2027 como el inicio completo de su aplicación. Pasmor Abogados describe ese período como una ventana crítica para que las organizaciones ajusten sus arquitecturas de cumplimiento técnico y corporativo.

En paralelo, el material disponible apunta a que la ley refuerza las obligaciones de cumplimiento normativo en industrias que procesan datos de clientes. La referencia de EMERiCs ubica ese alcance tanto en el sector privado como en ámbitos vinculados con la administración de información personal.

¿Qué cambia en la estructura institucional?

La ley crea expresamente la Agencia Nacional de Protección de Datos Personales (ANPDP) como autoridad de aplicación, encargada de fiscalizar, recibir denuncias y aplicar el régimen sancionatorio previsto por la norma, según Olmedo Abogados, EnRegla y el European IP Helpdesk.

Con esa base, la ley aparece como un cambio regulatorio que no se limita a enunciar derechos, sino que incorpora mecanismos concretos de reclamo, obligaciones de minimización y un esquema institucional para canalizar denuncias y revisión de decisiones automatizadas.