Paraguai fixa vigência da lei de dados para 2027

Atualização 26 de agosto de 2026: a lei já tem vacatio legis de 24 meses e sua vigência plena ficou fixada para novembro de 2027. Também foram incorporados ajustes sobre a autoridade de aplicação, a notificação de incidentes em 72 horas e o alcance das multas.

A Lei N° 7593/2025 de Proteção de Dados Pessoais do Paraguai já passa a alcançar setores que operam com grandes volumes de informações de clientes, entre eles comércio eletrônico, aplicativos móveis, serviços financeiros, seguros e telecomunicações, segundo análise especializada citada pela EMERiCs.

¿A quiénes alcanza la nueva ley?

A norma alcança empresas presentes no Paraguai, mesmo que processem dados em outro país, organizações que tratem dados de pessoas localizadas em território paraguaio, aquelas que ofereçam bens ou serviços no Paraguai e também as que monitorem o comportamento de indivíduos localizados no país, segundo uma análise para clientes corporativos da Daniel Advogados. Esse alcance extraterritorial a aproxima de modelos como o GDPR.

A cobertura da imprensa paraguaia mostra que a norma incorpora direitos de acesso, retificação, exclusão de registros sem justificativa, oposição ao uso de dados para fins comerciais ou publicitários, portabilidade entre provedores e a possibilidade de contestar decisões tomadas exclusivamente por algoritmos ou sistemas automatizados.

Esse mesmo enfoque destaca o princípio da minimização de dados. Na prática, ele obriga as empresas a solicitar apenas as informações necessárias para prestar um serviço ou executar uma atividade específica.

¿Qué obligaciones agrega para las empresas?

A lei soma regras de segurança, confidencialidade e resposta a incidentes, além de um esquema de supervisão a cargo da Agência Nacional de Proteção de Dados Pessoais, criada pela própria Lei N° 7593/2025 como autoridade de aplicação.

Uma análise do European IP Helpdesk ressalta que se trata da primeira norma paraguaia integral de proteção de dados e que ela introduz direitos como acesso, retificação, supressão e portabilidade, junto com proteção especial para crianças e adolescentes, sob supervisão da ANPDP vinculada ao MITIC.

A fonte jurídica local informa que, diante de uma brecha de segurança, o responsável deve notificar a autoridade e, quando cabível, os titulares afetados em um prazo que não pode ultrapassar 72 horas a partir do momento em que tomou conhecimento. Guias internacionais de compliance para empresas reforçam o mesmo padrão de notificação.

¿Qué pasa si no se cumple?

O regime sancionatório prevê multas de 20 a 2.500 jornales mínimos para infrações gerais, até 5.000 jornales para dados sensíveis e até 10.000 jornales quando estiverem envolvidos dados sensíveis de crianças e adolescentes, segundo coberturas jurídicas e a imprensa econômica paraguaia.

Uma fonte jurídica local também relatou que a lei foi promulgada em 27 de novembro de 2025 e que o regime sancionatório prevê multas de até 10.000 jornales mínimos nos casos mais graves. O ABC Color traduziu esses tetos para valores que, em termos empresariais, nenhuma companhia pode ignorar pelo impacto financeiro potencial.

¿Cómo se reclama y cuándo entra en vigencia?

Os procedimentos para exercer os direitos previstos na lei serão gratuitos, segundo cobertura publicada pelo La Nación no Paraguai. Se uma pessoa identificar uso indevido de seus dados, deverá primeiro reclamar à empresa. Se a resposta não for suficiente, poderá recorrer à Agência de Proteção de Dados ou à garantia constitucional de habeas data.

O mesmo material disponível indica que a entrada em vigor plena foi adiada por uma vacatio legis de 24 meses, o que fixa novembro de 2027 como início integral da aplicação. O Pasmor Abogados descreve esse período como uma janela crítica para que as organizações ajustem suas arquiteturas de compliance técnico e corporativo.

Em paralelo, o material disponível aponta que a lei reforça as obrigações de conformidade em setores que tratam dados de clientes. A referência da EMERiCs situa esse alcance tanto no setor privado quanto em áreas ligadas à administração de informações pessoais.

¿Qué cambia en la estructura institucional?

A lei cria expressamente a Agência Nacional de Proteção de Dados Pessoais (ANPDP) como autoridade de aplicação, responsável por fiscalizar, receber denúncias e aplicar o regime sancionatório previsto na norma, segundo Olmedo Abogados, EnRegla e o European IP Helpdesk.

Com essa base, a lei surge como uma mudança regulatória que não se limita a enunciar direitos, mas incorpora mecanismos concretos de reclamação, obrigações de minimização e uma estrutura institucional para encaminhar denúncias e revisar decisões automatizadas.