Paraguay: datos y criptoactivos bajo la Ley 7593

Timeline de la operación

Cadena de ataque y TTPs

No hay una cadena de ataque en sentido clásico ni indicadores de intrusión, malware o explotación técnica en el material provisto. El caso debe leerse como una secuencia regulatoria y de cumplimiento, donde la autoridad tributaria define una nueva superficie de recolección de datos y la ley de protección de datos fija los límites de legitimidad para ese tratamiento. La tensión principal no es técnica en el sentido forense, sino procedimental, documental y organizacional.

El vector de exposición identificable es la expansión del volumen y la granularidad de información que la DNIT exige para supervisión fiscal. Según las fuentes, el formulario puede incluir fecha y hora, identidades cuando sea posible, wallets, redes, montos, comisiones, costos de gas, hash y direcciones de origen y destino. Ese nivel de detalle convierte el proceso de reporte en un repositorio sensible, con impacto en confidencialidad, integridad y minimización de datos.

Desde la óptica de TTPs de cumplimiento, pueden identificarse prácticas obligatorias y puntos de fricción. La inscripción de la obligación 959 en el RUC, el uso de Marangatu y la presentación anual en el tercer mes posterior al cierre muestran un flujo formalizado y repetible. La fricción aparece en la falta de claridad sobre el momento exacto del hecho generador del impuesto a la renta por operaciones con criptoactivos, una duda persistente en las coberturas consultadas. Esa indefinición puede derivar en errores de interpretación, presentaciones incompletas o diferencias entre criterio fiscal y criterio del contribuyente.

Impacto regional

Panorama regional

El efecto regional del caso paraguayo no proviene de una exportación normativa directa, sino de la combinación de dos movimientos que muchas jurisdicciones de América Latina vienen observando con atención: una ley de protección de datos con arquitectura sancionatoria y derechos robustos, y una regla fiscal que exige trazabilidad detallada sobre criptoactivos. El material disponible muestra que el debate no se limita a un formulario. Abarca la forma en que un Estado justifica la captura de datos personales para fines tributarios y cómo prepara a empresas, plataformas y contribuyentes para cumplir con ese mandato.

La vacatio legis de 24 meses es una pieza central del panorama regional. Según las fuentes, la Ley N.º 7.593/2025 entrará en plena vigencia el 27 de noviembre de 2027. En ese lapso, la Agencia Nacional de Protección de Datos Personales debería consolidar su funcionamiento y los responsables del tratamiento deberían adaptar políticas, contratos, procedimientos de respuesta y mecanismos de seguridad. Al mismo tiempo, la RG 47/2026 ya impone una primera ola de cumplimiento en marzo de 2027, de modo que la transición ocurre con dos relojes distintos.

Paraguay

Paraguay es el único país del material con hechos verificables extensos y convergentes. La Ley N.º 7.593/2025 fija un régimen general de datos personales, crea la Agencia Nacional de Protección de Datos Personales dentro del MITIC, prevé multas administrativas relevantes y exige reglas de información, respuesta a titulares, notificación de incidentes en 72 horas y control sobre transferencias internacionales. La regulación cripto, a su vez, crea la obligación 959, DJI Criptoactivos, dentro de Marangatu.

El umbral de USD 5.000 anuales se convierte en la línea de activación del reporte. Las fuentes precisan que la obligación alcanza a personas físicas, personas jurídicas, entidades residentes y, en ciertos casos, a plataformas que operan en Paraguay. También cubre operaciones en plataformas del exterior y sin intermediarios. El informe técnico no encuentra indicios de que la implementación esté limitada a un nicho estrecho. Al contrario, el alcance descrito es amplio y alcanza un espectro significativo de usuarios y operadores.

La fricción regulatoria aparece en el tratamiento de datos. ABC Color recoge que la DNIT debe justificar necesidad y proporcionalidad de cada dato personal exigido. Esa exigencia se vuelve especialmente relevante porque el formulario demanda información detallada por transacción, y porque la ley de datos reconoce un concepto amplio de dato personal y otorga a los titulares derechos específicos para controlar su tratamiento.

Argentina

No se identificaron hechos verificables adicionales en el material provisto para Argentina.

Chile

No se identificaron hechos verificables adicionales en el material provisto para Chile.

Bolivia

No se identificaron hechos verificables adicionales en el material provisto para Bolivia.

Perú

No se identificaron hechos verificables adicionales en el material provisto para Perú.

Colombia

No se identificaron hechos verificables adicionales en el material provisto para Colombia.

Brasil

No se identificaron hechos verificables adicionales en el material provisto para Brasil.

México

No se identificaron hechos verificables adicionales en el material provisto para México.

USA

No se identificaron hechos verificables adicionales en el material provisto para Estados Unidos.

Uruguay

No se identificaron hechos verificables adicionales en el material provisto para Uruguay.

Indicadores técnicos

No se publicaron IOCs de tipo técnico clásico, como direcciones IP, dominios, hashes de malware o artefactos de intrusión. El material disponible describe obligaciones regulatorias, umbrales de reporte, plazos, tipos de datos solicitados y sanciones administrativas, pero no indicadores de compromiso forense.

Análisis para equipos de seguridad

Para equipos de seguridad, privacidad y cumplimiento, el caso debe tratarse como una implementación regulatoria con impacto directo sobre inventarios de datos, clasificación de información y controles de acceso. La primera prioridad es entender qué datos transaccionales y personales quedarán bajo la obligación 959, cómo se extraen desde los sistemas internos o de terceros, y qué controles aplican antes de que lleguen a Marangatu. El nivel de detalle reportado por las fuentes hace pensar en una cadena de tratamiento que incluye captura, validación, retención y transmisión, con riesgo de sobreexposición en cada paso.

La segunda prioridad es documentar necesidad y proporcionalidad. La cobertura de ABC Color deja claro que este no es un punto decorativo, sino un estándar material que puede condicionar la implementación. Si un equipo prepara formularios, integraciones o procesos de onboarding para usuarios con actividad cripto, debería poder explicar por qué cada campo es imprescindible, qué base legal lo sostiene y cuánto tiempo se conserva. Esa documentación también sirve para responder requerimientos futuros de la Agencia Nacional de Protección de Datos Personales, especialmente cuando el régimen entre en vigencia plena.

En términos operativos, la organización debería alinear tres frentes. El frente fiscal, para cumplir con la declaración anual en el tercer mes posterior al cierre. El frente de privacidad, para cumplir con información al titular, plazos de respuesta, incidentes en 72 horas y reglas de transferencias internacionales. Y el frente de seguridad, para reducir el riesgo de fuga de un conjunto de datos que, por su granularidad, puede revelar patrones financieros, direcciones de custodia y trazabilidad de movimientos.

Una lectura útil es separar datos obligatorios de datos convenientes. La RG 47/2026, según las fuentes, exige muchos campos, pero eso no habilita a recolectar información adicional por simple comodidad operativa. El principio de minimización, tal como lo presentan las coberturas sobre la Ley 7.593/2025, obliga a revisar cada campo. Eso incluye también procedimientos internos, plantillas, API, exportaciones y logs que puedan conservar más de lo necesario.

Preguntas frecuentes

¿Qué cambia primero en Paraguay, la ley de datos o el reporte cripto?

Cambia antes el reporte cripto. La Resolución General N.º 47/2026 ya fija la obligación de presentar la primera declaración en marzo de 2027 para el ejercicio 2026, mientras que la Ley N.º 7.593/2025 entra en plena vigencia el 27 de noviembre de 2027. El orden práctico obliga a implementar privacidad y fiscalidad en ventanas distintas.

¿Qué datos exige la DNIT y por qué eso genera tensión con la ley de privacidad?

La DNIT exige información por transacción, como fecha y hora, wallets, hash, montos, comisiones y direcciones de origen y destino. Eso tensiona la Ley N.º 7.593/2025 porque la norma de datos personales define un estándar amplio de protección y obliga al Estado a justificar necesidad y proporcionalidad para cada dato solicitado.

¿Quiénes deben presentar la declaración de criptoactivos en Marangatu?

Según las fuentes, deben presentarla residentes, personas jurídicas, entidades paraguayas y también responsables de plataformas que operan en Paraguay cuando el total anual supera USD 5.000. El régimen cubre operaciones locales, en el exterior y sin intermediarios, e impone la obligación 959, DJI Criptoactivos, dentro del RUC.

¿Qué plazo tienen los titulares para pedir acceso o corrección de datos en Paraguay?

La Ley N.º 7.593/2025 prevé que los responsables respondan en un máximo de 30 días corridos, mediante mecanismos simples y gratuitos. Ese plazo convive con deberes de información al momento de recolectar datos, notificación de incidentes en 72 horas y reglas sobre transferencias internacionales.

¿Qué sanciones aparecen en el nuevo marco paraguayo?

La ley de datos prevé multas administrativas de 20 a 2.500 jornales mínimos en el régimen general, hasta 5.000 jornales cuando se trata de datos sensibles y hasta 10.000 jornales si involucra datos sensibles de niños, niñas o adolescentes. En el frente cripto, ABC Color informó una multa de G. 1.000.000 por no presentar la declaración informativa.

Limitaciones del material

El material no permite confirmar con evidencia primaria el grado exacto de operatividad administrativa de la Agencia Nacional de Protección de Datos Personales en 2026. Algunas fuentes la presentan como creada y dotada de autonomía funcional, mientras otras describen su puesta en marcha como prospectiva o todavía en constitución. Este informe preserva esa incertidumbre.

Tampoco hay elementos suficientes para reconstruir una cadena de ataque técnica, ni para identificar IOCs, vectores de intrusión, víctimas de incidentes o dominios relacionados con malware. El caso es regulatorio, no de ciberincidente clásico.

Respecto de la RG 47/2026, el material sí permite afirmar el umbral, el canal de reporte, la periodicidad y el tipo de información exigida, pero deja abierta la discusión sobre el momento exacto en que se configura el hecho generador del impuesto a la renta por operaciones con criptoactivos. Esa duda aparece en coberturas periodísticas, no en una aclaración definitiva de la DNIT dentro del research provisto.

Los países sin cobertura verificable adicional en el material son Argentina, Chile, Bolivia, Perú, Colombia, Brasil, México, Estados Unidos y Uruguay.

Gráficos