Paraguay promulga ley de datos y crea ANPDP

Paraguay promulgó el 27 de noviembre de 2025 la Ley N.º 7.593 de Protección de Datos Personales, un marco integral que alcanza a toda organización que trate datos de personas físicas en el país. La norma fija un período de adecuación de 24 meses y prevé vigencia plena desde noviembre de 2027. Además, crea la Agencia Nacional de Protección de Datos Personales, que funcionará dentro del MITIC y tendrá facultades de supervisión, fiscalización y sanción.

¿Qué cambia para las organizaciones en Paraguay?

La ley exige que los tratamientos de datos personales tengan una base habilitante y, cuando corresponda, consentimiento previo, libre e informado. También obliga a entregar avisos de privacidad claros y a llevar registros de actividades de tratamiento, según los análisis locales difundidos por InfoNegocios Paraguay.

Ese paquete de obligaciones coloca a empresas y demás organizaciones frente a un proceso de adecuación formal, con dos años para ajustar procesos internos, documentación y controles antes de que la ley entre en vigencia plena en noviembre de 2027. La cobertura local la presenta además como inspirada en marcos internacionales como el GDPR y la LGPD de Brasil.

¿Qué organismo hará cumplir la nueva ley?

La Agencia Nacional de Protección de Datos Personales, creada por la Ley 7.593, operará dentro del Ministerio de Tecnologías de la Información y Comunicación y tendrá funciones de supervisión, fiscalización y sanción.

Última Hora señala que la ley contempla sanciones económicas por incumplimientos y que, en los casos graves vinculados a datos sensibles, incluidas situaciones con datos de menores de edad, el tramo máximo puede llegar hasta diez mil jornales mínimos. Con ese diseño, el control quedó concentrado en una autoridad específica que tendrá potestad para intervenir sobre el cumplimiento del régimen.

¿Cómo se cruza con la LGPD de Brasil?

La comparación con Brasil aparece en el corazón de la discusión porque la LGPD también alcanza tratamientos con efecto extraterritorial cuando el objetivo es ofrecer bienes o servicios a personas localizadas en Brasil, o cuando los datos fueron recolectados allí, sin importar el país de sede del responsable.

Para empresas paraguayas que operan en el mercado brasileño, el riesgo no termina en Asunción. La ANPD, autoridad federal de Brasil, puede aplicar multas de hasta el 2% de los ingresos del grupo en Brasil, con tope de 50 millones de reales por infracción, y además regula, orienta y fiscaliza el cumplimiento de la LGPD, recibe comunicaciones de incidentes y aplica las sanciones previstas en la ley.

La referencia a la LGPD y a la ANPD deja a las compañías paraguayas con una doble vara de cumplimiento cuando tratan datos vinculados a Brasil. En un caso, el nuevo régimen paraguayo fija obligaciones y sanciones propias. En el otro, la normativa brasileña ya prevé un esquema de fiscalización y multas con alcance relevante para operadores regionales.