Paraguai amplia regras sobre dados

Timeline da operação

Cadeia de ataque e TTPs

Não há cadeia de ataque no sentido clássico nem indicadores de intrusão, malware ou exploração técnica no material fornecido. O caso deve ser lido como uma sequência regulatória e de conformidade, em que a autoridade tributária define uma nova superfície de coleta de dados e a lei de proteção de dados fixa os limites de legitimidade desse tratamento. A tensão principal não é técnica no sentido forense, mas procedimental, documental e organizacional.

O vetor de exposição identificável é a expansão do volume e da granularidade de informações exigidas pela DNIT para supervisão fiscal. Segundo as fontes, o formulário pode incluir data e hora, identidades quando possível, wallets, redes, valores, comissões, custos de gás, hash e endereços de origem e destino. Esse nível de detalhe transforma o processo de reporte em um repositório sensível, com impacto em confidencialidade, integridade e minimização de dados.

Pela ótica de TTPs de conformidade, podem ser identificadas práticas obrigatórias e pontos de atrito. A inscrição da obrigação 959 no RUC, o uso do Marangatu e a apresentação anual no terceiro mês após o encerramento mostram um fluxo formalizado e repetível. O atrito aparece na falta de clareza sobre o momento exato do fato gerador do imposto de renda sobre operações com criptoativos, uma dúvida que permanece nas coberturas consultadas. Essa indefinição pode gerar erros de interpretação, entregas incompletas ou divergências entre o critério fiscal e o do contribuinte.

Impacto regional

Panorama regional

O efeito regional do caso paraguaio não vem de uma exportação normativa direta, mas da combinação de dois movimentos que muitas jurisdições da América Latina observam com atenção: uma lei de proteção de dados com arquitetura sancionatória e direitos robustos, e uma regra fiscal que exige rastreabilidade detalhada sobre criptoativos. O material disponível mostra que o debate não se limita a um formulário. Ele envolve a forma como um Estado justifica a captura de dados pessoais para fins tributários e como prepara empresas, plataformas e contribuintes para cumprir essa exigência.

A vacatio legis de 24 meses é uma peça central desse cenário. Segundo as fontes, a Lei N.º 7.593/2025 entra em plena vigência em 27 de novembro de 2027. Nesse intervalo, a Agência Nacional de Proteção de Dados Pessoais deveria consolidar seu funcionamento e os responsáveis pelo tratamento deveriam adaptar políticas, contratos, procedimentos de resposta e mecanismos de segurança. Ao mesmo tempo, a RG 47/2026 já impõe uma primeira onda de cumprimento em março de 2027, de modo que a transição ocorre com dois relógios diferentes.

Paraguai

O Paraguai é o único país do material com fatos verificáveis amplos e convergentes. A Lei N.º 7.593/2025 fixa um regime geral de dados pessoais, cria a Agência Nacional de Proteção de Dados Pessoais dentro do MITIC, prevê multas administrativas relevantes e exige regras de informação, resposta aos titulares, notificação de incidentes em 72 horas e controle sobre transferências internacionais. A regulação cripto, por sua vez, cria a obrigação 959, DJI Criptoactivos, dentro do Marangatu.

O limite de US$ 5.000 por ano vira a linha de ativação do reporte. As fontes indicam que a obrigação alcança pessoas físicas, pessoas jurídicas, entidades residentes e, em certos casos, plataformas que operam no Paraguai. Ela também cobre operações em plataformas estrangeiras e sem intermediários. O informe técnico não encontrou sinais de que a implementação esteja restrita a um nicho estreito. Ao contrário, o alcance descrito é amplo e envolve um espectro relevante de usuários e operadores.

A fricção regulatória aparece no tratamento dos dados. ABC Color registra que a DNIT precisa justificar necessidade e proporcionalidade de cada dado pessoal exigido. Essa exigência ganha peso porque o formulário demanda informações detalhadas por transação, e porque a lei de dados reconhece um conceito amplo de dado pessoal e concede aos titulares direitos específicos para controlar seu tratamento.

Argentina

Não foram identificados fatos verificáveis adicionais no material fornecido para a Argentina.

Chile

Não foram identificados fatos verificáveis adicionais no material fornecido para o Chile.

Bolívia

Não foram identificados fatos verificáveis adicionais no material fornecido para a Bolívia.

Peru

Não foram identificados fatos verificáveis adicionais no material fornecido para o Peru.

Colômbia

Não foram identificados fatos verificáveis adicionais no material fornecido para a Colômbia.

Brasil

Não foram identificados fatos verificáveis adicionais no material fornecido para o Brasil.

México

Não foram identificados fatos verificáveis adicionais no material fornecido para o México.

EUA

Não foram identificados fatos verificáveis adicionais no material fornecido para os Estados Unidos.

Uruguai

Não foram identificados fatos verificáveis adicionais no material fornecido para o Uruguai.

Indicadores técnicos

Não foram publicados IOCs de tipo técnico clássico, como endereços IP, domínios, hashes de malware ou artefatos de intrusão. O material disponível descreve obrigações regulatórias, limites de reporte, prazos, tipos de dados solicitados e sanções administrativas, mas não indicadores de comprometimento forense.

Análise para equipes de segurança

Para equipes de segurança, privacidade e conformidade, o caso deve ser tratado como uma implementação regulatória com impacto direto sobre inventários de dados, classificação da informação e controles de acesso. A primeira prioridade é entender quais dados transacionais e pessoais ficarão sob a obrigação 959, como eles são extraídos dos sistemas internos ou de terceiros e quais controles se aplicam antes de chegarem ao Marangatu. O nível de detalhe relatado pelas fontes sugere uma cadeia de tratamento com captura, validação, retenção e transmissão, com risco de exposição excessiva em cada etapa.

A segunda prioridade é documentar necessidade e proporcionalidade. A cobertura de ABC Color deixa claro que esse não é um ponto decorativo, mas um padrão material que pode condicionar a implementação. Se uma equipe preparar formulários, integrações ou fluxos de onboarding para usuários com atividade cripto, precisa conseguir explicar por que cada campo é indispensável, qual base legal o sustenta e por quanto tempo ele será mantido. Essa documentação também ajuda a responder a futuras demandas da Agência Nacional de Proteção de Dados Pessoais, especialmente quando o regime entrar em vigor plena.

Do ponto de vista operacional, a organização deveria alinhar três frentes. A frente fiscal, para cumprir a declaração anual no terceiro mês após o fechamento. A frente de privacidade, para atender informação ao titular, prazos de resposta, incidentes em 72 horas e regras sobre transferências internacionais. E a frente de segurança, para reduzir o risco de vazamento de um conjunto de dados que, por sua granularidade, pode revelar padrões financeiros, endereços de custódia e rastreabilidade de movimentos.

Uma leitura útil é separar dados obrigatórios de dados apenas convenientes. A RG 47/2026, segundo as fontes, exige muitos campos, mas isso não autoriza a coleta de informação adicional por mera comodidade operacional. O princípio de minimização, como apresentado nas coberturas sobre a Lei 7.593/2025, obriga a revisar cada campo. Isso inclui também procedimentos internos, modelos, APIs, exportações e logs que possam reter mais do que o necessário.

Perguntas frequentes

O que muda primeiro no Paraguai, a lei de dados ou o reporte cripto?

Muda primeiro o reporte cripto. A Resolução Geral N.º 47/2026 já define a obrigação de apresentar a primeira declaração em março de 2027 para o exercício de 2026, enquanto a Lei N.º 7.593/2025 entra em plena vigência em 27 de novembro de 2027. A ordem prática obriga a implementar privacidade e fiscalização em janelas diferentes.

Quais dados a DNIT exige e por que isso gera tensão com a lei de privacidade?

A DNIT exige informações por transação, como data e hora, wallets, hash, valores, comissões e endereços de origem e destino. Isso tensiona a Lei N.º 7.593/2025 porque a norma de dados pessoais estabelece um padrão amplo de proteção e obriga o Estado a justificar necessidade e proporcionalidade para cada dado solicitado.

Quem deve apresentar a declaração de criptoativos no Marangatu?

Segundo as fontes, devem apresentá-la residentes, pessoas jurídicas, entidades paraguaias e também responsáveis por plataformas que operam no Paraguai quando o total anual superar US$ 5.000. O regime cobre operações locais, no exterior e sem intermediários, e impõe a obrigação 959, DJI Criptoactivos, dentro do RUC.

Qual prazo os titulares têm para pedir acesso ou correção de dados no Paraguai?

A Lei N.º 7.593/2025 prevê que os responsáveis respondam em até 30 dias corridos, por meios simples e gratuitos. Esse prazo convive com deveres de informação na coleta, notificação de incidentes em 72 horas e regras sobre transferências internacionais.

Que sanções aparecem no novo marco paraguaio?

A lei de dados prevê multas administrativas de 20 a 2.500 jornales mínimos no regime geral, até 5.000 jornales quando se trata de dados sensíveis e até 10.000 jornales se houver dados sensíveis de crianças e adolescentes. No frente cripto, ABC Color informou multa de G. 1.000.000 por não apresentar a declaração informativa.

Limitações do material

O material não permite confirmar com evidência primária o grau exato de operação administrativa da Agência Nacional de Proteção de Dados Pessoais em 2026. Algumas fontes a apresentam como criada e dotada de autonomia funcional, enquanto outras descrevem sua implantação como prospectiva ou ainda em constituição. Este informe preserva essa incerteza.

Também não há elementos suficientes para reconstruir uma cadeia de ataque técnica, nem para identificar IOCs, vetores de intrusão, vítimas de incidentes ou domínios relacionados a malware. O caso é regulatório, não de ciberincidente clássico.

Quanto à RG 47/2026, o material permite afirmar o limite, o canal de reporte, a periodicidade e o tipo de informação exigida, mas deixa em aberto a discussão sobre o momento exato em que se configura o fato gerador do imposto de renda sobre operações com criptoativos. Essa dúvida aparece nas coberturas jornalísticas, não em um esclarecimento definitivo da DNIT dentro do research fornecido.

Os países sem cobertura verificável adicional no material são Argentina, Chile, Bolívia, Peru, Colômbia, Brasil, México, Estados Unidos e Uruguai.

Gráficos