Paraguai reforça debate sobre lei de cibersegurança

Atualização 29 de agosto de 2026: Miguel Ángel Gaspar somou críticas públicas ao projeto de Lei de Cibersegurança e o vinculou à demora na vigência plena da Lei de Proteção de Dados Pessoais, prevista apenas para novembro de 2027. Também ganharam força os questionamentos sobre o alcance do expediente D-2585561 e sobre lacunas como a falta de um CERT nacional institucionalizado, de notificação obrigatória de incidentes e de orçamento estatal específico.

Miguel Ángel Gaspar voltou a colocar em foco o projeto de «Ley de Ciberseguridad en el Paraguay» e o conectou ao atraso na operacionalização da Lei de Proteção de Dados Pessoais, que, segundo o Última Hora, já foi sancionada, mas só entrará em vigor em novembro de 2027. Nesse cenário, a discussão legislativa ficou presa a um período prolongado em que várias obrigações de conformidade seguem sem um marco legal pleno.

O que aconteceu no Senado com o projeto contra o ciberacoso?

A Comissão de Família, Niñez, Adolescência e Juventude do Senado realizou uma mesa técnica interinstitucional para analisar o projeto de lei que previne e pune o bullying e o ciberacoso em instituições educacionais. Nessa instância, foram propostas mudanças e marcada uma nova reunião para discuti-las.

O projeto foi apresentado pela senadora Lizarella Valiente, da ANR, em 20 de abril de 2026. Segundo a cobertura da 1000 Noticias, o objetivo é atualizar a normativa vigente sobre bullying e ciberacoso nos níveis inicial, básico e médio. O fato de terem sido sugeridas alterações e de outra reunião ter sido agendada confirma que o texto continua em revisão legislativa e ainda não chegou a uma definição final.

O que decidiu a Câmara sobre a futura Lei de Cibersegurança?

Na Câmara de Deputados, decidiu-se organizar uma mesa técnica interinstitucional para articular mudanças no projeto de Lei de Cibersegurança e fazer com que a futura norma seja, segundo a própria cobertura parlamentar, 100% aplicável.

O site oficial da Câmara descreveu que a iniciativa busca estabelecer um marco legal integral para prevenir, detectar e responder a ameaças e incidentes cibernéticos, além de proteger sistemas informáticos, informações e infraestruturas críticas do país. O ABC Color acrescentou que, na audiência pública, vários deputados pediram que o trabalho da mesa técnica fosse respeitado e criticaram o antecedente da tramitação da Lei de Proteção de Dados Pessoais, em que, segundo disseram, a maioria governista desconsiderou dois anos de debate para impor uma versão alternativa que chegou no mesmo dia da sessão.

O projeto de «Ley de Ciberseguridad en el Paraguay» também foi debatido em uma audiência pública na segunda-feira, 17 de agosto de 2026, no Congresso, com participação de diferentes setores técnicos. Segundo o ABC Color e a cobertura da Câmara, a iniciativa segue em estudo e a audiência terminou com a proposta de uma nova mesa de trabalho para continuar revisando o texto.

A Tribuna acrescentou depois um novo nível de debate sobre o projeto Exp. D-2585561. Em sua análise, a iniciativa não se limita à defesa de sistemas críticos, mas também pretende abranger infraestrutura crítica, tarifas, doutrina militar, inteligência artificial e nanotecnologia, o que mostra que o texto ainda está em discussão pública.

O mesmo artigo sustentou que a lei deveria institucionalizar um CERT nacional, obrigar a notificação de incidentes em infraestruturas críticas e destinar orçamento específico à cibersegurança do Estado. Além disso, sugeriu como piso razoável a destinação de 20% do FONTIC. São observações de opinião, mas refletem que o projeto segue aberto a mudanças e não esgotou sua discussão.

Que lacunas regulatórias aparecem no debate?

O debate expôs três lacunas concretas, segundo a Tribuna e as declarações de Gaspar ao Última Hora: o Paraguai não tem um CERT nacional institucionalizado por lei, não existe uma obrigação legal clara de notificar incidentes em infraestruturas críticas e também não há orçamento genuíno e específico para cibersegurança estatal.

Gaspar também relacionou esse quadro à Lei de Proteção de Dados Pessoais, porque a norma já foi sancionada, mas ainda não está plenamente operativa. Para o especialista, isso deixa um longo intervalo em que o tratamento de dados não fica submetido a obrigações plenas de conformidade semelhantes a padrões como o RGPD.

A combinação entre um projeto de Lei de Cibersegurança ainda em debate e uma lei de dados adiada até novembro de 2027 também impacta o compliance. As obrigações sobre incidentes, a institucionalização do CERT nacional e a supervisão sobre o uso de inteligência artificial no tratamento de dados pessoais continuam fragmentadas e dependem mais de normas gerais, políticas setoriais e boas práticas voluntárias do que de mandatos legais específicos.

Como isso se cruza com a lei de dados pessoais e a IA?

A Lei N.º 7.593/2025 de Proteção de Dados Pessoais foi promulgada como a primeira lei integral de dados do país, mas ainda não está plenamente vigente e deve passar a ser exigível apenas em novembro de 2027, após uma vacatio legis de dois anos.

De acordo com a análise jurídica de Diego Ceredi, a lei foi inspirada no GDPR europeu e cria a Agência Nacional de Proteção de Dados Pessoais, sob dependência do MITIC, com poder de inspeção e sanção administrativa. A mesma análise detalha que as multas previstas vão de 20 a 2.500 jornales mínimos em infrações gerais, sobem para 5.000 jornales se houver tratamento de dados sensíveis e chegam a 10.000 jornales quando as infrações afetam dados de crianças e adolescentes.

O Economia Virtual Paraguay informou ainda que, enquanto a Lei 7.593/2025 aguarda sua entrada em vigor plena, tramitam no Congresso dois projetos de lei voltados a regular a inteligência artificial, sem que exista até agora uma lei específica de IA promulgada. Na mesma linha, a La Nación Paraguay noticiou que, em maio de 2025, foi apresentado no Senado um projeto para regular e promover a criação, o desenvolvimento, a inovação e a implementação de sistemas de IA, com classificação de riscos, prevenção e mitigação, além da defesa dos direitos das pessoas afetadas.

O Diario Libre acrescentou que a nova legislatura incluiu iniciativas relacionadas a justiça, água, cibersegurança e inteligência artificial, e que o presidente da Câmara de Deputados destacou a necessidade de uma legislação específica sobre IA por seu impacto em educação, saúde, emprego, justiça, segurança e serviços públicos.

A discussão pública também ganhou uma crítica nas redes sociais, onde Gaspar descreveu o projeto como uma tentativa de «regular o Ironman». A frase reforçou as objeções sobre a amplitude do expediente D-2585561 e sobre a técnica legislativa usada para abarcar tecnologias avançadas sem um detalhamento claro de competências.