La Cámara de Diputados de Paraguay aprobó el proyecto de Ley de Protección de Datos Personales de PARAGUAY el 17 de diciembre de 2024, y hoy, 27 de mayo de 2025, se confirma su aprobación final, siendo remitido a la Cámara de Senadores para su revisión.

Este proyecto busca establecer un marco integral para proteger los datos personales de las personas físicas, garantizando derechos como la privacidad, la autodeterminación informativa y el acceso, rectificación, cancelación y oposición (derechos ARCO). Además, propone la creación de una autoridad de aplicación para supervisar el cumplimiento de la normativa y establecer sanciones por infracciones.

La ley tiene como objetivo alinear a Paraguay con estándares internacionales, como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea, facilitando el intercambio de datos con países que exigen niveles adecuados de protección y promoviendo prácticas responsables en el sector público y privado. La discusión artículo por artículo estaba programada para el 4 de marzo de 2025, pero la aprobación de hoy marca un avance significativo.

A continuación, detallo los derechos específicos, las obligaciones de las empresas y el impacto de la ley, basándome en la información disponible sobre el proyecto y su contexto:

Derechos específicos de los titulares de datos

La ley consagra los derechos fundamentales relacionados con la privacidad y la autodeterminación informativa, comúnmente conocidos como derechos ARCO, además de otros principios clave:

• Acceso: Los ciudadanos tienen derecho a saber qué datos personales suyos están siendo tratados, por quién, con qué finalidad y durante cuánto tiempo. Esto incluye el derecho a obtener una copia de los datos en un formato claro y accesible.
• Rectificación: Los titulares pueden exigir la corrección de datos inexactos, incompletos o desactualizados, asegurando que la información que los representa sea veraz.
• Cancelación (o Supresión): Se permite solicitar la eliminación de datos personales cuando ya no sean necesarios para la finalidad original, cuando se haya retirado el consentimiento o cuando el tratamiento sea ilícito.
• Oposición: Los ciudadanos pueden oponerse al tratamiento de sus datos para fines específicos, como el marketing directo, o cuando el uso de los datos pueda causarles perjuicio.
• Portabilidad (en línea con estándares internacionales): Aunque no se detalla explícitamente en todas las fuentes, la ley podría incluir el derecho a recibir los datos en un formato estructurado y transferirlos a otro responsable, facilitando la movilidad de datos entre servicios.
• No ser objeto de decisiones automatizadas: Los titulares tienen derecho a no ser sometidos a decisiones basadas únicamente en el tratamiento automatizado de datos (como perfiles o algoritmos) que afecten significativamente sus derechos.

Estos derechos buscan empoderar a los ciudadanos, otorgándoles control sobre su información personal y asegurando que las organizaciones respeten su privacidad.

Obligaciones de las empresas

La ley impone una serie de responsabilidades a las empresas y organizaciones (tanto públicas como privadas) que manejen datos personales, con el objetivo de garantizar un tratamiento responsable y seguro:

• Consentimiento Informado: Las empresas deben obtener el consentimiento explícito, libre e informado de los titulares antes de recolectar o tratar sus datos, especificando claramente las finalidades del tratamiento.
• Transparencia: Deben informar a los titulares sobre cómo se utilizan sus datos, quiénes tienen acceso a ellos y cómo pueden ejercer sus derechos ARCO.
• Seguridad de los Datos: Las empresas están obligadas a implementar medidas técnicas y organizativas para proteger los datos contra accesos no autorizados, pérdidas o ciberataques. Esto incluye protocolos de seguridad, cifrado y auditorías regulares.
• Notificación de Brechas de Seguridad: En caso de una violación de datos, las empresas deben notificar a la autoridad de protección de datos y a los afectados en un plazo determinado, mitigando cualquier daño potencial.
• Designación de un Responsable de Protección de Datos: Dependiendo del tamaño de la empresa o del volumen de datos que maneje, podría exigirse la designación de un oficial de protección de datos para supervisar el cumplimiento.
• Transferencias Internacionales: Las empresas que transfieran datos a terceros países deben garantizar que estos cumplan con estándares de protección equivalentes, lo que podría requerir acuerdos específicos o cláusulas contractuales.
• Cumplimiento y Auditorías: Las organizaciones deben someterse a la supervisión de la autoridad de protección de datos, que podrá realizar auditorías y exigir documentación sobre el tratamiento de datos.

Impacto de la Ley de Protección de Datos Personales de Paraguay

La aprobación de esta ley tiene implicaciones significativas para Paraguay en múltiples niveles:

• Protección de los Ciudadanos: La ley fortalece la privacidad de los paraguayos, dándoles herramientas legales para proteger su información en un contexto de creciente digitalización. Esto es especialmente relevante en áreas como el comercio electrónico, la banca digital y las redes sociales.
• Alineación con Estándares Internacionales: Al adoptar principios similares al GDPR, Paraguay se posiciona como un país con un marco confiable para la protección de datos, lo que facilita el comercio y las relaciones con países y empresas que exigen altos estándares de privacidad. Esto podría impulsar la inversión extranjera y la integración en mercados globales.
• Impacto en las Empresas: Las organizaciones, especialmente las pymes, enfrentarán el desafío de adaptarse a las nuevas regulaciones, lo que podría implicar costos iniciales para implementar medidas de seguridad y capacitación. Sin embargo, a largo plazo, esto fomentará prácticas más responsables y competitivas, aumentando la confianza de los consumidores.
• Creación de una Autoridad de Protección de Datos: La ley establece una entidad supervisora que será clave para garantizar el cumplimiento, investigar infracciones y aplicar sanciones. Esto podría generar un nuevo ecosistema institucional en Paraguay, fortaleciendo la gobernanza digital.
• Sanciones por Incumplimiento: Las empresas que no cumplan con la ley podrían enfrentar multas significativas, lo que incentivará la adopción de buenas prácticas, pero también podría suponer un reto para aquellas con recursos limitados.
• Fomento de la Innovación Responsable: La ley promueve un equilibrio entre la innovación tecnológica (como el uso de inteligencia artificial o big data) y la protección de derechos, asegurando que el desarrollo digital no comprometa la privacidad.
• Impacto Regional: Paraguay se suma a países como Brasil, Argentina y Chile, que ya cuentan con leyes de protección de datos, fortaleciendo el marco regional para la privacidad y la cooperación en materia de datos.

Otras consideraciones

• Implementación: La efectividad de la ley dependerá de la capacidad de la autoridad de protección de datos para operar de manera independiente y eficiente, así como de la sensibilización pública sobre los derechos de los ciudadanos.
• Desafíos para Pymes: Las pequeñas y medianas empresas podrían necesitar apoyo gubernamental o programas de capacitación para cumplir con las nuevas obligaciones, especialmente en términos de ciberseguridad.
• Contexto Digital: En un país donde la conectividad y el uso de servicios digitales están en crecimiento, esta ley llega en un momento crucial para prevenir abusos en el manejo de datos y fomentar la confianza en la economía digital.

En FF Informática y Comunicación, hemos adaptado a cientos de empresas a las leyes de protección de datos en Europa y EEUU, entendemos la importancia de proteger los datos personales y cumplir con las leyes de protección de datos tanto a nivel nacional en Paraguay como internacional.

Con nuestro equipo de expertos en derecho y tecnología, podemos guiarle a través del complejo panorama de las regulaciones de datos, asegurando que su empresa cumpla con todas las normativas aplicables y proteja la privacidad de sus clientes. Le ayudamos a prepararse para la próxima ley de protección de datos en Paraguay, asegurando que su empresa esté lista para cumplir con las nuevas regulaciones cuando entren en vigor.

Que hacemos

Adaptación a leyes de protección de datos: Ayudamos a su empresa a cumplir con las leyes de protección de datos nacionales e internacionales.

Cumplimiento de leyes de comercio electrónico: Aseguramos que sus operaciones en línea cumplan con las leyes de comercio electrónico aplicables en las jurisdicciones donde opera.

Auditoría y adaptación de su sitio web a las leyes de protección de datos: Garantizamos que su web cumpla con las normativas vigentes en las jurisdicciones donde opera.

Redacción e implementación de políticas de privacidad: Creamos políticas de privacidad personalizadas que cumplen con las normativas y protegen los datos de sus clientes, implementándolas en sus sistemas y procesos.

Auditoría de sistemas para cumplimiento: Realizamos auditorías exhaustivas de sus sistemas para identificar y corregir cualquier incumplimiento con las leyes de protección de datos.

Asesoramiento para la protección de datos: Proporcionamos orientación experta sobre las mejores prácticas de protección de datos, ayudándole a mantenerse al día con las regulaciones cambiantes.

Preparación para el Proyecto de Ley de Protección de Datos Personales del Paraguay: Le ayudamos a prepararse para la próxima ley de protección de datos en Paraguay, asegurando que su empresa esté lista para cumplir con las nuevas regulaciones cuando entren en vigor.

Gestión de consentimientos y cumplimiento de Cookies: Ofrecemos auditorías y soluciones especializadas para garantizar que su sitio web cumpla con las normativas de gestión de cookies y consentimientos, alineándose con estándares como el RGPD, la Ley de Servicios de la Sociedad de la Información (LSSI) y futuras regulaciones en Paraguay.

Puede encontrar más información aquí: Adaptación ley de protección de datos de Paraguay