Ley 7593/2025 de datos personales en Paraguay: qué preparar antes de 2027

En este artículo

27/11/2027

entra en vigor la Ley 7593/2025: 24 meses después de su publicación del 27/11/2025

Los plazos que fija la ley

Obligación	Plazo y artículo
Avisar un incidente a la Agencia y, si corresponde, al titular	Máximo 72 horas desde que lo conoces (art. 17)
Responder un pedido de acceso, rectificación, supresión, oposición o portabilidad	Máximo 30 días corridos (art. 26)
Dejar de usar los datos tras una oposición	10 días hábiles; 15 si es marketing directo (art. 30)
Avisar una rectificación a quien recibió los datos	Dentro del quinto día hábil (art. 29)
Respuesta de la Agencia a una consulta previa	30 días hábiles (art. 15)
Pagar una multa	30 días hábiles desde la notificación (art. 49)

Plazo y artículo

Avisar un incidente a la Agencia y, si corresponde, al titular

Máximo 72 horas desde que lo conoces (art. 17)

Responder un pedido de acceso, rectificación, supresión, oposición o portabilidad

Máximo 30 días corridos (art. 26)

Dejar de usar los datos tras una oposición

10 días hábiles; 15 si es marketing directo (art. 30)

Avisar una rectificación a quien recibió los datos

Dentro del quinto día hábil (art. 29)

Respuesta de la Agencia a una consulta previa

30 días hábiles (art. 15)

Pagar una multa

30 días hábiles desde la notificación (art. 49)

Qué hacer si se filtran datos: 72 horas

Incidente de seguridad: el reloj corre desde que lo conoces

Sin plan

1. 1Correo sueltoNadie sabe quién avisa
2. 2Se descubre tardePasan las 72 h
3. 3Falta graveArt. 45

Con plan

1. 1DetectarAlerta con hora registrada
2. 2EvaluarQué datos y cuántas personas
3. 3NotificarAgencia y titulares, ≤ 72 h
4. 4RegistrarCausa y medidas tomadas

Notificar tarde o incompleto es falta leve (art. 44); no notificar es falta grave (art. 45). Si un proveedor trata los datos por ti y no te avisa, también es falta grave (art. 45).

Cuánto puede costar una falta

Multa máxima por tipo de datos, con el jornal mínimo de hoy

• Multa mínima · 20 jornalesGs. 2.341.540
• Tope general · 2.500 jornalesGs. 292.692.500
• Datos sensibles · 5.000 jornalesGs. 585.385.000
• Sensibles de menores · 10.000 jornalesGs. 1.170.770.000

En dólares, el tope general equivale a unos USD 51.400 (BCP, USD 1 = Gs. 5.694,47 al 9/10/2026). La Agencia gradúa la multa según la gravedad, la buena fe, la reincidencia y las medidas que ya tenías (art. 47), y puede sumar la suspensión del tratamiento (art. 46).

¿Necesitas una evaluación de impacto?

Evaluación de impacto obligatoria (art. 14)

Pregunta 1

¿Usas un sistema automatizado o con IA para decidir sobre personas con efectos jurídicos o similares (por ejemplo, aprobar o negar un crédito)?

SíNo

Un scoring de crédito automatizado cae en la primera pregunta. Además, el cliente puede pedir que revisen la decisión y conocer los criterios usados (art. 33).

Bancos, cooperativas y datos crediticios

Los datos crediticios siguen bajo su ley específica, la 6534/2020; la 7593 se aplica en lo que esa ley no prevé (art. 21). La Agencia reemplaza a la Secretaría de Defensa del Consumidor y el Usuario en las referencias de la Ley 6534 (art. 58). Las transferencias bancarias y bursátiles no necesitan garantías extra para enviar al exterior los datos de cada transacción (art. 19).

Si usas un proveedor de IA o de nube fuera de Paraguay, eso es una transferencia internacional. Necesitas un país con nivel adecuado, cláusulas contractuales u otra garantía, o que el envío sea necesario para el contrato con el cliente (art. 19). Lo mismo aplica a un chatbot de WhatsApp o a un asistente RAG que lea legajos de clientes.

¿Qué tan lista está tu empresa?

Preparación para la Ley 7593/2025

0 % · 0 de 8 controles que aplicanLo primero que falta: inventario de datos y base legal por usoCopiar lo que falta

Riesgo alto: hoy no podrías responder un pedido ni un incidente a tiempo.

Los de mayor riesgo pesan más en el puntaje.

Inventario

• Sabes qué datos personales guardas, en qué sistema, para qué y por cuánto tiempo.

Base legal

• Cada uso tiene su base legal (consentimiento, contrato, obligación legal o interés legítimo) y puedes probarla (art. 5).

Incidentes

• Hay un responsable y un procedimiento para avisar un incidente en 72 horas (art. 17).

Derechos

• Un canal gratuito recibe y responde pedidos de acceso, rectificación, supresión, oposición y portabilidad en 30 días (art. 26).

Proveedores

• Cada proveedor que trata datos por ti tiene contrato con objeto, duración, finalidad y tipos de datos (art. 11).

Transparencia

• El aviso de privacidad incluye base legal, plazos de conservación, transferencias y decisiones automatizadas (art. 27).

Exterior

• Los envíos de datos a nube o IA fuera del país tienen garantía o base del art. 19.

Acceso

• Cada empleado ve solo los datos que necesita para su tarea.

Los pesos son un ejemplo de BlueliftAI para priorizar; los requisitos son los artículos citados.

Antes del 27/11/2027

Copiar checklist

• Inventario de bases de datos personales: sistema, finalidad, base legal y plazo de conservación.
• Aviso de privacidad con los 9 puntos del art. 27, incluidas las decisiones automatizadas.
• Formulario y responsable para pedidos de titulares, con respuesta en 30 días corridos.
• Procedimiento de incidentes con aviso en 72 horas y registro de cada caso.
• Contratos con proveedores que tratan datos (art. 11) y garantías para envíos al exterior (art. 19).
• Evaluación de impacto si aplica el art. 14: scoring automatizado, datos sensibles a gran escala o cámaras en lugares públicos.
• Revisar el decreto reglamentario cuando se publique: define cuándo es obligatorio el oficial de protección de datos (art. 18).

Por dónde seguir

Para bancos y cooperativas, el contexto está en IA para banca y fintech y IA para cooperativas. Los procesos con más datos personales suelen ser el onboarding digital y KYC y el monitoreo transaccional. En el diagnóstico gratuito revisamos qué proceso trata más datos de clientes y cómo automatizarlo con acceso por rol y registro de cada consulta.

Fuentes: Ley N° 7593/2025 de protección de datos personales, BACN (promulgada y publicada el 27/11/2025; arts. 2, 5, 11, 14, 15, 17, 18, 19, 21, 26, 27, 29, 30, 33, 34, 35, 44 a 47, 49, 57, 58 y 60); Resolución MTESS N° 670/2026 (jornal mínimo Gs. 117.077 desde el 1/7/2026); BCP, cotización de monedas (9/10/2026). Esta guía no es asesoría legal.