La entrada en vigencia del nuevo marco regulatorio sobre protección de datos personales marca uno de los cambios más significativos para el sector empresarial paraguayo de los últimos años.
Las organizaciones que hasta ahora abordan la privacidad como una cuestión contractual o de buenas prácticas deberán adaptarse a un régimen que incorpora nuevas obligaciones, responsabilidades claramente definidas y un sistema de sanciones que eleva la gestión de datos al nivel de riesgo corporativo.
En la foto: Stephan Vysokolán, abogado especializado en derecho financiero, empresarial y protección de datos
Para Stephan Vysokolán, abogado especializado en derecho financiero, derecho empresarial y protección de datos, la adecuación no debe entenderse únicamente como un proceso jurídico. A su criterio, implica transformar la forma en que las empresas administran la información de clientes, colaboradores y proveedores, incorporando una cultura organizacional orientada a la protección de datos y al cumplimiento normativo.
Director de Vysokolán Consultores, primer abogado paraguayo con Certificación Internacional en protección de datos y privacidad y representante en Paraguay de la Asociación Latinoamericana de Privacidad (ALAP), Vysokolán conversa con PLUS sobre los principales desafíos que plantea la nueva legislación, los riesgos de no adecuarse a tiempo y las oportunidades que representa para las empresas que decidan anticiparse.
«La protección de datos dejó de ser una buena práctica para convertirse en una obligación legal»
Con respecto a la nueva ley de protección de datos personales, las empresas atraviesan un periodo de adecuación; con respecto a los cambios que introduce esta normativa, Vysokolán explica que Paraguay pasa de contar con referencias dispersas sobre privacidad en distintas normas a disponer de un régimen integral que se consolida con la Ley Nº 6534/2020 y que continuará desarrollándose con la Ley Nº 7593/2025, la cual prevé la creación de la Autoridad Nacional de Protección de Datos Personales (ANPR) hacia finales de 2027.
A partir de este nuevo escenario, el tratamiento de datos personales deja de depender exclusivamente de acuerdos contractuales o políticas internas y pasa a constituir una obligación legal exigible, con responsabilidades claramente definidas para cada uno de los actores involucrados en el tratamiento de la información.
«Por primera vez el tratamiento de datos personales deja de ser un tema exclusivamente contractual o de buenas prácticas para convertirse en una obligación legal exigible», afirma.
El especialista destaca que se trata de una legislación transversal, que no se limita al sistema financiero. Empresas del sector salud, comercio, industria, servicios y cualquier organización que recopile información de clientes, trabajadores o proveedores deberán adecuarse al nuevo marco normativo.
La adecuación involucra a toda la organización
Para Vysokolán, el primer paso consiste en conocer con precisión qué datos personales administra cada empresa y con qué finalidad los utiliza. A partir de ese diagnóstico será necesario clasificar la información, identificar la base legal que legitima cada tratamiento, establecer mecanismos para atender el ejercicio de los derechos de los titulares, revisar los contratos celebrados con proveedores que procesan datos personales e implementar protocolos para responder adecuadamente ante incidentes o brechas de seguridad.
Aclara que este proceso no puede limitarse a las áreas legales o de tecnología. Recursos Humanos, Marketing, Comercial y Atención al Cliente manipulan información personal diariamente y, por ello, deberán incorporar procedimientos específicos y recibir capacitación.
«Una política de privacidad impecable no sirve si quien atiende al cliente no sabe qué puede y qué no puede hacer con ese dato», sostiene.
«Muchas empresas siguen tratando los datos personales como si no tuvieran dueño»
Según el especialista, uno de los problemas más frecuentes consiste en considerar los datos personales como un activo de la empresa sin establecer responsabilidades claras sobre su administración. “Se recolectan, almacenan y comparten datos sin que exista claridad sobre quién es responsable de esa información dentro de la organización” señala.
A ello se suman contratos con proveedores que no contemplan obligaciones específicas sobre protección de datos, la ausencia de políticas de conservación de la información y la práctica de almacenar datos indefinidamente «por las dudas», sin criterios de necesidad o proporcionalidad.
Vysokolán también observa que muchas organizaciones responden a incidentes informáticos reforzando únicamente sus herramientas tecnológicas, sin abordar el problema de fondo. «La ciberseguridad protege sistemas; la protección de datos exige gobernanza sobre la información misma y sin esa gobernanza cualquier inversión tecnológica es un parche.»
Riesgos que pueden afectar incluso la estabilidad financiera
El abogado sostiene que las consecuencias pueden manifestarse en tres dimensiones: legal, económica y reputacional. Desde el punto de vista jurídico, las empresas quedarán expuestas a sanciones administrativas y a reclamos promovidos por los titulares cuyos derechos hayan sido vulnerados.
En el plano económico, advierte que una adecuación realizada de manera reactiva, luego de una fiscalización o de una filtración de información, suele implicar costos considerablemente mayores que un proceso planificado.
Sin embargo, considera que uno de los aspectos menos comprendidos por el sector privado es el alcance del régimen sancionatorio previsto en la nueva ley. «La Ley Nº 7593/2025 prevé multas que pueden llegar hasta 10.000 jornales. Con el jornal mínimo vigente, eso representa sanciones superiores a G. 1.170 millones por infracción», explica.
Añade que el verdadero riesgo radica en que una misma empresa podría enfrentar múltiples denuncias derivadas de un mismo incidente, acumulando sanciones que, especialmente para organizaciones medianas o pequeñas, podrían comprometer seriamente su liquidez e incluso derivar en situaciones de incumplimiento financiero.
«Por eso la adecuación no debe verse como un costo, sino como una herramienta de gestión del riesgo financiero.»
Sectores con mayores desafíos
Vysokolán considera que el sistema financiero y el sector salud serán los más exigidos debido al volumen y a la sensibilidad de los datos que administran diariamente, como información patrimonial, historial crediticio y datos médicos.
No obstante, aclara que el comercio y las empresas de servicios también deberán acelerar sus procesos de adecuación, ya que históricamente no desarrollaron estructuras de cumplimiento tan robustas como otros sectores.
En el caso de la industria, el desafío se extiende a la gestión de información de colaboradores, proveedores y cadenas de suministro cada vez más complejas. A todos estos sectores los atraviesa una misma dificultad: la escasez de profesionales especializados en protección de datos, lo que podría ralentizar los procesos de adecuación durante los próximos años.
«La confianza será una ventaja competitiva»
A la interrogativa de si una adecuada gestión de datos personales puede convertirse en una ventaja competitiva, para Vysokolán, la respuesta es claramente afirmativa.
Explica que las organizaciones capaces de demostrar transparencia en la forma en que administran la información de sus clientes fortalecerán uno de los activos más valiosos para cualquier empresa: la confianza.
Una gestión ordenada de los datos también permite reducir riesgos operativos, disminuir la exposición a reclamos y optimizar procesos internos al conocer exactamente qué información posee la empresa y cómo debe administrarla.
«La experiencia internacional demuestra que las empresas que primero mostraron madurez en esta materia lograron posicionarse mejor frente a clientes corporativos y reguladores. En Paraguay todavía existe una oportunidad concreta para diferenciarse.»
Empezar por el diagnóstico, no por la tecnología
El especialista sostiene que todo proceso debe comenzar con un diagnóstico que permita identificar qué datos personales trata la organización, con qué finalidad se utilizan y quiénes tienen acceso a ellos. Sin ese conocimiento, afirma, cualquier política de privacidad se construirá sobre supuestos y no sobre la realidad operativa de la empresa.
Posteriormente recomienda capacitar al personal que trabaja diariamente con información personal, designar un responsable interno para coordinar el proceso y revisar los contratos suscritos con proveedores que intervienen en el tratamiento de datos.
Finalmente, insiste en que las empresas no deben reducir la adecuación a la compra de nuevas soluciones tecnológicas.
«No debemos confundir protección de datos con ciberseguridad. La tecnología acompaña, pero el verdadero problema que hoy enfrentan muchas organizaciones no es la falta de herramientas, sino la ausencia de una cultura de protección de datos. Empezar por ahí es empezar por la raíz.»
Perfil
Stephan Vysokolán es abogado con más de 25 años de trayectoria profesional, especializado en derecho financiero, derecho empresarial y protección de datos personales. Es director de Vysokolán Consultores, firma que asesora a entidades financieras, empresas de crédito, burós de información comercial y organizaciones de distintos sectores en materia regulatoria y de cumplimiento.
Es el primer abogado paraguayo con Certificación Internacional en Protección de Datos y Privacidad y actualmente representa a Paraguay ante la Asociación Latinoamericana de Privacidad (ALAP). Además, es columnista de la revista especializada Créditos y Consumo y desarrolla programas de capacitación corporativa sobre privacidad, protección de datos y cumplimiento normativo.
