Empezar por lo básico en la Nueva Ley de datos
Por Esteban Gómez Núñez

En noviembre de 2025 Paraguay promulgó la Ley 7593, la primera norma integral de protección de datos personales de nuestra historia. Entra en plena vigencia a fines de noviembre de 2027 y alcanza a toda organización, pública o privada, grande o pequeña, que maneje datos de personas, sean clientes, proveedores o empleados; crea además una Agencia Nacional con facultades para fiscalizar y sancionar, con multas que en su tramo más alto llegan a los diez mil jornales mínimos.

En abril de 2018 recorrí oficinas de Meta, Pinterest y otras empresas tecnológicas en Silicon Valley, esperando hablar de producto, escala y crecimiento, y me encontré con que el asunto que atravesaba todas las reuniones era el nuevo reglamento europeo de datos (GDPR), que estaba por entrar en aplicación. Lo que más me marcó no fue el tamaño del esfuerzo, sino quiénes lo conducían, porque no eran los abogados sino los equipos de producto, discutiendo qué información pedirle a un usuario y con qué propósito; ahí entendí que esto se define mucho antes de llegar a un escritorio legal, y que Paraguay está justamente en ese momento previo.

La ley abre muchos frentes, aunque hay dos que conviene atender primero, y son menos técnicos de lo que parecen; los dos giran alrededor de nuestros clientes, de la información que nos confían y de lo que tienen derecho a esperar de nosotros.

Saber qué datos guardamos
La ley nunca usa la palabra inventario, sin embargo casi todo lo demás depende de él.
Si mañana un cliente pregunta qué información suya guardamos, para qué la usamos y hasta cuándo la conservamos, hay treinta días para responderle, y esa respuesta no la podemos improvisar. El problema es que en la mayoría de las organizaciones los datos personales no viven en un sistema ordenado, sino repartidos en planillas, casillas de correo, carpetas compartidas y en el teléfono de alguien. Armar ese mapa no requiere tecnología ni presupuesto, requiere decisión y método, y es por lejos el paso más barato de toda la adecuación de la ley.

Poder explicar para qué los usamos
Toda persona tiene derecho a saber, en lenguaje claro, qué información suya se está usando y con qué propósito, y esa explicación es la que ordena todo lo demás.
Existe la creencia de que para cada uso hay que pedir permiso, cuando en realidad la ley admite varias razones válidas para tratar datos y el consentimiento es apenas una de ellas, dado que cumplir una obligación legal o ejecutar un contrato también alcanzan.

Pedir consentimiento para todo resulta tan poco útil como no pedirlo nunca, y además nos deja en una posición frágil, porque quien lo dio puede retirarlo cuando quiera. Lo que corresponde es simple de enunciar, aunque trabajoso de hacer; revisar para qué se usa cada conjunto de datos, definir cuál es la razón que lo sostiene y poder decirlo sin rodeos.

Los dos ejercicios convergen en el punto que define el espíritu de la norma, que es que la carga de la prueba recae sobre la empresa, de modo que no alcanza con cumplir, hay que poder demostrarlo, y nadie demuestra en una inspección lo que no documentó antes.

Con esta ley Paraguay se puso a la altura de lo que hoy exigen los mercados con los que quiere hacer negocios, y eso conviene no perderlo de vista.
Tenemos poco más de un año, que alcanza y sobra para hacerlo bien, y también alcanza y sobra para no hacer nada.