La ley aplica a toda organización que trate datos de personas físicas. No importa el tamaño ni el rubro, sea pública o privada y con exigencias especialmente relevantes para el sector financiero.
Anticiparse es la vía para llegar preparados
La ley prevé un período de adecuación de 24 meses desde su promulgación, con vigencia plena en noviembre del año 2027. El plazo no es una pausa, es el tiempo para ordenar procesos y evitar decisiones apuradas.
Nuevos derechos para las personas
Los titulares de los datos ganan derechos concretos. Podrán acceder a su información y saber cómo se usa, pedir la corrección de datos erróneos, solicitar su eliminación cuando ya no sean necesarios, oponerse a ciertos usos y pedir sus datos para llevarlos a otro proveedor. Las empresas deberán atender estos pedidos en los plazos que fije la ley y sus reglamentaciones.
Qué deberán hacer las empresas
La ley trae obligaciones nuevas para las organizaciones. Cada tratamiento necesitará una base que lo habilite. El consentimiento, cuando corresponda, deberá ser previo, libre e informado. Habrá que entregar avisos de privacidad claros, y llevar un registro de las actividades de tratamiento.
Datos sensibles y biometría
Algunos datos reciben protección reforzada. Incluyen los datos biométricos, como la huella o el rostro. Necesitará una base sólida, información previa al personal y medidas de seguridad reforzadas.
Transferencias de datos al exterior
Enviar datos fuera del país será una transferencia internacional. Solo se permitirá hacia países con un nivel de protección adecuado. También se admitirá cuando existan garantías apropiadas, como cláusulas contractuales.
La autoridad y las sanciones
La ley crea la Agencia Nacional de Protección de Datos Personales (ANPDP). Funcionará dentro del MITIC. Será la encargada de supervisar, fiscalizar y sancionar. Sobre el régimen de sanciones, la ley prevé multas que escalan según la gravedad de 20 a 2.500 jornales mínimos, las que afectan datos sensibles llegan hasta 5.000 jornales, y las que afectan datos sensibles de niños, niñas y adolescentes alcanzan hasta 10.000 jornales.
La reglamentación de la ley se encuentra pendiente, esta deberá definir las condiciones operativas para su correcta implementación. Hasta entonces, el criterio prudente es trabajar sobre lo que la ley ya establece.
Hoja de ruta y acompañamiento
Conviene empezar la adecuación ahora. Un plan ordenado para anticiparse y accionar debe contener la evaluación del grado de cumplimiento actual frente a la normativa, la identificación de riesgos y debilidades asociados al tratamiento de datos personales, la verificación de la eficacia de las políticas internas y los procedimientos a ser implementados luego de trazar las acciones para solidificar la cultura de cumplimiento.
En Amaral acompañamos todo este proceso, integrando la mirada contable y legal para adecuar su organización a tiempo y sin sobresaltos.
Este material es informativo y general. No constituye asesoramiento para un caso concreto. Varios alcances dependerán de la reglamentación que dicte el Poder Ejecutivo y deberá ajustarse a las disposiciones complementarias que no hayan sido contempladas a la fecha de esta comunicación.
Para contactos favor dirigirse a Gianella Colmán (gcolman@amaral.com.py) o Iván Acuña (iacuna@amaral.com.py).