La Ley Nº 7593 de Protección de Datos Personales, cuya entrada en vigor está prevista para noviembre de 2027, cambiará de forma significativa la manera en que las empresas gestionan la información de sus trabajadores en Paraguay. Su impacto no quedará limitado a las áreas de tecnología o cumplimiento normativo: alcanzará prácticamente todo el ciclo de la relación laboral, desde la recepción de un currículum hasta la conservación o eliminación del legajo una vez finalizado el vínculo.
El punto de partida es simple, aunque sus implicancias son importantes: el trabajador es titular de sus datos personales y el empleador, al decidir para qué y de qué manera los utiliza, asume la responsabilidad sobre su tratamiento. Nombres, salarios, evaluaciones de desempeño, sanciones, certificados médicos, correos corporativos, imágenes de videovigilancia y registros biométricos estarán sujetos a principios como licitud, transparencia, finalidad, minimización, exactitud, seguridad y conservación limitada.
Este nuevo marco obliga a revisar una práctica todavía frecuente en muchas empresas: recopilar información “por si acaso” y conservarla de manera indefinida. La lógica será distinta. Cada dato deberá responder a una finalidad concreta, contar con una base jurídica válida y mantenerse únicamente durante el tiempo necesario para cumplir ese propósito.
El consentimiento será una de las posibles bases para el tratamiento, pero no la única. También podrán justificarlo la ejecución del contrato de trabajo, el cumplimiento de obligaciones legales —como las comunicaciones al IPS—, la defensa de derechos o la existencia de un interés legítimo debidamente evaluado.
Los datos sensibles requerirán una atención especial. Información relacionada con la salud, afiliación sindical, biometría, opiniones políticas, creencias religiosas, orientación sexual o datos genéticos pueden generar riesgos de discriminación y, por esa razón, exigirá mayores medidas de protección. Antes de implementar controles biométricos, sistemas de inteligencia artificial o mecanismos de monitoreo sistemático, las empresas deberán analizar su necesidad, proporcionalidad y los riesgos asociados.
La ley también refuerza los derechos de los trabajadores sobre su información, entre ellos el acceso, la rectificación, la supresión, la oposición y la portabilidad. Asimismo, cuando una decisión con efectos relevantes sea adoptada mediante sistemas automatizados —por ejemplo, el descarte de una candidatura o la aplicación de una medida laboral—, la intervención humana no debería reducirse a una formalidad, sino constituir una verdadera instancia de revisión.
Para las empresas, uno de los principales desafíos será poder demostrar que cumplen con estas obligaciones. Ya no bastará con afirmar que los datos fueron tratados correctamente. Será necesario acreditarlo mediante políticas internas, registros, contratos con proveedores, protocolos de seguridad y procedimientos claros para responder solicitudes de los titulares o comunicar eventuales brechas de seguridad.
La Agencia Nacional de Protección de Datos Personales tendrá facultades para fiscalizar, auditar y aplicar sanciones. Al mismo tiempo, un manejo inadecuado de la información podrá generar reclamos laborales, acciones judiciales y daños reputacionales para la organización.
En este contexto, el Reglamento Interno de Trabajo puede convertirse en una herramienta especialmente útil para ordenar estas cuestiones. Allí podrán definirse las finalidades del tratamiento, regularse los mecanismos de control, establecerse responsabilidades y fijarse criterios de conservación y confidencialidad. Naturalmente, su contenido deberá guardar coherencia con los contratos de trabajo, las políticas de Recursos Humanos y, sobre todo, con las prácticas reales de la empresa.
Esperar hasta noviembre de 2027 para comenzar a prepararse significaría desaprovechar un tiempo valioso. El primer paso debería ser identificar qué datos personales posee actualmente la empresa, para qué los utiliza, quién puede acceder a ellos, con quién los comparte y durante cuánto tiempo corresponde conservarlos.
La protección de datos no debería entenderse únicamente como una nueva obligación regulatoria. Bien implementada, puede ser también una oportunidad para profesionalizar la gestión laboral, prevenir conflictos y fortalecer la confianza dentro de la organización.
