Ley 7593: datos personales en condominios

¿Desde cuándo rige la Ley 7593?

La ley entra en vigor luego de transcurridos 24 meses de su publicación oficial (art. 57). La BACN registra la promulgación y la publicación el 27 de noviembre de 2025, así que la entrada en vigor cae a fines de noviembre de 2027. En el mismo plazo, el Poder Ejecutivo tiene que reglamentarla (art. 60).

Varios puntos quedan para la reglamentación o para la autoridad de control: las condiciones mínimas de seguridad (art. 16), los requisitos para notificar un incidente (art. 17), quién tiene que designar un oficial de protección de datos (art. 18) y las garantías para enviar datos fuera del país (art. 19). Hay tiempo para prepararse, pero no conviene dejarlo para el último mes.

¿A quién alcanza?

A cualquier tratamiento de datos personales, automatizado o no, que hagan personas físicas o jurídicas, sin importar dónde estén los datos. Alcanza a quien está establecido en Paraguay, aunque trate los datos en otro país, y también a quien está afuera, si trata datos de personas que están en Paraguay o les ofrece bienes o servicios a sus residentes (art. 2). Queda fuera lo que se hace solo en el marco de la vida familiar o doméstica.

La ley distingue dos papeles. El responsable es quien decide para qué y cómo se tratan los datos; el encargado es quien los trata por cuenta y bajo las instrucciones del responsable (art. 3). Cuando un proveedor, como un software o un back office, trata datos por cuenta de otro, ese tratamiento se rige por un contrato que fija, entre otras cosas, el objeto, la duración, la finalidad, el tipo de datos y las obligaciones y derechos del responsable (art. 11).

Qué datos trata un condominio

Más de los que parece: nombre y documento de cada copropietario e inquilino, teléfono y correo, saldo y deudas de expensas, comprobantes de pago, datos del personal, registros de visitas e imágenes de las cámaras. Para la ley, es dato personal cualquier información referida a una persona física determinada o determinable (art. 3).

Tres principios ordenan ese tratamiento: los datos se recogen para fines determinados y no se usan después para otros incompatibles; se limitan a los necesarios, adecuados y pertinentes; y no se guardan más tiempo del necesario (art. 4). Además, cada tratamiento necesita una base legal, como el consentimiento del titular, el cumplimiento de una obligación legal, la ejecución de un contrato o un interés legítimo que no pase por encima de los derechos del titular (art. 5).

Un caso típico es la lista de morosos en el grupo de WhatsApp del edificio. La ley no la menciona, pero el principio de minimización pide limitar los datos a los necesarios para la finalidad: lo prudente es que cada copropietario vea solo su propio saldo y que la asamblea reciba la morosidad con el detalle que necesite para decidir.

Lo que conviene preparar

Antes de fines de noviembre de 2027, una administración ordenada debería tener:

Un aviso para cada titular, al momento de pedirle los datos: qué datos se tratan, quién es el responsable y cómo contactarlo, la base legal y las finalidades, si hay transferencias internacionales, cómo ejercer los derechos, cuánto tiempo se guardan los datos y el derecho a recurrir ante la autoridad de control (art. 27).
Un canal sencillo, accesible y gratuito para pedir acceso, rectificación, supresión, oposición o portabilidad (art. 26), y un registro de los pedidos denegados y sus motivos (art. 27).
Un contrato con cada proveedor que trate datos por cuenta del condominio (art. 11).
Medidas de seguridad revisadas en forma periódica (art. 16) y un procedimiento para avisar de un incidente a la autoridad de control y, en su caso, al titular, en no más de 72 horas desde que se conoce (art. 17).
Si algún proveedor guarda los datos fuera de Paraguay, constancia de que el destino tiene un nivel de protección adecuado o de que se adoptaron garantías apropiadas, como cláusulas contractuales (art. 19).

Cámaras de seguridad en el edificio

La ley permite tratar imágenes y sonidos con cámaras para preservar la seguridad de las personas, los bienes y las instalaciones. De la vía pública, solo se puede captar lo que resulte imprescindible para esa finalidad (art. 22).

Si una grabación tiene que conservarse para acreditar un hecho contra la integridad de las personas, los bienes o las instalaciones, hay que ponerla a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se supo que existía (art. 22). Conviene que la administración sepa quién accede a las grabaciones y cómo se entregan.

¿Qué pasa si no se cumple?

La autoridad de control es la Agencia Nacional de Protección de Datos Personales, que funciona dentro del Ministerio de Tecnologías de la Información y Comunicación (art. 34). Las faltas se clasifican en leves y graves (art. 43); entre las graves están encargar el tratamiento a un tercero sin un contrato escrito y no informar al titular como pide el artículo 27 (art. 45). Las sanciones van del apercibimiento a multas expresadas en jornales mínimos y a la suspensión de las actividades de tratamiento (art. 46).

Cómo lo resuelve Habitia

En Habitia, cada copropietario ve solo su propio estado de cuenta, y cada persona de la administración accede según su rol. Trabajamos como encargados del tratamiento, con contrato, y te informamos dónde se alojan los datos y con qué garantías, para que lo incluyas en el aviso a los copropietarios. Ese aviso te lo dejamos listo, y los pedidos de acceso o corrección que llegan por Habi quedan registrados.

Más sobre el servicio en Habitia en Paraguay. Cómo se cobran las expensas, en la guía de expensas.

Preguntas frecuentes

¿El condominio necesita un oficial de protección de datos?

Todavía no está definido: la ley obliga a los responsables y encargados del tratamiento a designar un oficial de protección de datos en los casos que establezca su reglamentación (art. 18).

¿Puede el software del edificio estar en otro país?

Sí, pero la ley se aplica igual (art. 2), y enviar datos fuera de Paraguay exige que el destino tenga un nivel de protección adecuado o que se adopten garantías apropiadas, como cláusulas contractuales (art. 19). Preguntale a tu proveedor dónde están los datos y con qué garantías.

¿Un copropietario puede pedir que borren sus datos?

Puede pedir la supresión, por ejemplo si los datos ya no son necesarios para la finalidad con que se recogieron o si se trataron en forma ilícita. No procede, entre otros casos, cuando los datos deben conservarse por los plazos que fijan otras leyes (art. 31). Mientras sea copropietario, lo habitual es que sus datos sigan siendo necesarios para liquidar y cobrar las expensas.

Esta guía es información general sobre la normativa paraguaya y no reemplaza el asesoramiento profesional para tu caso.