Protección de datos: avances, retrocesos y tensiones cruzadas en la región

La agenda por la regulación de la protección de datos personales se volvió, en los últimos meses, un espacio de iniciativas cruzadas. Esto ocurre en un contexto donde la proliferación de tecnologías basadas en la extracción, el análisis y la explotación de datos, desde sistemas de inteligencia artificial hasta plataformas de perfilamiento y reconocimiento facial, crece de manera constante y exige marcos normativos capaces de estar a la altura del desafío de proteger los derechos fundamentales. Buena parte de los usos y desarrollos empresariales y estatales de estas tecnologías implica, desde el diseño mismo de estos sistemas, la captura y el tratamiento de datos personales: un sistema que analiza reclamos de clientes, una base de ventas cruzada con perfiles de consumo, un proceso de selección laboral asistido por algoritmos;todos funcionan sobre base de información personal. Que una norma no mencione explícitamente a la inteligencia artificial no significa que no la alcance.

De esta manera, la actualización de las  leyes de protección de datos personales se ha convertido en una de las vías más concretas para dar un marco de protección a las personas frente a estos desarrollos tecnológicos. Paraguay y Chile publicaron recientemente nuevas leyes, con estándares diversos entre sí. En Argentina, en cambio, la discusión sigue trabada, mientras conviven en el Congreso proyectos que buscan elevar los estándares de protección junto con una iniciativa del Poder Ejecutivo que, de aprobarse, implicaría un retroceso en la materia.

Paraguay estrenó, el 27 de noviembre de 2025, su primera ley general e integral en materia de protección de datos personales, la Ley Nº 7.593. Hasta entonces, el país regulaba lo relativo a la protección de datos a partir del marco de regulación de la información crediticia. A partir de esta nueva norma, existe un marco general que alcanza a cualquier organización, pública o privada, que trate datos de personas. La ley surge con un fuerte impulso de la sociedad civil: fue construida durante cuatro años de incidencia sostenida por la Coalición de Datos Personales, un espacio conjunto entre organizaciones de la sociedad civil, la academia, especialistas y el sector privado que existe desde 2017, y que en 2021 presentó ante la Cámara de Diputados el primer anteproyecto, sostenido luego con talleres técnicos, consultas públicas y revisión legal colaborativa a lo largo de todo el trámite parlamentario.

La ley paraguaya se inspira en buena medida en el Reglamento General de protección de datos (RGPD) de la Unión Europea e incorpora, en su artículo 4, principios como la licitud, la transparencia y la minimización o proporcionalidad. También crea la Agencia Nacional de Protección de Datos Personales (art. 34), con facultades para inspeccionar y sancionar, y con un régimen de infracciones que distingue nueve faltas leves (art. 44) y treinta y siete faltas graves (art. 45), sancionables de forma indistinta o acumulativa. La entrada en vigencia de la norma está prevista para noviembre de 2027, según lo establecido en el artículo 57.

Chile había dado un paso similar antes, con la Ley Nº 21.719, promulgada en diciembre de 2024. Se trata de la reforma más profunda a la regulación de datos personales del país, con entrada en vigencia plena prevista para el 1 de diciembre de 2026, tras un periodo de transición de veinticuatro meses establecido en las disposiciones transitorias de la propia ley. La norma crea la Agencia de Protección de Datos Personales (art. 30), y eleva los estándares de protección a un nivel equivalente al del  RGPD, con multas que pueden llegar a veinte mil unidades tributarias mensuales, suspensión del tratamiento por hasta treinta días y, en caso de reincidencia, sanciones que escalan hasta el cuatro por ciento de los ingresos anuales de la empresa infractora (art. 35).

Sin embargo, la puesta en marcha de la autoridad de control enfrentó demoras durante el primer semestre de la actual gestión de gobierno, en funciones desde marzo de 2026. La propia ley establece que el Consejo Directivo de la agencia debía quedar constituido seis meses antes de la entrada en vigencia de la norma, es decir, a más tardar a fines de mayo de 2026. El 20 de mayo de 2026, la Sala del Senado desechó el oficio del presidente José Antonio Kast que proponía a tres consejeros para encabezar la Agencia, al no alcanzar el quórum de dos tercios requerido por la ley. Después de expresar sus intenciones en declaraciones públicas , autoridades de gobierno ingresaron un proyecto de ley para postergar en un año la entrada en vigencia de la norma, que también contempla modificaciones para facilitar la instalación de la agencia fiscalizadora, cambiar su modo de operación y permitir sanciones más bajas durante el primer año de funcionamiento.

En Argentina, el cuadro es distinto pero igual de revelador. La Ley 25.326, sancionada en el año 2000, lleva un cuarto de siglo sin actualizarse de fondo. Durante la gestión anterior de gobierno, bajo el mandato de Alberto Fernández, la Agencia de Acceso a la Información Pública llevó adelante un proceso participativo, con mesas de diálogo abiertas a distintos sectores, y elaboró un anteproyecto de actualización, enviado para su tratamiento al Congreso a mediados de 2023 y alineado con la normativa europea, al igual que los otros proyectos mencionados. Ese anteproyecto, sin embargo, perdió estado parlamentario al terminar 2024, sin haber sido tratado en el Congreso.

Desde entonces, la discusión legislativa se fragmentó en al menos tres proyectos que conviven hoy en el Congreso. Dos de ellos, impulsados por un diputado y un senador de distintos bloques, retoman el espíritu de aquel anteproyecto de la AAIP y buscan alinear la normativa argentina con estándares internacionales como el RGPD y la ley de protección de datos de Brasil, incorporando principios como la privacidad por diseño y por defecto, la responsabilidad proactiva y demostrada, y nuevos derechos para los titulares de datos, entre ellos la portabilidad y la oposición a decisiones automatizadas. El tercero, presentado por un diputado en abril de 2026, propone un texto que contempla la derogación de la ley vigente, toma como referencia, según consta en sus fundamentos, regímenes como los de Corea del Sur, Reino Unido y Singapur, e incorpora, además, figuras pensadas para la actividad económica, como un sandbox regulatorio y una categorización de responsables según su tamaño.

El dato más significativo, no obstante, es otro. El propio Poder Ejecutivo, a través del Ministerio de Desregulación y Transformación del Estado, elaboró y presentó en una mesa cerrada su propio proyecto de ley de protección de datos personales, por fuera de los tres que ya se discuten en el Congreso. En julio de 2026, la Fundación Vía Libre, que participó de ese encuentro, envió sus observaciones y advirtió que, si bien actualizar la Ley 25.326 es necesario, una reforma que amplía las excepciones al consentimiento y reduce el control externo sobre quienes procesan datos, en particular el propio Estado, constituye un retroceso respecto de los estándares de derechos humanos que la propia norma dice perseguir. Entre los puntos que la organización pidió corregir se cuentan la exigencia de un consentimiento activo, conocido como opt in, en lugar de uno presunto, conocido como opt out; la protección de los datos inferidos por sistemas de perfilamiento en igualdad de condiciones que los datos brindados directamente; el uso excepcional, y no generalizado, de biometría y reconocimiento facial; la garantía de una revisión humana significativa de las decisiones automatizadas, y no un mero trámite formal; la igualdad de trato para quienes brindan menos datos, de modo que eso no derive en un servicio distinto o en la exclusión de servicios básicos, y el diseño de una autoridad de control con capacidades técnicas y recursos reales para hacer cumplir sus decisiones.

El panorama regional, entonces, no es lineal. Paraguay estrena una ley general donde antes había un vacío regulatorio, aunque su vigencia efectiva todavía está a dos años de distancia. Chile cuenta con una norma robusta cuya implementación quedó presa de un conflicto entre el Ejecutivo y el Senado para conformar su autoridad de control. Y en Argentina, mientras el Congreso discute varios proyectos que buscan elevar los estándares de protección, el propio gobierno impulsa, desde un ministerio pensado para reducir regulaciones, una iniciativa que, según las organizaciones que la analizaron, iría en sentido contrario.

Estos avances y retrocesos muestran que en la agenda de protección de datos persisten tensiones profundas. No se trata solo de una carrera por actualizar normas pensadas para una realidad tecnológica distinta , sino de una disputa sobre el sentido mismo de esa actualización: si sirve para fortalecer el control ciudadano sobre sus propios datos frente al Estado y las empresas, o si, por el contrario, se convierte en una oportunidad para flexibilizar controles en nombre de la desregulación. La resistencia de algunas de las nuevas gestiones de gobierno, en Chile y en Argentina, a sostener o elevar los estándares de protección de derechos es, quizás, el rasgo más constante de esta agenda cruzada.

Una agenda regional más consistente necesitaría, como mínimo, autoridades de control efectivamente independientes y dotadas de recursos, la equiparación entre los datos que las personas entregan y los que los sistemas infieren sobre ellas, y reglas claras para el uso de biometría y de decisiones automatizadas en ámbitos sensibles como la seguridad pública y el acceso a servicios. Sin esos pisos mínimos, cada nueva ley corre el riesgo de convertirse en una promesa aplazada, o en una actualización que, con el argumento de modernizar, termine cediendo terreno.