La entrada en vigencia de la nueva Ley 7593 de Protección de Datos Personales plantea para el sistema financiero el desafío de fortalecer la gobernanza de la información, integrar la gestión de datos a sus sistemas de riesgos y, al mismo tiempo, prepararse para aprovechar su valor en un escenario marcado por la inteligencia artificial, el Open Banking y una mayor integración entre servicios financieros.
a protección de datos personales comienza a adquirir un peso estratégico para el sistema financiero paraguayo, que deberá adaptar sus procesos a la nueva Ley 7593 y avanzar hacia modelos de gobernanza que permitan conocer qué información manejan, para qué la utilizan, dónde está almacenada y quiénes tienen acceso.
Durante un panel sobre la nueva legislación, Nabila Larroza, Gerente de Servicios Legales de EY Paraguay; Jorge Garnier, Socio Líder de Servicios Legales de EY Argentina; y Juan Pablo Grisolia, Socio Líder de Servicios Financieros de Business Consulting de EY Paraguay y Argentina, coincidieron en que el desafío no pasa únicamente por cumplir con las nuevas exigencias.
En su intervención, Garnier explicó que la evolución de los medios de pago y de los servicios financieros digitales incrementó de manera significativa el volumen de información que circula entre clientes, bancos y otros actores.
Como ejemplo, mencionó que durante el último año se habrían procesado en Paraguay unos 380 millones de operaciones de pago. Indicó que cada una de esas operaciones implica distintos procesos de validación de identidad, controles antifraude, consentimientos y transferencias de información, tanto en canales tradicionales como digitales.
“Ese dato que ustedes como entidades financieras empiezan a transaccionar, empiezan a tradear, empiezan a manipular, es un activo y genera negocio”, sostuvo Garnier.
En este escenario, consideró que la protección de datos no debería ser interpretada solamente como una obligación adicional de cumplimiento, sino como una forma de administrar y proteger un activo que puede generar valor para las entidades.
Una filtración de información, explicó, no solamente puede afectar al cliente cuyos datos fueron expuestos, sino también generar consecuencias para la institución que estaba a cargo de esa información, tanto por las eventuales sanciones como por el impacto reputacional.
“Debe ser entendido más bien como un acto de responsabilidad, un acto de gobierno”, afirmó.
Paraguay entra en una nueva etapa regulatoria
La nueva Ley 7593 establece un marco general para el tratamiento de datos personales en Paraguay y se suma a una evolución normativa que comenzó con garantías constitucionales vinculadas a la intimidad y al acceso a la información.
Larroza explicó que el país tuvo en 2001 su primer intento legislativo sobre información privada y patrimonial con la Ley 1682, posteriormente derogada en 2020 por la Ley 6534 de Protección de Datos Personales Crediticios.
Con la Ley 7593, Paraguay incorpora ahora un marco general e integral para el tratamiento de los datos personales.
Indicó que la normativa recoge principios para el tratamiento de información, reconoce derechos de los titulares y establece obligaciones para responsables y encargados. También contempla un régimen de sanciones y crea la Agencia Nacional de Protección de Datos Personales como autoridad de control y aplicación.
La especialista señaló que la nueva legislación tiene aplicación transversal y no se limita al sistema financiero, aunque el sector bancario se encuentra particularmente expuesto debido al volumen y naturaleza de la información que administra.
“Hablar hoy de datos personales ya no significa solamente hablar de cumplir la ley, implica hablar de reputación, implica hablar de confianza, implica hablar de marco de gobierno, de gestión de riesgos y por sobre todo de la posibilidad de generar valor”, señaló Larroza.
La banca deberá convivir con dos marcos regulatorios
Uno de los principales desafíos para las entidades financieras será la convivencia entre la nueva Ley 7593 y la Ley de Datos Personales Crediticios, que ya se encuentra vigente y regula específicamente la información crediticia.
Larroza explicó que la Ley 7593 se aplica de manera supletoria a las cuestiones no previstas en la normativa de datos personales crediticios y tiene una aplicación transversal a todos los sectores.
La nueva norma reconoce derechos como el acceso, la supresión y la portabilidad de los datos, además de contemplar derechos frente a decisiones individuales automatizadas. También establece bases legales para el tratamiento de la información, obligaciones para responsables y encargados y exigencias relacionadas con seguridad y gestión de riesgos.
La Ley de Datos Personales Crediticios, por su parte, regula los datos crediticios, las obligaciones de los burós y de los usuarios de información crediticia, además de establecer exigencias relacionadas con la veracidad, actualización, acceso, consentimiento y seguridad de esos datos.
Para el sector financiero, esta convivencia implica que las entidades deberán avanzar hacia un programa de cumplimiento integrado y no hacia estructuras paralelas.
“Las cuestiones relacionadas al data compliance ya no pueden ser encaradas como un proyecto aislado, sino que deben integrarse dentro del modelo de gobierno y gestión de riesgos de la organización”, sostuvo Larroza.
Las multas elevan el riesgo para las empresas
La nueva normativa también introduce un régimen de consecuencias económicas que alcanza a las empresas que incumplan las disposiciones vinculadas al tratamiento de datos personales.
Larroza explicó que la Ley 7593 contempla faltas leves y graves y establece que las multas se determinan de acuerdo con los criterios previstos por la legislación y los eventuales agravantes.
Las infracciones pueden derivar en multas de entre 20 y 2.500 jornales mínimos, equivalentes aproximadamente a entre US$ 400 y US$ 48.000, según los valores redondos utilizados durante la exposición.
Cuando están involucrados datos sensibles, la sanción puede alcanzar hasta 5.000 jornales mínimos, alrededor de US$ 95.000. En el caso de datos sensibles vinculados con niños, niñas y adolescentes, la multa puede llegar hasta 10.000 jornales mínimos, aproximadamente US$ 193.000.
La especialista remarcó además que estas sanciones son independientes de las acciones que eventualmente puedan plantearse por la vía judicial, ya sea en materia civil o penal. “Estamos hablando de riesgos monetarios significativos”, afirmó.
Gobernanza de datos, el nuevo desafío
Frente a este escenario, uno de los conceptos centrales planteados durante el panel fue el de gobernanza de datos.
La Rosa explicó que se trata del conjunto de políticas, procedimientos, controles y roles destinados a garantizar que los datos personales sean tratados de manera segura, consistente y conforme a la normativa.
El primer paso consiste en realizar un inventario o data mapping que permita identificar qué datos posee una organización, con qué finalidad los utiliza, dónde están almacenados, cuánto tiempo los conserva y quiénes tienen acceso a ellos.
El proceso también debe determinar si la información corresponde a datos identificatorios, historial crediticio, datos sensibles, biométricos, imágenes u otras categorías.
“Si no sabemos qué datos tenemos, no podemos gobernar esos datos”, afirmó La Rosa.
El segundo componente está relacionado con las bases legales que sustentan el tratamiento de la información. En este punto, las empresas deberán revisar contratos, formularios, canales digitales y los diferentes puntos en los que capturan datos.
El consentimiento constituye una de las bases legales, pero no es la única. La normativa también contempla, entre otras, el cumplimiento de obligaciones legales, la ejecución de contratos, el ejercicio de derechos, el interés legítimo y determinadas situaciones vinculadas al interés público.
Proveedores y terceros también forman parte del riesgo
La gobernanza de datos no termina dentro de las propias entidades. Otro de los puntos señalados durante el panel fue la necesidad de extender los controles hacia los proveedores y terceros que participan del tratamiento de información.
Los bancos utilizan diferentes proveedores para operar sus sistemas y servicios, por lo que cada uno de ellos representa un potencial punto de riesgo.
La Rosa señaló que las entidades deberán revisar contratos con terceros, establecer cláusulas relacionadas con el tratamiento de datos y contemplar aspectos vinculados con eventuales brechas de seguridad y eliminación de información.
También consideró relevante la realización de procesos de due diligence sobre los proveedores, incluyendo cuestionarios de seguridad y revisión de certificaciones y políticas internas.
“Los bancos no gestionan datos en soledad y cada proveedor es un punto de incumplimiento”, advirtió.
A esto se suma la necesidad de generar una cultura interna que permita demostrar que la protección de datos constituye una tarea permanente. La capacitación de los colaboradores y la documentación de las decisiones forman parte de esa evidencia.
El dato también puede impulsar el negocio
Para Grisolia, el desafío de la nueva regulación también representa una oportunidad para que las entidades financieras avancen en la explotación estratégica de la información.
El ejecutivo planteó que los bancos deberían aprovechar la implementación de un modelo de gobierno de datos personales para desarrollar una estructura de gobernanza que abarque a toda la organización.
“Piensen que si van a implementar un gobierno del dato para los datos personales, aprovechen e implementen el gobierno del dato dentro de toda la organización”, sostuvo.
La propuesta implica dejar de mirar la información exclusivamente desde la perspectiva del cumplimiento y comenzar a utilizarla para comprender mejor a los clientes, desarrollar productos y personalizar servicios.
Según Grisolia, la cultura del dato debe involucrar a toda la organización y no solamente a los responsables de cumplimiento o riesgos.
“Cada miembro de la organización tiene que cuidar el dato, tiene que saber que ese dato, más allá que sea el cliente, el dato que sea, tiene que saber que es parte del activo para poder tener éxito la entidad financiera y generar valor”, afirmó.
Open Banking y la competencia por los datos
Uno de los ejemplos utilizados para mostrar el potencial de esta transformación fue Brasil, donde el Open Banking y el Open Finance cuentan con un desarrollo más avanzado.
Grisolia señaló que en ese mercado existen alrededor de 110 millones de consentimientos únicos para compartir información, lo que permite que los datos circulen entre distintas entidades con autorización de los clientes.
En este esquema, los bancos digitales y otros nuevos participantes del mercado tienen capacidad para consumir esa información y convertirla rápidamente en propuestas de valor.
El fenómeno muestra una tendencia hacia ecosistemas financieros más integrados, donde las entidades pueden vincularse con empresas de otros sectores y ampliar los servicios que ofrecen a sus clientes.
“Estamos evolucionando a ecosistemas integrados. Cada vez más las entidades se integran, ya sea con industrias, inclusive con industrias que no son financieras”, explicó.
Para Paraguay, el desarrollo de un marco de protección de datos puede convertirse en una base para avanzar posteriormente hacia modelos de Open Banking, Open Finance y, en una etapa posterior, Open Data.
La inteligencia artificial suma otro desafío
La expansión de la inteligencia artificial generativa agrega una nueva dimensión al gobierno de los datos.
Grisolia señaló que las entidades financieras a nivel global ya están incorporando la inteligencia artificial dentro de sus estrategias, aunque con distintos niveles de avance y resultados.
Uno de los principales riesgos se encuentra en la calidad de los datos utilizados para alimentar los modelos. Si la información de origen es deficiente, los resultados generados por la inteligencia artificial también pueden presentar problemas.
A esto se suma que los propios sistemas de inteligencia artificial generan información que puede contener sesgos, por lo que el monitoreo debe mantenerse durante todo el ciclo de vida de los modelos.
El ejecutivo planteó que el gobierno de datos y el gobierno de la inteligencia artificial deberían avanzar de manera coordinada, especialmente ante el crecimiento del uso de estas herramientas en el sistema financiero.
La utilización de datos también será determinante para responder a las nuevas expectativas de los consumidores, que demandan servicios más rápidos, digitales y personalizados.
Grisolia explicó que la hiperpersonalización no implica necesariamente crear un producto diferente para cada cliente, sino utilizar la información disponible para comprender mejor su contexto y ofrecerle una propuesta adecuada.
La portabilidad abre nuevas preguntas
Otro de los puntos que todavía presenta desafíos es la portabilidad de los datos y la definición de hasta dónde llega la información personal y dónde comienza el valor agregado generado por una entidad financiera.
El tema adquiere especial relevancia ante el desarrollo futuro del Open Finance, donde los clientes podrían autorizar el intercambio de información entre diferentes entidades.
Grisolia señaló que cuando una institución agrega valor a los datos mediante sus propios modelos, metodologías y decisiones, ese resultado forma parte de la explotación que realiza la entidad.
En tanto, Garnier explicó que la normativa paraguaya reconoce el derecho a la portabilidad, pero su implementación dependerá de una reglamentación técnica.
“La transferencia de datos de un responsable a otro responsable se hará conforme a una reglamentación técnica”, explicó Garnier, al referirse a lo establecido por la nueva legislación.
El especialista agregó que Paraguay no cuenta todavía con una segregación específica de los denominados datos inferidos o derivados, aunque las metodologías y criterios utilizados para llegar a determinados resultados pueden quedar comprendidos dentro de la esfera del secreto comercial y el know how.
Este punto adquiere relevancia en herramientas como el scoring crediticio, donde una entidad puede utilizar información proporcionada por un cliente y aplicar modelos propios para generar una evaluación.
La obligación de explicar determinadas decisiones automatizadas no necesariamente implica revelar la metodología interna o los algoritmos utilizados por el banco, según lo planteado durante el panel.
Reguladores deberán coordinar sus criterios
La implementación de la nueva normativa también plantea un desafío institucional para el sistema financiero, especialmente por la coexistencia de distintas autoridades con competencias sobre la información.
Los panelistas señalaron la importancia de que exista coordinación entre el Banco Central del Paraguay, como regulador del sistema financiero, y la autoridad encargada de la aplicación de la nueva Ley de Protección de Datos Personales.
La definición de qué constituye un dato personal, cómo se trata la información financiera y hasta dónde llega el valor agregado generado por una entidad será particularmente relevante a medida que avancen los modelos de portabilidad y Open Finance.
Garnier sostuvo que la coordinación entre autoridades será necesaria para evitar superposiciones regulatorias y facilitar el cumplimiento por parte de las entidades.
“Definitivamente tiene que haber coordinación, porque si no dificulta la operación”, afirmó.
En este contexto, el desarrollo de la reglamentación técnica será uno de los siguientes pasos relevantes para definir cómo se aplicarán en la práctica algunos de los derechos y obligaciones establecidos por la Ley 7593.
El desafío para la banca paraguaya, de acuerdo con los planteamientos del panel, será avanzar simultáneamente en dos frentes: fortalecer la protección y seguridad de la información y construir las capacidades necesarias para transformar esos datos en valor para el negocio.
Así, la nueva legislación no solo plantea un nuevo escenario de cumplimiento, sino que también coloca la gobernanza de datos en el centro de la estrategia de las entidades financieras, en un mercado que avanza hacia una mayor digitalización, integración de servicios, inteligencia artificial y circulación de información.
www.forbes.com.py
