La soberanía digital en Paraguay: ¿Por qué la ley de datos no es suficiente si los servidores no son nuestros?

Imagina que, al firmar un contrato en una notaría, no preguntas dónde quedará guardado el papel. Que al llenar una ficha médica, no sabes quién tiene acceso a tu historial. Que al presentar una declaración jurada, no sabes si alguien en otro país puede leerla sin que nadie te avise. Esto no es ciencia ficción. Es la realidad digital que vivimos en Paraguay, y que la reciente Ley de Protección de Datos no resuelve por sí sola.

El problema que la ley no ve

En noviembre de 2025, el presidente Santiago Peña promulgó la Ley Nº 7593/2025 de Protección de Datos Personales. Por primera vez, Paraguay reconoce que los datos personales son parte del derecho a la intimidad y a la dignidad. La norma otorga a los ciudadanos derechos concretos: saber qué datos tienen las empresas y el Estado sobre uno, corregirlos, pedir que se borren, oponerse a su uso e incluso portarlos a otro servicio. Es, sin duda, un avance histórico.

Pero la ley tiene un límite que no le corresponde resolver. La ley protege la información. Pero no decide dónde está guardada.

Hoy en día, la mayoría de las instituciones públicas paraguayas, desde los hospitales públicos hasta los registros de propiedad, utilizan plataformas digitales cuyos servidores están físicamente en Estados Unidos, Europa o Brasil. El dato de un ciudadano de Encarnación puede estar alojado en un centro de datos de Virginia. La historia clínica de un paciente de Concepción, en un servidor de California. El sistema de una municipalidad del interior, en una nube administrada desde Dublín.

¿Por qué importa esto? La trampa del cielo digital: por qué la nube ajena no es neutral.

La nube computacional no es un lugar abstracto. Son enormes edificios llenos de servidores, refrigerados y vigilados, donde se almacenan los datos. Cuando una institución paraguaya contrata un servicio de nube de una empresa estadounidense o europea, lo que hace es alquilar espacio en esos edificios. Y los alquilines incluyen cláusulas que no se leen lo suficiente.

Por ejemplo, la ley estadounidense conocida como US CLOUD Act permite que las autoridades de ese país exijan acceso a datos almacenados por empresas estadounidenses, sin importar que los datos estén físicamente en otro país. Es decir: la información de un paraguayo, alojada en un servidor de una empresa estadounidense, puede ser accedida por tribunales o agencias de Estados Unidos sin que el gobierno paraguayo ni el propio ciudadano se entere.

En el derecho internacional, esto se llama extraterritorialidad. En la práctica, significa que la soberanía sobre esos datos ya no es paraguaya.

La diferencia entre tener un data center y ser dueño de los datos.

En los últimos años, el Ministerio de Tecnologías de la Información y Comunicación (MITIC) ha impulsado un proyecto concreto: la construcción del Data Center del Estado, una infraestructura física con certificación Tier III que albergará los servidores de la nube gubernamental, llamada Nube-PY. El proyecto, adjudicado en 2026 a un consorcio de empresas locales, representa una inversión importante y un reconocimiento tardío de que la infraestructura digital es tan estratégica como una carretera o una central eléctrica.

Pero construir el edificio no es suficiente. La pregunta clave es: ¿qué porcentaje de los datos del Estado está realmente migrando a esos servidores? ¿O el data center será una infraestructura subutilizada mientras las instituciones siguen contratando servicios de nube extranjera porque es más rápido, más barato o más sencillo?

La soberanía digital no es una promesa de obra pública. Es una decisión operativa diaria.

Soberanía digital: ¿qué significa realmente?

En términos jurídicos, la soberanía digital puede entenderse como la capacidad del Estado para: Decidir dónde se almacenan los datos de los ciudadanos y del propio Estado.

Auditar quién tiene acceso a esa información y con qué fines.

Exigir que los sistemas operen bajo regulaciones propias, no las de otro país.

Desarrollar capacidad local para operar, mantener y evolucionar esa infraestructura sin depender de terceros.

El especialista y colega en ciberseguridad Miguel Ángel Gaspar lo ha dicho con claridad: "Paraguay tiene que comprometerse con la soberanía digital. Hay que saber cómo se custodian los datos y quién se responsabiliza por ellos".

Sin eso, la ley de protección de datos es una norma bienintencionada aplicada sobre una realidad que la elude.

Los tres frentes que Paraguay no puede postergar.

Si queremos que la soberanía digital sea algo más que un discurso, el país debe avanzar en tres frentes simultáneamente:

1. La ley de inteligencia artificial

La Ley de Protección de Datos regula la información. Pero no regula los algoritmos que la procesan. Hoy en día, Paraguay permite que plataformas de inteligencia artificial —desde los asistentes de chat hasta los sistemas de reconocimiento facial— operen sin marco legal. El Congreso discute un proyecto de ley, pero la urgencia es real: si no regulamos nosotros, la regulación la harán las plataformas extranjeras, adaptadas a sus intereses, no a los nuestros.

2. La infraestructura física bajo control nacional

El data center del Estado es el primer paso. Pero debe ir acompañado de una política clara: los datos sensibles del Estado, salud, educación, defensa, justicia, hacienda, deben residir en servidores bajo control paraguayo. La nube privada comercial puede seguir existiendo para servicios no críticos. Pero el Estado debe ser dueño de su propia nube.

3. La capacidad local

Un servidor sin técnicos locales que lo operen no es soberano. Es una maqueta. Paraguay necesita ingenieros, abogados especializados en tecnología, auditores de sistemas y ciberseguridad que trabajen para el Estado y no solo para el sector privado. La soberanía digital se construye con cerebros, no solo con cables.

Lecciones de la historia: soberanía, siempre!

Hace más de un siglo y medio, Paraguay enfrentó una guerra que puso en riesgo su existencia como nación. Hoy, la amenaza no viene de ejércitos. Viene de la dependencia. Un país que no controla sus datos, no controla sus decisiones. Un país que no audita sus sistemas, no puede exigir transparencia. Un país que no tiene leyes propias para la inteligencia artificial, acepta las reglas que otros le imponen.

La Ley de Protección de Datos es un buen comienzo. Pero si los datos siguen en servidores ajenos, si los algoritmos siguen sin control, si la infraestructura sigue en manos de otros, la ley será un derecho sobre el papel.

Y el derecho, para ser real, necesita más que normas. Necesita techo propio.