Paraguay:
lo que esperan los clientes de la UE

Panorama: comercio con la UE

Las importaciones de la UE desde Paraguay son casi en su totalidad productos agrícolas: según la Comisión Europea, en 2025 representaron el 82 %. La soja del este del país y la carne vacuna del Chaco son los ejemplos más conocidos. Las dos quedan alcanzadas por el EUDR, y es justamente ahí donde empiezan las preguntas de los compradores europeos.

Para Paraguay, el Acuerdo UE-Mercosur es el paso de política comercial más importante en años. Asunción fue la sede de la firma, el 17/01/2026.

Protección de datos: la Ley 7593/2025 frente al RGPD

Hasta 2025, Paraguay no tenía una ley general de protección de datos; estaban regulados sobre todo los datos crediticios (Ley 6534/2020). La Ley Nº 7593/2025 de Protección de Datos Personales se promulgó el 27/11/2025. Prevé un período de transición de 24 meses, por lo que será plenamente aplicable desde fines de noviembre de 2027. La reglamentación todavía está pendiente.

La ley retoma muchas ideas básicas del RGPD (Reglamento General de Protección de Datos): bases legales, derechos de los titulares, obligaciones para responsables y encargados, reglas para las transferencias internacionales. La autoridad de control será una Agencia Nacional de Protección de Datos Personales, ubicada en el Ministerio de Tecnologías de la Información y Comunicación (MITIC) con autonomía funcional. Las multas van de 20 a 10.000 jornales mínimos.

Paraguay no tiene una decisión de adecuación de la UE. Sus clientes de la UE necesitan, para cada transferencia de datos personales a Paraguay, cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) y una evaluación de impacto de la transferencia. Esto vale también para casos sencillos, por ejemplo cuando su equipo comercial en Asunción consulta datos de clientes en el CRM de un distribuidor alemán.

Ciberseguridad frente a NIS2

Paraguay no tiene una ley de ciberseguridad. Hay varios proyectos en el Congreso, entre ellos una «Ley de Ciberseguridad de la República del Paraguay», presentada en junio de 2025. Por ahora, la base es la Estrategia Nacional de Ciberseguridad 2025 a 2028 (Decreto Nº 3900/2025). El equipo nacional de respuesta, CERT-PY, depende de la Dirección General de Ciberseguridad del MITIC.

De ahí no se derivan para las empresas obligaciones como las de NIS2, es decir, gestión de riesgos, seguridad de la cadena de suministro y plazos fijos de notificación para sectores enteros. Para los bancos, el Banco Central tiene sus propias exigencias de seguridad de la información.

Para los proveedores paraguayos esto significa que los requisitos llegan a través del contrato con el cliente de la UE. A un comerciante agrícola con software de logística propio le preguntarán por control de acceso, copias de seguridad y planes de contingencia; a un fabricante de equipos conectados, por el Reglamento de Ciberresiliencia (CRA).

Plazos de notificación comparados

En la práctica, el cliente de la UE fija el plazo en el contrato, por lo general de 24 a 48 horas. Defina de antemano quién notifica en su empresa y quién está disponible si el incidente ocurre un fin de semana.

Autoridades, CSIRT, organismo de acreditación

En cuanto a los certificados, importa menos dónde está el organismo certificador que quién lo acreditó. Antes de contratarlo, pregunte si la acreditación del ONA o de un organismo extranjero está cubierta por el acuerdo internacional de reconocimiento de la Global ACI (desde el 1 de enero de 2026 sucesora de IAF e ILAC; las acreditaciones existentes siguen reconocidas). En ese caso, el certificado suele ser reconocido por los clientes de la UE. Algunos grupos igual exigen un certificador determinado. Aclárelo antes de invertir en una auditoría.

Lo que suelen exigir los clientes de la UE

Para los exportadores de soja y carne, el EUDR está en primer lugar: geodatos de todas las parcelas, prueba de origen libre de deforestación después del 31/12/2020 y prueba de producción legal según el derecho paraguayo. En el EUDR, Paraguay está clasificado como país de riesgo estándar. Justamente en el Chaco, donde en las últimas décadas se taló mucho bosque, los compradores preguntan con detalle.

Los fabricantes de alimentos suelen necesitar un certificado IFS, BRCGS o FSSC 22000; las plantas industriales, a menudo ISO 9001. Quien trata datos de clientes europeos recibe cláusulas contractuales tipo y un cuestionario de seguridad. El registro de actividades de tratamiento, las medidas técnicas y organizativas y las respuestas a esos cuestionarios se pueden llevar juntos en una plataforma como Sightadel, que se aloja en Alemania.

En el contrato, estos requisitos suelen figurar en varios anexos: cláusulas contractuales tipo, contrato de encargo del tratamiento, medidas técnicas y organizativas, plazos de notificación y derechos de auditoría. Su cliente de la UE tiene que elaborar además una evaluación de impacto de la transferencia para Paraguay. Para eso necesita que usted le informe sobre accesos, cifrado y posibles requerimientos de autoridades. Cuanto más precisas sean sus respuestas, antes se firma el contrato. Si le preguntan también qué sistemas tiene accesibles desde internet, un análisis externo como el de veyrisk le da esa respuesta por escrito.

Un punto de partida razonable para empresas paraguayas:

1. Aclare qué datos recibe de clientes de la UE y dónde se almacenan.
2. Arme un registro de actividades de tratamiento y designe a una persona responsable de la protección de datos. Ambas cosas las va a necesitar a más tardar con la Ley 7593/2025.
3. Implemente un proceso de notificación de incidentes que cumpla los plazos de sus contratos.
4. Para las exportaciones de soja y carne, reúna los geodatos de sus parcelas y los de sus proveedores.
5. Verifique qué certificado piden sus clientes con más frecuencia y planifique la auditoría a tiempo.

En qué punto está hoy su empresa se lo muestra el EU-Readiness-Check gratuito.

Acuerdo con la UE

El Acuerdo UE-Mercosur se firmó el 17/01/2026 en Asunción. Desde el 01/05/2026 se aplica de forma provisional la parte comercial entre la UE y Paraguay, Argentina, Brasil y Uruguay. Para la preferencia arancelaria necesita una declaración de origen. El Acuerdo de Asociación completo sigue en proceso de ratificación.

En la práctica, esto significa: verifique para cada producto el arancel, el calendario de desgravación y la regla de origen. Todo eso está en el portal Access2Markets de la Comisión Europea, ordenado por código arancelario. En los productos elaborados, la regla de origen define si hubo suficiente valor agregado en el Mercosur. Para algunos productos agrícolas rigen cupos arancelarios, es decir, cantidades limitadas con arancel preferencial. Su importador en la UE suele conocer estas reglas mejor que usted y puede ayudarle a incluir correctamente la declaración de origen en la factura. Conserve las pruebas de origen durante varios años, porque la aduana puede hacer controles posteriores.

FAQ