La Dirección Nacional de Ingresos Tributarios (DNIT) puso en marcha la Resolución General Nº 47/2026 que obliga a declarar las operaciones con criptoactivos. La primera declaración corresponderá al ejercicio fiscal 2026 y deberá presentarse en marzo de 2027, a través del sistema Marangatu.
El abogado penalista y especialista en crypto compliance, Eduardo Hillar, conversó con ABC Color y analizó el alcance de la Resolución General N° 47/2026 de la DNIT, que establece obligaciones de información sobre operaciones con criptoactivos. Sostuvo que la discusión no debe limitarse a la potestad tributaria del fisco, sino que debe considerar qué información se recopila, con qué finalidad y durante cuánto tiempo puede ser conservada.
¿Cuál es el principal problema jurídico que plantea la Resolución General N° 47/2026 desde la perspectiva de la protección de datos personales?
El punto central es determinar si la información que se exige resulta necesaria y proporcional respecto de la finalidad tributaria que se persigue. La discusión no debería limitarse a si la DNIT tiene o no facultades para realizar controles tributarios. También debe analizarse qué datos se recopilan, para qué se utilizan, durante cuánto tiempo se conservan y si todos ellos son pertinentes para determinar una obligación tributaria.
Pero hay una capa previa a esa discusión que conviene no saltear: antes de preguntarnos si el tratamiento de datos es proporcional, cabe preguntarse si el instrumento normativo que lo ordena tiene el rango adecuado. El Art. 179 de la Constitución Nacional exige que todo tributo sea establecido por ley formal del Congreso, no por una resolución administrativa.
La DNIT no solo está definiendo qué datos recolectar; está definiendo, por primera vez y sin ley previa que la habilite, qué es un “criptoactivo” con consecuencias fiscales en Paraguay. Ese déficit de origen contamina también el análisis de protección de datos, si el tratamiento se funda en una norma que probablemente excede su propio rango, es más difícil sostener que existe una base legal suficiente en los términos que exige la legislación de datos personales.
DNIT refuerza controles y digitaliza servicios para contribuyentes y bancos
¿Qué establece la Ley N° 7593/2025 sobre el tratamiento de datos por parte de organismos del Estado?
La ley establece principios que deben orientar el tratamiento de datos personales. Cuando un organismo del Estado trata información para ejercer sus funciones, los datos deben ser necesarios y proporcionales para esa finalidad. Aparecen, concretamente, los principios del Art. 4°: finalidad (inc. c), minimización y proporcionalidad (inc. d), limitación del plazo de conservación (inc. e) y lealtad y transparencia (inc. f). A esto se suma el Art. 5°, que enumera taxativamente las bases legales que habilitan un tratamiento, y el mero ejercicio de facultades tributarias no equivale automáticamente a invocar una de ellas: la Resolución debería identificar expresamente cuál de esas bases ampara cada categoría de dato que recaba.
La Resolución N° 47/2026 exige una cantidad importante de información sobre cada operación. ¿Qué datos generan mayores interrogantes?
La resolución contempla datos como la fecha y hora de la operación, la identificación de los intervinientes o las direcciones públicas de las billeteras, la denominación y red del criptoactivo, la cantidad negociada hasta el décimo decimal, el valor bruto expresado en dólares, las comisiones, los gas fees, el hash de la transacción y las direcciones de origen y destino.
La cuestión jurídica es determinar si cada una de esas categorías de información es necesaria para cumplir con la finalidad tributaria. No basta con que técnicamente sea posible obtener un dato. Debe existir una justificación vinculada con la finalidad para la cual se lo solicita.
Y en algunos casos ni siquiera es cuestión de proporcionalidad, sino de imposibilidad material. El umbral que fija la norma no distingue entre volumen bruto operado y ganancia neta real. En protocolos DeFi, una misma wallet puede ejecutar miles de operaciones automáticas de yield farming o rebalanceo de liquidez, sumando millones de dólares en volumen con una ganancia neta mínima o incluso negativa. Peor aún, en un pool de liquidez de Uniswap o PancakeSwap, el “interviniente” identificable es un contrato inteligente, no una persona física.
Exigir la identificación del interviniente en ese contexto no es solo desproporcionado en términos de datos personales, es una exigencia que la arquitectura misma de la tecnología no puede satisfacer. Eso no es buena técnica normativa; es una fuente de inseguridad jurídica y de exposición sancionatoria arbitraria para quien de buena fe no puede cumplir con algo materialmente imposible.
¿Qué riesgo plantea el pedido de las direcciones de billeteras y de los hashes?
Las direcciones y los hashes pueden permitir reconstruir movimientos financieros que van más allá de una operación puntual. Dependiendo de cómo se procese esa información, puede ser posible establecer un historial de movimientos de una determinada dirección o vincular distintas operaciones entre sí, incluso operaciones que nada tienen que ver con una obligación tributaria paraguaya concreta.
Por eso, la DNIT debería poder justificar la necesidad y proporcionalidad de cada una de esas categorías de información en función de la finalidad tributaria concreta. Y hay algo adicional que agrava el cuadro: la asociación entre la identidad fiscal de una persona y su dirección de wallet en la blockchain es, a diferencia de un número de cuenta bancaria, permanente e irrevocable. Un dato de este tipo, si se filtra, no puede cancelarse ni reemplazarse. Eso convierte a cualquier base de datos que concentre esa información en lo que en ciberseguridad se llama un objetivo de alto valor.
No es una hipótesis abstracta: el Estado paraguayo tiene antecedentes documentados de vulnerabilidades graves en el manejo de datos sensibles, y ese historial debería pesar en el análisis de necesidad y proporcionalidad, no como un argumento de conveniencia sino como un dato jurídicamente relevante para la evaluación de impacto que exige el Art. 14 de la Ley 7593.
DNIT trabaja en el PGN 2027 y ya revisa regímenes especiales en busca de mayor recaudación
¿Esto se relaciona con el reclamo empresarial de diferenciar una operación gravada de la mera tenencia de un criptoactivo?
Sí. Hay una diferencia entre una operación que puede generar una consecuencia tributaria y la mera tenencia de un activo. Desde la perspectiva de la protección de datos, la información debería limitarse a lo que resulte necesario, adecuado y pertinente respecto de la finalidad del tratamiento.
Si el objetivo es determinar una obligación tributaria derivada de una operación determinada, habría que analizar si resulta necesario recopilar información que permita reconstruir toda la actividad financiera del contribuyente en blockchain.
Aquí conviene señalar una contradicción de fondo que agrava el problema: el propio Art. 2° de la Resolución establece que el criptoactivo no tiene la consideración de moneda o divisa. Si el Estado declara que no es dinero, resulta más difícil justificar que se necesite el mismo nivel de trazabilidad granular que se exigiría para movimientos de divisas bajo un régimen cambiario. La finalidad tributaria invocada debería ser coherente con la naturaleza jurídica que la propia norma le atribuye al bien, y hoy no lo es.
La resolución también contempla la posibilidad de requerir información adicional. ¿Existe un límite para esa facultad?
Esa facultad debe interpretarse dentro de los mismos principios. No puede entenderse como una autorización ilimitada para solicitar cualquier información. Debe existir una relación entre el dato requerido, la finalidad del procedimiento y la necesidad de contar con esa información.
Los principios de necesidad, proporcionalidad y finalidad funcionan como límites al tratamiento de datos, incluso cuando quien realiza el tratamiento es un organismo estatal. Tal como está redactada, esa cláusula abierta, que faculta a pedir información adicional a contribuyentes, terceros o entidades públicas o privadas sin fijar un límite expreso de finalidad, es exactamente el tipo de disposición que habilita usos ulteriores incompatibles con el fin original del tratamiento. Eso vulnera directamente el principio de finalidad del Art. 4°, inc. c de la Ley 7593, no en abstracto, sino por el modo concreto en que está redactada la norma.
¿Qué ocurre con los datos de terceros que aparecen en una operación?
Ahí aparece otra cuestión. La resolución contempla la información de los intervinientes y, cuando corresponda, sus direcciones públicas de billeteras o contratos inteligentes. Puede ocurrir que una persona que no tenga una relación directa con la DNIT quede incorporada al sistema tributario a partir de una operación realizada por otra persona, incluida una contraparte extranjera que nunca tuvo vínculo alguno con el fisco paraguayo ni consintió el tratamiento de sus datos.
La Ley N° 7593 considera dato personal toda información referida a una persona física determinada o determinable. Por eso, también debe analizarse la situación de esos terceros y cuál es la finalidad por la que sus datos son incorporados, y bajo qué base legal específica del Art. 5° se pretende ampararla, porque la Resolución no la provee.
¿La información de blockchain puede llegar a revelar datos sensibles?
Dependiendo del contexto, el análisis de movimientos puede permitir inferir información que exceda la identificación estrictamente financiera de una persona. La Ley N° 7593 contempla como datos sensibles, en su Art. 3°, numeral 7, información vinculada con creencias religiosas, afiliación política o sindical, salud y orientación sexual.
Si un tratamiento de información financiera permite realizar inferencias de esa naturaleza, por ejemplo, a partir de donaciones a organizaciones identificables en blockchain, aparecen exigencias adicionales respecto de las garantías que deben aplicarse al tratamiento. El Art. 20 de la Ley 7593 prohíbe en principio el tratamiento de datos sensibles, salvo excepciones taxativas, y ninguna de ellas está invocada en la Resolución.
¿Qué papel tendría una evaluación de impacto en protección de datos?
La Ley N° 7593 contempla la evaluación de impacto, en su Art. 14, como un análisis previo obligatorio cuando el tratamiento implica evaluación sistemática basada en datos automatizados, tratamiento a gran escala, u observación sistemática. Un sistema que concentra información detallada sobre operaciones con criptoactivos de toda la población contribuyente, de forma masiva y automatizada a través de Marangatú, encuadra simultáneamente en las tres categorías. Sería razonable, entonces, analizar previamente los riesgos vinculados con la recopilación, almacenamiento y utilización posterior de esos datos, y no hay constancia de que esa evaluación se haya realizado.
Esto no es un requisito de forma. El Paraguay tiene un historial documentado de incidentes graves de seguridad en el manejo de datos estatales, la filtración de 400 gigabytes de la Policía Nacional en 2023, el ataque de ransomware al Instituto de Previsión Social en 2026, entre otros. Ese antecedente es precisamente el tipo de riesgo que una evaluación de impacto debería ponderar antes de construir un registro que, a diferencia de una cuenta bancaria comprometida, no puede cancelarse ni reemplazarse una vez expuesto. Si la evaluación hubiera concluido que el riesgo es alto, el Art. 15 de la misma ley exige además una consulta previa a la Agencia Nacional de Protección de Datos Personales, de la que tampoco hay constancia.
También debe considerarse la privacidad desde el diseño. Es decir, la protección de los datos debería ser contemplada desde la propia configuración del sistema y no recién después de que toda la información haya sido recopilada.
¿Qué debería saber una persona sobre el uso que la DNIT dará a sus datos?
El principio de transparencia exige que el titular conozca la existencia y las características principales del tratamiento de sus datos, además de la información necesaria para ejercer sus derechos. El Art. 27 de la Ley 7593 es específico en esto: exige que, al momento de la obtención de los datos, se informe al titular la base legal del tratamiento, el tiempo de conservación, la existencia de decisiones automatizadas, los derechos de acceso, rectificación, supresión y portabilidad, y la posibilidad de recurrir ante la Agencia Nacional de Protección de Datos Personales.
En este caso, la discusión pasa por determinar qué información queda registrada, cuál es la finalidad concreta de ese registro, quién puede acceder a ella, cuánto tiempo será conservada y bajo qué condiciones podría ser utilizada posteriormente. Hoy la Resolución no fija ningún plazo máximo de conservación ni criterios de revisión o supresión periódica, lo que también choca con el principio de limitación del plazo de conservación del Art. 4°, inc. e.
Los empresarios también cuestionan los costos que genera el régimen para las plataformas locales. ¿La protección de datos tiene alguna relación con ese planteamiento?
Existe una relación desde el punto de vista de la carga operativa. Si una plataforma establecida en Paraguay debe recopilar, procesar y conservar una cantidad elevada de información para cumplir con la obligación, mientras una plataforma extranjera queda fuera de ese mismo circuito, puede producirse una diferencia en los costos regulatorios.
Ese aspecto corresponde a una discusión distinta, pero está relacionado con el volumen de información que se exige procesar y con las obligaciones que recaen sobre los operadores locales. Y tiene además una dimensión estratégica: un régimen de reporte más granular e intrusivo que el de buena parte de las economías que compiten por atraer capital e innovación en el sector puede operar como un desincentivo real para quienes eligieron Paraguay precisamente por su perfil de baja fricción regulatoria. No es solo un costo de cumplimiento; es un costo de competitividad frente a otras jurisdicciones de la región.
¿La Ley N° 7593 ya puede utilizarse para cuestionar jurídicamente la Resolución N° 47/2026?
Hay que hacer una precisión temporal. La Ley N° 7593/2025 fue promulgada y publicada en noviembre de 2025, pero su artículo 57 establece que entrará en vigor después de transcurridos 24 meses desde su publicación oficial. La propia norma establece además un plazo de 24 meses para su reglamentación.
Por lo tanto, en agosto de 2026 la ley todavía no está plenamente vigente. El análisis debe entenderse como una evaluación de compatibilidad de la resolución con los estándares y principios que establece el nuevo régimen, no como una afirmación de que la Resolución N° 47/2026 ya infringe una ley que todavía no entró en vigor.
Entonces, ¿cuál debería ser el criterio para compatibilizar el control tributario con la protección de datos?
La DNIT tiene facultades para ejercer el control tributario, pero esas facultades deben estar vinculadas con una finalidad concreta. El punto es determinar qué información necesita realmente para cumplir esa función y si la cantidad y el nivel de detalle de los datos solicitados guardan relación con esa finalidad.
Cuando se trata de información capaz de reconstruir movimientos financieros de una persona, la discusión deja de ser únicamente tributaria. También pasa a involucrar los límites del tratamiento de datos personales y las garantías que deben existir para evitar que la información sea utilizada para otros fines distintos de aquellos que justificaron su recopilación.
A esto se suma que, mientras subsista la falta de una ley del Congreso que defina con rango legal qué es un criptoactivo en Paraguay, cualquier discusión sobre la finalidad legítima del tratamiento parte de una base normativa incompleta. Compatibilizar control tributario y protección de datos, en definitiva, no es solo un ejercicio de calibrar cuánta información pedir: es primero resolver con qué instrumento normativo y bajo qué definiciones legales se está regulando la materia.
La Dirección Nacional de Ingresos Tributarios (DNIT) puso en marcha la Resolución General Nº 47/2026 que obliga a declarar las operaciones con criptoactivos. La primera declaración corresponderá al ejercicio fiscal 2026 y deberá presentarse en marzo de 2027, a través del sistema Marangatu.El abogado penalista y especialista en crypto compliance, Eduardo Hillar, conversó con ABC Color y analizó el alcance de la Resolución General N° 47/2026 de la DNIT, que establece obligaciones de información sobre operaciones con criptoactivos. Sostuvo que la discusión no debe limitarse a la potestad tributaria del fisco, sino que debe considerar qué información se recopila, con qué finalidad y durante cuánto tiempo puede ser conservada. ¿Cuál es el principal problema jurídico que plantea la Resolución General N° 47/2026 desde la perspectiva de la protección de datos personales?El punto central es determinar si la información que se exige resulta necesaria y proporcional respecto de la finalidad tributaria que se persigue. La discusión no debería limitarse a si la DNIT tiene o no facultades para realizar controles tributarios. También debe analizarse qué datos se recopilan, para qué se utilizan, durante cuánto tiempo se conservan y si todos ellos son pertinentes para determinar una obligación tributaria.Pero hay una capa previa a esa discusión que conviene no saltear: antes de preguntarnos si el tratamiento de datos es proporcional, cabe preguntarse si el instrumento normativo que lo ordena tiene el rango adecuado. El Art. 179 de la Constitución Nacional exige que todo tributo sea establecido por ley formal del Congreso, no por una resolución administrativa. La DNIT no solo está definiendo qué datos recolectar; está definiendo, por primera vez y sin ley previa que la habilite, qué es un “criptoactivo” con consecuencias fiscales en Paraguay. Ese déficit de origen contamina también el análisis de protección de datos, si el tratamiento se funda en una norma que probablemente excede su propio rango, es más difícil sostener que existe una base legal suficiente en los términos que exige la legislación de datos personales.DNIT refuerza controles y digitaliza servicios para contribuyentes y bancos¿Qué establece la Ley N° 7593/2025 sobre el tratamiento de datos por parte de organismos del Estado?La ley establece principios que deben orientar el tratamiento de datos personales. Cuando un organismo del Estado trata información para ejercer sus funciones, los datos deben ser necesarios y proporcionales para esa finalidad. Aparecen, concretamente, los principios del Art. 4°: finalidad (inc. c), minimización y proporcionalidad (inc. d), limitación del plazo de conservación (inc. e) y lealtad y transparencia (inc. f). A esto se suma el Art. 5°, que enumera taxativamente las bases legales que habilitan un tratamiento, y el mero ejercicio de facultades tributarias no equivale automáticamente a invocar una de ellas: la Resolución debería identificar expresamente cuál de esas bases ampara cada categoría de dato que recaba.La Resolución N° 47/2026 exige una cantidad importante de información sobre cada operación. ¿Qué datos generan mayores interrogantes?La resolución contempla datos como la fecha y hora de la operación, la identificación de los intervinientes o las direcciones públicas de las billeteras, la denominación y red del criptoactivo, la cantidad negociada hasta el décimo decimal, el valor bruto expresado en dólares, las comisiones, los gas fees, el hash de la transacción y las direcciones de origen y destino.La cuestión jurídica es determinar si cada una de esas categorías de información es necesaria para cumplir con la finalidad tributaria. No basta con que técnicamente sea posible obtener un dato. Debe existir una justificación vinculada con la finalidad para la cual se lo solicita.Y en algunos casos ni siquiera es cuestión de proporcionalidad, sino de imposibilidad material. El umbral que fija la norma no distingue entre volumen bruto operado y ganancia neta real. En protocolos DeFi, una misma wallet puede ejecutar miles de operaciones automáticas de yield farming o rebalanceo de liquidez, sumando millones de dólares en volumen con una ganancia neta mínima o incluso negativa. Peor aún, en un pool de liquidez de Uniswap o PancakeSwap, el “interviniente” identificable es un contrato inteligente, no una persona física. Exigir la identificación del interviniente en ese contexto no es solo desproporcionado en términos de datos personales, es una exigencia que la arquitectura misma de la tecnología no puede satisfacer. Eso no es buena técnica normativa; es una fuente de inseguridad jurídica y de exposición sancionatoria arbitraria para quien de buena fe no puede cumplir con algo materialmente imposible.Cripto y tributos: experto español advierte que Paraguay debe controlar sin ahogar al ecosistema Bitcoin¿Qué riesgo plantea el pedido de las direcciones de billeteras y de los hashes?Las direcciones y los hashes pueden permitir reconstruir movimientos financieros que van más allá de una operación puntual. Dependiendo de cómo se procese esa información, puede ser posible establecer un historial de movimientos de una determinada dirección o vincular distintas operaciones entre sí, incluso operaciones que nada tienen que ver con una obligación tributaria paraguaya concreta.Por eso, la DNIT debería poder justificar la necesidad y proporcionalidad de cada una de esas categorías de información en función de la finalidad tributaria concreta. Y hay algo adicional que agrava el cuadro: la asociación entre la identidad fiscal de una persona y su dirección de wallet en la blockchain es, a diferencia de un número de cuenta bancaria, permanente e irrevocable. Un dato de este tipo, si se filtra, no puede cancelarse ni reemplazarse. Eso convierte a cualquier base de datos que concentre esa información en lo que en ciberseguridad se llama un objetivo de alto valor. No es una hipótesis abstracta: el Estado paraguayo tiene antecedentes documentados de vulnerabilidades graves en el manejo de datos sensibles, y ese historial debería pesar en el análisis de necesidad y proporcionalidad, no como un argumento de conveniencia sino como un dato jurídicamente relevante para la evaluación de impacto que exige el Art. 14 de la Ley 7593.DNIT trabaja en el PGN 2027 y ya revisa regímenes especiales en busca de mayor recaudación¿Esto se relaciona con el reclamo empresarial de diferenciar una operación gravada de la mera tenencia de un criptoactivo?Sí. Hay una diferencia entre una operación que puede generar una consecuencia tributaria y la mera tenencia de un activo. Desde la perspectiva de la protección de datos, la información debería limitarse a lo que resulte necesario, adecuado y pertinente respecto de la finalidad del tratamiento.Si el objetivo es determinar una obligación tributaria derivada de una operación determinada, habría que analizar si resulta necesario recopilar información que permita reconstruir toda la actividad financiera del contribuyente en blockchain. Aquí conviene señalar una contradicción de fondo que agrava el problema: el propio Art. 2° de la Resolución establece que el criptoactivo no tiene la consideración de moneda o divisa. Si el Estado declara que no es dinero, resulta más difícil justificar que se necesite el mismo nivel de trazabilidad granular que se exigiría para movimientos de divisas bajo un régimen cambiario. La finalidad tributaria invocada debería ser coherente con la naturaleza jurídica que la propia norma le atribuye al bien, y hoy no lo es.La resolución también contempla la posibilidad de requerir información adicional. ¿Existe un límite para esa facultad?Esa facultad debe interpretarse dentro de los mismos principios. No puede entenderse como una autorización ilimitada para solicitar cualquier información. Debe existir una relación entre el dato requerido, la finalidad del procedimiento y la necesidad de contar con esa información.Los principios de necesidad, proporcionalidad y finalidad funcionan como límites al tratamiento de datos, incluso cuando quien realiza el tratamiento es un organismo estatal. Tal como está redactada, esa cláusula abierta, que faculta a pedir información adicional a contribuyentes, terceros o entidades públicas o privadas sin fijar un límite expreso de finalidad, es exactamente el tipo de disposición que habilita usos ulteriores incompatibles con el fin original del tratamiento. Eso vulnera directamente el principio de finalidad del Art. 4°, inc. c de la Ley 7593, no en abstracto, sino por el modo concreto en que está redactada la norma.¿Qué ocurre con los datos de terceros que aparecen en una operación?Ahí aparece otra cuestión. La resolución contempla la información de los intervinientes y, cuando corresponda, sus direcciones públicas de billeteras o contratos inteligentes. Puede ocurrir que una persona que no tenga una relación directa con la DNIT quede incorporada al sistema tributario a partir de una operación realizada por otra persona, incluida una contraparte extranjera que nunca tuvo vínculo alguno con el fisco paraguayo ni consintió el tratamiento de sus datos.La Ley N° 7593 considera dato personal toda información referida a una persona física determinada o determinable. Por eso, también debe analizarse la situación de esos terceros y cuál es la finalidad por la que sus datos son incorporados, y bajo qué base legal específica del Art. 5° se pretende ampararla, porque la Resolución no la provee.¿La información de blockchain puede llegar a revelar datos sensibles?Dependiendo del contexto, el análisis de movimientos puede permitir inferir información que exceda la identificación estrictamente financiera de una persona. La Ley N° 7593 contempla como datos sensibles, en su Art. 3°, numeral 7, información vinculada con creencias religiosas, afiliación política o sindical, salud y orientación sexual.Si un tratamiento de información financiera permite realizar inferencias de esa naturaleza, por ejemplo, a partir de donaciones a organizaciones identificables en blockchain, aparecen exigencias adicionales respecto de las garantías que deben aplicarse al tratamiento. El Art. 20 de la Ley 7593 prohíbe en principio el tratamiento de datos sensibles, salvo excepciones taxativas, y ninguna de ellas está invocada en la Resolución.¿Qué papel tendría una evaluación de impacto en protección de datos?La Ley N° 7593 contempla la evaluación de impacto, en su Art. 14, como un análisis previo obligatorio cuando el tratamiento implica evaluación sistemática basada en datos automatizados, tratamiento a gran escala, u observación sistemática. Un sistema que concentra información detallada sobre operaciones con criptoactivos de toda la población contribuyente, de forma masiva y automatizada a través de Marangatú, encuadra simultáneamente en las tres categorías. Sería razonable, entonces, analizar previamente los riesgos vinculados con la recopilación, almacenamiento y utilización posterior de esos datos, y no hay constancia de que esa evaluación se haya realizado.Esto no es un requisito de forma. El Paraguay tiene un historial documentado de incidentes graves de seguridad en el manejo de datos estatales, la filtración de 400 gigabytes de la Policía Nacional en 2023, el ataque de ransomware al Instituto de Previsión Social en 2026, entre otros. Ese antecedente es precisamente el tipo de riesgo que una evaluación de impacto debería ponderar antes de construir un registro que, a diferencia de una cuenta bancaria comprometida, no puede cancelarse ni reemplazarse una vez expuesto. Si la evaluación hubiera concluido que el riesgo es alto, el Art. 15 de la misma ley exige además una consulta previa a la Agencia Nacional de Protección de Datos Personales, de la que tampoco hay constancia.También debe considerarse la privacidad desde el diseño. Es decir, la protección de los datos debería ser contemplada desde la propia configuración del sistema y no recién después de que toda la información haya sido recopilada.¿Qué debería saber una persona sobre el uso que la DNIT dará a sus datos?El principio de transparencia exige que el titular conozca la existencia y las características principales del tratamiento de sus datos, además de la información necesaria para ejercer sus derechos. El Art. 27 de la Ley 7593 es específico en esto: exige que, al momento de la obtención de los datos, se informe al titular la base legal del tratamiento, el tiempo de conservación, la existencia de decisiones automatizadas, los derechos de acceso, rectificación, supresión y portabilidad, y la posibilidad de recurrir ante la Agencia Nacional de Protección de Datos Personales.En este caso, la discusión pasa por determinar qué información queda registrada, cuál es la finalidad concreta de ese registro, quién puede acceder a ella, cuánto tiempo será conservada y bajo qué condiciones podría ser utilizada posteriormente. Hoy la Resolución no fija ningún plazo máximo de conservación ni criterios de revisión o supresión periódica, lo que también choca con el principio de limitación del plazo de conservación del Art. 4°, inc. e.Los empresarios también cuestionan los costos que genera el régimen para las plataformas locales. ¿La protección de datos tiene alguna relación con ese planteamiento?Existe una relación desde el punto de vista de la carga operativa. Si una plataforma establecida en Paraguay debe recopilar, procesar y conservar una cantidad elevada de información para cumplir con la obligación, mientras una plataforma extranjera queda fuera de ese mismo circuito, puede producirse una diferencia en los costos regulatorios.Ese aspecto corresponde a una discusión distinta, pero está relacionado con el volumen de información que se exige procesar y con las obligaciones que recaen sobre los operadores locales. Y tiene además una dimensión estratégica: un régimen de reporte más granular e intrusivo que el de buena parte de las economías que compiten por atraer capital e innovación en el sector puede operar como un desincentivo real para quienes eligieron Paraguay precisamente por su perfil de baja fricción regulatoria. No es solo un costo de cumplimiento; es un costo de competitividad frente a otras jurisdicciones de la región.¿La Ley N° 7593 ya puede utilizarse para cuestionar jurídicamente la Resolución N° 47/2026?Hay que hacer una precisión temporal. La Ley N° 7593/2025 fue promulgada y publicada en noviembre de 2025, pero su artículo 57 establece que entrará en vigor después de transcurridos 24 meses desde su publicación oficial. La propia norma establece además un plazo de 24 meses para su reglamentación.Por lo tanto, en agosto de 2026 la ley todavía no está plenamente vigente. El análisis debe entenderse como una evaluación de compatibilidad de la resolución con los estándares y principios que establece el nuevo régimen, no como una afirmación de que la Resolución N° 47/2026 ya infringe una ley que todavía no entró en vigor.Entonces, ¿cuál debería ser el criterio para compatibilizar el control tributario con la protección de datos?La DNIT tiene facultades para ejercer el control tributario, pero esas facultades deben estar vinculadas con una finalidad concreta. El punto es determinar qué información necesita realmente para cumplir esa función y si la cantidad y el nivel de detalle de los datos solicitados guardan relación con esa finalidad.Cuando se trata de información capaz de reconstruir movimientos financieros de una persona, la discusión deja de ser únicamente tributaria. También pasa a involucrar los límites del tratamiento de datos personales y las garantías que deben existir para evitar que la información sea utilizada para otros fines distintos de aquellos que justificaron su recopilación. A esto se suma que, mientras subsista la falta de una ley del Congreso que defina con rango legal qué es un criptoactivo en Paraguay, cualquier discusión sobre la finalidad legítima del tratamiento parte de una base normativa incompleta. Compatibilizar control tributario y protección de datos, en definitiva, no es solo un ejercicio de calibrar cuánta información pedir: es primero resolver con qué instrumento normativo y bajo qué definiciones legales se está regulando la materia.
La Dirección Nacional de Ingresos Tributarios (DNIT) puso en marcha la Resolución General Nº 47/2026 que obliga a declarar las operaciones con criptoactivos. La primera declaración corresponderá al ejercicio fiscal 2026 y deberá presentarse en marzo de 2027, a través del sistema Marangatu.
El abogado penalista y especialista en crypto compliance, Eduardo Hillar, conversó con ABC Color y analizó el alcance de la Resolución General N° 47/2026 de la DNIT, que establece obligaciones de información sobre operaciones con criptoactivos. Sostuvo que la discusión no debe limitarse a la potestad tributaria del fisco, sino que debe considerar qué información se recopila, con qué finalidad y durante cuánto tiempo puede ser conservada.
¿Cuál es el principal problema jurídico que plantea la Resolución General N° 47/2026 desde la perspectiva de la protección de datos personales?
El punto central es determinar si la información que se exige resulta necesaria y proporcional respecto de la finalidad tributaria que se persigue. La discusión no debería limitarse a si la DNIT tiene o no facultades para realizar controles tributarios. También debe analizarse qué datos se recopilan, para qué se utilizan, durante cuánto tiempo se conservan y si todos ellos son pertinentes para determinar una obligación tributaria.
Pero hay una capa previa a esa discusión que conviene no saltear: antes de preguntarnos si el tratamiento de datos es proporcional, cabe preguntarse si el instrumento normativo que lo ordena tiene el rango adecuado. El Art. 179 de la Constitución Nacional exige que todo tributo sea establecido por ley formal del Congreso, no por una resolución administrativa.
La DNIT no solo está definiendo qué datos recolectar; está definiendo, por primera vez y sin ley previa que la habilite, qué es un “criptoactivo” con consecuencias fiscales en Paraguay. Ese déficit de origen contamina también el análisis de protección de datos, si el tratamiento se funda en una norma que probablemente excede su propio rango, es más difícil sostener que existe una base legal suficiente en los términos que exige la legislación de datos personales.
Lea más: DNIT refuerza controles y digitaliza servicios para contribuyentes y bancos
¿Qué establece la Ley N° 7593/2025 sobre el tratamiento de datos por parte de organismos del Estado?
La ley establece principios que deben orientar el tratamiento de datos personales. Cuando un organismo del Estado trata información para ejercer sus funciones, los datos deben ser necesarios y proporcionales para esa finalidad. Aparecen, concretamente, los principios del Art. 4°: finalidad (inc. c), minimización y proporcionalidad (inc. d), limitación del plazo de conservación (inc. e) y lealtad y transparencia (inc. f). A esto se suma el Art. 5°, que enumera taxativamente las bases legales que habilitan un tratamiento, y el mero ejercicio de facultades tributarias no equivale automáticamente a invocar una de ellas: la Resolución debería identificar expresamente cuál de esas bases ampara cada categoría de dato que recaba.
La Resolución N° 47/2026 exige una cantidad importante de información sobre cada operación. ¿Qué datos generan mayores interrogantes?
La resolución contempla datos como la fecha y hora de la operación, la identificación de los intervinientes o las direcciones públicas de las billeteras, la denominación y red del criptoactivo, la cantidad negociada hasta el décimo decimal, el valor bruto expresado en dólares, las comisiones, los gas fees, el hash de la transacción y las direcciones de origen y destino.
La cuestión jurídica es determinar si cada una de esas categorías de información es necesaria para cumplir con la finalidad tributaria. No basta con que técnicamente sea posible obtener un dato. Debe existir una justificación vinculada con la finalidad para la cual se lo solicita.
Y en algunos casos ni siquiera es cuestión de proporcionalidad, sino de imposibilidad material. El umbral que fija la norma no distingue entre volumen bruto operado y ganancia neta real. En protocolos DeFi, una misma wallet puede ejecutar miles de operaciones automáticas de yield farming o rebalanceo de liquidez, sumando millones de dólares en volumen con una ganancia neta mínima o incluso negativa. Peor aún, en un pool de liquidez de Uniswap o PancakeSwap, el “interviniente” identificable es un contrato inteligente, no una persona física.
Exigir la identificación del interviniente en ese contexto no es solo desproporcionado en términos de datos personales, es una exigencia que la arquitectura misma de la tecnología no puede satisfacer. Eso no es buena técnica normativa; es una fuente de inseguridad jurídica y de exposición sancionatoria arbitraria para quien de buena fe no puede cumplir con algo materialmente imposible.
¿Qué riesgo plantea el pedido de las direcciones de billeteras y de los hashes?
Las direcciones y los hashes pueden permitir reconstruir movimientos financieros que van más allá de una operación puntual. Dependiendo de cómo se procese esa información, puede ser posible establecer un historial de movimientos de una determinada dirección o vincular distintas operaciones entre sí, incluso operaciones que nada tienen que ver con una obligación tributaria paraguaya concreta.
Por eso, la DNIT debería poder justificar la necesidad y proporcionalidad de cada una de esas categorías de información en función de la finalidad tributaria concreta. Y hay algo adicional que agrava el cuadro: la asociación entre la identidad fiscal de una persona y su dirección de wallet en la blockchain es, a diferencia de un número de cuenta bancaria, permanente e irrevocable. Un dato de este tipo, si se filtra, no puede cancelarse ni reemplazarse. Eso convierte a cualquier base de datos que concentre esa información en lo que en ciberseguridad se llama un objetivo de alto valor.
No es una hipótesis abstracta: el Estado paraguayo tiene antecedentes documentados de vulnerabilidades graves en el manejo de datos sensibles, y ese historial debería pesar en el análisis de necesidad y proporcionalidad, no como un argumento de conveniencia sino como un dato jurídicamente relevante para la evaluación de impacto que exige el Art. 14 de la Ley 7593.
Lea más: DNIT trabaja en el PGN 2027 y ya revisa regímenes especiales en busca de mayor recaudación
¿Esto se relaciona con el reclamo empresarial de diferenciar una operación gravada de la mera tenencia de un criptoactivo?
Sí. Hay una diferencia entre una operación que puede generar una consecuencia tributaria y la mera tenencia de un activo. Desde la perspectiva de la protección de datos, la información debería limitarse a lo que resulte necesario, adecuado y pertinente respecto de la finalidad del tratamiento.
Si el objetivo es determinar una obligación tributaria derivada de una operación determinada, habría que analizar si resulta necesario recopilar información que permita reconstruir toda la actividad financiera del contribuyente en blockchain.
Aquí conviene señalar una contradicción de fondo que agrava el problema: el propio Art. 2° de la Resolución establece que el criptoactivo no tiene la consideración de moneda o divisa. Si el Estado declara que no es dinero, resulta más difícil justificar que se necesite el mismo nivel de trazabilidad granular que se exigiría para movimientos de divisas bajo un régimen cambiario. La finalidad tributaria invocada debería ser coherente con la naturaleza jurídica que la propia norma le atribuye al bien, y hoy no lo es.
La resolución también contempla la posibilidad de requerir información adicional. ¿Existe un límite para esa facultad?
Esa facultad debe interpretarse dentro de los mismos principios. No puede entenderse como una autorización ilimitada para solicitar cualquier información. Debe existir una relación entre el dato requerido, la finalidad del procedimiento y la necesidad de contar con esa información.
Los principios de necesidad, proporcionalidad y finalidad funcionan como límites al tratamiento de datos, incluso cuando quien realiza el tratamiento es un organismo estatal. Tal como está redactada, esa cláusula abierta, que faculta a pedir información adicional a contribuyentes, terceros o entidades públicas o privadas sin fijar un límite expreso de finalidad, es exactamente el tipo de disposición que habilita usos ulteriores incompatibles con el fin original del tratamiento. Eso vulnera directamente el principio de finalidad del Art. 4°, inc. c de la Ley 7593, no en abstracto, sino por el modo concreto en que está redactada la norma.
¿Qué ocurre con los datos de terceros que aparecen en una operación?
Ahí aparece otra cuestión. La resolución contempla la información de los intervinientes y, cuando corresponda, sus direcciones públicas de billeteras o contratos inteligentes. Puede ocurrir que una persona que no tenga una relación directa con la DNIT quede incorporada al sistema tributario a partir de una operación realizada por otra persona, incluida una contraparte extranjera que nunca tuvo vínculo alguno con el fisco paraguayo ni consintió el tratamiento de sus datos.
La Ley N° 7593 considera dato personal toda información referida a una persona física determinada o determinable. Por eso, también debe analizarse la situación de esos terceros y cuál es la finalidad por la que sus datos son incorporados, y bajo qué base legal específica del Art. 5° se pretende ampararla, porque la Resolución no la provee.
¿La información de blockchain puede llegar a revelar datos sensibles?
Dependiendo del contexto, el análisis de movimientos puede permitir inferir información que exceda la identificación estrictamente financiera de una persona. La Ley N° 7593 contempla como datos sensibles, en su Art. 3°, numeral 7, información vinculada con creencias religiosas, afiliación política o sindical, salud y orientación sexual.
Si un tratamiento de información financiera permite realizar inferencias de esa naturaleza, por ejemplo, a partir de donaciones a organizaciones identificables en blockchain, aparecen exigencias adicionales respecto de las garantías que deben aplicarse al tratamiento. El Art. 20 de la Ley 7593 prohíbe en principio el tratamiento de datos sensibles, salvo excepciones taxativas, y ninguna de ellas está invocada en la Resolución.
¿Qué papel tendría una evaluación de impacto en protección de datos?
La Ley N° 7593 contempla la evaluación de impacto, en su Art. 14, como un análisis previo obligatorio cuando el tratamiento implica evaluación sistemática basada en datos automatizados, tratamiento a gran escala, u observación sistemática. Un sistema que concentra información detallada sobre operaciones con criptoactivos de toda la población contribuyente, de forma masiva y automatizada a través de Marangatú, encuadra simultáneamente en las tres categorías. Sería razonable, entonces, analizar previamente los riesgos vinculados con la recopilación, almacenamiento y utilización posterior de esos datos, y no hay constancia de que esa evaluación se haya realizado.
Esto no es un requisito de forma. El Paraguay tiene un historial documentado de incidentes graves de seguridad en el manejo de datos estatales, la filtración de 400 gigabytes de la Policía Nacional en 2023, el ataque de ransomware al Instituto de Previsión Social en 2026, entre otros. Ese antecedente es precisamente el tipo de riesgo que una evaluación de impacto debería ponderar antes de construir un registro que, a diferencia de una cuenta bancaria comprometida, no puede cancelarse ni reemplazarse una vez expuesto. Si la evaluación hubiera concluido que el riesgo es alto, el Art. 15 de la misma ley exige además una consulta previa a la Agencia Nacional de Protección de Datos Personales, de la que tampoco hay constancia.
También debe considerarse la privacidad desde el diseño. Es decir, la protección de los datos debería ser contemplada desde la propia configuración del sistema y no recién después de que toda la información haya sido recopilada.
¿Qué debería saber una persona sobre el uso que la DNIT dará a sus datos?
El principio de transparencia exige que el titular conozca la existencia y las características principales del tratamiento de sus datos, además de la información necesaria para ejercer sus derechos. El Art. 27 de la Ley 7593 es específico en esto: exige que, al momento de la obtención de los datos, se informe al titular la base legal del tratamiento, el tiempo de conservación, la existencia de decisiones automatizadas, los derechos de acceso, rectificación, supresión y portabilidad, y la posibilidad de recurrir ante la Agencia Nacional de Protección de Datos Personales.
En este caso, la discusión pasa por determinar qué información queda registrada, cuál es la finalidad concreta de ese registro, quién puede acceder a ella, cuánto tiempo será conservada y bajo qué condiciones podría ser utilizada posteriormente. Hoy la Resolución no fija ningún plazo máximo de conservación ni criterios de revisión o supresión periódica, lo que también choca con el principio de limitación del plazo de conservación del Art. 4°, inc. e.
Los empresarios también cuestionan los costos que genera el régimen para las plataformas locales. ¿La protección de datos tiene alguna relación con ese planteamiento?
Existe una relación desde el punto de vista de la carga operativa. Si una plataforma establecida en Paraguay debe recopilar, procesar y conservar una cantidad elevada de información para cumplir con la obligación, mientras una plataforma extranjera queda fuera de ese mismo circuito, puede producirse una diferencia en los costos regulatorios.
Ese aspecto corresponde a una discusión distinta, pero está relacionado con el volumen de información que se exige procesar y con las obligaciones que recaen sobre los operadores locales. Y tiene además una dimensión estratégica: un régimen de reporte más granular e intrusivo que el de buena parte de las economías que compiten por atraer capital e innovación en el sector puede operar como un desincentivo real para quienes eligieron Paraguay precisamente por su perfil de baja fricción regulatoria. No es solo un costo de cumplimiento; es un costo de competitividad frente a otras jurisdicciones de la región.
¿La Ley N° 7593 ya puede utilizarse para cuestionar jurídicamente la Resolución N° 47/2026?
Hay que hacer una precisión temporal. La Ley N° 7593/2025 fue promulgada y publicada en noviembre de 2025, pero su artículo 57 establece que entrará en vigor después de transcurridos 24 meses desde su publicación oficial. La propia norma establece además un plazo de 24 meses para su reglamentación.
Por lo tanto, en agosto de 2026 la ley todavía no está plenamente vigente. El análisis debe entenderse como una evaluación de compatibilidad de la resolución con los estándares y principios que establece el nuevo régimen, no como una afirmación de que la Resolución N° 47/2026 ya infringe una ley que todavía no entró en vigor.
Entonces, ¿cuál debería ser el criterio para compatibilizar el control tributario con la protección de datos?
La DNIT tiene facultades para ejercer el control tributario, pero esas facultades deben estar vinculadas con una finalidad concreta. El punto es determinar qué información necesita realmente para cumplir esa función y si la cantidad y el nivel de detalle de los datos solicitados guardan relación con esa finalidad.
Cuando se trata de información capaz de reconstruir movimientos financieros de una persona, la discusión deja de ser únicamente tributaria. También pasa a involucrar los límites del tratamiento de datos personales y las garantías que deben existir para evitar que la información sea utilizada para otros fines distintos de aquellos que justificaron su recopilación.
A esto se suma que, mientras subsista la falta de una ley del Congreso que defina con rango legal qué es un criptoactivo en Paraguay, cualquier discusión sobre la finalidad legítima del tratamiento parte de una base normativa incompleta. Compatibilizar control tributario y protección de datos, en definitiva, no es solo un ejercicio de calibrar cuánta información pedir: es primero resolver con qué instrumento normativo y bajo qué definiciones legales se está regulando la materia.
RSS Nacionales en ABC Color
