Protección de datos en Guatemala: cumplimiento para empresas 2026

El estado actual de la protección de datos en Guatemala

Guatemala es uno de los pocos países de América Latina que todavía no cuenta con una ley integral de protección de datos personales. A diferencia de Costa Rica (Ley 8968), México (LFPDPPP), Colombia (Ley 1581) o Brasil (LGPD), Guatemala opera en 2026 con un marco legal fragmentado que combina protecciones constitucionales, legislación sectorial y el proyecto de ley PROPDATOS que aguarda aprobación en el Congreso.

Esto no significa que las empresas guatemaltecas puedan tratar los datos personales sin restricciones. Significa que el marco legal es más complejo de navegar, porque las obligaciones surgen de múltiples fuentes en lugar de una sola norma unificada. Y significa que quienes estén preparados cuando la ley llegue tendrán una ventaja competitiva real frente a quienes empiecen a adaptarse después de la aprobación.

Esta guía explica el marco legal vigente, lo que se sabe del proyecto PROPDATOS, las obligaciones sectoriales específicas y los pasos prácticos que las empresas pueden tomar hoy.

---

Marco constitucional: la base de la protección de datos en Guatemala

Aunque no existe una ley específica, la Constitución Política de la República de Guatemala establece protecciones relevantes:

Artículo 23 — Inviolabilidad de la vivienda: Protege contra intromisiones no autorizadas en el espacio privado, principio que se extiende por analogía a la información personal.

Artículo 24 — Inviolabilidad de correspondencia, documentos y libros: Ninguna comunicación puede ser interceptada, revisada o divulgada sin autorización judicial. Esto incluye comunicaciones electrónicas y, por extensión, datos personales transmitidos digitalmente.

Artículo 31 — Acceso a archivos y registros estatales (Habeas Data): Toda persona tiene el derecho de conocer lo que de ella conste en archivos, fichas o cualquier otra forma de registros estatales, y la finalidad a que se dedica esta información. Puede solicitar su corrección o supresión. Esta es la base constitucional del derecho al acceso, rectificación y cancelación de datos en Guatemala, aunque su alcance se limita principalmente a registros públicos.

Estas disposiciones constitucionales son relevantes porque la Corte de Constitucionalidad (CC) de Guatemala las interpreta de manera evolutiva, y en casos específicos ha extendido su alcance para proteger datos personales en contextos digitales.

---

Decreto 57-2008: Ley de Acceso a la Información Pública

El Decreto 57-2008, conocido como LAI (Ley de Acceso a la Información Pública), es la legislación más relevante en materia de datos que existe actualmente en Guatemala. Sin embargo, su alcance es fundamentalmente diferente al de una ley de protección de datos:

Qué cubre la LAI:

• Regula el acceso de los ciudadanos a la información en poder de entidades públicas.
• Establece la obligación de los sujetos obligados (instituciones estatales, organismos autónomos, concesionarios) de publicar información de oficio.
• Crea la figura del Procurador de los Derechos Humanos como el órgano de supervisión de su cumplimiento.
• Establece procedimientos para solicitar información y plazos de respuesta (10 días hábiles en la mayoría de casos).

Qué NO cubre la LAI:

• No regula cómo las empresas privadas recolectan, almacenan o procesan datos personales de sus clientes o empleados.
• No establece obligaciones de notificación de brechas de seguridad.
• No define derechos de los titulares de datos frente a empresas privadas (más allá de lo que establece el Código Civil para contratos).
• No crea una autoridad de protección de datos con competencia sobre el sector privado.

Para las empresas privadas guatemaltecas, la LAI es relevante principalmente cuando actúan como contratistas del Estado o cuando manejan información que el Estado les ha confiado. No es la norma que regula su relación con sus propios clientes.

---

PROPDATOS: el proyecto de ley que cambiará todo

El proyecto de Ley de Protección de Datos Personales, conocido como PROPDATOS, lleva varios años en discusión en el Congreso de la República de Guatemala. A la fecha de publicación de este artículo (junio 2026), el proyecto sigue pendiente de aprobación, pero sus lineamientos son ampliamente conocidos en el sector porque varios borradores han circulado públicamente.

Principales elementos del proyecto PROPDATOS:

Ámbito de aplicación: Aplicaría a toda persona individual o jurídica, pública o privada, que recolecte, almacene, use, transfiera o de cualquier forma trate datos personales de guatemaltecos, independientemente de si el tratamiento ocurre dentro o fuera del territorio nacional.

Principios del tratamiento: Licitud, finalidad, proporcionalidad, calidad, transparencia, seguridad y confidencialidad. Estos son los mismos principios que rigen el GDPR europeo y la mayoría de leyes modernas de protección de datos.

Derechos de los titulares: Acceso, rectificación, cancelación y oposición (los llamados derechos ARCO), más los derechos de portabilidad y limitación del tratamiento tomados del modelo europeo.

Bases legales para el tratamiento: Consentimiento, ejecución de contrato, obligación legal, interés vital, interés público o interés legítimo del responsable — requiriendo que toda recolección de datos tenga una base jurídica explícita.

Transferencias internacionales: Solo serían permitidas hacia países con nivel adecuado de protección o mediante garantías contractuales (cláusulas contractuales tipo o BCR).

Notificación de brechas: Obligación de notificar a la autoridad de control y a los titulares afectados dentro de plazos cortos (probablemente 72 horas para la autoridad, similar al GDPR).

Autoridad de control: Se crearía una autoridad independiente (posiblemente adscrita al Procurador de los Derechos Humanos o como entidad autónoma) con poderes de inspección, sanción y resolución de reclamaciones.

Sanciones: Multas por incumplimiento que los últimos borradores establecen en rangos porcentuales sobre ingresos anuales, siguiendo el modelo europeo.

¿Cuándo se aprobará? Es imposible predecirlo con certeza, pero la tendencia regional y la presión de los socios comerciales internacionales de Guatemala (especialmente en el marco del DR-CAFTA con Estados Unidos) apunta a que la aprobación es cuestión de tiempo, no de posibilidad.

---

Obligaciones sectoriales vigentes

Aunque no hay una ley general, varias regulaciones sectoriales imponen obligaciones específicas relacionadas con datos personales:

Sector financiero (SIB)

La Superintendencia de Bancos emite circulares y resoluciones bajo el marco del Decreto 19-2002 que incluyen requisitos de:

• Confidencialidad de información de clientes.
• Controles de acceso a sistemas que procesan datos financieros.
• Procedimientos de gestión de incidentes de seguridad.
• Evaluaciones periódicas de riesgo tecnológico.

Las entidades supervisadas por la SIB (bancos, aseguradoras, casas de cambio, grupos financieros) deben cumplir estas circulares independientemente de PROPDATOS. El análisis detallado de estas obligaciones se desarrolla en el artículo sobre las regulaciones del sector financiero en Guatemala.

Sector salud

El Código de Salud y las regulaciones del Ministerio de Salud Pública y Asistencia Social (MSPAS) establecen la confidencialidad de los datos de salud de los pacientes. Los expedientes clínicos, diagnósticos y tratamientos son considerados información sensible con obligaciones de confidencialidad específicas para los profesionales de la salud y los establecimientos.

Telecomunicaciones

La Ley General de Telecomunicaciones (Decreto 94-96) y sus reglamentos establecen obligaciones de confidencialidad sobre las comunicaciones y algunos datos de tráfico para los operadores de telecomunicaciones bajo supervisión de la SIT (Superintendencia de Telecomunicaciones).

Contratos con entidades públicas

Las empresas que proveen servicios al Estado guatemalteco a menudo están sujetas a cláusulas contractuales de confidencialidad sobre los datos a los que acceden durante la prestación del servicio. Estas obligaciones contractuales son exigibles aunque no exista una ley general.

---

El impacto del GDPR en empresas guatemaltecas

Aunque Guatemala no tiene una ley propia de protección de datos, el Reglamento General de Protección de Datos de la Unión Europea (GDPR) tiene alcance extraterritorial. Afecta a empresas guatemaltecas cuando:

• Ofrecen bienes o servicios a residentes en la UE — aunque sea a través de un sitio web en español con opción de pago.
• Monitorean el comportamiento de personas en la UE — por ejemplo, mediante herramientas de analytics que recopilan datos de usuarios europeos.
• Son subprocesadoras de datos de empresas europeas — los proveedores de BPO, desarrollo de software o servicios en la nube guatemaltecos que trabajan para clientes europeos procesan datos bajo el manto del GDPR y deben firmar Data Processing Agreements (DPA).

Las consecuencias del incumplimiento del GDPR para empresas guatemaltecas incluyen la pérdida del contrato con el cliente europeo, sanciones aplicadas al responsable europeo que luego recupera mediante cláusulas contractuales, y daño reputacional en mercados internacionales.

---

Pasos prácticos que las empresas pueden tomar hoy

No es necesario esperar a PROPDATOS para empezar a prepararse. Estas acciones tienen valor inmediato y construyen la base para el cumplimiento futuro:

1. Inventario de datos: Mapear qué datos personales recolecta la empresa, de quién, con qué propósito, dónde se almacenan y quién tiene acceso. Este ejercicio de Data Discovery es la base de cualquier programa de privacidad.

2. Revisión de contratos: Identificar contratos con clientes o proveedores que ya imponen obligaciones de privacidad (cláusulas de confidencialidad, GDPR DPAs, cláusulas de notificación de brechas). Verificar que la empresa las esté cumpliendo.

3. Evaluación de seguridad técnica: Una brecha de datos es la consecuencia más costosa de un manejo deficiente de información personal. Un pentest identifica los vectores por los que un atacante podría acceder, exfiltrar o comprometer datos de clientes antes de que ocurra un incidente. La evaluación de proveedores de pentesting en Guatemala presenta los criterios clave para elegir un proveedor con metodología verificable y capacidad de entrega de evidencia ante reguladores.

4. Política de privacidad actualizada: Revisar que los avisos de privacidad del sitio web y de los servicios reflejen con precisión el tratamiento real de datos. Muchas empresas guatemaltecas tienen políticas copiadas de internet que no corresponden a sus prácticas reales.

5. Procedimiento de gestión de incidentes: Definir qué hace la empresa si descubre que tuvo una brecha. ¿A quién se notifica internamente? ¿Cuándo se notifica a clientes afectados? ¿Cómo se documenta el incidente? Tener este procedimiento listo antes de que sea obligatorio por ley es una muestra de madurez.

6. Formación del equipo: Los empleados son el eslabón más vulnerable. Phishing, ingeniería social y manejo inadecuado de información son riesgos que se mitigan con capacitación, no solo con tecnología.

---

Cómo un pentest protege los datos de tus clientes

La seguridad técnica es el complemento indispensable de cualquier programa de privacidad. Las mejores políticas de privacidad del mundo no sirven de nada si un atacante puede extraer la base de datos de clientes a través de una inyección SQL en la aplicación web.

Un pentest profesional identifica:

• Vulnerabilidades en aplicaciones que podrían exponer datos de clientes (SQL injection, XSS, IDOR, autenticación débil).
• Problemas de control de acceso que permiten a usuarios no autorizados ver datos de otros clientes.
• Exposición de datos sensibles en logs, endpoints de API o configuraciones incorrectas de almacenamiento en la nube.
• Vectores de exfiltración que un atacante usaría para llevarse la base de datos sin ser detectado.

Proveedores como WhiteJaguars, con metodología documentada (PTES + OWASP + MITRE ATT&CK) y una plataforma de gestión que entrega hallazgos en tiempo real, permiten presentar los reportes directamente ante auditores o reguladores como evidencia documentada de los controles de seguridad implementados.

---

Preguntas frecuentes

¿Tiene Guatemala una ley de protección de datos personales?

No. A junio de 2026, Guatemala no cuenta con una ley integral de protección de datos personales. El marco vigente se basa en protecciones constitucionales (artículos 23, 24 y 31), la Ley de Acceso a la Información Pública (Decreto 57-2008) y regulaciones sectoriales de la SIB para entidades financieras.

¿Qué es PROPDATOS y cuándo se aprobará?

PROPDATOS es el proyecto de Ley de Protección de Datos Personales que lleva varios años en discusión en el Congreso guatemalteco. A la fecha de publicación de este artículo sigue pendiente de aprobación. Sus borradores circulados proponen derechos ARCO para los titulares, obligaciones de notificación de brechas y una autoridad de control independiente. La tendencia regional indica que su aprobación es cuestión de tiempo.

¿Aplica el GDPR europeo a empresas guatemaltecas?

Sí, cuando una empresa guatemalteca ofrece bienes o servicios a residentes en la Unión Europea, monitorea el comportamiento de personas en la UE, o actúa como subprocesadora de datos para clientes europeos. En esos casos, el incumplimiento puede implicar pérdida de contratos y sanciones que el cliente europeo recupera mediante cláusulas contractuales.

¿Qué obligaciones de protección de datos existen hoy para empresas guatemaltecas del sector financiero?

Las entidades supervisadas por la Superintendencia de Bancos (SIB) están sujetas a circulares bajo el Decreto 19-2002 que exigen confidencialidad de la información de clientes, controles de acceso a sistemas con datos financieros, procedimientos de gestión de incidentes de seguridad y evaluaciones periódicas de riesgo tecnológico. Estas obligaciones son exigibles independientemente de PROPDATOS.

¿Qué pueden hacer hoy las empresas guatemaltecas para prepararse?

Los pasos prioritarios son: (1) inventario de qué datos personales recolectan y con qué propósito; (2) revisión de contratos con clientes y proveedores para identificar obligaciones de confidencialidad ya vigentes; (3) evaluación técnica de seguridad para identificar vectores de exposición de datos; (4) política de privacidad actualizada que refleje prácticas reales; y (5) procedimiento documentado de respuesta a incidentes.

---

Conclusión: prepararse antes de que sea obligatorio es ventaja competitiva

La aprobación de PROPDATOS en Guatemala es inevitable en el mediano plazo. Las empresas que implementen hoy las bases de un programa de privacidad — inventario de datos, controles técnicos de seguridad, procedimientos de respuesta a incidentes — estarán en posición de cumplir rápidamente cuando la ley entre en vigor, mientras sus competidores corren para adaptarse.

Más importante aún: la protección real de los datos de los clientes no es solo una obligación legal, es un activo de reputación. En un mercado donde las brechas de datos son noticia, las empresas que demuestran que toman la seguridad en serio tienen una ventaja diferenciadora real.