Bolivia es uno de los pocos países de la región sin una ley integral de protección de datos personales. Esa ausencia lleva a un error común: suponer que en Bolivia no hay ninguna obligación sobre los datos de las personas. Sí la hay. La protección existe a nivel constitucional desde 2009, y una ley específica está en preparación. Esta guía explica qué rige hoy, qué falta, y qué conviene hacer antes de que la norma llegue.
Qué protege hoy la Constitución
La Constitución Política del Estado de 2009 reconoce el derecho a la privacidad en su artículo 21, e incorpora en el artículo 130 la Acción de Protección de Privacidad. Es el mecanismo constitucional que cumple, en Bolivia, la función del habeas data en otros países.
El artículo 130 permite a toda persona, individual o colectiva, que se considere indebida o ilegalmente impedida de conocer, objetar, eliminar o rectificar los datos registrados sobre ella en archivos o bancos de datos públicos o privados, interponer esta acción. Esos cuatro verbos, conocer, objetar, eliminar y rectificar, equivalen a los derechos de acceso, oposición, cancelación y rectificación que en otros países se conocen como derechos ARCO.
El procedimiento sigue las reglas de la Acción de Amparo Constitucional, según el artículo 131, y la decisión final se eleva en revisión ante el Tribunal Constitucional Plurinacional. La Sentencia Constitucional 0192/2015 precisó que la finalidad de esta acción es garantizar que una persona pueda conocer sus datos y obtener su eliminación o rectificación cuando contengan errores o afecten su intimidad.
Qué no existe todavía
La protección constitucional tiene un límite claro: opera de forma reactiva, cuando una persona ya se siente afectada y acude a la justicia. Falta el andamiaje que en otros países regula el tratamiento de datos antes de que haya un conflicto.
- No hay una ley integral de protección de datos. No existe una norma que fije principios de tratamiento, bases de licitud, obligaciones de seguridad y deberes de información para las empresas.
- No hay una autoridad de control. Bolivia no cuenta con un organismo equivalente a la AAIP argentina, la ANPD peruana o la SIC colombiana que fiscalice y sancione.
- No hay registro obligatorio de bases de datos. Ninguna norma exige inscribir las bases ante un registro nacional, como sí ocurre en los países vecinos.
Las normas dispersas que sí aplican
Además de la Constitución, hay disposiciones puntuales que tocan la materia.
- Delitos informáticos. El Código Penal, modificado por la Ley 1768 de 1997, tipifica en sus artículos 363 bis y 363 ter la manipulación informática y la alteración, acceso y uso indebido de datos informáticos.
- La Ley 164 de 2011 incluye disposiciones sobre confidencialidad de las comunicaciones y datos de los usuarios de servicios de telecomunicaciones.
- Acceso a la información pública. Existen normas sobre transparencia y acceso a la información en poder del Estado, con un alcance distinto al de la protección de datos personales.
El resultado es un marco fragmentado. Una empresa que trata datos en Bolivia no tiene un texto único que le diga qué hacer, y esa incertidumbre es justamente lo que el anteproyecto busca resolver.
El anteproyecto de la AGETIC
La Agencia de Gobierno Electrónico y Tecnologías de Información y Comunicación elaboró en 2024 un Anteproyecto de Ley de Protección de Datos Personales, y durante 2025 publicó manuales y presentaciones de difusión. Es una propuesta moderna, alineada con estándares internacionales. Entre sus aspectos destacados figuran:
- Aplicación extraterritorial. Alcanzaría a responsables ubicados fuera de Bolivia que ofrezcan bienes o servicios a personas en el país.
- Principio de responsabilidad proactiva. Las organizaciones no solo deberían cumplir, sino poder acreditar que cumplen, como rendición de cuentas.
- Ampliación de las bases de licitud. Sumaría, además del consentimiento, otros fundamentos para tratar datos de forma válida.
- Una autoridad de protección de datos. El anteproyecto contempla la creación de un organismo de control especializado.
El anteproyecto todavía no se ha convertido en ley. Su avance es el disparador que cambiará el escenario, y conviene seguirlo de cerca.
Qué conviene hacer antes de que llegue la ley
Una empresa que trata datos en Bolivia gana poco esperando a que exista la obligación legal, y arriesga bastante. Los estándares que la futura ley va a exigir son los mismos que hoy se consideran buenas prácticas internacionales, y adoptarlos ahora tiene tres beneficios: reduce el riesgo de una acción de protección de privacidad en su contra, prepara el terreno para la ley que viene, y responde a los clientes internacionales que ya exigen garantías de tratamiento de datos a sus proveedores bolivianos.
- Saber qué datos personales se tratan y dónde están. El inventario es la base de cualquier control posterior.
- Controlar el acceso. Privilegio mínimo y autenticación fuerte sobre los sistemas que contienen datos personales.
- Alinearse con un estándar internacional. La norma ISO 27001 de seguridad de la información es la referencia que anticipa buena parte de lo que exigirá la futura ley.
Las organizaciones sobre plataforma Microsoft tienen estos controles disponibles en licencias que ya pagan: Purview para clasificar y proteger datos, Entra ID para gobernar el acceso, Defender y Sentinel para detectar y responder.
Por dónde empezar
No esperes a que la ley se publique para saber qué datos personales tratas. El inventario y los controles básicos de acceso son útiles hoy, frente a una acción de protección de privacidad o frente a un cliente que audita a sus proveedores, y serán obligatorios mañana. Adelantarse cuesta menos que corregir a las apuradas cuando la norma entre en vigencia.
Conversemos en una reunión de 30 minutos.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Quieres un diagnóstico de cumplimiento para tu empresa?
En XMS hacemos una sesión inicial sin costo: revisamos tu entorno Microsoft, identificamos las brechas de protección de datos personales y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
No una ley integral. La protección existe a nivel constitucional a través de la Acción de Protección de Privacidad del artículo 130 de la Constitución. La AGETIC preparó un anteproyecto de ley específica en 2024, que todavía no se ha aprobado.
Es el mecanismo constitucional boliviano que permite a una persona conocer, objetar, eliminar o rectificar sus datos en archivos o bancos de datos públicos o privados. Cumple una función similar al habeas data de otros países y se tramita ante la justicia constitucional.
Sí, aunque dispersas. Debe respetar el derecho constitucional a la privacidad, no incurrir en los delitos informáticos del Código Penal, y atender una eventual acción de protección de privacidad. Además, la práctica internacional y los clientes globales ya exigen estándares que la futura ley formalizará.
