Protección datos Bolivia: Ley 164 y ASFI 2026

El contexto que toda empresa debe entender antes de operar en Bolivia

Bolivia ocupa una posición atípica en el panorama latinoamericano de privacidad de datos. Mientras sus vecinos avanzaron en marcos legales comprehensivos — Brasil con la LGPD (2020), Colombia con la Ley 1581 (2012), Argentina con la Ley 25.326 (2000) y Chile con su reforma de 2024 — Bolivia no cuenta todavía con una ley integral de protección de datos personales.

Eso no significa ausencia total de obligaciones. Significa que las obligaciones son fragmentadas, sectoriales y, en algunos casos, interpretadas a partir de garantías constitucionales. Para las empresas, la falta de un marco unificado puede crear una falsa sensación de libertad. En la práctica, el riesgo operativo, reputacional y legal es real.

Esta guía está escrita para directores de tecnología, oficiales de cumplimiento y responsables de seguridad que operan en Bolivia o planean expandir operaciones al mercado boliviano en 2026.

La protección constitucional: el habeas data como punto de partida

La Constitución Política del Estado Plurinacional de Bolivia, promulgada en 2009, consagra en su Artículo 130 el derecho de habeas data. Este mecanismo permite a toda persona acceder a la información que sobre ella consta en registros, bases de datos o bancos de información de entidades públicas o privadas, con el derecho a exigir su rectificación, eliminación o supresión si dicha información es errónea, está desactualizada o vulnera derechos fundamentales.

Lo que esto significa en términos prácticos para las empresas:

Cualquier titular de datos puede presentar una acción de habeas data ante autoridad judicial si considera que su información está siendo tratada de forma incorrecta.
La empresa destinataria tiene la obligación de responder y, de ser procedente, corregir o eliminar la información.
La ausencia de procedimientos internos para atender estas solicitudes es un riesgo legal inmediato, no un riesgo futuro.

El habeas data boliviano no establece multas administrativas estructuradas como lo hace el GDPR o la LGPD. Sin embargo, la vía judicial puede derivar en condenas civiles y, en casos de tratamiento doloso, responsabilidad penal bajo el Código Penal vigente.

Ley 164: Telecomunicaciones y Tecnologías de la Información (2011)

La Ley General de Telecomunicaciones, Tecnologías de Información y Comunicación (Ley 164) es la pieza normativa más relevante en materia de datos para el sector privado en Bolivia. Aunque su objeto principal es regular el sector de telecomunicaciones, incorpora disposiciones directamente aplicables a empresas que operan servicios digitales.

Los aspectos más relevantes de la Ley 164 para el cumplimiento empresarial:

Confidencialidad de las comunicaciones: Los operadores de servicios de telecomunicaciones tienen prohibición expresa de interceptar, divulgar o ceder a terceros el contenido de comunicaciones de sus usuarios sin consentimiento o mandato judicial.
Seguridad de la información: Las entidades que prestan servicios de telecomunicaciones y servicios de la sociedad de la información deben adoptar medidas técnicas y organizativas para proteger los datos de los usuarios.
Derechos de los usuarios: La ley reconoce el derecho a la privacidad de los datos de tráfico y localización, con restricciones estrictas sobre su uso comercial sin autorización explícita.

El decreto reglamentario de la Ley 164 desarrolla estas disposiciones con mayor detalle para los operadores de telecomunicaciones. Las empresas de tecnología, e-commerce y plataformas digitales que operan en Bolivia deben revisar si su actividad queda comprendida dentro del alcance de la Ley 164 y su reglamento.

ADSIB: el rol orientador en ausencia de autoridad de control

La Agencia para el Desarrollo de la Sociedad de la Información en Bolivia (ADSIB) es la entidad gubernamental responsable de promover el uso de tecnologías de la información. A diferencia de las autoridades de protección de datos de otros países — como la Superintendencia de Industria y Comercio de Colombia o la ANPD de Brasil — la ADSIB no tiene funciones de supervisión o sanción sobre el tratamiento de datos personales por parte del sector privado.

Su rol es principalmente consultivo, normativo en materia de gobierno electrónico y promotor de estándares de seguridad digital para entidades públicas. Emite guías técnicas y lidera proyectos de identidad digital y firma electrónica.

Para las empresas, esto tiene una consecuencia directa: en Bolivia no existe hoy una autoridad que pueda iniciar una investigación de oficio, imponer multas o emitir resoluciones vinculantes sobre incumplimientos de privacidad en el sector privado general. Pero esta ausencia puede cambiar rápidamente, y las empresas que no construyan ahora una base de cumplimiento partirán en desventaja cuando la regulación llegue.

Obligaciones sectoriales que sí existen

Sector financiero: ASFI

La Autoridad de Supervisión del Sistema Financiero (ASFI) regula bancos, entidades de crédito, compañías de seguros, casas de cambio y entidades de pago. A través de su normativa reglamentaria, establece obligaciones concretas en materia de datos que se examinan con mayor profundidad en el análisis de las regulaciones del sector financiero en Bolivia:

Secreto bancario: Las entidades financieras tienen prohibición legal de divulgar información sobre operaciones, saldos o movimientos de clientes a terceros, salvo excepciones legales o consentimiento expreso.
Seguridad informática: La Recopilación de Normas para Bancos y Entidades Financieras (RNBEF) incluye requisitos de seguridad de la información, controles de acceso, gestión de incidentes y continuidad de negocio.
Reporte de incidentes: Las entidades supervisadas deben notificar a ASFI sobre incidentes de seguridad que afecten la disponibilidad o integridad de sistemas críticos.
Terceros y outsourcing: El tratamiento de datos por proveedores externos (procesadores de pago, nubes, terceros tecnológicos) requiere contratos con cláusulas de confidencialidad y controles verificables.

Obligación	Entidades alcanzadas	Base normativa
Secreto bancario	Bancos, financieras, cooperativas	Ley 393, Art. 91
Seguridad informática	Todas las entidades supervisadas por ASFI	RNBEF, Sección 8
Reporte de incidentes	Entidades de importancia sistémica	Circulares ASFI
Contratos con terceros tecnológicos	Todas las entidades supervisadas	RNBEF, outsourcing

Sector salud

El sector salud en Bolivia opera bajo el principio de confidencialidad médica reconocido en la Ley del Ejercicio Profesional Médico y el Código de Ética Médica. Los establecimientos de salud, clínicas privadas y aseguradoras de salud deben tratar los datos clínicos con confidencialidad estricta y obtener consentimiento para su uso secundario (investigación, cesión a terceros, fines comerciales).

No existe hoy un reglamento sectorial equivalente a las HIPAA rules de Estados Unidos, pero la ausencia de norma específica no exime de responsabilidad civil ni de las garantías constitucionales aplicables.

Sector telecomunicaciones

Los operadores de telefonía fija, móvil e internet (Entel, Tigo, Viva, entre otros) están sujetos directamente a la Ley 164 y su reglamento, con obligaciones de confidencialidad, seguridad de datos de tráfico y restricciones sobre publicidad basada en datos de uso.

Qué significa la ausencia de ley integral en términos operativos

Para una empresa que procesa datos personales de ciudadanos bolivianos — ya sea una fintech, un retailer, una empresa de logística o una plataforma de salud digital — la ausencia de ley integral tiene las siguientes implicaciones prácticas:

Lo que no existe hoy:

Una autoridad con potestad sancionatoria general sobre privacidad de datos en el sector privado.
Un registro obligatorio de bases de datos.
Un régimen de multas administrativas por incumplimiento de principios de privacidad (finalidad, minimización, proporcionalidad).
Plazos legales de notificación obligatoria de brechas al regulador o a los titulares.

Lo que sí existe y genera exposición real:

La acción constitucional de habeas data disponible para cualquier titular.
Responsabilidad civil por daños derivados del tratamiento incorrecto de datos.
Obligaciones sectoriales bajo ASFI, Ley 164 y normativa de salud.
Requisitos contractuales de clientes internacionales (si la empresa exporta servicios o recibe datos desde países con regulación avanzada).
Riesgo reputacional ante brechas de seguridad que se hagan públicas.

Cómo operan en Bolivia las empresas con presencia multijurisdiccional

Las empresas con operaciones en múltiples países de la región — bancos, aseguradoras, grupos de retail, fintechs — han adoptado un enfoque pragmático: aplican el estándar más exigente de su portafolio de países a toda la organización, incluyendo Bolivia.

Esto significa que una empresa que procesa datos bajo la LGPD brasileña o la Ley 1581 colombiana generalmente extiende sus políticas de privacidad, controles técnicos y procedimientos de respuesta a incidentes a sus operaciones bolivianas. El argumento de negocio es simple: construir estándares diferenciados por país es más costoso que aplicar un baseline uniforme, y la convergencia regulatoria en la región hace inevitable que Bolivia adopte una ley integral en el mediano plazo.

Trayectoria regulatoria esperada

Bolivia ha tenido propuestas de ley de protección de datos personales en discusión durante los últimos años. Los expertos en derecho digital boliviano anticipan que la presión combinada de tres factores acelerará la adopción de un marco legal:

Compromisos comerciales: Los acuerdos de integración regional y los tratados de libre comercio incluyen cada vez más cláusulas de flujos transfronterizos de datos que requieren "niveles adecuados de protección".
Digitalización del Estado: El avance de la agenda de gobierno digital y los proyectos de identidad digital generan presión interna para regular el tratamiento de datos de los ciudadanos.
Incidentes de seguridad: Las brechas de datos que afecten a ciudadanos bolivianos generarán demanda social por mecanismos de rendición de cuentas.

Las empresas que construyan hoy sus programas de privacidad sobre principios sólidos — consentimiento, finalidad, minimización, seguridad, portabilidad y derechos de los titulares — no tendrán que hacer cambios estructurales cuando llegue la ley. Las que no lo hagan, tendrán que hacerlo bajo presión y con plazos regulatorios.

Mejores prácticas para adoptar ahora

Las siguientes medidas son aplicables independientemente de si existe o no una ley boliviana de protección de datos. Se basan en los principios del GDPR y las mejores leyes de la región, y son verificables por auditores externos.

Gobernanza y políticas

Designar un responsable interno de privacidad (no necesariamente un DPO formal, pero sí una persona con atribuciones claras).
Elaborar e implementar una política de tratamiento de datos personales accesible a usuarios y clientes.
Mantener un inventario actualizado de los datos que se procesan, con base jurídica para cada tratamiento.

Derechos de los titulares

Establecer un canal formal para recibir y tramitar solicitudes de acceso, rectificación, eliminación y oposición.
Definir plazos internos de respuesta (30 días es el estándar regional más común).
Documentar las solicitudes recibidas y las acciones tomadas.

Seguridad técnica

Implementar controles de acceso basados en el principio de mínimo privilegio.
Cifrar datos en reposo y en tránsito para información sensible (datos financieros, de salud, credenciales).
Establecer un proceso de gestión de incidentes con criterios de notificación a clientes y, cuando aplique, a reguladores sectoriales.

Terceros

Incluir cláusulas de confidencialidad y seguridad en contratos con proveedores que procesen datos personales.
Realizar due diligence de privacidad antes de contratar nuevos proveedores tecnológicos.
Auditar periódicamente el cumplimiento de proveedores críticos.

Formación

Capacitar al personal con acceso a datos personales sobre las obligaciones mínimas y los procedimientos internos.
Simular incidentes de seguridad para validar la capacidad de respuesta.

El rol del pentesting en la protección de datos

La seguridad técnica es la columna vertebral de cualquier programa de privacidad. Las políticas y los procedimientos internos no tienen valor si los controles de seguridad que protegen los datos son vulnerables.

El pentesting — o prueba de penetración — permite identificar vulnerabilidades reales en los sistemas que almacenan y procesan datos personales antes de que un atacante las explote. En el contexto boliviano, donde la regulación formal no obliga todavía a pruebas periódicas en la mayoría de los sectores, el pentesting es una decisión de gestión de riesgo, no solo de cumplimiento.

Los beneficios concretos para empresas que operan en Bolivia:

Validación de controles: Verifica que los controles técnicos implementados realmente funcionan bajo condiciones de ataque reales.
Evidencia ante terceros: Los clientes internacionales, los auditores externos y los organismos reguladores sectoriales (ASFI, en particular) valoran la evidencia de pruebas de seguridad periódicas. La evaluación de proveedores de pentesting en Bolivia debe considerar criterios como metodología verificable, certificaciones reconocidas y soporte a procesos de auditoría regulatoria.
Preparación regulatoria: Cuando Bolivia adopte una ley de protección de datos, las empresas con historial de pruebas de seguridad documentadas partirán en una posición significativamente mejor.
Protección reputacional: Una brecha de datos en Bolivia, aunque no genere una multa regulatoria inmediata, puede destruir la confianza de clientes y socios.

Las pruebas más relevantes para empresas que procesan datos personales incluyen: pentesting de aplicaciones web y móviles, pruebas de seguridad en APIs, evaluaciones de infraestructura y pruebas de ingeniería social orientadas a vectores de acceso no autorizado a datos.

Preguntas frecuentes

¿Tiene Bolivia alguna ley de protección de datos personales?

No existe una ley integral de protección de datos personales en Bolivia. La protección se ejerce principalmente a través del habeas data constitucional (Artículo 130 de la CPE), disposiciones de la Ley 164 para el sector de telecomunicaciones y normativa sectorial de ASFI para el sistema financiero. La ausencia de una ley general no elimina las obligaciones legales: el riesgo de acciones judiciales por parte de titulares y de incumplimientos sectoriales es real.

¿Pueden las empresas bolivianas recibir datos de ciudadanos europeos sin restricciones?

No sin restricciones. El GDPR exige que los datos de ciudadanos europeos solo se transfieran a países o entidades que ofrezcan un nivel de protección adecuado. Bolivia no cuenta con una decisión de adecuación de la Comisión Europea. Las empresas que reciban datos desde la Unión Europea deben implementar mecanismos alternativos como cláusulas contractuales tipo (Standard Contractual Clauses) o garantías equivalentes. Esto es independiente de la legislación boliviana interna.

¿Qué ocurre si una empresa sufre una brecha de datos en Bolivia?

En el sector general, no existe hoy un régimen legal de notificación obligatoria de brechas al regulador o a los titulares. Sin embargo, las entidades supervisadas por ASFI tienen obligaciones de reporte al regulador financiero. Para cualquier empresa, la recomendación es contar con un plan de respuesta a incidentes que incluya criterios de notificación a titulares afectados: es la práctica estándar internacional y protege contra responsabilidad civil.

¿Cuándo tendrá Bolivia una ley integral de protección de datos?

No hay una fecha oficial. Sin embargo, la presión regulatoria regional, los acuerdos comerciales y la creciente digitalización de la economía boliviana hacen probable que Bolivia avance hacia un marco legal comprehensivo durante los próximos tres a cinco años. La experiencia regional muestra que la adopción de leyes de privacidad tiene un efecto de cascada: una vez que la mayoría de los países de la región cuentan con marcos avanzados, los rezagados enfrentan presión tanto interna como de sus socios comerciales.

Prepararse para el entorno regulatorio que viene

Bolivia presenta un desafío real para los equipos de cumplimiento: la ausencia de una ley integral no significa ausencia de riesgos. Las obligaciones constitucionales, la normativa sectorial de ASFI y la Ley 164, combinadas con el riesgo de responsabilidad civil y la presión de contrapartes internacionales, crean un entorno donde invertir en un programa básico de privacidad de datos es una decisión racional hoy, no algo que puede postergarse hasta que llegue la ley.

Las empresas que adopten ahora los principios de gobernanza de datos, seguridad técnica verificada y mecanismos funcionales de atención a derechos de titulares estarán preparadas para el entorno regulatorio que viene — y para los clientes que ya hoy exigen esas garantías.

Proveedores como WhiteJaguars realizan pruebas de penetración técnicas y revisiones de cumplimiento para empresas en Bolivia y toda la región, con metodología documentada, certificaciones verificables y reportes diseñados para responder a reguladores y socios internacionales.

Protección de datos en Bolivia: cumplimiento para empresas 2026