Bolivia no tiene, a noviembre de 2026, una ley general de protección de datos personales: lo que existe es un proyecto impulsado por la Agencia de Gobierno Electrónico y Tecnologías de Información y Comunicación (AGETIC) que no se ha aprobado. Eso no quiere decir que un negocio pueda hacer lo que quiera con los datos de sus clientes. Rigen el derecho a la privacidad de la Constitución, la Ley 164 de telecomunicaciones y TIC, su reglamento (el Decreto Supremo 1793) y normas de sectores concretos, como la de servicios financieros. Esta guía separa lo que la norma exige de lo que es una buena práctica.

¿Hay una ley de protección de datos?

No. La AGETIC trabaja desde hace años en un anteproyecto. Su presentación de 2024 describe un texto con derechos de acceso, rectificación, cancelación y oposición (los llamados derechos ARCO), reglas para transferir datos al exterior, una autoridad de protección de datos y un régimen de infracciones y sanciones. En septiembre de 2025, según su boletín oficial, la AGETIC presentó el proyecto en Cochabamba junto a la presidenta de la Comisión de Constitución de la Cámara de Diputados.

Hasta la fecha de esta nota no encontramos una ley de protección de datos promulgada. Como un proyecto puede cambiar antes de aprobarse, nada de lo que propone es obligatorio todavía: ni la autoridad, ni las sanciones, ni los plazos.

Lo que dice la Constitución

La Constitución Política del Estado es la base de todo:

  • Artículo 21, numeral 2: reconoce el derecho a la privacidad, la intimidad, la honra, el honor, la propia imagen y la dignidad.
  • Artículo 25: protege el secreto de las comunicaciones privadas y la inviolabilidad de la correspondencia y de los papeles privados, en cualquier soporte.
  • Artículo 130: crea la Acción de Protección de Privacidad. La puede presentar toda persona que crea que se le impide de forma indebida o ilegal conocer, objetar u obtener la eliminación o rectificación de sus datos registrados por cualquier medio, «en archivos o bancos de datos públicos o privados».
  • Artículo 131: esa acción sigue el procedimiento del Amparo Constitucional. Si el juez la declara procedente, ordena revelar, eliminar o rectificar los datos.

Para un negocio, esto tiene una consecuencia práctica: la base de datos de tus clientes es un «banco de datos privado». Si alguien te pide ver, corregir o borrar sus datos y no respondes, puede presentar una Acción de Protección de Privacidad ante un juez.

Ley 164: deberes de los proveedores de servicios TIC

La Ley 164, de 8 de agosto de 2011, tiene reglas sobre datos personales, pero están dirigidas sobre todo a los operadores y proveedores de servicios de telecomunicaciones y tecnologías de información y comunicación:

  • El artículo 56 los obliga a garantizar la inviolabilidad y el secreto de las comunicaciones, y la protección de los datos personales y la intimidad de los usuarios.
  • El artículo 59, numeral 13, les exige proteger los datos personales y evitar su divulgación no autorizada.
  • El artículo 54 da a los usuarios derecho a recibir protección contra la publicidad no autorizada con sus datos.
  • Los artículos 89 y 90 equiparan el correo electrónico personal a la correspondencia postal. El correo que la empresa da a un trabajador pertenece al empleador, pero este debe comunicarle de forma expresa las condiciones de uso y acceso.

Si tu negocio presta servicios de internet, aplicaciones o plataformas digitales, conviene asumir que estas reglas te alcanzan. Para una tienda o un consultorio que solo guarda datos de clientes, la ley no lo dice de forma expresa.

DS 1793: consentimiento, aviso y seguridad

El reglamento de la Ley 164, aprobado por el Decreto Supremo 1793 de 13 de noviembre de 2013, es la norma más detallada que hay hoy. Su artículo 56 dice que el tratamiento de datos personales «en el sector público y privado» requiere:

  1. Consentimiento previo y expreso de la persona, por escrito u otro medio equiparable. Se puede revocar con causa justificada, sin efecto retroactivo.
  2. Aviso previo: para qué se recogen los datos, a quién se pueden entregar, quién es el responsable y su domicilio, y cómo ejercer los derechos de acceso, rectificación, actualización, cancelación y objeción.
  3. No usar los datos para otro fin que el informado al recogerlos.
  4. No entregarlos a terceros sin consentimiento o sin orden escrita de un juez.
  5. Medidas técnicas y organizativas de seguridad que eviten la alteración, la pérdida o el tratamiento no autorizado.

Hay un matiz importante. El artículo 2 limita el reglamento a quienes trabajan con certificación digital, gobierno electrónico, software libre, correo electrónico, y documentos y firmas digitales, y el artículo 56 está en el título dedicado a los certificados digitales. Por eso se discute si obliga a cualquier comercio. Lo prudente es cumplirlo: es la única pauta escrita que existe y coincide con lo que cualquier ley futura pedirá.

El Decreto 3527 de 2018 modificó varios artículos del reglamento sobre firma digital, pero no el 56 ni el 57.

Publicidad por correo y medios digitales

El artículo 57 del mismo reglamento regula los mensajes publicitarios por correo electrónico «u otro medio de comunicación digital equivalente». Entre otras condiciones, el mensaje debe:

  • Identificar con claridad al remitente y a la persona o empresa en cuyo nombre se envía.
  • Indicar cómo aceptar o rechazar futuros envíos, para que el destinatario pueda darse de baja.
  • Contar con una suscripción explícita: el simple registro en un sitio web no autoriza a enviar publicidad después.
  • Dar información clara, precisa y veraz sobre la oferta, y precisar las condiciones de las promociones.

Bancos y entidades financieras

La Ley 393 de Servicios Financieros tiene reglas propias. Su artículo 472 establece que las operaciones con entidades financieras gozan de reserva y confidencialidad: la información se da al titular, a quien él autorice o a su representante legal, salvo las excepciones del artículo 473. El artículo 475 extiende esa obligación a directores, ejecutivos y funcionarios, y el artículo 477 remite a la Acción de Protección de Privacidad para los datos que guardan las entidades. El artículo 74 incluye la confidencialidad entre los derechos del consumidor financiero.

Si tu empresa presta servicios a un banco o una cooperativa, espera que su contrato te traslade esa confidencialidad.

Qué es obligatorio y qué es buena práctica

Lo que se desprende de normas vigentes (es una lectura orientativa; para tu caso concreto, consulta con un abogado):

  • Respetar la privacidad y atender si un cliente quiere conocer, corregir o borrar sus datos, porque puede reclamarlo con la Acción de Protección de Privacidad (Constitución, arts. 21 y 130).
  • Si eres proveedor de servicios TIC: proteger los datos y no divulgarlos sin autorización (Ley 164, arts. 56 y 59).
  • En publicidad digital: identificarte y dar una forma de darse de baja (DS 1793, art. 57, con el matiz de alcance que explicamos arriba).
  • En el sector financiero: la reserva y confidencialidad de la Ley 393.

Es buena práctica (y lo que pide el DS 1793):

  1. Haz un inventario: qué datos guardas, dónde, quién accede y para qué.
  2. Pide solo los datos que necesitas.
  3. Publica un aviso de privacidad breve en tu web, tu formulario o tu caja.
  4. Pide un consentimiento que puedas probar, como una casilla sin marcar o una firma.
  5. Limita los accesos con un usuario por persona, contraseñas fuertes y doble factor.
  6. Firma con tus proveedores de nube, sistemas o mensajería una cláusula de confidencialidad y seguridad.
  7. Define cuánto tiempo guardas los datos y cómo los borras.
  8. Ten un procedimiento para responder pedidos de acceso, rectificación o eliminación.

Errores comunes

  • «Como no hay ley, no pasa nada». La Acción de Protección de Privacidad existe desde 2009 y alcanza a bancos de datos privados.
  • Enviar promociones a toda la base de clientes sin una suscripción explícita ni una forma de darse de baja.
  • Usar los datos de facturación o de una garantía para marketing sin haberlo avisado.
  • Compartir la base de datos con otra empresa «aliada» sin consentimiento.
  • Copiar una política de privacidad de otro país que cita leyes o autoridades que no existen en Bolivia.