Juan Pablo Sanchez D. – Asociado

A pesar de encontrarnos en el año 2023, Bolivia sigue siendo uno de los países que a la fecha no ha implementado una norma específica que regule, controle y fiscalice el tratamiento de datos personales por parte de entidades públicas y personas privadas en el territorio nacional. Esta situación se da, cuando en países vecinos de la región ya se discute la actualización de las leyes vigentes en materia de protección de datos personales, para adecuarse a la realidad actual en cuanto a la aplicación de nuevas tecnologías respecto al tratamiento de datos personales.

Entonces, al no existir una ley específica respecto al tratamiento y protección de datos personales en Bolivia, ¿esto significa que las personas naturales o jurídicas, así como entidades públicas, pueden realizar un tratamiento de datos personales a su libre discreción?

Si bien no existe un ente estatal que regule y fiscalice el tratamiento de datos personales en Bolivia, las empresas privadas (especialmente) no pueden tomar esta situación como una vía libre al uso (y abuso) del tratamiento de datos personales en Bolivia. A pesar del vacío normativo respecto esta materia, la actividad comercial a día de hoy no se restringe a las fronteras que determinan los estados soberanos, si no que los negocios rebasan todo tipo de frontera física en el actual mercado altamente globalizado.

En este sentido, una empresa boliviana cuyas actividades se ven estrechamente vinculadas a empresas radicadas en Colombia, Ecuador, Estados Unidos o en uno de los países que conforman la Unión Europea, se verá obligado a intercambiar información y datos, para el cumplimiento de sus objetivos y obligaciones. Entonces, el intercambio de información que realice esta empresa, de forma directa o indirecta, involucrará o contendrá datos personales, ya sea de sus clientes, proveedores, prospectos o inclusive sus trabajadores. Realizando de esta forma un tratamiento de datos personales, ya sea de forma voluntaria y consciente o no, configurándose en un tratamiento de datos personales.

Continuando con el ejemplo planteado, si nuestra empresa boliviana en el desarrollo de sus actividades realiza un tratamiento de datos y posteriormente los datos que fueron obtenidos son enviados a sus pares en Colombia, Ecuador, Estados Unidos o la Unión Europea, ¿al no contar con una ley de protección de datos, nuestra empresa boliviana estará exenta de cumplir con medidas de seguridad al momento de realizar el tratamiento de datos?

Pues, a pesar de lo que la soberanía estatal determina, la respuesta es no. Nuestra empresa boliviana no estará exenta de cumplir con las medidas de seguridad, al haber realizado una transferencia internacional de datos personales a empresas que se encuentran ubicadas y domiciliadas en países en los cuales si existen normas de protección de datos personales.

Tomando como referencia el Reglamento General de Protección de Datos de la Unión Europea, muchas de las leyes en materia de protección de datos han incorporado la aplicación extraterritorial de la norma. Esta aplicación extraterritorial determina que, a pesar de que la actividad de tratamiento de datos personales no es realizada en el país donde fue emitida la norma, cuando el efecto del tratamiento de datos personales si puede ser percibido en este país su normativa será aplicada en el país de origen donde el tratamiento de datos personales.

En ese sentido, cuando nuestra empresa boliviana realice el tratamiento de datos personales en Bolivia (donde carecemos de normativa de protección de datos personales), pero como parte de su destino final este tratamiento tiene un efecto en un país donde si existe una ley de protección de datos personales, nuestra empresa boliviana deberá obligatoriamente dar cumplimiento a la ley de protección de datos personales del país en el cual su actividad produzca un efecto. Siendo necesaria la implementación de procedimientos, medidas y políticas de tratamiento de datos personales por parte de las empresas bolivianas, aún así cuando en Bolivia hasta el día de hoy no contemos con una ley específica de protección de datos personales.