Bolivia:
lo que esperan los clientes de la UE

Panorama: comercio con la UE

Bolivia exporta a Europa sobre todo materias primas y productos agrícolas, por ejemplo minerales del Altiplano, castaña amazónica de la zona de Riberalta y quinua. La Comisión no publica un desglose solo para Bolivia. Para el conjunto de los países andinos, menciona como grupos principales en 2025 los productos agrícolas, los productos minerales y la pesca.

Bolivia no tiene un acuerdo comercial con la UE. Las ventajas arancelarias llegan a través del Sistema de Preferencias Generalizadas de la UE, incluido el régimen especial SPG+ de estímulo del desarrollo sostenible y la buena gobernanza. Estas preferencias están sujetas al cumplimiento de convenios internacionales sobre derechos humanos, trabajo y medio ambiente.

Protección de datos frente al RGPD

Bolivia no tiene una ley general de protección de datos. La privacidad está protegida por la Constitución, que prevé una acción específica para su defensa (Acción de Protección de Privacidad, comparable al hábeas data de otros países), y por el derecho procesal constitucional. Se discutieron proyectos de ley de protección de datos, pero ninguno fue promulgado. Por eso no hay autoridad de protección de datos ni obligación legal de notificar violaciones de datos.

El RGPD (Reglamento General de Protección de Datos) es independiente de eso. Se le aplica directamente si usted ofrece bienes o servicios dirigidos a personas en la UE. Y se le aplica por contrato si trata datos por encargo de un cliente de la UE.

No existe una decisión de adecuación de la UE. Para cada transferencia de datos personales a Bolivia, su cliente de la UE necesita cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) y una evaluación de impacto de la transferencia. En esa evaluación analiza si el derecho boliviano socava la protección de los datos. Como falta una ley de protección de datos, le va a exigir medidas técnicas adicionales, por ejemplo cifrado y reglas de acceso estrictas.

Ciberseguridad frente a NIS2

Bolivia no tiene una ley de ciberseguridad. Las exigencias de seguridad de la información rigen sobre todo para la administración pública. El equipo de respuesta CGII (Centro de Gestión de Incidentes Informáticos) depende de la agencia estatal de gobierno electrónico y TIC, la AGETIC. En el sector financiero, el supervisor ASFI tiene sus propios requisitos de seguridad de la información.

Esto no es comparable con NIS2. En la UE, NIS2 obliga a medianas y grandes empresas de 18 sectores a la gestión de riesgos, la seguridad de la cadena de suministro y plazos fijos de notificación. Sus clientes de la UE tienen que cumplir esas obligaciones y las trasladan por contrato a sus proveedores, es decir, también a usted.

Si vende en la UE equipos con software o conexión de red, queda además alcanzado por el Reglamento de Ciberresiliencia (CRA).

Plazos de notificación comparados

Como la ley local no establece nada, rige el plazo de su contrato. Los clientes de la UE suelen exigir una notificación dentro de las 24 a 48 horas. Defina quién notifica y qué datos incluye la primera notificación.

Autoridades, CSIRT, organismo de acreditación

Lo que suelen exigir los clientes de la UE

Donde la ley calla, cuentan los certificados y las pruebas. Un exportador de castaña amazónica necesita certificados alimentarios IFS, BRCGS o FSSC 22000 y trazabilidad completa. A las empresas mineras se les pregunta por estándares ambientales y laborales, a menudo con referencia a ISO 14001 y a las obligaciones europeas de diligencia debida en la cadena de suministro. El ganado, la soja y la madera de las tierras bajas quedan alcanzados por el EUDR.

Los proveedores de servicios que tratan datos para clientes de la UE reciben cláusulas contractuales tipo, un cuestionario de seguridad y, con frecuencia, la pregunta por ISO 27001. Una plataforma GRC como Sightadel ayuda a llevar políticas, riesgos y evidencias en un solo lugar cuando ninguna ley da la estructura.

En la evaluación de impacto de la transferencia, su cliente de la UE tiene que describir quién podría acceder a los datos en Bolivia y cómo los protege. Para eso le pregunta por ubicaciones de almacenamiento, cifrado, derechos de acceso, registros y el manejo de requerimientos de información de autoridades. Tenga esos datos listos por escrito. Si el registro de actividades de tratamiento y las medidas técnicas y organizativas ya están documentados en una plataforma como Sightadel, la respuesta se arma a partir de lo que existe. Un documento que pueda entregar a varios clientes le ahorra semanas de coordinación.

Un punto de partida razonable para empresas bolivianas:

1. Aclare cuáles de sus clientes están en la UE y qué normas de la UE rigen para sus compras.
2. Redacte un esquema propio de protección de datos tomando como modelo el RGPD, con registro de actividades de tratamiento y reglas de supresión.
3. Fije un plazo de notificación de incidentes y defina quién notifica.
4. Para las exportaciones agrícolas y de madera, verifique si se aplica el EUDR y reúna los geodatos.
5. Elija el certificado que sus clientes piden con más frecuencia y planifique la auditoría con un organismo reconocido.

Sus brechas se las muestra el EU-Readiness-Check gratuito.

Acuerdo con la UE

Bolivia es Estado Parte del Mercosur desde 2024. Depositó el instrumento de ratificación del Protocolo de Adhesión el 08/07/2024 en Asunción (Ley 1567 del 04/07/2024), y la adhesión entró en vigor 30 días después. Para incorporar la normativa del Mercosur y el Arancel Externo Común tiene un período de transición de hasta cuatro años. Bolivia no participa en el Acuerdo UE-Mercosur, que se aplica de forma provisional desde el 01/05/2026 con Argentina, Brasil, Paraguay y Uruguay. Por lo tanto, sus ventajas arancelarias no rigen para las mercaderías bolivianas.

La Comisión señala que Bolivia podría adherirse al Acuerdo Comercial con Colombia, Perú y Ecuador. Mientras tanto, el SPG+ sigue siendo la vía de acceso al mercado de la UE.

En la práctica, esto significa: verifique para cada producto el arancel y la regla de origen en el portal Access2Markets de la Comisión Europea, ordenado por código arancelario. Para aprovechar la preferencia del SPG, los exportadores normalmente tienen que estar inscritos en el registro electrónico de exportadores registrados de la Comisión (REX) y emitir una declaración de origen en la factura. Su importador en la UE suele conocer el procedimiento y puede ayudarle. Conserve las pruebas durante varios años, porque la aduana puede hacer controles posteriores. Como el SPG+ está sujeto a condiciones, conviene seguir los informes de la Comisión sobre su cumplimiento por parte de Bolivia.

FAQ