Protección de datos en Bangladesh 2026: la nueva ley, el RGPD y las transferencias para empresas de España y América Latina

Protección de datos en Bangladesh: la ley de 2026 en contexto

La protección de datos en Bangladesh tiene desde 2026 una ley general: la Personal Data Protection Act 2026, Ley n.º 63 de 2026, que sustituyó a la ordenanza de 2025. Para una empresa española o latinoamericana con oficina de compras en Dhaka, equipos de calidad en fábricas, proveedores de servicios locales o clientes en el país, la ley cambia cómo se recogen, guardan y envían al extranjero los datos de empleados, trabajadores auditados y consumidores.

Esta guía explica qué está en vigor el 24 de octubre de 2026 y qué no, a quién se aplica la ley, las bases de tratamiento, los derechos de los interesados, las transferencias internacionales y la relación con el Reglamento General de Protección de Datos (RGPD) que su empresa ya aplica en Europa. Distingue con cuidado la obligación legal de las medidas prácticas de preparación.

Resumen: La ley de 2026 se considera en vigor desde el 6 de noviembre de 2025, salvo el artículo 23 (Chief Data Officer) y los artículos 31 a 35 (reclamaciones, multas administrativas e indemnizaciones), que requieren una notificación del Gobierno tras 18 meses y no están en vigor. Se aplica también fuera de Bangladesh cuando se ofrecen bienes o servicios a personas en el país o se las monitoriza. El regulador es la National Data Management Authority.

Punto clave: El régimen sancionador todavía no funciona, pero las obligaciones sustantivas sí: consentimiento informado, seguridad, conservación limitada, registros, notificación de brechas y condiciones para transferir datos al extranjero. Quien prepare ahora su mapa de datos llegará a 2027 sin urgencias.

De un vistazo

Desliza o desplázate →

Índice

Estado de la protección de datos en Bangladesh en 2026

La Personal Data Protection Act 2026 (PDPA) se publicó en la gaceta extraordinaria el 10 de abril de 2026. Deroga la Personal Data Protection Ordinance 2025 y su reforma de febrero de 2026, y conserva los actos realizados bajo ellas.[1] [2] Cualquier política interna que cite la ordenanza debe actualizarse.

La entrada en vigor es inusual. Salvo el artículo 23 y los artículos 31 a 35, la ley se considera vigente desde el 6 de noviembre de 2025. Esas disposiciones excluidas solo pueden entrar en vigor cuando hayan transcurrido 18 meses desde la emisión de la ley y en la fecha que el Gobierno fije por notificación en la gaceta.[1] Según se cuente el plazo desde la ordenanza o desde la ley, la fecha más temprana sería mayo u octubre de 2027; hoy no rigen.[8]

Leyes vinculadas

La National Data Management Act 2026, Ley n.º 80 de 2026, crea la National Data Management Authority, que es también la autoridad de la PDPA.[3] La Cyber Protection Act 2026, Ley n.º 81 de 2026, regula los delitos informáticos y no sustituye a las reglas de gobernanza de datos.[4] El artículo 43 de la Constitución protege la intimidad de la correspondencia y de otras comunicaciones.[5]

A quién se aplica la protección de datos en Bangladesh

La PDPA no se limita a las sociedades constituidas en Bangladesh. Se aplica cuando el interesado es ciudadano bangladesí, reside o trabaja en el país o se encuentra allí temporalmente; al tratamiento realizado en Bangladesh, salvo el mero tránsito; y al tratamiento fuera del país relacionado con ofrecer bienes o servicios a personas en Bangladesh o con su monitorización o elaboración de perfiles.[1]

El paralelismo con el artículo 3(2) del RGPD es evidente.[11] Una plataforma de comercio electrónico con sede en Madrid que vende a clientes en Dhaka, un centro de atención al cliente en Colombia que atiende a usuarios bangladesíes o una plataforma de recursos humanos de grupo que gestiona al personal de una oficina en Bangladesh pueden quedar sujetos a ambas normas. La respuesta depende de los hechos, no del domicilio social.

Escenarios típicos para empresas hispanohablantes

En la práctica, la protección de datos en Bangladesh afecta a tres grupos de datos. Primero, los del personal de la oficina de enlace o la filial: nóminas, documentos de identidad, datos bancarios y evaluaciones. Segundo, los de trabajadores de fábricas que aparecen en auditorías sociales, entrevistas, registros de horas y fotografías. Tercero, los de clientes y usuarios si la empresa vende o presta servicios en el país.

Conceptos y categorías de datos

Los datos personales incluyen nombre, nombres de los padres, número de identificación, teléfono móvil, datos financieros identificativos, localización e identificadores en línea, así como información física, fisiológica, genética, biométrica y psicológica.[1] El tratamiento cubre todo el ciclo, desde la recogida hasta la supresión. El interesado es la persona física a la que se refieren los datos, viva o fallecida.[1]

La ley no usa la expresión "responsable del tratamiento". Habla de data fiduciary, el fiduciario de datos que, solo o con otros, trata datos para un fin determinado o autoriza a otro a hacerlo, y de processor, el encargado que trata datos por cuenta del fiduciario.[1] Son conceptos funcionales: lo que cuenta es quién decide, no la etiqueta del contrato.

Datos sensibles y menores

Son datos sensibles, entre otros, los genéticos y biométricos, los relativos a comunidades étnicas o indígenas, las creencias políticas, filosóficas o religiosas, la afiliación sindical, la salud, la orientación sexual, los antecedentes penales y la geolocalización en tiempo real.[1] La afiliación sindical y la biometría son frecuentes en auditorías de fábricas y en controles de acceso. Un menor es una persona de menos de 18 años, salvo que el Gobierno fije otra edad.[1]

La ley prevé además la categoría de significant data fiduciary, que se designará por reglamento atendiendo al volumen de datos, al riesgo para los derechos y a la seguridad o el orden público.[1] No conviene autoclasificarse por el número de empleados o la facturación.

Bases de tratamiento y consentimiento

El consentimiento es el punto de partida del artículo 5. Debe ser voluntario, específico, claro y revocable, y antes de obtenerlo hay que informar del fin, el plazo de conservación, las transferencias y la forma de retirarlo. La carga de probar un consentimiento válido recae en el fiduciario.[1] Una casilla genérica que no explica uso, conservación ni transferencias será difícil de defender.

El mismo artículo admite el tratamiento sin consentimiento en supuestos tasados: ejecución de un contrato con el interesado, medidas precontractuales a su petición, ejercicio o defensa de derechos, intereses vitales, derechos laborales y de seguridad social, datos hechos públicos por el propio interesado y riesgo de daño a otra persona.[1] Los datos sensibles exigen además una de las condiciones del artículo 7.[1]

Diferencias con el RGPD

La lista se parece a la del RGPD, pero no es idéntica, y la ley exige respetar necesidad, proporcionalidad y limitación de la finalidad.[1] No copie un aviso de privacidad europeo sin revisarlo para Bangladesh. El artículo 16 prohíbe divulgar datos sin consentimiento para un fin distinto del de su recogida, salvo lo que la propia ley permita.[1]

Menores

Para menores y personas sin capacidad, el artículo 9 exige el consentimiento de los padres, el tutor legal o quien esté facultado para decidir por ellos, según el procedimiento que se establezca.[1]

Transparencia, seguridad, conservación y encargados

El artículo 15 obliga a informar, en el tratamiento significativo, de las categorías y la forma de recogida, el fin, los derechos, la vía de reclamación ante la autoridad, las transferencias y la identidad y el contacto del fiduciario. Los formularios se regularán por reglamento.[1]

La seguridad se mide por el riesgo. Fiduciarios y encargados deben adoptar medidas técnicas y organizativas proporcionadas al volumen y sensibilidad de los datos, el daño probable, la escala y la duración, como seudonimización, cifrado, resiliencia de los sistemas, restauración tras incidentes y pruebas periódicas.[1] La ley no impone un producto ni una certificación concretos.

Conservación y registros

Los datos no pueden conservarse más allá del plazo fijado para su fin, con excepciones para interés público, investigación y estadística. El fiduciario debe llevar un registro de los datos tratados durante al menos cinco años, salvo que otra ley disponga otra cosa.[1]

Encargados y proveedores

Lo que hace el encargado se considera hecho por el fiduciario, que debe asegurarse de que cumple la ley y responde de sus actos.[1] Revise los contratos con proveedores de nómina, nube, auditoría social y atención al cliente: instrucciones, confidencialidad, accesos, escalado de incidentes, subencargados, asistencia con solicitudes de derechos y devolución o supresión al terminar.

Derechos de los interesados

La ley califica los derechos del capítulo III como universales, inherentes e inalienables: no pueden renunciarse por contrato ni por aviso. Se ejercen por escrito ante el fiduciario, que debe verificar la identidad según la sensibilidad de los datos y el riesgo de fraude y registrar lo actuado.[1]

El interesado puede obtener una copia concisa de sus datos con información sobre fines, destinatarios, conservación, origen, garantías de transferencia y la lógica de las decisiones automatizadas, y pedir la portabilidad. Puede pedir la rectificación; si el fiduciario la rechaza debe motivarlo por escrito, y si corrige debe informar en 30 días.[1] Puede retirar el consentimiento y pedir la supresión en los supuestos legales, con excepciones como la conservación por obligación legal.[1] Los plazos de respuesta los fijará el reglamento; no prometa uno que la ley aún no establece.

Transferencias internacionales: de Bangladesh a España y viceversa

Para un grupo con sede en España, este es el punto central de la protección de datos en Bangladesh. El artículo 29 permite al Gobierno clasificar los datos como públicos, internos, confidenciales o restringidos. Una categoría clasificada puede transferirse al extranjero con el consentimiento del interesado, en virtud de un contrato del que sea parte o, con su consentimiento, por asuntos de negocio, educación, salida del país o inmigración.[1]

Los datos transferibles solo pueden enviarse a países con tecnología y medios de almacenamiento adecuados según el reglamento. Las grandes transferencias de datos sensibles identificativos, como números de identidad nacional, pasaporte o TIN, biometría, datos genéticos y antecedentes penales, deben notificarse a la autoridad.[1] La autoridad puede ordenar suspender el envío de datos a un Estado, cliente u organización extranjeros.[1]

Desde Europa hacia Bangladesh

En sentido inverso, la Comisión Europea no ha adoptado una decisión de adecuación respecto de Bangladesh.[9] Enviar datos personales desde España a una oficina, fábrica o proveedor en Bangladesh exige garantías adecuadas del artículo 46 del RGPD, normalmente las cláusulas contractuales tipo de 2021, con una evaluación del impacto de la transferencia.[10] [11] Un mismo flujo de datos puede requerir, por tanto, cumplir dos regímenes.

Documente para cada flujo el origen y la sensibilidad de los datos, quién accede y desde dónde, el fin y la base legal en ambos países, los encargados y subencargados y la posibilidad de rectificar, suprimir o conservar los registros.

Brechas de seguridad y ciberseguridad

Si una brecha puede causar un daño significativo al interesado, el fiduciario debe notificarla a la autoridad en la forma, el modo y el plazo que fije el reglamento. El artículo 20 no establece un número fijo de horas.[1] Si su grupo aplica el plazo europeo de 72 horas, úselo como referencia interna, pero sin presentarlo como requisito de Bangladesh.

El equipo nacional BGD e-GOV CIRT ofrece un servicio de respuesta a incidentes y un formulario que incluye la fuga de datos entre sus categorías.[6] [7] Es un recurso operativo útil, no una obligación general de notificar. Ante un incidente, preserve pruebas, aísle sistemas, determine qué datos y personas están afectados y revise las cláusulas de notificación de sus contratos.

Autoridad y sanciones: lo que viene en la protección de datos en Bangladesh

La National Data Management Authority puede dar instrucciones, requerir datos, realizar inspecciones, acceder a equipos y ordenar la suspensión de transferencias.[1] [3] Reglamentos y procedimientos se publicarán en borrador, en línea y en diarios en bengalí e inglés, para consulta pública antes de su aprobación.[1] Siga la lista de leyes de la ICT Division.[12]

El texto prevé multas de hasta 25 lakh de takas por vulnerar derechos o por fallos de seguridad, y de hasta 50 lakh para un significant data fiduciary, pero esas disposiciones están entre las que aún no rigen.[1] Tampoco es exigible hoy la designación del Chief Data Officer del artículo 23.[1] Preparar ahora la gobernanza es prudente; presentarla como obligación vigente sería un error.

Desliza o desplázate →

TRW asesora sobre la protección de datos en Bangladesh en operaciones transfronterizas. Más detalles en nuestra guía en inglés sobre la ley de protección de datos de 2026, en el análisis de datos de pacientes en la nube y en nuestra página de derecho corporativo en español.

Preguntas frecuentes

¿Tiene Bangladesh una ley general de protección de datos?

Sí. La protección de datos en Bangladesh descansa en la Personal Data Protection Act 2026, Ley n.º 63 de 2026, que sustituyó a la ordenanza de 2025 y a su reforma de 2026.[1] [2]

¿Desde cuándo está en vigor?

Se considera vigente desde el 6 de noviembre de 2025, salvo el artículo 23 y los artículos 31 a 35, que necesitan una notificación del Gobierno tras 18 meses.[1]

¿Se aplica a una empresa española sin sede en Bangladesh?

Puede aplicarse si trata datos para ofrecer bienes o servicios a personas en Bangladesh o para monitorizarlas o perfilarlas.[1]

¿Siempre hace falta consentimiento?

No. El artículo 5 admite otras bases, como la ejecución de un contrato, la defensa de derechos, los intereses vitales y los derechos laborales. Los datos sensibles tienen condiciones adicionales.[1]

¿Puedo enviar a España los datos del personal de Dhaka?

Sí, si se cumple una condición del artículo 29, como el consentimiento o un contrato del que el interesado sea parte, y el destino reúne los requisitos técnicos que fije el reglamento.[1]

¿Hay decisión de adecuación de la UE para Bangladesh?

No. Las transferencias desde la UE requieren garantías del artículo 46 del RGPD, normalmente cláusulas contractuales tipo.[9] [10] [11]

¿Hay un plazo fijo para notificar una brecha?

No en la ley. El artículo 20 remite la forma y el plazo al reglamento cuando la brecha puede causar un daño significativo.[1]

¿Están prohibidos los servicios en la nube extranjeros?

No hay una prohibición general. El artículo 29 fija condiciones y las grandes transferencias de datos sensibles identificativos se notifican a la autoridad.[1]

¿Debo nombrar ya un Chief Data Officer?

No. La obligación afecta a los significant data fiduciaries designados por reglamento y el artículo 23 aún no está en vigor.[1]

¿Pueden imponerse multas hoy?

Las multas e indemnizaciones de los artículos 31 a 35 no están en vigor a 24 de octubre de 2026. Las obligaciones sustantivas sí lo están.[1] [8]