Ciberseguridad
¿Qué exige la Ley 81 de protección de datos en Panamá?
Respuesta corta
La Ley 81 de 26 de marzo de 2019, vigente en Panamá desde el 29 de marzo de 2021 y reglamentada por el Decreto Ejecutivo 285 de 2021, obliga a toda persona natural o jurídica que trate datos personales en territorio panameño a cuatro cosas: pedir consentimiento previo e informado antes de recoger un dato, usarlo solo para el fin que se declaró, permitir que el titular lo consulte, corrija, elimine o se oponga a su uso, y aplicar medidas de seguridad reales para protegerlo. Fiscaliza la ANTAI y las multas van de B/.1,000 a B/.10,000 según la gravedad y la reincidencia, más la indemnización por daños. Aplica sin importar el tamaño de la empresa: una tienda con una base de clientes en una hoja de cálculo está dentro.
A quién le aplica (spoiler: probablemente a ti)
No hay umbral de facturación ni de tamaño. La Ley 81 aplica a cualquier persona natural o jurídica que trate datos personales dentro del territorio panameño, o cuyo responsable esté domiciliado en Panamá. "Tratar" incluye recoger, guardar, consultar, usar, compartir y borrar.
En la práctica eso significa que ya estás dentro si tienes un formulario de contacto en tu página web, una lista de clientes en Excel, un grupo de WhatsApp con números de clientes, un sistema de citas, una nómina, o cámaras de seguridad que graban personas identificables. La idea de que esto es "cosa de bancos" es el malentendido más común y el más caro.
Un dato personal es cualquiera que permita identificar a alguien: nombre, cédula, teléfono, correo, dirección, placa del carro, foto. Y hay una categoría aparte, los datos sensibles —salud, biometría, origen étnico, vida sexual, convicciones religiosas o políticas, afiliación sindical—, que exigen consentimiento expreso y un cuidado mayor. Una óptica que guarda la graduación de sus pacientes está manejando datos de salud, aunque nunca lo haya pensado así.
Las seis obligaciones concretas
- Consentimiento previo, libre e informado. Antes de recoger el dato, no después. La casilla pre-marcada no es consentimiento, y el silencio tampoco. Hay que decir para qué se va a usar el dato en lenguaje entendible.
- Finalidad declarada y limitada. Si pediste el correo para enviar una cotización, no puedes usarlo para una campaña publicitaria sin pedir permiso otra vez. Es el incumplimiento más frecuente en Panamá.
- Derechos del titular. La persona puede pedirte acceso a sus datos, corrección, supresión, oposición y portabilidad. Tienes que poder responderle, y para eso necesitas saber dónde están sus datos.
- Medidas de seguridad. Protocolos técnicos y administrativos proporcionales al riesgo: control de quién accede a qué, respaldos, cifrado donde corresponda, y un procedimiento para cuando algo se filtre.
- Responsabilidad sobre terceros. Si tu proveedor de correo, de nube o de CRM trata datos de tus clientes, sigues siendo responsable frente al titular. Eso se cubre con un contrato que fije qué puede hacer el proveedor con esos datos.
- Aviso de privacidad publicado. Accesible, en español, y que diga la verdad sobre lo que realmente haces con los datos.
La lista se ve larga y no lo es tanto. Lo que sí es largo es descubrir dónde están todos los datos personales que maneja una empresa que lleva quince años operando, porque casi siempre están repartidos en correos personales, hojas de cálculo en computadoras de escritorio y chats de WhatsApp de gente que ya no trabaja ahí.
Qué pasa si no cumples
La ANTAI (Autoridad Nacional de Transparencia y Acceso a la Información) es la que fiscaliza y sanciona, con apoyo de la AIG en la parte técnica. El rango de multas va de B/.1,000 a B/.10,000 según la gravedad y si hay reincidencia, y no es lo único: hay advertencia escrita, clausura de registros, suspensión de las actividades de tratamiento de datos, y la indemnización por daños patrimoniales y morales que reclame el afectado.
En la mayoría de los casos el procedimiento arranca por una denuncia de un cliente o un exempleado, no por una inspección de oficio. Eso cambia la forma de priorizar: lo que más rápido te mete en problemas no es un tecnicismo del reglamento, es una persona molesta que pidió que borraran sus datos y nadie le contestó.
Esta página es orientación general, no asesoría legal. Para un caso concreto —sobre todo si manejas datos sensibles o transfieres datos fuera de Panamá— la revisión la tiene que hacer un abogado.
Por dónde empezar esta semana
El orden que funciona en una PyME panameña es este, y se puede avanzar bastante sin gastar un dólar:
- Inventario. Una lista de dónde hay datos personales: sistemas, hojas de cálculo, correos, WhatsApp, papel. Sin esto lo demás es adivinar.
- Quién accede a qué. Casi siempre aparece que media empresa tiene acceso a todo. Cerrar eso es la medida de seguridad que más riesgo quita por menos esfuerzo.
- Los formularios. Casilla de consentimiento no marcada por defecto, con enlace al aviso de privacidad, en cada punto donde pides un dato.
- El aviso de privacidad y el procedimiento de derechos. Publicado, y con una dirección de correo que alguien lea de verdad.
- Los contratos con proveedores que tocan datos de tus clientes.
Del lado técnico, el trabajo se vuelve mucho más fácil cuando los datos dejan de estar repartidos. Un sistema donde cada vendedor solo ve sus contactos, con registro de quién consultó qué y un botón para exportar o borrar los datos de una persona, resuelve por diseño buena parte de la ley. En el CRM de IstmoDigital los permisos por usuario y la papelera con trazabilidad existen justamente por eso, y en ciberseguridad partimos del inventario antes de tocar nada.