Protección de datos personales en Panamá

Esa distancia entre la norma y la práctica es donde trabajo.

¿Le aplica la ley?

Basta con que se cumpla uno de estos supuestos:

• Que su base de datos esté en territorio panameño y contenga datos de nacionales o extranjeros.
• Que usted, como responsable del tratamiento, esté domiciliado en Panamá.
• Que el tratamiento se origine o se almacene en territorio panameño.
• Que se trate de una actividad comercial por Internet dirigida al mercado panameño.

Políticas de privacidad

Redacto y reviso políticas de privacidad para sitios web, comercios electrónicos, aplicaciones móviles y plataformas que tratan datos de clientes o de empleados, junto con los avisos de tratamiento y los textos de consentimiento que las acompañan.

Buena parte de las políticas que circulan en Panamá son traducciones de plantillas europeas o copias de otro sitio web. Hablan de figuras que la ley panameña no regula del mismo modo y describen un tratamiento que no es el que hace la empresa que las publica. Un documento así no demuestra nada, porque no está redactado contra la norma que le aplica a usted.

Una política que cumple la Ley 81 y el Decreto 285 usa la terminología de la ley panameña —titular de los datos, responsable del tratamiento, custodio de la base de datos— y describe el tratamiento que usted realmente realiza: qué datos recoge, con qué finalidad, cuánto tiempo los conserva, a quién se los entrega, qué sale del país y bajo qué garantía, y cómo atiende los derechos del titular.

No es un documento de adorno. Es la forma en que usted acredita haber cumplido el deber de informar, y es lo primero que se revisa cuando hay una queja o una consulta de la autoridad.

Qué comprende el servicio

Diagnóstico de cumplimiento. Qué datos tiene usted, de dónde salieron, dónde están alojados, quién los consulta y qué fundamento legal los respalda. De ahí sale un informe con las brechas ordenadas por urgencia.

Registro de bases de datos. La ley exige un registro escrito con una docena de puntos por cada base —finalidad, plazo de conservación, destinatarios, medidas de seguridad, e incluso la identificación de todas las personas que han accedido a los datos—. Debe estar listo para cuando ANTAI lo pida, no cuando lo pida.

Atención de los derechos del titular. Acceso, rectificación, cancelación, oposición y portabilidad, con los plazos reales. Si hay controversia sobre si usted respondió, la carga de probarlo es suya. Por eso el procedimiento se documenta desde el primer día.

Contratos con sus proveedores. Su servicio de nube, su CRM, su plataforma de facturación y su centro de llamadas son custodios de sus bases de datos, y la ley enumera ocho condiciones que esos contratos deben estipular. Si su contrato no las tiene, la exposición es suya, no de ellos. Si usted usa IA, posiblemente esté exponiendo datos personales de sus clientes y debe informarlo.

Transferencias fuera del país. Revisión de qué sale de Panamá y bajo qué garantía: cláusulas contractuales, modelos validados por la autoridad, mecanismos de autorregulación vinculante o normas corporativas de grupo.

Qué se arriesga

Las multas van de mil a diez mil balboas. Le seré franco: para muchas empresas esa cifra no asusta, y presentarla como amenaza sería tratarlo a usted de tonto.

Lo que sí debe preocuparle está más adelante en la misma ley. Para las faltas muy graves se contempla la clausura de los registros de la base de datos y la suspensión o inhabilitación de la actividad de tratamiento, temporal o permanente. Una empresa cuya operación depende de su base de clientes no sobrevive a eso, y ahí la multa es lo de menos.

Tratar datos sin el consentimiento debido, entorpecer el ejercicio de los derechos del titular o almacenar sin condiciones adecuadas de seguridad son infracciones graves. Transferir datos al exterior violando la ley o desatender las reglas de datos sensibles son muy graves.

Por qué conmigo

Llevo más de veinte años en derecho digital en Panamá y fui el redactor y líder legal de la Ley 82 de 2012, la ley vigente de firma electrónica. No llego a esta materia desde afuera: trabajé desde adentro en la construcción del marco normativo digital panameño, el mismo al que el reglamento de protección de datos remite cuando define su alcance.

El diagnóstico de cumplimiento es por donde se empieza.