Hay una regla en la ley panameña de protección de datos que pocos conocen: cuando usted recolecta información a través de Internet, la forma de cumplir con el deber de informar es presentarle al titular una política de privacidad accesible. No es una recomendación de buenas prácticas ni un adorno de confianza. Es el mecanismo que la ley previó.
Y sin embargo, la mayoría de las políticas que circulan en Panamá son traducciones de plantillas extranjeras. Hablan de «interesados», «encargados del tratamiento» y «categorías especiales de datos» — vocabulario del reglamento europeo, que no es el nuestro. Cumplen una función decorativa. Lo que no hacen es contener lo que la ley panameña exige que contengan.
Lo que su política tiene que decir
Cuando los datos se obtienen directamente del titular, la norma panameña exige informar ciertas cosas como por ejemplo:
- Quién es el responsable del tratamiento y cómo contactarlo.
- Para qué se van a usar los datos.
- Qué condición legitima ese tratamiento
- A quiénes se les comunican los datos.
- Si los datos van a salir del país, y bajo qué condición legal.
- Cuánto tiempo se conservan, o cómo se determina ese plazo.
- Cómo ejercer los derechos ARCO
- Y mas, esto solo es parte.
Tome su política actual y revísela contra esta lista. Si le faltan tres o más, el documento no cumple.
Qué comprende el servicio
Política de privacidad para sitios web, comercios electrónicos y aplicaciones móviles, redactada con la terminología de la ley panameña: titular de los datos, responsable del tratamiento, custodio de la base de datos.
Aviso de cookies y consentimiento con trazabilidad. La ley no se conforma con que el titular haya consentido: exige que usted pueda demostrarlo después. Eso cambia cómo se diseña el formulario.
Política por capas para móviles. La norma panameña permite dividir la información en una primera capa breve con un enlace al resto. Es la solución correcta para pantallas pequeñas y casi nadie en Panamá la está usando.
Términos y condiciones de uso coherentes con la política y no en contradicción con ella.
Cláusulas de consentimiento presentadas de forma que se distingan claramente del resto del texto, como exige la ley cuando el consentimiento va dentro de un documento más amplio.
Versión en inglés, traducida por traductor público autorizado y no por un motor automático.
Por qué una plantilla no basta
Una política de privacidad es una declaración sobre hechos concretos: qué datos recoge usted, con qué fundamento, por cuánto tiempo y con quién los comparte. Una plantilla declara hechos que no son los suyos.
Si su pasarela de pago o su plataforma almacena datos fuera de Panamá y su política no lo menciona, el documento no lo protege: lo expone, porque deja por escrito que usted afirmó algo distinto de lo que hace. Y bajo la ley panameña, incumplir el deber de informar al titular es una infracción grave.
Hay además una capa que suele ignorarse. La ley dispone que los requerimientos mínimos de las políticas de privacidad los emite el regulador de cada sector. Si su actividad está regulada — banca, seguros, salud, telecomunicaciones — la ley general es el piso, no el techo.
A quién le sirve
Comercios electrónicos, plataformas SaaS, fintech, aplicaciones móviles, agencias de mercadeo digital, empresas, profesionales en general y quien trate datos sensibles.
Qué se arriesga
Las multas van de mil a diez mil balboas. Le seré franco: para muchas empresas esa cifra no asusta, y presentarla como amenaza sería tratarlo a usted de tonto.
Tratar datos sin el consentimiento debido, entorpecer el ejercicio de los derechos del titular o almacenar sin condiciones adecuadas de seguridad son infracciones graves. Transferir datos al exterior violando la ley o desatender las reglas de datos sensibles son muy graves.
Por qué conmigo
Llevo más de veinte años en derecho digital en Panamá y fui el redactor y líder legal de la Ley 82 de 2012, la ley vigente de firma electrónica. No llego a esta materia desde afuera: trabajé desde adentro en la construcción del marco normativo digital panameño, el mismo al que el reglamento de protección de datos remite cuando define su alcance.
El diagnóstico de cumplimiento es por donde se empieza. Escríbame a tradslegal@outlook.com o por WhatsApp.
