La Ley 81 de 2019 rige desde marzo de 2021 y su reglamento entró a regir dos meses después. Cinco años más tarde, buena parte de las empresas panameñas que tratan datos personales no podría demostrar ante ANTAI cómo los trata ni con qué autorización.
Esa distancia entre la norma y la práctica es donde trabajo.
¿Le aplica la ley?
Basta con que se cumpla uno de estos supuestos:
- Que su base de datos esté en territorio panameño y contenga datos de nacionales o extranjeros.
- Que usted, como responsable del tratamiento, esté domiciliado en Panamá.
- Que el tratamiento se origine o se almacene en territorio panameño.
- Que se trate de una actividad comercial por Internet dirigida al mercado panameño.
Qué comprende el servicio
Diagnóstico de cumplimiento. Qué datos tiene usted, de dónde salieron, dónde están alojados, quién los consulta y qué fundamento legal los respalda. De ahí sale un informe con las brechas ordenadas por urgencia.
Política de Privacidad. Documento de demuestra el deber de informar según la Ley 81 y el Decreto 285. Para sitios web, comercios electrónicos y aplicaciones móviles, redactada con la terminología de la ley panameña: titular de los datos, responsable del tratamiento, custodio de la base de datos
Registro de bases de datos. La ley exige un registro escrito con una docena de puntos por cada base — finalidad, plazo de conservación, destinatarios, medidas de seguridad, e incluso la identificación de todas las personas que han accedido a los datos. Debe estar listo para cuando ANTAI lo pida, no cuando lo pida.
Atención de los derechos del titular. Acceso, rectificación, cancelación, oposición y portabilidad, con los plazos reales. Si hay controversia sobre si usted respondió, la carga de probarlo es suya. Por eso el procedimiento se documenta desde el primer día.
Contratos con sus proveedores. Su servicio de nube, su CRM, su plataforma de facturación y su centro de llamadas son custodios de sus bases de datos, y la ley enumera ocho condiciones que esos contratos deben estipular. Si su contrato no las tiene, la exposición es suya, no de ellos. Usted usa IA, posiblemente esté exponiendo datos personales de sus clientes y debe informarlo.
Transferencias fuera del país. Revisión de qué sale de Panamá y bajo qué garantía: cláusulas contractuales, modelos validados por la autoridad, mecanismos de autorregulación vinculante o normas corporativas de grupo.
Protocolo de brechas de seguridad. Cuando hay una violación de seguridad, usted tiene setenta y dos horas desde que la conoce para notificar a ANTAI y a los titulares afectados, con un contenido mínimo definido. Ese protocolo se redacta antes del incidente. Durante el incidente ya no hay tiempo.
Qué se arriesga
Las multas van de mil a diez mil balboas. Le seré franco: para muchas empresas esa cifra no asusta, y presentarla como amenaza sería tratarlo a usted de tonto.
Lo que sí debe preocuparle está más adelante en la misma ley. Para las faltas muy graves se contempla la clausura de los registros de la base de datos y la suspensión o inhabilitación de la actividad de tratamiento, temporal o permanente. Una empresa cuya operación depende de su base de clientes no sobrevive a eso, y ahí la multa es lo de menos.
Tratar datos sin el consentimiento debido, entorpecer el ejercicio de los derechos del titular o almacenar sin condiciones adecuadas de seguridad son infracciones graves. Transferir datos al exterior violando la ley o desatender las reglas de datos sensibles son muy graves.
Por qué conmigo
Llevo más de veinte años en derecho digital en Panamá y fui el redactor y líder legal de la Ley 82 de 2012, la ley vigente de firma electrónica. No llego a esta materia desde afuera: trabajé desde adentro en la construcción del marco normativo digital panameño, el mismo al que el reglamento de protección de datos remite cuando define su alcance.
El diagnóstico de cumplimiento es por donde se empieza. Escríbame a tradslegal@outlook.com o por WhatsApp.
