Nota: este artículo ofrece información general con fines educativos y no constituye asesoría legal. Para evaluar tu situación concreta, consulta a un abogado o directamente a la ANTAI.
¿Qué es la Ley 81 y desde cuándo rige?
La Ley 81 de 26 de marzo de 2019 establece los principios, derechos, obligaciones y procedimientos que regulan la protección de los datos personales en Panamá. Aunque se emitió en 2019, entró en vigencia el 29 de marzo de 2021, y poco después se reglamentó con el Decreto Ejecutivo 285 del 28 de mayo de 2021, que aterrizó los protocolos prácticos: cómo recabar información, la figura del Oficial de Protección de Datos y los criterios para graduar las sanciones. La encargada de fiscalizar y supervisar el cumplimiento es la ANTAI (Autoridad Nacional de Transparencia y Acceso a la Información), a través de su Dirección de Protección de Datos Personales y con apoyo de la AIG. En la práctica, la ley le devuelve al ciudadano el control sobre el uso de su información cuando está en manos de un tercero, y a las empresas les fija reglas claras sobre cómo tratarla.
¿A quién aplica? Responsable, encargado y custodio
La Ley 81 alcanza a cualquier persona natural o jurídica, pública o privada, con o sin fines de lucro, que trate datos personales. Distingue varios papeles, y conviene saber cuál ocupa tu empresa. El responsable del tratamiento es quien decide para qué y cómo se usan los datos, y quien establece los protocolos de gestión y transferencia segura. El encargado los trata por cuenta del responsable. Y el custodio de la base de datos es quien la guarda o tiene acceso a ella, con el deber de cuidarla con la debida diligencia. Lo importante para muchos proveedores de servicios es que la ley hace al custodio corresponsable: quien almacena o procesa datos de terceros queda sujeto a la fiscalización de la ANTAI y puede responder por los daños y perjuicios. Saber qué rol juegas define qué obligaciones te tocan.
Los principios y los derechos del titular
El corazón de la ley son dos listas. Por un lado, los principios que deben guiar todo tratamiento: lealtad, finalidad (usar los datos solo para lo que se recabaron), proporcionalidad, veracidad, confidencialidad y seguridad, entre otros. Por otro, los derechos del titular de los datos —la persona a la que pertenecen—, que incluyen el acceso (saber qué datos suyos se tienen), la rectificación (corregirlos), la cancelación o supresión (eliminarlos cuando proceda), la oposición a ciertos tratamientos y la portabilidad. La ley también define los datos sensibles —los de la esfera íntima o cuyo uso indebido pueda causar discriminación o un riesgo grave— y les da una protección reforzada. Para una empresa, respetar estos derechos significa tener procesos para responder a una solicitud de acceso o de borrado, y poder demostrar que los datos se tratan como la ley exige.
La obligación que más toca a un laboratorio: seguridad y custodia
De todas las obligaciones, hay una que cae de lleno en nuestro terreno: la de resguardar los datos con condiciones de seguridad a lo largo de todo su ciclo de vida. La norma panameña considera una falta seria almacenar o archivar información personal sin las debidas condiciones de seguridad, y responsabiliza tanto al responsable como al custodio. Eso abarca mucho más que un antivirus: implica copias de seguridad fiables y probadas, control de acceso, cadena de custodia, y una disposición final segura cuando los datos o el hardware llegan al final de su vida. Es, en esencia, la traducción legal de algo que repetimos: proteger un dato no termina cuando se guarda, sino que dura hasta que se destruye de forma verificable. Y es justo la capa que un laboratorio de datos puede ayudar a cubrir, con evidencia que demuestre la diligencia.
¿Qué pasa si no se cumple? Las sanciones
La Ley 81 tiene dientes, y conviene conocerlos. La ANTAI clasifica las infracciones en leves, graves y muy graves, y puede imponer multas de B/.1.000 a B/.10.000 según la gravedad y la reincidencia. Pero el dinero no es lo único: también caben la advertencia escrita, la citación ante la ANTAI, la clausura del registro de la base de datos y hasta la suspensión e inhabilitación de la actividad de almacenamiento o tratamiento de datos. A eso se suma la obligación de indemnizar el daño patrimonial o moral que el tratamiento indebido cause al titular. Los criterios para graduar la sanción incluyen la intencionalidad, la reincidencia, la cuantía del perjuicio, la afectación de derechos y si se adoptaron medidas correctivas. La lectura para una empresa es clara: demostrar que se actuó con diligencia —con procesos, evidencia y medidas de seguridad— pesa a favor cuando algo sale mal.
El ciclo de vida del dato bajo la Ley 81
Una forma útil de ver el cumplimiento es seguir el dato de principio a fin, porque la ley acompaña todo ese recorrido. En la captura, exige base legal y finalidad clara. En el tratamiento y la transferencia, protocolos seguros y registro de las cesiones a terceros. En el resguardo, condiciones de seguridad y disponibilidad —donde encajan el respaldo empresarial y la continuidad—. Y en la disposición final, eliminar lo que ya no debe conservarse de forma que no quede accesible, que es exactamente lo que aporta la destrucción certificada. Ver el cumplimiento como un ciclo, y no como un trámite único, ayuda a no dejar huecos: muchas sanciones nacen justo en los extremos, al recabar sin base o al desechar sin borrar.
¿Cómo ayuda esto a cumplir, en concreto?
Seamos claros sobre el límite: el cumplimiento legal lo lidera tu equipo jurídico y, en su caso, tu Oficial de Protección de Datos; nosotros cubrimos la capa técnica de seguridad y ciclo de vida que la ley exige proteger. En la práctica, eso significa varias cosas. Un resguardo con copias seguras, aisladas y probadas mediante restauración, para garantizar disponibilidad. Una destrucción certificada con certificado por número de serie, como prueba de la disposición segura. Una cadena de custodia y confidencialidad bajo acuerdo, detalladas en nuestra página de calidad. Y una capacidad de recuperación ante un incidente —incluido el ransomware—, porque una brecha que paraliza o expone datos también es un asunto de cumplimiento. Todo ello deja algo valioso ante la ANTAI: evidencia de diligencia.
¿Por dónde empezar a cumplir la Ley 81?
Si tu empresa aún no ha ordenado este tema, hay un camino sensato que no requiere volverse experto de un día para otro. Primero, inventaría qué datos personales tratas, dónde viven y quién accede a ellos; sin ese mapa, no hay cumplimiento posible. Segundo, define roles y políticas: quién es responsable, quién custodia, y considera designar un Oficial de Protección de Datos —obligatorio en el sector público, recomendable en el privado—. Tercero, cierra la capa de seguridad y ciclo de vida: respaldo probado, plan ante incidentes y destrucción certificada para lo que se retira. Cuarto, prepara los procesos para los derechos del titular, de modo que puedas responder a una solicitud de acceso o de borrado en plazo. Y quinto, documenta todo: las decisiones, las medidas y las pruebas, porque la diligencia que no se documenta es difícil de demostrar. Empezar por el inventario y el resguardo suele ser lo más rentable.
Preguntas frecuentes
La Ley 81 fue emitida el 26 de marzo de 2019 y entró en vigencia el 29 de marzo de 2021. Su reglamento, el Decreto Ejecutivo 285, se promulgó el 28 de mayo de 2021 y detalla los protocolos, las funciones del Oficial de Protección de Datos y los criterios para aplicar las sanciones.
Es quien guarda o tiene acceso a la base de datos personales. La Ley 81 lo hace responsable, junto al responsable del tratamiento, de cuidar esos datos con la debida diligencia, y puede responder por los daños y perjuicios ocasionados. Por eso quien almacena o procesa datos de otros queda sujeto a la fiscalización de la ANTAI.
La ANTAI puede imponer multas desde B/.1.000 hasta B/.10.000 según la gravedad y la reincidencia, además de advertencia escrita, citación, clausura del registro de la base de datos o suspensión e inhabilitación de la actividad de almacenamiento o tratamiento. El responsable también debe indemnizar el daño patrimonial o moral causado.
El Decreto 285 crea la figura del Oficial de Protección de Datos (ODP). Es obligatorio para las entidades públicas y recomendado, aunque no obligatorio, para el sector privado. El ODP supervisa el cumplimiento, asesora al responsable y al custodio y promueve la capacitación, con independencia en sus funciones.
En las obligaciones de seguridad y de ciclo de vida del dato: resguardo con copias seguras y probadas, destrucción certificada al final de la vida útil, cadena de custodia documentada, recuperación ante incidentes y confidencialidad bajo acuerdo. No sustituye la asesoría legal, pero cubre la capa técnica que la ley exige proteger.