Ley 81 de 2019 de protección de datos personales: resumen
· Actualizado el
Joaquín Trapero in Experto en inteligencia artificial y privacidad, y fundador de Nonimo.
La Ley 81 de 26 de marzo de 2019 decide quién puede guardar tu cédula, tu celular o tu expediente clínico, para qué, y qué puedes exigir si los usan mal. Rige desde el 29 de marzo de 2021, para empresas y entidades públicas.
Aquí la resumo por lo que te toca hacer, como titular o como quien guarda los datos, con su reglamento al lado: el Decreto Ejecutivo 285 de 2021. Lo de la salud, la huella o el origen étnico va en datos sensibles en Panamá.
La Ley 81 de 2019 protege los datos de las personas naturales en Panamá y rige desde el 29 de marzo de 2021. Puedes pedir tus datos (10 días hábiles) y corregirlos (5). Vigila la ANTAI, que puede multar desde B/.1,000.00 hasta B/.10,000.00, y una brecha se avisa en 72 horas.
A quién se aplica la Ley 81 de 2019, también desde fuera
La ley obliga a cualquier persona natural o jurídica, pública o privada, con o sin fines de lucro, que trate datos de personas naturales (artículo 1). Los datos de una sociedad anónima como tal quedan fuera; los de sus directores, dignatarios o beneficiarios, no.
El alcance territorial lo marca el artículo 5: bases de datos en Panamá o responsable domiciliado aquí. El Decreto 285 suma lo que se origina o se guarda en el país y lo que se vende por internet al mercado panameño (artículo 2).
Lo veo acertado: el reglamento mira al mercado, no sólo al domicilio, y el correo, la nube y el chat de una oficina de Calle 50 vienen casi siempre de afuera. Queda fuera lo anonimizado sin vuelta atrás; el detalle está en anonimización de datos personales.
¿Te alcanza la Ley 81?
Cinco preguntas sobre los datos que manejas.
¿Son datos de personas naturales: clientes, pacientes, colaboradores, visitantes?
¿Los usas sólo para algo personal o doméstico, como la agenda de tu celular?
¿Están anonimizados de modo que ya no se pueden asociar a nadie?
¿La base está en Panamá o quien decide sobre ella está domiciliado aquí?
¿Ofreces productos o servicios por internet dirigidos al mercado panameño?
Armado con la Ley 81 de 2019 (arts. 1, 3, 4 y 5) y el Decreto Ejecutivo 285 de 2021 (arts. 1 y 2). Orienta; no reemplaza una consulta legal.
Responsable del tratamiento o custodio: el papel de tu empresa
La Ley 81 reparte las obligaciones entre dos figuras. El responsable del tratamiento decide fines, medios y alcance (artículo 4, numeral 17). El custodio de la base de datos trabaja a nombre y por cuenta de él (numeral 5).
El manual para empresas que la ANTAI fechó en junio de 2023 da ejemplos de custodios: firmas que llevan la planilla, empresas de software, alojamiento web, archivo de documentos y sistemas basados en inteligencia artificial. Los dos responden por daños si no cuidan los datos con diligencia (artículo 14).
Lo digo claro: si dudas de tu papel, asume que eres responsable, porque es a ti a quien el cliente le va a reclamar. Dónde cae un proveedor de IA lo detallo en la guía de los chats y la Ley 81.
Responsable: tu empresa
- Decide qué datos pide y para qué.
- Contesta las solicitudes de los titulares.
- Lleva la ficha técnica y el registro de transferencias.
- Si hay una brecha, notifica a la autoridad y a los titulares afectados.
Custodio: tu proveedor
- Trata los datos sólo según tus instrucciones.
- Te avisa de inmediato si hay una brecha.
- No subcontrata sin tu autorización escrita.
- Devuelve o borra los datos al terminar.
Consentimiento y los casos en que no hace falta
El artículo 6 admite cuatro bases para tratar datos: consentimiento, un contrato del que el titular es parte, una obligación legal o una ley especial. El consentimiento tiene que ser informado, dejar rastro documental y poder revocarse, sin efecto retroactivo.
El artículo 8 enumera casos sin autorización. El Decreto 285 los acota: como fuente de acceso público sólo valen la Gaceta Oficial, los medios, los directorios telefónicos y las listas oficiales de profesionales (artículo 20). Los datos de salud piden consentimiento previo, irrefutable y expreso.
La relación comercial es la excepción que más se estira, y la que menos usaría para justificar un correo de promociones. Un caso muy panameño, la cédula escaneada en la garita del PH, tiene su guía: qué se permite con la fotocopia.
Cuándo hace falta el sí del titular
Ejemplos de una oficina en Panamá, con su artículo.
| Situación | ¿Consentimiento? | Norma |
|---|---|---|
| Facturarle a un cliente con su RUC | No: relación comercial establecida | Ley 81, art. 8.5 |
| Reportar la planilla a la CSS | No: obligación legal | Ley 81, art. 6.3 |
| Atender una urgencia médica | No | Ley 81, art. 8.7 |
| Usar la base de clientes para otra finalidad | Sí, salvo ley o contrato que lo permita | Ley 81, art. 11 |
| Tratar datos de salud de un paciente | Sí: previo, irrefutable y expreso | Ley 81, art. 8 |
| Datos de un menor de edad | Sí, del acudiente o tutor | DE 285, art. 18 |
| Fotografiar la cédula en la entrada de un PH | Sí, y debe haber otra forma de registro | Opinión ANTAI 02-2022 |
Fuente: Ley 81 de 2019, arts. 6, 8 y 11; Decreto Ejecutivo 285, art. 18; preguntas frecuentes de la ANTAI. Ejemplos ilustrativos.
Derechos ARCO en Panamá: plazos de 10 y 5 días hábiles
El artículo 15 reconoce cinco derechos irrenunciables: acceso, rectificación, cancelación, oposición y portabilidad. Ejercerlos es gratis (artículo 16) y ningún contrato puede recortarlos: el pacto que lo intente es nulo (artículo 21).
Hay un sexto que pesa cada vez más: que no te afecte una decisión tomada sólo por un tratamiento automatizado que evalúe tu crédito, tu salud o tu rendimiento laboral (artículo 19). Si filtras hojas de vida con un programa, revisa IA para recursos humanos.
La ley no le pone plazo a la cancelación, y la ANTAI publica dos cifras distintas. Si tienes una empresa, yo contestaría en cinco días hábiles: así te cubres con las dos.
¿Qué quieres pedir?
Plazo, qué llevar y qué artículo citar.
Acceso: hasta 10 días hábiles desde que presentas la solicitud (Ley 81, art. 16). Te tienen que decir fines, categorías de datos, destinatarios, plazo de conservación y origen (DE 285, art. 24). Si no tienen nada tuyo, igual te responden (art. 21).
Rectificación: 5 días hábiles (Ley 81, art. 17). Indica qué dato está mal, cuál es el correcto y adjunta el soporte (DE 285, art. 26). La empresa avisa la corrección a quienes recibieron el dato.
Cancelación: la ley no fija plazo propio. La ANTAI publica 10 días hábiles en sus preguntas frecuentes y 5 en su guía de 2023. Procede si el dato ya no hace falta, retiras el consentimiento o se trató ilícitamente (DE 285, art. 27).
Oposición: efecto inmediato, según la ANTAI, salvo motivos legítimos imperiosos. Al mercadeo te puedes oponer en todo momento, perfiles incluidos (DE 285, art. 29).
Portabilidad: 10 días hábiles, según la ANTAI. Aplica si diste tú los datos, el tratamiento se basa en consentimiento o contrato y se hace por medios automatizados (DE 285, art. 30).
Fuente: Ley 81 de 2019, arts. 15 a 21; Decreto Ejecutivo 285, arts. 21 a 30; preguntas frecuentes y guía para el sector privado de la ANTAI.
Denuncia ante la ANTAI y hábeas data
Si el responsable no contesta en plazo, el artículo 18 te manda a la ANTAI. En sectores con ley especial, como la banca, primero va el regulador. Según la propia ANTAI, no hace falta abogado ni formalidad especial.
Aparte queda el hábeas data (artículo 44 de la Constitución): ante los tribunales, sin apoderado, contra registros oficiales o de empresas que dan servicio al público. Si alguien usa tu número en una base que no conoces, empieza por lo que un tercero logra con tu número.
Una denuncia sin constancia de que pediste antes a la empresa queda coja. Por eso, antes de nada, guarda la solicitud con su fecha y el acuse de recibo.
El camino de una solicitud que nadie contesta
1. Ante la empresa
Pide por escrito, acredita tu identidad y deja un medio de contacto (DE 285, art. 21).Guarda la fecha: corren 10 días hábiles para el acceso y 5 para la rectificación.Banco o asegurador: primero su superintendencia (Ley 81, art. 18).2. Ante la ANTAI
Escribe la denuncia: nombre, cédula, domicilio, teléfono, correo, hechos y pruebas.Preséntala por SmartCID, al correo protecciondedatos@antai.gob.pa o en Ave. del Prado, Edificio 713, Balboa, Ancón.Sin abogado: lo permiten el artículo 21 del Decreto 285 y el artículo 77 de la Ley 38 de 2000.Fuente: Ley 81 de 2019, arts. 16 a 18; preguntas frecuentes de la ANTAI sobre protección de datos personales.
Multas de la Ley 81 de 2019 y cuándo prescriben
La ley divide las infracciones en leves, graves y muy graves (artículos 38 a 41). La ANTAI fija las multas entre B/.1,000.00 y B/.10,000.00 según la gravedad (artículo 36); la que no se paga la cobra la Dirección General de Ingresos del MEF.
Para un negocio, lo que más temo no es el tope de B/.10,000.00, sino la clausura de los registros de su base de datos, que se suma a la multa. Además, una sanción firme se puede publicar (Decreto 285, artículo 61).
El artículo 62 del decreto da criterios para graduar la multa, entre ellos haber nombrado un oficial y tener una política de buenas prácticas. Una regla escrita sobre qué se pega en un chat ayuda; hay un modelo listo para adaptar en la plantilla de reglas internas.
Infracciones de la Ley 81, por gravedad
| Infracción | Sanción | La acción prescribe |
|---|---|---|
| No remitir a la ANTAI, en plazo, lo que pide la normativa | Citación; luego hasta 15 días hábiles para entregar | 1 año |
| Tratar datos sin el consentimiento requerido | Multa | 3 años |
| Romper la confidencialidad o los principios | Multa | 3 años |
| Entorpecer los derechos de acceso, rectificación, cancelación u oposición | Multa | 3 años |
| Guardar datos sin seguridad adecuada | Multa | 3 años |
| No cooperar con una inspección de la ANTAI | Multa | 3 años |
| Recopilar datos de forma dolosa | Clausura de registros, suspensión o inhabilitación, más multa | 5 años |
| No respetar las reglas de los datos sensibles | Clausura de registros, suspensión o inhabilitación, más multa | 5 años |
| Guardar o transferir datos fuera del país violando la ley | Clausura de registros, suspensión o inhabilitación, más multa | 5 años |
| Reincidir en faltas graves dentro de tres años | Clausura de registros, suspensión o inhabilitación, más multa | 5 años |
Fuente: Ley 81 de 2019, arts. 36 y 38 a 43; Decreto Ejecutivo 285, arts. 58 y 63. Según la gravedad, la multa va desde un mínimo de B/.1,000.00 hasta un tope de B/.10,000.00.
Violación de seguridad: el aviso de 72 horas
Para el Decreto 285, violación de seguridad es cualquier daño, pérdida, alteración, destrucción, acceso o uso no autorizado de datos, aunque sea accidental, que represente un riesgo (artículo 37). El responsable lo comunica de inmediato a la ANTAI y a las personas cuyos datos quedaron expuestos, con 72 horas como límite.
El aviso lleva al menos la naturaleza del incidente, los datos comprometidos, las acciones correctivas, recomendaciones al titular y dónde pedir más información. Cómo redactarlo, paso por paso, lo cuento en la guía del día de la brecha.
Dejaría escrito hoy quién recibe la alerta del proveedor y quién redacta el aviso: 72 horas se van en un fin de semana largo. Si hay pérdidas, entra la póliza de ciberseguridad de la empresa, si la tienes.
El reloj de una brecha, según el Decreto 285
Esquema de la regla de los artículos 37 y 38 del Decreto Ejecutivo 285 de 2021, no de un caso real. «De inmediato» es la regla; 72 horas, el límite.
Ficha técnica, registro y oficial de protección de datos
Panamá no tiene registro público de bases de datos. Lo que pide es documentación interna: una ficha técnica con protocolos, procesos y procedimientos de gestión y transferencia segura (Ley 81, artículo 7; Decreto 285, artículo 33), que la ANTAI fiscaliza.
Junto a ella va el registro de las bases transferidas a terceros (artículo 31 de la ley). Cada proveedor que toca tus datos firma un contrato de custodio (artículos 47 a 49); ideas para redactarlo en la cláusula de IA en el contrato de servicios.
El oficial de protección de datos no es obligatorio en el sector privado (artículo 42 del decreto), aunque la Superintendencia de Bancos se lo exige a los bancos (Acuerdo 1-2022, artículo 22). En una oficina de diez personas, creo que rinde más un registro de transferencias bien hecho que un cargo sin tiempo.
¿Qué tiene ya tu empresa?
Marca lo que existe por escrito, no lo que está en la cabeza de alguien.
0 de 8
Te falta lo básico de la ficha técnica. Empieza por el inventario: sin él, lo demás no se puede escribir.
Vas encaminado. Lo que no marcaste es lo primero que pediría la ANTAI en una inspección.
Buen punto de partida. Revísalo cuando cambies de proveedor o empieces a usar una herramienta nueva.
Lista orientativa armada con la Ley 81 de 2019, el Decreto Ejecutivo 285 y la hoja de ruta que la ANTAI propone a las empresas. Tus marcas no salen de esta página.
La Ley 81 y la inteligencia artificial
Ni la Ley 81 ni el Decreto 285 nombran la IA generativa, y no les hace falta. Pegar en un chat el correo de un cliente es comunicarlo a otra empresa, casi siempre con servidores fuera de Panamá: cabe en la definición de transferencia (artículo 4, numeral 19).
Eso toca la finalidad, la proporcionalidad, la confidencialidad y las reglas de transferencia (artículos 2, 9, 25 y 33). Los sensibles, como los de salud, sólo se transfieren en cuatro casos (artículo 13). Abogados y médicos suman su secreto profesional.
A mí me inquieta menos un nombre suelto que el nombre con la cédula y el celular al lado. Pega abajo lo que ibas a mandar y mira qué datos de formato fijo lleva.
¿Qué lleva tu texto antes de pegarlo?
Ejemplo inventado. El repaso corre en esta página, sin enviar nada, y reconoce por su forma cédulas, RUC de sociedad, DV, teléfonos y correos; un nombre, una dirección, un pasaporte o el número del seguro social se le escapan.
La Ley 81 en una firma, una clínica, una contabilidad o un PH
La ley es la misma para todos, pero cada oficina tiene su punto flojo. De las cuatro, empezaría a revisar por la clínica: romper las reglas de un dato de salud es falta muy grave, no grave.
Donde hay ley especial, la Ley 81 queda como el mínimo que nadie puede bajar: el Decreto 285 lo dice en su artículo 1. En una clínica, encima, pesan el expediente y la Ley 68 de 2003; cómo encaja eso con un chatbot lo explico en IA en la salud y el expediente clínico.
Dónde aprieta la Ley 81, según tu oficina
| Oficina | Lo que más circula | Punto que vigilar | Más |
|---|---|---|---|
| Firma de abogados | Pactos sociales, poderes, cédulas de dignatarios y beneficiarios | Que un borrador no salga al chat con nombres y cédulas | Firmas |
| Clínica o consultorio | Expediente clínico, resultados, referencias | Dato sensible: consentimiento expreso y Ley 68 de 2003, art. 13 | Clínicas |
| Contabilidad | Planilla, talonarios, RUC y DV, estados de cuenta | Que la planilla no se use para otra finalidad | Contadores |
| PH y bienes raíces | Cédulas de inquilinos, listas de morosos, registro de visitas | La cédula en la garita: Opinión ANTAI 02-2022 | Bienes raíces |
Fuente: Ley 81 de 2019, arts. 8, 11 y 20; Decreto Ejecutivo 285, art. 1; Ley 68 de 2003, art. 13; preguntas frecuentes de la ANTAI.
Proporcionalidad en la práctica: lo que llega al chat
La proporcionalidad del artículo 2 pide los datos mínimos para la finalidad. Para contestar una oposición al mercadeo, la IA no necesita saber quién es el cliente. Una pregunta basta: ¿cambia la respuesta si quito el dato? Si no cambia, el dato se queda en la oficina.
Con la app de Nonimo para Panamá seleccionas la solicitud, presionas tu tecla y quien la firma, su cédula, su correo y su celular se vuelven etiquetas; cuando copias lo que contestó el chat, cada dato regresa a su sitio. El reemplazo se hace en tu computadora y el texto no viaja a Nonimo.
La misma solicitud, antes y después
Solicitud de acceso y oposición
Titular: Omar Wong Samudio
C.I.P. 3-000-0000
Escribe desde: titular@example.com
Celular en la lista de promociones: 6000-0000
Pide copia de todo lo que tenemos de él y que borremos su celular de la lista de promociones.
Solicitud de acceso y oposición
Titular: [PERSONA_1]
C.I.P. [CEDULA_PA_1]
Escribe desde: [CORREO_1]
Celular en la lista de promociones: [TELEFONO_1]
Pide copia de todo lo que tenemos de él y que borremos su celular de la lista de promociones.
Titular y datos de ficción. El 9 de noviembre de 2026 hicimos la prueba: el «antes» entró al motor que usan las herramientas web de Nonimo, y la salida está copiada sin retoques. La palabra «celular» se queda en la última línea; el número, no.
¿La solicitud llegó como PDF o documento de Word? Súbela a las herramientas web: se procesa en nuestro servidor y recibes el mismo archivo con nombres, cédula, RUC y correos cubiertos.
Lo ves todo: cada dato tapado se marca en pantalla y se deshace con un clic. Lo básico de cómo trata Nonimo tus archivos está en la página de seguridad.
Fuentes
- Ley 81 de 26 de marzo de 2019, sobre protección de datos personales, Gaceta Oficial 28743-A. Principios, derechos, plazos de 10 y 5 días hábiles, infracciones y multas.
- Decreto Ejecutivo 285 de 28 de mayo de 2021, Gaceta Oficial 29296-A. Ámbito, consentimiento, derechos, aviso en 72 horas, custodio, oficial y prescripción.
- ANTAI, «Protegiendo los datos personales», guía para el sector privado (junio de 2023). Ficha técnica, custodios, oficial de protección de datos y hoja de ruta.
- ANTAI, preguntas frecuentes de protección de datos personales. Opinión 02-2022 sobre la cédula, canales de denuncia y plazos ARCO.
- Constitución Política de la República de Panamá, edición 2024 de la Asamblea Nacional. Artículos 42 y 44, hábeas data.
- Ley 68 de 20 de noviembre de 2003, derechos de los pacientes. Artículo 13, confidencialidad de los datos de salud.
- Superintendencia de Bancos, Acuerdo 1-2022 de 24 de febrero de 2022, sobre protección de datos personales en los bancos. Artículo 22: cada banco designa un oficial de protección de datos.
Consultado el 9 de noviembre de 2026.
Preguntas frecuentes
¿Qué es la Ley 81 de 2019 en Panamá?
Es la ley panameña de protección de datos personales, vigente desde 2021. Se publicó en la Gaceta Oficial 28743-A y la reglamenta el Decreto Ejecutivo 285 de 28 de mayo de 2021.
¿Quién hace cumplir la Ley 81 de protección de datos?
La ANTAI, por medio de su Dirección de Protección de Datos Personales. Recibe denuncias, fiscaliza y sanciona. Sus decisiones se recurren ante esa Dirección y, en apelación, ante el director general de la ANTAI.
¿Cuántos días tiene una empresa para darme mis datos personales?
Diez días hábiles desde que presentas la solicitud de acceso. Para corregir un dato erróneo o incompleto, la ley da cinco días hábiles. Si no contestan, puedes acudir a la ANTAI.
¿Cuál es la multa más alta de la Ley 81 de 2019?
Diez mil balboas (B/.10,000.00), según el artículo 36. El mínimo es B/.1,000.00. En faltas muy graves, la ANTAI puede además clausurar registros de la base de datos o suspender el tratamiento.
¿Quién está obligado a cumplir la Ley 81?
Toda persona natural o jurídica, pública o privada, que trate datos personales. Da igual que tenga o no fines de lucro. Queda fuera, entre otros casos, lo que haces con fines sólo personales o domésticos (artículo 3).
¿Qué dice la Ley 81 sobre las tarjetas de crédito?
No las nombra. Sí impide que una decisión automática sobre tu crédito te perjudique sin tu consentimiento, un contrato o una ley que lo permita (artículo 19). Lo regulado por una ley especial sigue sus propias reglas (artículo 3).
¿Hay que inscribir la base de datos ante la ANTAI?
No, en Panamá no existe un registro público de bases de datos. Se lleva un registro interno de las bases transferidas a terceros, al día y a disposición de la ANTAI si lo pide.
¿Necesito abogado para denunciar ante la ANTAI?
No, el titular puede presentar la denuncia por su cuenta. Incluye tus datos de contacto, los hechos y las pruebas que tengas, por SmartCID, por correo o en la sede de Balboa, Ancón.