Política de privacidad para tu página web en Panamá: qué pide la Ley 81 y qué debe decir

Si tu página web tiene un formulario de contacto, una tienda, un boletín o un botón que pide datos antes de abrir WhatsApp, estás recogiendo datos personales. En Panamá eso lo regula la Ley 81 de 2019, y la duda de siempre es si hace falta una política de privacidad y qué tiene que decir.

Esto no es asesoría legal. Es lo que dicen la Ley 81, en el texto de la Gaceta Oficial que publica la Asamblea Nacional, y lo que publican la ANTAI y el MICI en sus sitios, consultados el 30 de septiembre de 2026. Para un caso concreto, lo que corresponde es un abogado.

La ley, en corto

• Qué ley: la Ley 81 de 26 de marzo de 2019, sobre protección de datos personales. Rige desde el 29 de marzo de 2021, y su reglamento es el Decreto Ejecutivo 285 de 2021. Ninguna de las dos tiene reformas registradas.
• A quién aplica: a toda persona natural o jurídica, pública o privada, «lucrativas o no», que trate datos personales. Quedan fuera solo los usos personales o domésticos.
• Dónde: a las bases de datos que están en Panamá o cuyo responsable está domiciliado en el país. Que tu hosting esté en otro país no te saca de la ley.
• Quién la vigila: la ANTAI, la Autoridad Nacional de Transparencia y Acceso a la Información, con su Dirección de Protección de Datos Personales.
• Qué es un dato personal: la ANTAI da como ejemplo el nombre y el apellido, la cédula, la dirección, el teléfono, el correo y la fecha de nacimiento. Es decir, los campos de cualquier formulario.

¿Tu página necesita una política de privacidad?

Si recoge datos, sí. La Ley 81 dice que, cuando los datos se recogen por Internet, sus obligaciones se completan «mediante la presentación al interesado de las políticas de privacidad» o de unas condiciones del servicio accesibles (artículo 27). La ley no usa la palabra «obligatoria», pero esa es la vía por la que una página web cumple el deber de informar.

Si además vendes por Internet, el punto está escrito: la Ley 51 de 2008, reformada por la Ley 82 de 2012, cuenta como infracción grave no poner a disposición del cliente las políticas de privacidad. Y el MICI pide, entre los requisitos básicos, colocar «en un lugar de fácil acceso» de tu sitio los datos de contacto, los términos y condiciones y la política de privacidad; si cobras en línea, el cliente debe aceptarlos antes de pagar → pasarelas de pago en Panamá. Qué deben decir los términos → términos y condiciones en Panamá.

Lo práctico: un enlace en el pie de todas las páginas, y otro junto a cada formulario.

Qué debe decir

No encontramos una plantilla oficial. La ANTAI publica guías para el sector privado, pero solo en PDF, y la «Declaración de privacidad» de su propio sitio es la plantilla general del Gobierno, de 2020, que no sirve de modelo para un negocio. Lo que sí hay son estas piezas, cada una con su fuente:

La política dice	De dónde sale
Quién eres y cómo contactarte	El reglamento, según la ANTAI; el MICI
Qué datos pides	El MICI
Para qué los usas	La Ley 81, el reglamento y el MICI
Con quién los compartes, y si salen del país	El reglamento, según la ANTAI; la Ley 81
Cuánto tiempo los guardas	El reglamento y las preguntas frecuentes de la ANTAI
Cómo los proteges	El MICI, que sugiere preguntarle al hosting y al procesador de pagos qué seguridad usan
Si los usarás para publicidad	El MICI
Qué derechos tiene la persona y cómo ejercerlos	La Ley 81 y la ANTAI

Una salvedad honesta: el reglamento solo se publica en PDF, y su lista la conocemos por un resumen oficial de la ANTAI en una de sus resoluciones, que puede no estar completa. Y todo, dice la ley, «en lenguaje sencillo y claro»: una política copiada de otro país, que nadie entiende, no cumple esa parte. Si quieres ver una escrita así, con cada proveedor y cada cookie, la de este sitio sigue esa lista.

El consentimiento

• Cómo es: la ley lo pide «previo, informado e inequívoco», y prevé obtenerlo de forma que «permita su trazabilidad», con un registro electrónico o de otro tipo. La persona puede revocarlo, sin efecto hacia atrás.
• No siempre hace falta: también se pueden tratar datos para cumplir un contrato del que la persona es parte, una obligación legal o lo que autorice una ley especial. Y hay excepciones, como los datos necesarios dentro de una relación comercial establecida.
• Separado del resto: si el consentimiento va en un texto que trata otros asuntos, debe presentarse de forma que «se distinga claramente de los demás». En un formulario, lo más simple es una casilla propia con el enlace a la política.
• Otro fin, otro consentimiento: usar los datos para algo distinto de lo autorizado —por ejemplo, mandarle promociones a quien te escribió por el formulario— necesita un consentimiento nuevo. No encontramos una norma que aclare si un mensaje de publicidad a un cliente actual entra en la excepción de la relación comercial → listas de difusión de WhatsApp.
• Pide lo mínimo: solo datos «adecuados, pertinentes y limitados al mínimo necesario». Y según la ANTAI, nadie puede ser obligado a entregar su cédula para que se fotografíe o escanee a cambio de un servicio.

Los derechos de tus clientes, y los plazos

La ley reconoce cinco derechos irrenunciables: acceso, rectificación, cancelación, oposición —que incluye revocar el consentimiento— y portabilidad, una copia de sus datos en un formato de uso común. Y no se pueden limitar por contrato.

Lo que pide la persona	Plazo
Sus datos (acceso)	10 días hábiles
Corregir datos erróneos	5 días hábiles
Borrarlos (cancelación) o una copia (portabilidad)	10 días hábiles, según la ANTAI
Oponerse a un uso	Efecto inmediato, según la ANTAI, salvo excepciones

Todo el trámite es gratuito, y la ANTAI aclara que hay que responder aunque no tengas datos de esa persona. Si no contestas a tiempo, la persona puede acudir a la ANTAI. Por eso la política debe decir a qué correo o canal se mandan estas solicitudes.

Si tu hosting o tus herramientas están fuera de Panamá

Si la página, el correo o la analítica de tu negocio están en servidores de otro país → qué es un hosting y Google Analytics, la ley te sigue aplicando mientras tu negocio esté domiciliado en Panamá, y enviar datos fuera es una transferencia:

• Por regla general necesita el consentimiento previo, informado e inequívoco del titular.
• También es lícita si se cumple otra de las condiciones del artículo 33, entre ellas que el país receptor «proporcione un nivel de protección equivalente o superior», o que la exija un contrato en interés de la persona.
• Desde el 8 de junio de 2026 rigen las cláusulas contractuales modelo que adoptó la ANTAI, las de la Red Iberoamericana de Protección de Datos, para enviar datos a responsables o proveedores en otros países. Su uso es voluntario, y quien las usa no necesita pedir autorización previa a la ANTAI.

No encontramos una regla específica para los servicios en la nube. Lo prudente es que la política diga que los datos se guardan con proveedores fuera de Panamá, porque «la intención de transferir los datos a un tercer país» es uno de los puntos que, según la ANTAI, hay que informar.

Las cookies

La Ley 81 no menciona las cookies, y no encontramos en la ANTAI una regla, una guía ni una obligación de mostrar un aviso de cookies. Eso no quiere decir que no haya que decir nada: si una cookie permite identificar a alguien, encaja en la definición de dato personal de la ley —«cualquier información» que identifica a una persona o la hace identificable—, y aplican las reglas generales. Lo prudente es explicar en la política qué herramientas de medición o publicidad usa tu página. Y no conviene copiar las reglas europeas: en Panamá rigen las bases, los derechos y las multas de la Ley 81. Lo que piden igual Google Analytics y Google Ads, sobre todo si te visitan desde Europa → banner de cookies.

Las multas, y los casos reales

• Cuánto: de B/.1,000 a B/.10,000, según la gravedad. En las faltas muy graves, además, se puede llegar a la clausura de los registros de la base de datos o a la suspensión de la actividad de almacenamiento.
• Qué es grave: entre otras cosas, tratar datos sin el consentimiento del titular, entorpecer los derechos de tus clientes o guardar datos sin la seguridad adecuada.
• Un caso: en julio de 2023, la ANTAI multó con B/.8,000 a una clínica de cirugía plástica que publicó fotos de una paciente en estados de WhatsApp y en Instagram sin su consentimiento.
• Las cifras: en su informe de gestión de julio de 2022 a julio de 2023, la ANTAI reportó 76 denuncias y un total de 13 sanciones, por B/.29,000 en multas.
• Aparte de la multa, quien causa un daño debe indemnizarlo, y eso se reclama ante los tribunales.

Y denunciar es fácil: el titular lo puede hacer en línea, por correo o en persona, sin abogado.

Lo que no encontramos

Para que nadie te venda una certeza que no existe: no hay en HTML un modelo oficial de política, una regla sobre cookies, el plazo para avisarle a la ANTAI de una filtración —la ley sí pide avisarle a la persona «lo más pronto posible»— ni una tabla de multas por tipo de falta. Todo eso podría estar en el reglamento, que solo se publica en PDF. Si te están haciendo la página, la política es una de las cosas que conviene pedir desde el principio → qué exigirle a quien te hace la página web.

Fuentes oficiales

• Ley 81 de 2019, sobre protección de datos personales — Legispan, Asamblea Nacional; su ficha y la del Decreto Ejecutivo 285 de 2021 — Infojurídica, Procuraduría de la Administración.
• Preguntas frecuentes de protección de datos personales, la entrada en vigencia, las resoluciones, la multa a la clínica y el informe de julio de 2022 a julio de 2023 — ANTAI.
• Resolución ANTAI-DG-003-2026, cláusulas contractuales modelo — Legispan; su ficha — Infojurídica.
• Ley 82 de 2012, que reforma la Ley 51 de 2008 de comercio electrónico — Legispan.
• Preguntas frecuentes de comercio electrónico y requisitos básicos del comercio por Internet — MICI.