Ley 81 y envíos masivos: cómo enviar email, SMS y WhatsApp legalmente en Panamá
Qué exige la Ley 81 de 2019 para tus campañas masivas en Panamá: consentimiento, derechos ARCOP, sanciones de la ANTAI y un checklist práctico para enviar sin multas.
Si haces campañas de email, SMS o WhatsApp en Panamá, la Ley 81 de 2019 de protección de datos personales te aplica. No es teoría: está vigente, la fiscaliza la ANTAI y alcanza incluso a empresas de fuera del país cuando dirigen su actividad comercial a clientes panameños. La buena noticia es que cumplirla no es complicado —y, de paso, mejora la entregabilidad de tus envíos. Esta guía te explica qué exige, en términos prácticos, para que envíes en regla.
Esto es información general, no asesoría legal. Para tu caso concreto, consulta a un profesional.
Qué es la Ley 81 y desde cuándo aplica
La Ley 81 del 26 de marzo de 2019 establece los principios, derechos y obligaciones para el tratamiento de datos personales en Panamá. Entró en vigencia el 29 de marzo de 2021 y fue reglamentada por el Decreto Ejecutivo 285 del 28 de mayo de 2021, que añadió los procedimientos, los requisitos para recabar información y los criterios de sanción.
La autoridad de control es la ANTAI (Autoridad Nacional de Transparencia y Acceso a la Información), a través de su Dirección de Protección de Datos Personales. Es quien fiscaliza, atiende denuncias y sanciona.
En espíritu, la ley se parece al RGPD europeo: le devuelve al ciudadano el control sobre el uso de su información y le exige a quien la trata hacerlo con permiso, transparencia y seguridad.
A quién aplica
Aplica a cualquier persona —natural o jurídica, pública o privada— que trate datos personales de personas en Panamá. Para tus campañas, eso significa que aplica si manejas correos, teléfonos o cualquier dato que identifique a un contacto.
Un punto que muchos pasan por alto: también aplica a empresas extranjeras cuando su actividad comercial en línea se dirige a clientes panameños. Vender desde afuera no te exime.
Quedan fuera, por ejemplo, los datos tratados por una persona para actividades exclusivamente personales o domésticas, y los regulados por leyes especiales.
La regla central: el consentimiento
El corazón de la ley para el marketing es este: para tratar un dato y enviar comunicaciones comerciales necesitas el consentimiento del titular, y ese consentimiento debe ser:
- Previo: antes de enviarle, no después.
- Informado: la persona sabe quién eres y para qué usarás sus datos.
- Inequívoco: una acción afirmativa clara, no una casilla premarcada ni el silencio.
- Trazable: debes poder probar cuándo y cómo lo obtuviste.
Además, el titular puede revocar su consentimiento en cualquier momento (sin efecto retroactivo), y tú debes ponérselo fácil.
En la práctica, esto se traduce en dos cosas muy concretas:
- Opt-in real, idealmente doble. Que la persona pida recibir tus mensajes y, mejor aún, confirme por un segundo paso. Eso te da la trazabilidad que la ley exige. (El cómo pedirlo bien, y por cada canal, está en opt-in y doble opt-in.)
- No comprar ni raspar bases. Una lista comprada no tiene consentimiento trazable: enviarle es una infracción y, además, destruye tu reputación de envío. (Si te interesa el lado técnico, lo vemos en nuestra guía de entregabilidad de email.)
Los derechos que debes poder atender (ARCOP)
El consentimiento informado va de la mano con un conjunto de derechos que el titular puede ejercer y que tú debes poder atender. Se conocen como ARCOP:
- Acceso: saber qué datos suyos tienes.
- Rectificación: corregir datos inexactos.
- Cancelación: pedir que elimines sus datos.
- Oposición: negarse a un tratamiento, como recibir publicidad.
- Portabilidad: llevarse sus datos a otro responsable.
Para una operación de envíos, lo mínimo es tener un canal claro para darse de baja y para atender solicitudes de eliminación, y cumplirlas en un plazo razonable.
Qué significa en cada canal
| Canal | Lo que la Ley 81 te pide en la práctica |
|---|---|
| Opt-in informado, enlace de baja visible y funcional, registro del consentimiento | |
| SMS | Consentimiento previo, opción de baja (p. ej. responder BAJA), sin compra de listas |
| Consentimiento para escribir por ese canal, respeto de las políticas de WhatsApp y de la baja |
En los tres casos, el común denominador es el mismo: permiso, transparencia y una salida fácil.
Cada canal tiene además sus propias reglas técnicas, que desarrollamos en sus guías: la entregabilidad del email (SPF, DKIM, DMARC y la baja de un clic), el WhatsApp masivo (opt-in obligatorio, plantillas y la ventana de 24 horas) y el SMS masivo (registro del remitente y consentimiento).
Las sanciones: qué arriesgas
El régimen sancionador de la Ley 81 (artículo 36) contempla multas de US$1,000 a US$10,000, según la gravedad y la reincidencia. Pero la multa no es lo único:
Además de la multa de US$1,000 a US$10,000, la ANTAI puede imponer advertencia escrita, citación, clausura del registro de la base de datos y suspensión o inhabilitación de la actividad de tratamiento. El responsable también debe indemnizar el daño patrimonial o moral causado.
Las infracciones se clasifican en leves, graves y muy graves. Tratar datos sin consentimiento del titular o restringir los derechos ARCO se consideran faltas graves. Las muy graves, además, son imprescriptibles.
Para una PyME, una clausura de base o una sanción pública pesan más que la propia multa: es perder la herramienta de contacto y la confianza de los clientes de un día para otro.
¿Necesito un Oficial de Protección de Datos?
El Decreto 285 creó la figura del Oficial de Protección de Datos (ODP). Es obligatorio para las entidades públicas y recomendado, pero no obligatorio, para el sector privado. Aun sin nombrar uno formalmente, conviene que alguien en tu empresa sea responsable de cómo se recolectan, guardan y usan los datos.
Checklist de cumplimiento para envíos masivos
- Recoge consentimiento previo, informado e inequívoco (opt-in, mejor doble).
- Guarda evidencia de cada consentimiento (fecha, origen, texto aceptado).
- Informa con claridad quién eres y para qué usarás los datos.
- Incluye una baja fácil en cada mensaje y procésala rápido.
- Ten un canal para atender acceso, rectificación, cancelación, oposición y portabilidad.
- No compres ni raspes bases de datos.
- Mantén los datos seguros y actualizados.
- Asigna a alguien la responsabilidad del cumplimiento.
Responsable y encargado: dónde encajamos nosotros
Un punto que tranquiliza a muchas empresas: tercerizar el envío no te saca de la ley, te ordena dentro de ella. La Ley 81 distingue dos roles. Tú, el dueño del negocio, eres el responsable del tratamiento: decides para qué se usan los datos. Quien envía por tu cuenta es el encargado o custodio, que trata esos datos siguiendo tus instrucciones.
La ley contempla expresamente esa relación: el Decreto 285 prevé que el registro de bases de datos transferidas a terceros conste por escrito, incluso por medios electrónicos. Bien hecho, trabajar con un encargado no es un riesgo de tercerización: es una estructura de cumplimiento documentada, con responsabilidades claras y trazabilidad de quién trató qué.
Un matiz para sectores regulados: si estás en banca, seguros o salud, tu ley especial manda primero y la Ley 81 aplica de forma supletoria. No es “solo Ley 81”: es tu marco sectorial más la Ley 81 en lo que aquél no cubra.
Cumplir sin que sea tu dolor de cabeza
Cumplir la Ley 81 es, sobre todo, ordenar cómo pides permiso y cómo respetas la salida. Es perfectamente alcanzable —pero es trabajo continuo, y se cruza con la parte técnica de la entregabilidad.
Por eso lo operamos por ti como tu encargado: opt-in conforme, doble confirmación, bajas trazables y registros listos por si la ANTAI pregunta. Tú envías tranquilo; nosotros mantenemos el cumplimiento al día.
¿Tu operación está en regla con la Ley 81?
Te hacemos un Diagnóstico Ley 81 + Entregabilidad gratis: revisamos tu base de consentimiento, tu dominio y tu lista, y te devolvemos un semáforo claro con 3 acciones. Es lo que otros cobran $450.
Pide tu diagnóstico gratis →