Loi 81 et envois en masse : comment envoyer e-mail, SMS et WhatsApp légalement au Panama

Si vous menez des campagnes e-mail, SMS ou WhatsApp au Panama, la Loi 81 de 2019 sur la protection des données personnelles s’applique à vous. Ce n’est pas de la théorie : elle est en vigueur, l’ANTAI la fait respecter, et elle atteint même les entreprises établies à l’étranger lorsqu’elles dirigent leur activité commerciale vers des clients panaméens. La bonne nouvelle, c’est que s’y conformer n’est pas compliqué — et, au passage, cela améliore la délivrabilité de vos envois. Ce guide explique, en termes pratiques, ce qu’elle exige pour que vous envoyiez dans les règles.

Ceci est une information générale, pas un conseil juridique. Pour votre cas précis, consultez un professionnel.

Ce qu’est la Loi 81 et depuis quand elle s’applique

La Loi 81 du 26 mars 2019 établit les principes, droits et obligations du traitement des données personnelles au Panama. Elle est entrée en vigueur le 29 mars 2021 et a été encadrée par le Décret exécutif 285 du 28 mai 2021, qui a ajouté les procédures, les exigences de collecte d’information et les critères de sanction.

L’autorité de contrôle est l’ANTAI (Autorité nationale de la transparence et de l’accès à l’information), via sa Direction de la protection des données personnelles. C’est elle qui contrôle, traite les plaintes et sanctionne.

Dans l’esprit, la loi ressemble au RGPD européen : elle rend au citoyen le contrôle de l’usage de son information et exige de celui qui la traite de le faire avec permission, transparence et sécurité.

À qui elle s’applique

Elle s’applique à toute personne — physique ou morale, publique ou privée — qui traite les données personnelles de personnes au Panama. Pour vos campagnes, cela signifie qu’elle s’applique si vous gérez des e-mails, des téléphones ou toute donnée qui identifie un contact.

Un point que beaucoup négligent : elle s’applique aussi aux entreprises étrangères lorsque leur activité commerciale en ligne vise des clients panaméens. Vendre depuis l’étranger ne vous exonère pas.

Sont exclues, par exemple, les données traitées par une personne pour des activités exclusivement personnelles ou domestiques, et celles régies par des lois spéciales.

La règle centrale : le consentement

Le cœur de la loi pour le marketing est celui-ci : pour traiter une donnée et envoyer des communications commerciales, il vous faut le consentement de la personne concernée, et ce consentement doit être :

• Préalable : avant de lui envoyer, pas après.
• Éclairé : la personne sait qui vous êtes et à quoi serviront ses données.
• Univoque : une action affirmative claire, pas une case pré-cochée ni le silence.
• Traçable : vous devez pouvoir prouver quand et comment vous l’avez obtenu.

De plus, la personne peut retirer son consentement à tout moment (sans effet rétroactif), et vous devez le lui faciliter.

En pratique, cela se traduit par deux choses très concrètes :

1. Un opt-in réel, idéalement double. Que la personne demande à recevoir vos messages et, mieux encore, confirme par une seconde étape. Cela vous donne la traçabilité que la loi exige.
2. Ne pas acheter ni aspirer des bases. Une liste achetée n’a pas de consentement traçable : lui envoyer est une infraction et, en plus, détruit votre réputation d’envoi. (Pour le côté technique, voyez notre guide de délivrabilité e-mail.)

Les droits que vous devez pouvoir traiter (ARCOP)

Le consentement éclairé va de pair avec un ensemble de droits que la personne peut exercer et que vous devez pouvoir traiter. On les connaît sous le nom d’ARCOP :

• Accès : savoir quelles données la concernant vous détenez.
• Rectification : corriger des données inexactes.
• Annulation : demander que vous supprimiez ses données.
• Opposition : refuser un traitement, comme recevoir de la publicité.
• Portabilité : emporter ses données vers un autre responsable.

Pour une opération d’envois, le minimum est d’avoir un canal clair pour se désabonner et pour traiter les demandes de suppression, et de les honorer dans un délai raisonnable.

Ce que cela signifie sur chaque canal

Canal	Ce que la Loi 81 vous demande en pratique
E-mail	Opt-in éclairé, lien de désabonnement visible et fonctionnel, enregistrement du consentement
SMS	Consentement préalable, option de désabonnement (p. ex. répondre STOP), pas de listes achetées
WhatsApp	Consentement pour écrire sur ce canal, respect des politiques de WhatsApp et du désabonnement

Dans les trois cas, le dénominateur commun est le même : permission, transparence et une sortie facile.

Chaque canal a en outre ses propres règles techniques, que nous développons dans leurs pages : la délivrabilité de l’e-mail (SPF, DKIM, DMARC et le désabonnement en un clic), le WhatsApp en masse (opt-in obligatoire, modèles et la fenêtre de 24 heures) et le SMS en masse (enregistrement de l’expéditeur et consentement).

Les sanctions : ce que vous risquez

Le régime de sanctions de la Loi 81 (article 36) prévoit des amendes de 1 000 à 10 000 US$, selon la gravité et la récidive. Mais l’amende n’est pas la seule chose :

Pour une PME, une fermeture de base ou une sanction publique pèsent plus que l’amende elle-même : c’est perdre l’outil de contact et la confiance des clients du jour au lendemain.

Ai-je besoin d’un Délégué à la protection des données ?

Le Décret 285 a créé la figure du Délégué à la protection des données (DPD). Il est obligatoire pour les entités publiques et recommandé, mais non obligatoire, pour le secteur privé. Même sans en nommer un formellement, il vaut mieux que quelqu’un dans votre entreprise soit responsable de la manière dont les données sont collectées, conservées et utilisées.

Checklist de conformité pour les envois en masse

• Recueillez un consentement préalable, éclairé et univoque (opt-in, de préférence double).
• Conservez une preuve de chaque consentement (date, origine, texte accepté).
• Indiquez clairement qui vous êtes et à quoi serviront les données.
• Incluez un désabonnement facile dans chaque message et traitez-le vite.
• Ayez un canal pour traiter accès, rectification, annulation, opposition et portabilité.
• N’achetez ni n’aspirez de bases de données.
• Gardez les données sûres et à jour.
• Confiez à quelqu’un la responsabilité de la conformité.

Responsable et sous-traitant : où nous situons-nous

Un point qui rassure beaucoup d’entreprises : externaliser l’envoi ne vous sort pas de la loi, il vous organise à l’intérieur. La Loi 81 distingue deux rôles. Vous, le chef d’entreprise, êtes le responsable du traitement : vous décidez à quoi servent les données. Celui qui envoie pour votre compte est le sous-traitant ou dépositaire, qui traite ces données selon vos instructions.

La loi prévoit expressément cette relation : le Décret 285 prévoit que l’enregistrement des bases de données transférées à des tiers figure par écrit, y compris par voie électronique. Bien fait, travailler avec un sous-traitant n’est pas un risque d’externalisation : c’est une structure de conformité documentée, avec des responsabilités claires et la traçabilité de qui a traité quoi.

Une nuance pour les secteurs réglementés : si vous êtes dans la banque, l’assurance ou la santé, votre loi spéciale prime et la Loi 81 s’applique à titre supplétif. Ce n’est pas « la Loi 81 seule » : c’est votre cadre sectoriel plus la Loi 81 pour ce que le premier ne couvre pas.

Se conformer sans que ce soit votre casse-tête

Se conformer à la Loi 81, c’est avant tout organiser comment vous demandez la permission et comment vous respectez la sortie. C’est parfaitement atteignable — mais c’est un travail continu, qui croise le côté technique de la délivrabilité.

C’est pourquoi nous l’opérons pour vous en tant que sous-traitant : opt-in conforme, double confirmation, désabonnements traçables et registres prêts si l’ANTAI le demande. Vous envoyez l’esprit tranquille ; nous tenons la conformité à jour.