Legge 81 e invii massivi: come inviare email, SMS e WhatsApp legalmente a Panama

Se fai campagne email, SMS o WhatsApp a Panama, la Legge 81 del 2019 sulla protezione dei dati personali si applica a te. Non è teoria: è in vigore, la fa rispettare l’ANTAI e raggiunge persino le aziende con sede all’estero quando indirizzano la loro attività commerciale a clienti panamensi. La buona notizia è che rispettarla non è complicato — e, per inciso, migliora la recapitabilità dei tuoi invii. Questa guida spiega, in termini pratici, cosa richiede perché tu invii a norma.

Questa è informazione generale, non consulenza legale. Per il tuo caso concreto, consulta un professionista.

Cos’è la Legge 81 e da quando si applica

La Legge 81 del 26 marzo 2019 stabilisce i principi, i diritti e gli obblighi per il trattamento dei dati personali a Panama. È entrata in vigore il 29 marzo 2021 ed è stata regolamentata dal Decreto Esecutivo 285 del 28 maggio 2021, che ha aggiunto le procedure, i requisiti per raccogliere informazioni e i criteri di sanzione.

L’autorità di controllo è l’ANTAI (Autorità Nazionale per la Trasparenza e l’Accesso all’Informazione), tramite la sua Direzione per la Protezione dei Dati Personali. È chi vigila, gestisce le denunce e sanziona.

Nello spirito, la legge somiglia al GDPR europeo: restituisce al cittadino il controllo sull’uso delle proprie informazioni e impone a chi le tratta di farlo con permesso, trasparenza e sicurezza.

A chi si applica

Si applica a qualsiasi soggetto — persona fisica o giuridica, pubblica o privata — che tratti dati personali di persone a Panama. Per le tue campagne, significa che si applica se gestisci email, telefoni o qualsiasi dato che identifichi un contatto.

Un punto che molti trascurano: si applica anche alle aziende straniere quando la loro attività commerciale online si rivolge a clienti panamensi. Vendere dall’estero non ti esonera.

Restano fuori, per esempio, i dati trattati da una persona per attività esclusivamente personali o domestiche, e quelli regolati da leggi speciali.

La regola centrale: il consenso

Il cuore della legge per il marketing è questo: per trattare un dato e inviare comunicazioni commerciali ti serve il consenso dell’interessato, e quel consenso deve essere:

• Preventivo: prima di inviare, non dopo.
• Informato: la persona sa chi sei e per cosa userai i suoi dati.
• Inequivocabile: un’azione affermativa chiara, non una casella pre-spuntata né il silenzio.
• Tracciabile: devi poter provare quando e come l’hai ottenuto.

Inoltre, l’interessato può revocare il consenso in qualsiasi momento (senza effetto retroattivo), e tu devi renderglielo facile.

In pratica, questo si traduce in due cose molto concrete:

1. Opt-in reale, idealmente doppio. Che la persona chieda di ricevere i tuoi messaggi e, meglio ancora, confermi con un secondo passaggio. Questo ti dà la tracciabilità che la legge richiede.
2. Non comprare né raschiare liste. Una lista comprata non ha consenso tracciabile: inviarle è una violazione e, per giunta, distrugge la tua reputazione di invio. (Per il lato tecnico, vedi la nostra guida alla recapitabilità email.)

I diritti che devi poter gestire (ARCOP)

Il consenso informato va di pari passo con un insieme di diritti che l’interessato può esercitare e che tu devi poter gestire. Sono noti come ARCOP:

• Accesso: sapere quali suoi dati possiedi.
• Rettifica: correggere dati inesatti.
• Cancellazione: chiedere che tu elimini i suoi dati.
• Opposizione: rifiutare un trattamento, come ricevere pubblicità.
• Portabilità: portare i suoi dati a un altro titolare.

Per un’operazione di invii, il minimo è avere un canale chiaro per disiscriversi e per gestire le richieste di cancellazione, e onorarle entro un tempo ragionevole.

Cosa significa su ogni canale

Canale	Cosa ti chiede la Legge 81 in pratica
Email	Opt-in informato, link di disiscrizione visibile e funzionante, registro del consenso
SMS	Consenso preventivo, opzione di disiscrizione (es. rispondere STOP), niente liste comprate
WhatsApp	Consenso a scrivere su quel canale, rispetto delle policy di WhatsApp e della disiscrizione

In tutti e tre i casi, il denominatore comune è lo stesso: permesso, trasparenza e una via d’uscita facile.

Ogni canale ha inoltre le sue regole tecniche, che sviluppiamo nelle relative pagine: la recapitabilità dell’email (SPF, DKIM, DMARC e la disiscrizione in un clic), il WhatsApp massivo (opt-in obbligatorio, modelli e la finestra di 24 ore) e l’SMS massivo (registrazione del mittente e consenso).

Le sanzioni: cosa rischi

Il regime sanzionatorio della Legge 81 (articolo 36) prevede multe da 1.000 a 10.000 US$, a seconda della gravità e della recidiva. Ma la multa non è l’unica cosa:

Per una PMI, una chiusura della banca dati o una sanzione pubblica pesano più della multa stessa: significa perdere lo strumento di contatto e la fiducia dei clienti da un giorno all’altro.

Mi serve un Responsabile della Protezione dei Dati?

Il Decreto 285 ha creato la figura del Responsabile della Protezione dei Dati (RPD). È obbligatorio per gli enti pubblici e consigliato, ma non obbligatorio, per il settore privato. Anche senza nominarne uno formalmente, conviene che qualcuno nella tua azienda sia responsabile di come i dati vengono raccolti, conservati e usati.

Checklist di conformità per gli invii massivi

• Raccogli un consenso preventivo, informato e inequivocabile (opt-in, meglio doppio).
• Conserva la prova di ogni consenso (data, origine, testo accettato).
• Indica con chiarezza chi sei e per cosa userai i dati.
• Includi una disiscrizione facile in ogni messaggio e gestiscila in fretta.
• Abbi un canale per gestire accesso, rettifica, cancellazione, opposizione e portabilità.
• Non comprare né raschiare banche dati.
• Mantieni i dati sicuri e aggiornati.
• Assegna a qualcuno la responsabilità della conformità.

Titolare e responsabile: dove ci collochiamo

Un punto che rassicura molte aziende: esternalizzare l’invio non ti toglie dalla legge, ti organizza al suo interno. La Legge 81 distingue due ruoli. Tu, titolare dell’attività, sei il titolare del trattamento: decidi per cosa si usano i dati. Chi invia per tuo conto è il responsabile o custode, che tratta quei dati seguendo le tue istruzioni.

La legge contempla espressamente quel rapporto: il Decreto 285 prevede che la registrazione delle banche dati trasferite a terzi risulti per iscritto, anche con mezzi elettronici. Fatto bene, lavorare con un responsabile non è un rischio di esternalizzazione: è una struttura di conformità documentata, con responsabilità chiare e tracciabilità di chi ha trattato cosa.

Una sfumatura per i settori regolati: se sei nel settore bancario, assicurativo o sanitario, la tua legge speciale comanda per prima e la Legge 81 si applica in via suppletiva. Non è “solo Legge 81”: è il tuo quadro settoriale più la Legge 81 per ciò che il primo non copre.

Conformarsi senza che diventi il tuo mal di testa

Conformarsi alla Legge 81 significa, soprattutto, organizzare come chiedi il permesso e come rispetti la via d’uscita. È perfettamente raggiungibile — ma è un lavoro continuo, e si incrocia con il lato tecnico della recapitabilità.

Per questo lo gestiamo per te come tuo responsabile: opt-in conforme, doppia conferma, disiscrizioni tracciabili e registri pronti nel caso l’ANTAI lo chieda. Tu invii sereno; noi teniamo la conformità aggiornata.