Lei 81 e envios em massa: como enviar e-mail, SMS e WhatsApp legalmente no Panamá
O que a Lei 81 de 2019 do Panamá exige das suas campanhas em massa: consentimento, direitos ARCOP, sanções da ANTAI e um checklist prático para enviar sem multas.
Se você faz campanhas de e-mail, SMS ou WhatsApp no Panamá, a Lei 81 de 2019 de proteção de dados pessoais se aplica a você. Não é teoria: está em vigor, é fiscalizada pela ANTAI e alcança até empresas de fora do país quando direcionam sua atividade comercial a clientes panamenhos. A boa notícia é que cumpri-la não é complicado — e, de quebra, melhora a entregabilidade dos seus envios. Este guia explica, em termos práticos, o que ela exige para você enviar dentro da lei.
Isto é informação geral, não assessoria jurídica. Para o seu caso concreto, consulte um profissional.
O que é a Lei 81 e desde quando se aplica
A Lei 81 de 26 de março de 2019 estabelece os princípios, direitos e obrigações para o tratamento de dados pessoais no Panamá. Entrou em vigor em 29 de março de 2021 e foi regulamentada pelo Decreto Executivo 285 de 28 de maio de 2021, que acrescentou os procedimentos, os requisitos para coletar informação e os critérios de sanção.
A autoridade de controle é a ANTAI (Autoridade Nacional de Transparência e Acesso à Informação), por meio da sua Direção de Proteção de Dados Pessoais. É quem fiscaliza, atende denúncias e sanciona.
Em espírito, a lei se parece com o RGPD europeu: devolve ao cidadão o controle sobre o uso da sua informação e exige de quem a trata fazê-lo com permissão, transparência e segurança.
A quem se aplica
Aplica-se a qualquer pessoa — física ou jurídica, pública ou privada — que trate dados pessoais de pessoas no Panamá. Para as suas campanhas, isso significa que se aplica se você maneja e-mails, telefones ou qualquer dado que identifique um contato.
Um ponto que muitos ignoram: também se aplica a empresas estrangeiras quando a sua atividade comercial on-line se dirige a clientes panamenhos. Vender de fora não isenta você.
Ficam de fora, por exemplo, os dados tratados por uma pessoa para atividades exclusivamente pessoais ou domésticas, e os regulados por leis especiais.
A regra central: o consentimento
O coração da lei para o marketing é este: para tratar um dado e enviar comunicações comerciais você precisa do consentimento do titular, e esse consentimento deve ser:
- Prévio: antes de enviar, não depois.
- Informado: a pessoa sabe quem você é e para que usará os dados dela.
- Inequívoco: uma ação afirmativa clara, não uma caixa pré-marcada nem o silêncio.
- Rastreável: você deve poder provar quando e como o obteve.
Além disso, o titular pode revogar o consentimento a qualquer momento (sem efeito retroativo), e você deve facilitar isso.
Na prática, isso se traduz em duas coisas bem concretas:
- Opt-in real, idealmente duplo. Que a pessoa peça para receber suas mensagens e, melhor ainda, confirme num segundo passo. Isso lhe dá a rastreabilidade que a lei exige.
- Não comprar nem raspar bases. Uma lista comprada não tem consentimento rastreável: enviar para ela é uma infração e, ainda por cima, destrói a sua reputação de envio. (Para o lado técnico, veja nosso guia de entregabilidade de e-mail.)
Os direitos que você deve poder atender (ARCOP)
O consentimento informado anda de mãos dadas com um conjunto de direitos que o titular pode exercer e que você deve poder atender. São conhecidos como ARCOP:
- Acesso: saber quais dados seus você tem.
- Retificação: corrigir dados inexatos.
- Cancelamento: pedir que você elimine os dados dele.
- Oposição: recusar um tratamento, como receber publicidade.
- Portabilidade: levar os dados a outro responsável.
Para uma operação de envios, o mínimo é ter um canal claro para descadastrar e para atender pedidos de eliminação, e cumpri-los num prazo razoável.
O que significa em cada canal
| Canal | O que a Lei 81 pede na prática |
|---|---|
| Opt-in informado, link de descadastro visível e funcional, registro do consentimento | |
| SMS | Consentimento prévio, opção de descadastro (p. ex. responder SAIR), sem compra de listas |
| Consentimento para escrever por esse canal, respeito às políticas do WhatsApp e ao descadastro |
Nos três casos, o denominador comum é o mesmo: permissão, transparência e uma saída fácil.
Cada canal tem ainda suas próprias regras técnicas, que desenvolvemos em suas páginas: a entregabilidade do e-mail (SPF, DKIM, DMARC e o descadastro de um clique), o WhatsApp em massa (opt-in obrigatório, modelos e a janela de 24 horas) e o SMS em massa (registro do remetente e consentimento).
As sanções: o que você arrisca
O regime sancionador da Lei 81 (artigo 36) prevê multas de US$1.000 a US$10.000, conforme a gravidade e a reincidência. Mas a multa não é a única coisa:
Além da multa de US$1.000 a US$10.000, a ANTAI pode impor advertência escrita, intimação, cancelamento do registro da base de dados e suspensão ou inabilitação da atividade de tratamento. O responsável também deve indenizar o dano patrimonial ou moral causado.
As infrações se classificam em leves, graves e muito graves. Tratar dados sem consentimento ou restringir os direitos ARCO são consideradas faltas graves. As muito graves, além disso, são imprescritíveis.
Para uma PME, um cancelamento de base ou uma sanção pública pesam mais que a própria multa: é perder a ferramenta de contato e a confiança dos clientes de um dia para o outro.
Preciso de um Encarregado de Proteção de Dados?
O Decreto 285 criou a figura do Encarregado de Proteção de Dados (EPD). É obrigatório para entidades públicas e recomendado, mas não obrigatório, para o setor privado. Mesmo sem nomear um formalmente, convém que alguém na sua empresa seja responsável por como os dados são coletados, guardados e usados.
Checklist de conformidade para envios em massa
- Colete consentimento prévio, informado e inequívoco (opt-in, de preferência duplo).
- Guarde evidência de cada consentimento (data, origem, texto aceito).
- Informe com clareza quem você é e para que usará os dados.
- Inclua um descadastro fácil em cada mensagem e processe-o rápido.
- Tenha um canal para atender acesso, retificação, cancelamento, oposição e portabilidade.
- Não compre nem raspe bases de dados.
- Mantenha os dados seguros e atualizados.
- Atribua a alguém a responsabilidade pela conformidade.
Responsável e operador: onde nos encaixamos
Um ponto que tranquiliza muitas empresas: terceirizar o envio não tira você da lei, organiza você dentro dela. A Lei 81 distingue dois papéis. Você, dono do negócio, é o responsável pelo tratamento: decide para que os dados são usados. Quem envia por sua conta é o operador ou custodiante, que trata esses dados seguindo as suas instruções.
A lei contempla expressamente essa relação: o Decreto 285 prevê que o registro de bases de dados transferidas a terceiros conste por escrito, inclusive por meios eletrônicos. Bem feito, trabalhar com um operador não é um risco de terceirização: é uma estrutura de conformidade documentada, com responsabilidades claras e rastreabilidade de quem tratou o quê.
Uma nuance para setores regulados: se você está em banco, seguros ou saúde, a sua lei especial manda primeiro e a Lei 81 se aplica de forma supletiva. Não é “só Lei 81”: é o seu marco setorial mais a Lei 81 no que aquele não cobrir.
Cumprir sem que seja a sua dor de cabeça
Cumprir a Lei 81 é, sobretudo, organizar como você pede permissão e como respeita a saída. É perfeitamente alcançável — mas é trabalho contínuo, e se cruza com a parte técnica da entregabilidade.
Por isso operamos por você como seu operador: opt-in conforme, dupla confirmação, descadastros rastreáveis e registros prontos caso a ANTAI pergunte. Você envia tranquilo; nós mantemos a conformidade em dia.
A sua operação está em regra com a Lei 81?
Fazemos um diagnóstico Lei 81 + entregabilidade grátis: revisamos sua base de consentimento, seu domínio e sua lista, e devolvemos um semáforo claro com 3 ações. É o que outros cobram $450.
Peça seu diagnóstico grátis →