Ley 81 de protección de datos: qué exige a un chatbot o CRM en Panamá
La Ley 81 de 2019 aplica a cualquier chatbot o CRM que trate datos personales en Panamá. Exige una base legal, como el consentimiento informado, y usar los datos solo para la finalidad declarada. También pide medidas de seguridad y atender los derechos de acceso, rectificación, cancelación, oposición y portabilidad. Su reglamento pide avisar de una filtración en 72 horas.
Abajo citamos los artículos que leímos en el texto oficial y qué significan para tu WhatsApp, tu chatbot y tu CRM. Esto no es asesoría legal; confírmalo con tu abogado.
¿Qué es la Ley 81 y desde cuándo rige?
La Ley 81 de 26 de marzo de 2019 fija los principios, derechos y obligaciones para tratar datos de personas naturales (artículo 1). Usamos el texto de Legispan, de la Asamblea Nacional, publicado en el sitio de la Superintendencia de Bancos y consultado el 23 de octubre de 2026.
La reglamenta el Decreto Ejecutivo 285 de 28 de mayo de 2021, publicado en la Gaceta Oficial 29296-A y consultado el 23 de octubre de 2026. Sus considerandos indican que la ley entró en vigor el 29 de marzo de 2021.
La autoridad de control es la Autoridad Nacional de Transparencia y Acceso a la Información, ANTAI (decreto, artículo 4).
¿Por qué aplica a tu chatbot y a tu CRM?
La ley llama dato personal a cualquier información que identifica o hace identificable a una persona natural (artículo 4). Un nombre, un número de WhatsApp o una consulta ya lo son.
Llama tratamiento a recolectar, almacenar, organizar, transferir o usar datos, de forma automatizada o no (artículo 4). Un chatbot que pide el nombre y un CRM que guarda el historial hacen justo eso.
El decreto también la aplica a tratamientos hechos en una actividad comercial por internet, dirigidos al mercado panameño (artículo 2).
¿Qué exige la Ley 81 a un chatbot o CRM?
Las obligaciones que más tocan a un asistente de WhatsApp y a un CRM, con su artículo.
Base legal
Hace falta al menos una condición: consentimiento, un contrato, una obligación legal o una ley especial (Ley 81, artículo 6). El consentimiento debe poder rastrearse y se puede revocar.
Informar al recoger datos
Debes decir quién eres, para qué usas los datos, cuánto los guardas y cómo ejercer los derechos (decreto, artículo 14). En pantallas pequeñas puedes informar por capas (artículo 16).
Solo para la finalidad declarada
Otro uso requiere nuevo consentimiento u otra base legal (Ley 81, artículo 11). Usar la lista de consultas para campañas es otro fin.
Solo los datos necesarios
Los datos deben ser adecuados, pertinentes y limitados al mínimo necesario (Ley 81, artículo 2). Si el bot no necesita la cédula, que no la pida.
Seguridad y confidencialidad
Medidas técnicas y organizativas para la confidencialidad, integridad y disponibilidad de los datos (decreto, artículo 36). Quien accede a ellos debe guardar reserva (Ley 81, artículo 9).
Datos de salud
Son datos sensibles (Ley 81, artículo 4). El consentimiento para tratarlos debe ser previo, irrefutable y expreso (artículo 8). Clave si tu bot atiende una clínica.
Transferencias a terceros
Requieren consentimiento previo, informado e inequívoco, salvo excepciones (Ley 81, artículo 25). Quien transfiere bases de datos debe llevar un registro (artículo 31; decreto, artículo 35).
¿Qué derechos tienen tus clientes y en qué plazos?
La ley reconoce los derechos de acceso, rectificación, cancelación, oposición y portabilidad (artículo 15). Ningún acuerdo entre partes puede limitarlos (artículo 21).
Si una persona pide su información, debes entregarla en no más de diez días hábiles (artículo 16). Los datos erróneos o incompletos se corrigen dentro de cinco días hábiles (artículo 17). Atender estas solicitudes es gratuito (artículo 16).
Si el tratamiento es para mercadeo, la persona puede oponerse en todo momento (decreto, artículo 29). Eso toca directo a las campañas de WhatsApp. Tu CRM debe dejarte encontrar, corregir, exportar y borrar los datos de una persona.
¿Qué pasa si hay una filtración de datos?
El decreto pide notificar a la ANTAI y a los titulares afectados cuando una violación de seguridad represente un riesgo. El plazo es de setenta y dos horas desde que se conoce el incidente (artículo 37).
La notificación debe decir qué pasó, qué datos se comprometieron, qué se corrigió y qué puede hacer la persona (artículo 37). Toda violación se documenta con fecha, motivo, hechos y medidas (artículo 38).
Si un proveedor custodia tus datos, como la plataforma de tu chatbot, debe avisarte de inmediato (artículo 37). Pídelo por escrito en el contrato.
¿Qué sanciones prevé la Ley 81?
Las infracciones son leves, graves o muy graves (artículo 38). Tratar datos sin el consentimiento requerido o guardarlos sin seguridad adecuada son infracciones graves (artículo 40).
La ANTAI fija las multas según la gravedad, desde mil hasta diez mil balboas (artículo 36). Las faltas muy graves pueden llevar a la clausura de registros o a suspender el tratamiento (artículo 43).
El responsable también debe indemnizar el daño que cause (artículo 37). Para el sector privado, el oficial de protección de datos no es obligatorio, pero cuenta al graduar sanciones (decreto, artículo 42).
¿Qué revisar en tu chatbot o CRM esta semana?
Una lista práctica para tu abogado y tu proveedor. No sustituye una revisión legal.
¿Cómo ayuda Elemento Web con esto?
No damos asesoría legal. Montamos el asistente y el CRM para que cumplir sea más fácil: el asistente se identifica como tal, pide solo lo necesario y pasa a una persona lo delicado.
En WazaCRM puedes exportar contactos y conversaciones cuando quieras. Eso facilita atender el acceso y la portabilidad. En proyectos de IA para empresas, cada persona solo ve lo que su rol permite.
Si te preocupa a dónde viajan los datos con IA, lee es seguro usar IA con los datos de tu empresa. Para elegir proveedor, mira quién hace chatbots de WhatsApp con IA.
Preguntas frecuentes sobre la Ley 81 y los chatbots
01¿Necesito consentimiento para responder a quien me escribe por WhatsApp?
El artículo 8 de la Ley 81 no exige autorización para datos necesarios en una relación comercial establecida, para atender o vender lo pactado. Cuándo aplica a tu caso y cuándo necesitas consentimiento expreso debe confirmarlo tu abogado.
02¿Puedo usar los números de mis clientes para campañas?
Solo si el mercadeo está dentro de los fines autorizados o tienes otra base legal. La persona puede oponerse en todo momento al uso para mercadeo (decreto, artículo 29). Además, Meta exige que el cliente haya aceptado recibir tus mensajes.
03¿Aplica la ley si mi proveedor guarda los datos fuera de Panamá?
Sí. El artículo 5 permite tratar fuera del país datos confidenciales o sensibles si el custodio cumple estándares iguales o superiores a los de la ley. Hay excepciones, como el consentimiento del titular o la ejecución de un contrato.
04¿En cuánto tiempo debo responder si un cliente pide sus datos?
En un plazo no mayor de diez días hábiles desde la solicitud, según el artículo 16 de la Ley 81. Si pide corregir datos erróneos o incompletos, el artículo 17 da cinco días hábiles. Entregar la información es gratuito.
05¿Quién supervisa el cumplimiento?
La Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI). Puede investigar quejas y sancionar al responsable y al custodio de la base de datos (Ley 81, artículo 36). Si tu sector tiene un regulador propio, también interviene.
¿Dónde leer la norma completa?
Lee los dos textos completos: la Ley 81 de 2019 y el Decreto Ejecutivo 285 de 2021, consultados el 23 de octubre de 2026. Si tu sector tiene regulador propio, puede haber reglas adicionales.
Esto no es asesoría legal; confírmalo con tu abogado.