Cuando sus datos salen de una base ajena: qué le reconoce la ley panameña

Empieza con una llamada desde un número que no reconoce, y con la incomodidad de que del otro lado saben su nombre completo, su cédula y dónde trabaja. A veces sigue con un correo que reproduce el formato de una entidad real. En ese punto la pregunta ya no es si la información circula, sino de dónde salió y qué se puede hacer al respecto

Conviene separar dos planos antes de seguir. Uno es el de la higiene digital de cada quien: contraseñas, verificación en dos pasos y cómo viaja el tráfico cuando uno se conecta a redes que no administra. Ahí entran herramientas como las redes privadas virtuales, y quien nunca haya visto una explicación ordenada del asunto puede descubrir aquí cómo funciona realmente una VPN, incluido por qué cifra la conexión entre el dispositivo y un servidor y qué significa que reemplace la dirección IP.

El otro plano es jurídico, y es el que casi nadie usa aunque exista desde hace años. Cuando los datos ya están en la base de datos de una empresa o de una institución, lo que protege al ciudadano no es una aplicación: es una ley con una autoridad detrás.

Panamá tiene ley, y desde hace más de cuatro años

La Ley 81 del 26 de marzo de 2019 entró en vigencia el 29 de marzo de 2021 y estableció principios, obligaciones y procedimientos para el tratamiento de datos personales en el país. Fue reglamentada por el Decreto Ejecutivo 285 del 28 de mayo de 2021, que dio a quienes manejan bases de datos las pautas concretas para cumplirla. 

La autoridad rectora es la Autoridad Nacional de Transparencia y Acceso a la Información, que cuenta con una Dirección de Protección de Datos Personales encargada de tramitar consultas y denuncias en la materia. Esa misma ley contempla sanciones que van desde mil hasta diez mil balboas y, en el caso de faltas muy graves, la clausura de los registros de la base de datos.

No es un marco improvisado ni aislado. Una revisión publicada este año por la Oficina de Acceso a la Información Pública del Órgano Judicial sobre la protección de datos personales en la República de Panamá recuerda que el recorrido empezó antes, con la Ley 6 de 2002, que introdujo el hábeas data como mecanismo para acceder a información pública y a datos personales.

Los cinco derechos que la mayoría desconoce

La leyureconoce al titular del dato un conjunto de facultades concretas, no declarativas. En resumen:

• Acceso: conocer qué datos s yos tiene una entidad, de dónde salieron y para qué se usan.
• Rectificación: pedir que corrijan información incorrecta, incompleta, desfasada o falsa.
• Cancelación: solicitar que eliminen datos que no deberían seguir almacenados
• Oposición: negarse a un tratamiento determinado o revocar un consentimiento dado antes.
• Portabilidad: obtener sus datos para llevarlos a otro responsable.

Hay un detalle importante sobre quién puede ejercerlos. Se trata de derechos personalísimos, de modo que corresponde al propio titular presentar el reclamo. Cuando se trata de datos de menores de edad, la denuncia puede presentarla el padre, la madre, el tutor o el representante legal.

Cómo se presenta una denuncia 

El trámite es más simple de lo que sugiere el tema. La Dirección de Protección de Datos Personales recibe denuncias por escrito a través del correo institucional destinado a esa materia, mediante el formulario en línea disponible en el sitio web de la autoridad, o de forma presencial en la sede principal, en Balboa, Ancón.

Lo que conviene preparar antes de escribir es la parte que hace que un reclamo prospere: qué dato concreto se vio afectado, qué entidad lo tenía, cómo se enteró usted, en qué fecha y qué respuesta le dio esa entidad si ya la contactó. Un reclamo con esos cuatro elementos es investigable; uno que solo dice "filtraron mis datos" es difícil de tramitar.

Por qué esto dejó de ser un asunto teórico

La discusión sobre protección de datos en Panamá era, hasta hace poco, materia de abogados y oficiales de cumplimiento. Dejó de serlo. Este medio ya ha reportado el aum nto sostenido de los ciberataques y la insistencia de los especialistas en que la protección de los datos personales pase a sereprioridad, no un anexo. 

El punto práctico para el ciudadano es que una filtración no termina cuando la noticia deja de circular. Los datos expuestos alimentan campañas de suplantación durante meses: llamadas que citan su cédula para dar credibilidad, correos que imitan a una institución, solicitudes de crédito a nombre de otro. Por eso el ejercicio del derecho de acceso, aunque parezca burocrático, sirve para algo concreto: saber quién tiene qué información suya es el primer paso para pedir que la corrija o la elimine.

Lo que sí depende de usted

Ninguna ley impide que un tercero pierda su información, del mismo modo que ninguna herramienta técnica recupera un dato que ya salió. Lo que queda en manos de cada persona es reducir la superficie: entregar el mínimo de datos que un trámite realmente exige, preguntar para qué se pide una copia de la cédula antes de darla, separar el correo de trámites del correo personal y activar la verificación en dos pasos mediante aplicación en las cuentas que importan.

Y, si sospecha que algo suyo circula donde no debería, presentar la denuncia. Una autoridad solo puede investigar lo que alguien le pone por escrito, y el silencio de los afectados es, en la práctica, la mejor garantía de que nada cambie.