ISO/IEC 27001 y la Ley 81 de protección de datos personales en Panamá

30 de septiembre de 2026 8 min de lecturaPor el equipo técnico de ICS

Desde el 29 de marzo de 2021 está vigente en Panamá la Ley 81 de 2019 sobre protección de datos personales, reglamentada por el Decreto Ejecutivo 285 de mayo de 2021. Muchas empresas respondieron publicando una política de privacidad y agregando una casilla de consentimiento en sus formularios. Es un buen comienzo, pero la ley pide algo mucho más difícil de improvisar: que los datos estén efectivamente protegidos. Ahí es donde ISO/IEC 27001 resulta útil.

Qué exige la ley en materia de seguridad

La Ley 81 aplica a quien trate datos personales en Panamá, ya sean de clientes, pacientes, colaboradores o proveedores. Entre sus principios están la seguridad y la confidencialidad de los datos, y el reglamento los aterriza en obligaciones que, en la práctica, requieren procesos y no solo documentos:

• Medidas de seguridad reales. Almacenar o archivar datos sin condiciones de seguridad está tipificado como falta grave. La ley no prescribe una tecnología concreta, pero la protección tiene que existir y poder verificarse.
• Notificación de vulneraciones. El Decreto Ejecutivo 285 (artículos 37 y 38) obliga a comunicar las violaciones de seguridad a la ANTAI y a los titulares afectados, documentando lo ocurrido. Sin un procedimiento de incidentes, es difícil hacerlo a tiempo y bien.
• Derechos de los titulares. Las personas pueden ejercer sus derechos de acceso, rectificación, cancelación, oposición y portabilidad. Para responder hay que saber dónde están sus datos y quién los maneja.
• Proveedores que tratan datos. Si un tercero almacena o procesa información por cuenta de su empresa, como un servicio en la nube, un sistema de planillas o un centro de llamadas, su empresa debe asegurarse de que esos datos también estén protegidos.
• Sanciones. La ANTAI puede imponer multas de B/.1,000 a B/.10,000 según la gravedad y la reincidencia, además de otras medidas como la clausura del registro de la base de datos o la suspensión de la actividad de tratamiento. El daño reputacional de una filtración suele costar mucho más que la multa.

El reglamento también define la figura del oficial de protección de datos personales: es obligatoria en el sector público y voluntaria en el privado, aunque haberlo designado se toma en cuenta al graduar una sanción.

Qué aporta ISO/IEC 27001

ISO/IEC 27001 es la norma internacional para gestionar la seguridad de la información. No es una lista de productos de ciberseguridad: es un sistema de gestión, con la misma lógica que ISO 9001, que obliga a identificar qué información es crítica, qué riesgos la amenazan y qué controles aplicar. En su edición vigente, de 2022, el Anexo A reúne 93 controles agrupados en cuatro temas (organizacionales, de personas, físicos y tecnológicos), y la organización justifica cuáles aplica en una declaración de aplicabilidad.

Frente a la Ley 81, la correspondencia es bastante directa:

• Medidas de seguridad → evaluación de riesgos y controles. En lugar de medidas aisladas, cada control responde a un riesgo identificado y queda registrado por qué se eligió.
• Notificación de vulneraciones → gestión de incidentes. La norma exige planificar cómo se detectan, registran, evalúan y atienden los incidentes, que es justo lo que necesita para notificar a la autoridad y a los afectados.
• Derechos de los titulares → inventario de información. El inventario de activos le dice qué datos tiene, dónde están y quién accede a ellos.
• Proveedores → seguridad en la cadena de suministro. Requisitos de seguridad en los contratos, y evaluación y seguimiento de terceros, incluidos los servicios en la nube.
• Demostrar diligencia → evidencia auditable. Auditorías internas, revisión por la dirección y, si decide certificarse, la evaluación de un tercero independiente. Ante un cliente, un socio internacional o una investigación, un sistema en funcionamiento pesa más que una política archivada.

Lo que ISO/IEC 27001 no resuelve

Conviene ser claros: certificarse en ISO/IEC 27001 no equivale a cumplir la Ley 81. La norma se ocupa de la seguridad de la información; la ley regula además la licitud del tratamiento, el consentimiento, la información que debe darse a los titulares, las transferencias de datos y los plazos de conservación, aspectos que requieren revisión legal. Para la gestión de la privacidad existe una norma específica, ISO/IEC 27701, que desde su edición de 2025 puede implementarse y certificarse por sí sola. Lo que sí hace ISO/IEC 27001 es resolver la parte más técnica y más difícil de improvisar: proteger la información de verdad.

Por dónde empezar

No hace falta empezar por la certificación. Un orden práctico es este:

1. Haga un inventario de datos personales.Qué datos recoge, para qué, dónde se guardan y quién tiene acceso, incluidos sus proveedores.
2. Mida la distancia con la norma.Un análisis de brechas frente a ISO/IEC 27001 muestra qué controles ya existen y cuáles faltan, priorizados por riesgo.
3. Defina el procedimiento de incidentes.Quién detecta, quién decide, cómo se documenta y quién notifica. Es lo primero que va a necesitar cuando algo salga mal.
4. Revise los contratos con proveedores.Cláusulas de confidencialidad y seguridad con todos los que manejan datos por cuenta suya.
5. Capacite a su personal.Buena parte de los incidentes empieza con un error humano: un correo de suplantación, una contraseña compartida o un archivo enviado a quien no correspondía.

Con esa base, la implementación completa y la certificación son el paso natural, y el camino es el mismo que el de cualquier norma de gestión: implementación, pre-auditoría y auditoría de certificación.

Este artículo es informativo y no sustituye la asesoría legal sobre cómo aplica la Ley 81 a su caso particular.