Un martes cualquiera llega un correo. No es de un regulador. Es de un exempleado, de un cliente o de alguien que aplicó a una vacante hace tres años. La solicitud dice: “Díganme qué datos personales míos tienen, de dónde los obtuvieron, con quién los han compartido y hasta cuándo piensan conservarlos”.
En Panamá, la Ley 81 de 2019 reconoce ese derecho y mide la respuesta en días, no en meses. Y la respuesta no es una política ni una garantía verbal: son los datos. Si vence el plazo, quien preguntó no necesita un abogado. Va directo al regulador.
Ahora siga ese correo dentro de la organización. Legal lo remite a Tecnología. Tecnología explica que los datos de clientes viven en cuatro sistemas. Recursos Humanos está seguro de que la hoja de vida se eliminó, pero no puede mostrar cuándo ni quién lo hizo. Va la mitad del plazo y todavía se discute quién debe responder, no qué responder.
Ese es el punto incómodo: la brecha rara vez está en los documentos, está al lado de ellos. Un aviso de privacidad bien redactado no es una defensa; es un conjunto de compromisos públicos. La exposición vive en la distancia entre lo que ese aviso promete y lo que la operación realmente hace. La organización puede decir “conservamos los datos solo el tiempo necesario”, mientras once años de hojas de vida siguen en una carpeta compartida sin dueño en un computador.
Esa brecha no genera un reclamo. No genera nada durante años. Hasta que una persona pregunta o un proveedor sufre un incidente y se vuelve visible la misma tarde.
Según la encuesta anual de la firma DLA Piper, publicada en enero de 2026, las autoridades europeas impusieron cerca de 1,200 millones de euros en multas durante 2025, mientras las notificaciones de brechas de datos personales aumentaron 22%, hasta un promedio de 443 diarias. Esas cifras no prueban que Europa esté fallando. Prueban lo que se vuelve visible cuando las organizaciones son capaces de detectar y reportar lo que ocurre con los datos personales. Nuestra región no tiene cifras comparables, y sería ingenuo concluir que aquí pasa menos.
En Panamá, con contadas excepciones, las organizaciones aún no dimensionan el impacto real de incumplir la ley.
La pregunta que suele hacerse la gerencia es “¿tenemos una política de privacidad?”. Casi cualquier organización puede responderla. La que importa es otra: ¿podemos demostrar, esta semana, todo lo que sabemos sobre los datos personales de una persona y por qué lo sabemos?
Tenga presente que la primera persona que ponga a prueba su programa de privacidad de datos muy probablemente no será un regulador. Será alguien con una pregunta, un martes cualquiera.
Antonio Ayala I. — CEO de RISCCO
