¿Se pueden alojar datos de clientes panameños en servidores en la Unión Europea? Ley 81 de 2019

Guía informativa para empresas panameñas que alojan un sitio o una aplicación en Europa. No es asesoría legal. Estado al 30.09.2026.

Respuesta corta

1. 1La Ley 81 de 26 de marzo de 2019 (Gaceta Oficial 28743-A) no prohíbe en general que los datos salgan de Panamá: su artículo 33 enumera las condiciones en las que una transferencia se entiende lícita, entre ellas el consentimiento del titular y que el país receptor ofrezca un nivel de protección equivalente o superior.
2. 2El Decreto Ejecutivo 285 de 2021 (Gaceta Oficial Digital 29296-A, 28 de mayo de 2021) desarrolla esas condiciones en sus artículos 51 a 53, incluidas las cláusulas contractuales como garantía adecuada.
3. 3Quien responde por la licitud es el responsable del tratamiento, es decir, tu empresa, y también quien recibe los datos; contratar un proveedor de hosting no traslada esa responsabilidad.
4. 44hosting aloja en Fráncfort (Unión Europea), no en Panamá, ofrece un contrato de prelucrare de datos (DPA) y cláusulas contractuales tipo, pero no certifica ni firma que tu negocio cumpla la Ley 81.

Qué dice la Ley 81 sobre transferir y almacenar datos fuera de Panamá

La Ley 81 de 2019 regula la protección de datos personales de las personas naturales. Según su artículo 47 comenzó a regir a los dos años de su promulgación, y el propio Decreto Ejecutivo 285 de 2021 recuerda que la entrada en vigor efectiva fue el 29 de marzo de 2021. La autoridad que sanciona es la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), a través de su dirección competente (artículo 36).

El artículo 33 dispone que toda transferencia de datos personales es lícita si se cumple al menos una de las condiciones que enumera. Las que más importan a un sitio o aplicación alojados en Europa son: que exista consentimiento del titular; que el país u organismo receptor proporcione un nivel de protección equivalente o superior; que la transferencia esté prevista en una ley o tratado; que sea necesaria por un contrato en interés inequívoco del titular; o que se haga en el marco de cláusulas contractuales con mecanismos de protección acordes con la ley, siempre que el titular sea parte. El mismo artículo aclara que tanto quien transfiere como quien recibe responden por la licitud del tratamiento.

Además, el texto de la ley permite el almacenamiento o la transferencia transfronteriza de datos confidenciales, sensibles o restringidos siempre que el responsable o el custodio cumpla los estándares de la ley o demuestre estándares iguales o superiores.

Lo que añade el Decreto Ejecutivo 285 de 2021

El artículo 51 del decreto repite las condiciones para transferencias extrafronterizas, con dos vías principales: que el destino brinde un grado de protección equivalente o superior, o que el responsable ofrezca y pruebe garantías adecuadas. El artículo 52 indica los criterios con los que la autoridad de control valora el nivel de protección del país de destino (derechos humanos, legislación general y sectorial, existencia de autoridades de control independientes y compromisos internacionales) y prevé que pueda publicar un listado de destinos. No verificamos que esa lista exista ni qué países incluye: pregunta a tu asesor o a la ANTAI.

El artículo 53 reconoce como garantías adecuadas, entre otras, las cláusulas contractuales entre exportador y destinatario que ofrezcan garantías suficientes y los modelos de cláusulas que valide la autoridad. Por su parte, los artículos 47 y 48 exigen elegir un custodio de la base de datos con garantías suficientes y firmar un contrato que, entre otros puntos, limite el tratamiento a instrucciones documentadas, exija medidas de seguridad y confidencialidad, obligue a avisar de las violaciones de seguridad y prevea la devolución o eliminación de los datos al terminar la relación. Ese es el papel que cumple un DPA con tu proveedor de hosting.

Qué aporta 4hosting y qué no

El centro de datos de 4hosting está en la Unión Europea, en Fráncfort; no hay servidores en Panamá. La empresa opera desde Rumanía y ofrece cumplimiento alineado con el RGPD, un contrato de prelucrare de datos conforme al artículo 28 del RGPD y cláusulas contractuales tipo para transferencias, además de una alineación con ISO 27001 (no es una certificación).

4hosting no tiene certificaciones SOC 2 ni PCI DSS y no certifica el cumplimiento de la Ley 81 de ningún cliente. Que un proveedor esté en la Unión Europea no significa por sí solo que tu transferencia cumpla el artículo 33: eso depende de la base que elijas (consentimiento, cláusulas u otra) y de la documentación que conserves. Para la latencia, la conexión desde Fráncfort es de baja latencia hacia la región, sin cifras medidas que podamos publicar.

Tres ejemplos

Errores frecuentes

• Asumir que alojar en la Unión Europea basta por sí solo: el artículo 33 pide una condición concreta y demostrable.
• Trabajar con el proveedor sin contrato escrito sobre el tratamiento de los datos (artículos 47 y 48 del decreto).
• No informar en el aviso de privacidad dónde se alojan los datos.
• Guardar datos que no necesitas o sin plazo de conservación.
• Esperar que el proveedor firme o certifique tu cumplimiento legal: corresponde a tu empresa y a tu asesor.

Cómo te ayuda 4hosting

Alojamos tu sitio en la Unión Europea con protección DDoS de capa 3 y 4 incluida, copia de seguridad diaria en cPanel, contrato de prelucrare de datos y migración gratuita. Si necesitas apoyo con endurecimiento de servidores o control de accesos, los servicios de DevOps y ciberseguridad se incluyen por horas en los planes que las contemplan. La facturación es en dólares (USD). 4hosting no certifica ni firma el cumplimiento legal de tu negocio.

Preguntas frecuentes

Ver también

• 4hosting en Panamá
• Contacto