Una pyme puede tratar datos de colaboradores en una hoja, un teléfono, una aplicación de turnos, un correo y un proveedor de planilla sin darse cuenta de que todos forman parte del mismo mapa. El riesgo no está solo en un ataque: también aparece cuando se pide información que no hace falta, se comparte con demasiadas personas o se conserva sin propósito.
En Panamá, la Ley 81 de 2019 y su reglamentación son el punto de partida para analizar el tratamiento de datos personales. Este artículo es una guía de gestión y no una opinión legal. Para tu caso, valida finalidades, bases, conservación, transferencias, derechos y medidas con ANTAI, la fuente oficial y asesoría especializada.
Haz un inventario del recorrido del dato
Dibuja qué datos recibes, de quién, por qué canal, dónde se guardan, quién los usa, con qué proveedores se comparten y cuándo se eliminan o archivan. Incluye datos de contratación, contacto, turnos, asistencia, desempeño, pagos, salud, dispositivos y emergencias solo si realmente aparecen en tu operación. Para cada uno escribe la finalidad concreta. «Por si acaso» no ayuda a decidir si la captura es pertinente.
Clasifica el riesgo y el acceso. Un teléfono de trabajo puede necesitarlo un supervisor; una información médica o una investigación requiere un circuito mucho más restringido. Define un registro fuente, evita duplicar archivos y anota qué ocurre cuando un dato cambia. El inventario debe poder actualizarse cuando incorporas una app o un proveedor, no ser un documento decorativo que se revisa una vez.
- Identificar finalidad, origen, ubicación, acceso, proveedor y conservación.
- Separar información operativa de salud, disciplinaria o de investigación.
- Registrar flujos entre sistemas y dispositivos personales autorizados.
Aplica minimización, transparencia y control
Antes de pedir un dato, pregunta si puedes lograr el objetivo con menos información. Si una sede necesita confirmar identidad, quizá no necesita una copia completa del documento en cada visita. Si un supervisor necesita organizar una ausencia, quizá no necesita conocer el diagnóstico. Explica al colaborador la finalidad en lenguaje sencillo, cómo ejercer sus derechos y qué hacer si el dato es incorrecto, siguiendo el marco panameño aplicable.
Los controles deben corresponder al riesgo: cuentas individuales, permisos por función, autenticación reforzada cuando sea posible, copias protegidas, dispositivos actualizados y registro de accesos. Revisa a los proveedores antes de darles información. Un contrato no reemplaza la supervisión; pregunta dónde procesan, cómo notifican incidentes, qué subcontratistas usan y cómo devuelven o eliminan los datos al finalizar.
- Mapear un flujo de datos de principio a fin con el equipo que lo usa.
- Eliminar campos innecesarios y separar los que tienen mayor sensibilidad.
- Definir permisos, proveedor, conservación y respuesta a solicitudes.
- Probar un incidente y una corrección sin enviar datos por chats.
Ejemplo hipotético: una empresa de servicios en campo
Ejemplo hipotético: Campo Claro pedía a cada técnico una foto de su documento, un teléfono personal y una constancia médica en un grupo de mensajería. La administradora no podía explicar quién descargaba las imágenes ni cuánto tiempo se conservaban. El equipo levantó el mapa, separó identidad de soporte médico y creó un canal restringido con acceso a dos responsables. El supervisor recibió únicamente la información de ruta necesaria.
Durante la prueba, un técnico pidió corregir su contacto y conocer el propósito de un dato. La empresa pudo responder porque el inventario tenía responsable y finalidad. También descubrió que un proveedor de nómina recibía una exportación completa cuando bastaba un conjunto más pequeño. Revisó la transferencia con asesoría y ajustó el flujo. El resultado no fue prometer privacidad perfecta, sino tener decisiones visibles y controles proporcionales.
Checklist de privacidad para una pyme panameña
Revisa el inventario cuando ingresa una persona, cambia un puesto, contratas un proveedor o incorporas una herramienta. Comprueba que las políticas coincidan con la práctica real; no sirve declarar acceso limitado si todos comparten una contraseña. Define cómo recibes solicitudes de acceso, corrección u oposición, y quién evalúa la respuesta. ANTAI publica preguntas frecuentes y referencias que ayudan a ubicar responsabilidades, pero el análisis final depende de tu tratamiento.
- ¿Puedo explicar la finalidad de cada dato que guardo?
- ¿Los accesos son individuales, necesarios y revisados?
- ¿La información sensible está separada del flujo operativo?
- ¿Conozco a mis proveedores, transferencias y subcontratistas?
- ¿Existe un canal para derechos, correcciones e incidentes?
PREGUNTAS FRECUENTES
Preguntas habituales
¿La Ley 81 aplica a los expedientes de colaboradores de una empresa privada?
La Ley 81 regula el tratamiento de datos personales por personas naturales y jurídicas públicas o privadas, con el alcance y excepciones que correspondan. Confirma el tratamiento concreto con la norma, ANTAI y asesoría legal en Panamá.
¿Qué hago si un supervisor pide más datos de los necesarios?
Pregunta por la finalidad, reduce el campo a la información operativa pertinente y dirige los datos sensibles al custodio autorizado. Actualiza la política y capacita al equipo para que la práctica sea consistente.
¿Una herramienta en la nube resuelve la privacidad por sí sola?
No. Debes evaluar configuración, permisos, proveedor, transferencias, conservación, recuperación e incidentes. La responsabilidad de la empresa no desaparece por contratar un servicio.
REFERENCIAS