Le Panama est-il une bonne juridiction pour une société d'hébergement ?

Que exige la loi panaméenne sur les données personnelles d'une entreprise ?

La loi 81 du 26 mars 2019 s'applique à toute personne ou entreprise qui traite des données personnelles : publique ou privée, à but lucratif ou non (article 1). Elle a été publiée au Journal officiel 28743-A le 29 mars 2019. Le décret exécutif 285 du 28 mai 2021 en fixe les modalités d'application.

Le traitement nécessite l'un de quatre fondements (article 6) : le consentement, un contrat avec la personne, une obligation légale ou une loi spéciale. Le consentement doit être éclairé. Il peut être enregistré sous une forme traçable et retiré sans effet rétroactif. Les données ne peuvent servir qu'aux finalités déterminées, explicites et licites indiquées lors de la collecte (article 11).

Le personnel qui traite des données personnelles doit en préserver la confidentialité, et cette obligation survit à la fin de ses fonctions (article 9). Une règle se démarque. Sept ans après la fin de l'obligation légale de conserver un enregistrement, l'entreprise ne peut plus le transmettre. Seule une demande expresse de la personne lève cette interdiction (article 28).

Quelles bases de données relèvent de la loi 81 ?

L'article 5 couvre deux cas : les bases de données situées au Panama, et les bases de données dont le responsable est domicilié au Panama. Elle protège les données des Panaméens comme des étrangers. Une société d'hébergement constituée au Panama détient donc les données de ses clients sous la loi 81, où que vivent ses clients.

L'article 3 exclut une courte liste de traitements :

• un usage purement personnel ou domestique ;
• la prévention, l'enquête et la poursuite des infractions par les autorités compétentes ;
• le renseignement financier et la sécurité nationale, selon les lois et traités en la matière ;
• les organismes internationaux agissant en vertu de traités ratifiés par le Panama ;
• les données anonymisées de sorte qu'elles ne puissent plus être reliées à une personne.

Qui fait appliquer la loi panaméenne sur les données, et quelles sont les sanctions ?

L'ANTAI, l'Autorité nationale pour la transparence et l'accès à l'information, la fait appliquer par le biais de sa Direction de la protection des données personnelles. Elle enquête sur les plaintes et peut sanctionner à la fois l'entreprise responsable des données et le dépositaire de la base de données (article 36). Un Conseil consultatif pour la protection des données personnelles, présidé par le ministre du Commerce et de l'Industrie, recommande les orientations (articles 34 et 35).

Les amendes vont de B/.1 000 à B/.10 000, fixées par l'ANTAI selon la gravité (article 36). Pour les infractions très graves, l'ANTAI peut clore les enregistrements d'une base de données ou suspendre le traitement, temporairement ou définitivement (article 43). La même infraction répétée dans les trois ans compte comme une récidive.

Une personne peut porter plainte en ligne, par email ou au bureau de l'ANTAI, sans avocat, selon l'ANTAI. Une entreprise dispose de 10 jours ouvrables pour répondre à une demande d'accès et de 5 pour corriger des données erronées.

Les amendes du Panama sont faibles face au plafond du GDPR de 20 millions d'EUR, mais son régulateur peut arrêter le traitement lui-même.

Les données personnelles peuvent-elles quitter le Panama pour des serveurs à l'étranger ?

Oui, sous conditions. Les transferts à un tiers exigent le consentement préalable, éclairé et non équivoque de la personne, sauf si la loi prévoit une exception (article 25).

Les données confidentielles, sensibles ou à accès restreint stockées au Panama peuvent être traitées au-delà des frontières. Le dépositaire doit respecter les normes de la loi 81, ou des normes égales ou supérieures (article 5). Le même article exempte quatre cas. Ce sont le consentement, un contrat avec la personne ou pour elle, les transferts bancaires et de titres, et les traités ratifiés par le Panama.

Le mandat de l'ANTAI inclut l'adoption de clauses contractuelles types qui rendent un transfert licite au titre de l'article 33 de la loi. Quelle que soit la voie choisie, le dépositaire doit appliquer des normes de sécurité et des mesures techniques qui maintiennent la protection des données (article 5).

Une société panaméenne place-t-elle mon serveur sous la loi panaméenne ?

Non. Un serveur répond à la loi du pays où il se trouve. Ravenquay appartient à DomaineGoat LLC, une société constituée au Panama qui ne répond que du droit panaméen. Le datacenter qui héberge chaque serveur fonctionne selon la loi de son propre pays.

Ravenquay a compté où les 34 hébergeurs de serveurs dédiés vendaient des serveurs sur 30 October 2026 : 19 aux Pays-Bas et 10 en Suisse. Seuls 9 vendaient en Roumanie et 7 en Islande. Chaque pays a sa propre loi sur la protection des données :

Le Panama figure-t-il sur la liste UE ou suisse des pays adéquats ?

Non. Le Panama ne fait pas partie des pays que la Commission européenne reconnaît comme offrant une protection adéquate. Il ne figure pas non plus à l'annexe 1 de l'ordonnance suisse sur la protection des données.

Cela compte lorsque des données personnelles elles-mêmes parviennent à une société au Panama, par exemple des dossiers clients envoyés à un prestataire sur place. Sans décision d'adéquation, l'article 46 du GDPR exige des garanties appropriées, comme les clauses contractuelles types de protection des données. La loi suisse fonctionne de la même manière. L'article 16 de la LPD liste les traités, les clauses approuvées et les règles d'entreprise contraignantes, et l'article 17 ajoute des exceptions comme le consentement explicite.

Les données sur un serveur à Zurich, Reykjavik, Bucarest ou Amsterdam restent dans ce pays. Ce qui traverse vers le Panama, c'est le dossier de facturation et de compte décrit ci-dessous. Ce que vous lisez ici est une information générale sur la loi, pas un conseil juridique.

Que conserve Ravenquay sur ses clients ?

Très peu. Aucun journal : ni historique de connexion, ni historique de trafic, aucune adresse IP de visiteur ou de client, et aucune trace de la façon dont vous avez trouvé le site, hormis un code de parrainage si votre lien en contenait un. Nous ne gardons que ce qui est nécessaire à la facturation et au fonctionnement de votre serveur : le numéro de compte et un email si vous en ajoutez un ; chaque rechargement et chaque commande (montant, crypto, réseau, ID de transaction, date) ; et, pour chaque serveur, son nom, son offre, sa durée, sa localisation, son système, sa clé publique SSH, ses adresses IP et ses dates, ainsi que le mot de passe root temporaire que nous définissons lorsque vous n’avez fourni aucune clé, qui ne permet plus d’ouvrir le serveur dès que vous le changez. Nous n’avons aucune maîtrise sur l’équipement réseau du datacenter. Nous ne transmettons des données que sur ordre d’un tribunal panaméen.

Sans KYC : jamais de pièce d’identité, de selfie, de document, de carte bancaire ni de numéro de téléphone. L'article 5 place ce petit dossier sous la loi 81. L'article 15 donne à chaque client les droits d'accès, de rectification, d'annulation, d'opposition et de portabilité sur celui-ci.

Ce que la police étrangère peut et ne peut pas obtenir d'un serveur à l'étranger est traité sur la police peut-elle saisir mon serveur dans un autre pays. Les obligations de conservation par pays sont comparées sur quels pays européens ont encore des lois de conservation des données.

Combien coûte un serveur Ravenquay ?

Harbor 8 72,62 $, Harbor 16 205,27 $, Harbor 10G 356,25 $, chacun pour 30 jours. Reykjavik (Islande), Zurich (Suisse), Bucarest (Roumanie) et Amsterdam (Pays-Bas) : chaque poste dans chaque port d’escale, à un seul prix. Il n'y a pas de frais d'installation : vous payez le prix de la durée choisie, à la commande comme au renouvellement.

Vous payez en BTC, USDT, USDC, ETH, SOL, LTC, XMR, à partir d'une recharge de 1 $US. Chaque emplacement, chaque durée et chaque remise sont listés sur combien coûte un serveur Ravenquay.