Jurisdição · Panamá
O que a lei de proteção de dados pessoais do Panamá exige de uma empresa registrada lá, quem a aplica e onde seu alcance termina: na porta de cada datacenter.
Resposta rápida
O Panamá é uma boa jurisdição para uma empresa de hospedagem?
O Panamá é uma boa jurisdição para uma empresa de hospedagem, com um limite. A Lei 81 de 2019, em vigor desde 29 de março de 2021, estabelece um regime completo de proteção de dados pessoais aplicado pela autoridade ANTAI. Essa lei rege a empresa e seus registros de clientes. Cada servidor ainda segue a lei do país do seu datacenter. Ravenquay, uma empresa no Panamá, aluga servidores sem medição a partir de US$ 72,62 a cada 30 dias, sem KYC e com pagamento em cripto.
| Lei de proteção de dados pessoais | Lei 81 de 26 de março de 2019, sobre a proteção de dados pessoais (Diário Oficial 28743-A, 29 de março de 2019) |
|---|---|
| Em vigor desde | 29 de março de 2021, dois anos após a promulgação (Artigo 47) |
| Regras de implementação | Decreto Executivo 285, de 28 de maio de 2021 (Diário Oficial 29296-A) |
| Regulador | ANTAI, a Autoridade Nacional de Transparência e Acesso à Informação, por meio de sua Diretoria de Proteção de Dados Pessoais |
| Direitos de cada pessoa | Acesso, retificação, cancelamento, oposição e portabilidade (Artigo 15) |
| Multas | B/.1.000 a B/.10.000 (balboas), graduadas pela gravidade (Artigo 36) |
| Decisão de adequação da UE | Nenhuma: o Panamá não está na lista da Comissão Europeia |
| Lista de adequação suíça | Não consta no Anexo 1 da Portaria Suíça de Proteção de Dados |
| Empresa da Ravenquay | A Ravenquay pertence à DomaineGoat LLC, uma empresa constituída no Panamá que responde apenas à lei panamenha. O datacenter que abriga cada servidor opera sob a lei do seu próprio país |
A Lei 81, de 26 de março de 2019, se aplica a toda pessoa ou empresa que trata dados pessoais: pública ou privada, com ou sem fins lucrativos (Artigo 1). Foi publicada no Diário Oficial 28743-A em 29 de março de 2019. O Decreto Executivo 285, de 28 de maio de 2021, a regulamenta.
O tratamento precisa de um dos quatro fundamentos (Artigo 6): consentimento, um contrato com a pessoa, uma obrigação legal ou uma lei especial. O consentimento deve ser informado. Pode ser registrado de forma rastreável e revogado sem efeito retroativo. Os dados podem servir apenas às finalidades especificadas, explícitas e lícitas informadas na coleta (Artigo 11).
A equipe que lida com dados pessoais deve mantê-los em sigilo, e esse dever permanece após o fim do trabalho (Artigo 9). Uma regra chama atenção. Sete anos após o término do dever legal de manter um registro, a empresa não pode mais repassá-lo. Só o pedido expresso da pessoa remove essa restrição (Artigo 28).
O Artigo 5 cobre dois casos: bancos de dados localizados no Panamá e bancos de dados cujo controlador tem domicílio no Panamá. Protege tanto os dados de panamenhos quanto de estrangeiros. Uma empresa de hospedagem constituída no Panamá, portanto, mantém os registros de seus clientes sob a Lei 81, onde quer que seus clientes vivam.
O Artigo 3 deixa de fora uma lista curta de tratamentos:
A ANTAI, a Autoridade Nacional de Transparência e Acesso à Informação, a aplica por meio de sua Diretoria de Proteção de Dados Pessoais. Ela investiga denúncias e pode sancionar tanto a empresa responsável pelos dados quanto o custodiante do banco de dados (Artigo 36). Um Conselho consultivo de Proteção de Dados Pessoais, presidido pelo Ministro do Comércio e da Indústria, recomenda políticas (Artigos 34 e 35).
As multas vão de B/.1.000 a B/.10.000, definidas pela ANTAI conforme a gravidade (Artigo 36). Para infrações muito graves, a ANTAI pode encerrar os registros de um banco de dados ou suspender o tratamento, temporária ou permanentemente (Artigo 43). A mesma infração repetida em até três anos conta como reincidência.
Segundo a ANTAI, a pessoa pode reclamar online, por email ou no escritório da ANTAI, sem advogado. A empresa tem 10 dias úteis para responder a um pedido de acesso e 5 para corrigir dados errados.
As multas do Panamá são pequenas diante do teto do GDPR de EUR 20 milhões, mas seu regulador pode interromper o próprio tratamento.
Sim, sob condições. As transferências a terceiros exigem o consentimento prévio, informado e inequívoco da pessoa, salvo se a lei prever uma exceção (Artigo 25).
Dados confidenciais, sensíveis ou restritos armazenados no Panamá podem ser tratados além-fronteiras. O custodiante deve atender aos padrões da Lei 81, ou a padrões iguais ou mais elevados (Artigo 5). O mesmo artigo isenta quatro casos. São eles: consentimento, um contrato com a pessoa ou em favor dela, transferências bancárias e de títulos, e tratados ratificados pelo Panamá.
O mandato da ANTAI inclui adotar cláusulas contratuais-modelo que tornem uma transferência lícita nos termos do Artigo 33 da Lei. Seja qual for o caminho, o custodiante deve aplicar padrões de segurança e medidas técnicas que mantenham os dados protegidos (Artigo 5).
Não. Um servidor responde à lei do país onde está instalado. A Ravenquay pertence à DomaineGoat LLC, uma empresa constituída no Panamá que responde apenas à lei panamenha. O datacenter que abriga cada servidor opera sob a lei do seu próprio país.
A Ravenquay contou onde 34 provedores de servidores dedicados vendiam servidores em 30 October 2026: 19 nos Países Baixos e 10 na Suíça. Apenas 9 vendiam na Romênia e 7 na Islândia. Cada país tem sua própria lei de proteção de dados:
| Porto de escala | Situação | Lei de proteção de dados no datacenter |
|---|---|---|
| Reykjavik, Islândia | Estado do EEE, não membro da UE | O GDPR, aplicado pela Lei nº 90/2018 |
| Zurique, Suíça | Fora da UE e do EEE | Lei Federal de Proteção de Dados (FADP), em vigor desde 1º de setembro de 2023 |
| Bucareste, Romênia | Membro da UE desde 1º de janeiro de 2007 | O GDPR, com a Lei 190/2018 da Romênia |
| Amsterdã, Holanda | Membro da UE desde 1º de janeiro de 1958 | O GDPR |
Seu próprio negócio também mantém seus próprios deveres. O GDPR alcança uma empresa fora da UE quando ela oferece bens ou serviços a pessoas na UE (Artigo 3(2)). A FADP suíça cobre circunstâncias que tenham efeito na Suíça, mesmo quando começam no exterior (Artigo 3).
Um registro no Panamá decide qual lei rege a empresa. Não decide qual lei rege a máquina nem o seu negócio.
As páginas de cada país explicam cada regime: Islândia como local de hospedagem, Suíça para hospedagem com privacidade e Romênia como local de hospedagem.
Não. O Panamá não está entre os países que a Comissão Europeia reconhece como oferecendo proteção adequada. Também não consta no Anexo 1 da Portaria Suíça de Proteção de Dados.
Isso importa quando os próprios dados pessoais vão para uma empresa no Panamá, como registros de clientes enviados a um provedor de lá. Sem uma decisão de adequação, o Artigo 46 do GDPR exige salvaguardas apropriadas, como cláusulas-padrão de proteção de dados. A lei suíça funciona do mesmo jeito. O Artigo 16 da FADP lista tratados, cláusulas aprovadas e normas corporativas vinculantes, e o Artigo 17 acrescenta exceções como o consentimento explícito.
Dados em um servidor em Zurique, Reykjavik, Bucareste ou Amsterdã permanecem nesse país. O que cruza para o Panamá é o registro de cobrança e de conta descrito abaixo. O que você lê aqui é informação geral sobre a lei, não orientação jurídica.
Muito pouco. Sem logs: nem registros de conexão nem de tráfego, nenhum endereço IP de visitante ou cliente, e nenhum rastro de como você encontrou o site, exceto um código de indicação se o seu link tiver um. Guardamos apenas o que é necessário para cobrar e operar o seu servidor: o número da conta e um email, se você adicionar um; cada recarga e pedido (valor, moeda, rede, ID da transação, data); e, por servidor, o nome, o plano, o prazo, a localização, o sistema, a chave pública SSH, os endereços IP e as datas, além da senha root temporária que definimos quando você não forneceu uma chave, que deixa de abrir o servidor assim que você a altera. Não temos controle sobre os equipamentos de rede do datacenter. Só entregamos registros quando um tribunal panamenho ordena.
Sem KYC: sem documento de identidade, sem selfie, sem documentos, sem cartão e sem número de telefone, nunca. O Artigo 5 traz esse pequeno registro para o âmbito da Lei 81. O Artigo 15 confere a cada cliente os direitos de acesso, retificação, cancelamento, oposição e portabilidade sobre ele.
O que a polícia estrangeira pode e não pode obter de um servidor no exterior está em a polícia pode apreender meu servidor em outro país. Os deveres de retenção por país são comparados em quais países europeus ainda têm leis de retenção de dados.
Harbor 8 $72.62, Harbor 16 $205.27, Harbor 10G $356.25, cada um por 30 dias. Reykjavik (Islândia), Zurich (Suíça), Bucharest (Romênia) e Amsterdam (Países Baixos): cada vaga em cada porto de escala, por um único preço. Não há taxa de configuração: você paga o preço do período escolhido, tanto ao fazer o pedido quanto ao renovar.
Você paga em BTC, USDT, USDC, ETH, SOL, LTC, XMR, a partir de uma recarga de US$ 1. Cada vaga, prazo e desconto está listado em quanto custa um servidor Ravenquay.
Melhor custo-benefício
8 núcleos · 1 Gbit/s sem medição
US$ 72,62
3 months US$ 196,07 (−10%)6 months US$ 348,57 (−20%)1 year US$ 610 (−30%)
16 núcleos · 1 Gbit/s sem medição
US$ 205,27
3 months US$ 554,22 (−10%)6 months US$ 985,29 (−20%)1 year US$ 1.724,26 (−30%)
24 núcleos · 10 Gbit/s sem medição
US$ 356,25
3 months US$ 961,87 (−10%)6 months US$ 1.710 (−20%)1 year US$ 2.992,50 (−30%)
Em todos os planos: Porta sem limite · Saídas Tor permitidas · RAID 1 · IPv4 dedicado · Sem logs · Sem KYC
Sim. A Lei 81 de 2019 entrou em vigor em 29 de março de 2021, dois anos após a promulgação. O Decreto Executivo 285, de 28 de maio de 2021, estabelece suas regras de implementação, e a ANTAI aplica ambos.
Sim. A Direção de Proteção de Dados Pessoais da ANTAI recebe denúncias, investiga e aplica sanções. Um Conselho consultivo de Proteção de Dados Pessoais, presidido pelo Ministro do Comércio e da Indústria, recomenda políticas e regulamentos.
Pode se aplicar. O Artigo 3(2) do GDPR abrange empresas fora da UE que oferecem bens ou serviços a pessoas na UE. A aplicação depende dos fatos de cada caso.
Sim. Sem KYC: sem documento de identidade, sem selfie, sem documentos, sem cartão e sem número de telefone, nunca. Só o número da conta é necessário para entrar; o email é opcional.
Reykjavik (Islândia), Zurich (Suíça), Bucharest (Romênia) e Amsterdam (Países Baixos): cada vaga em cada porto de escala, por um único preço. Cada servidor segue a lei de proteção de dados do seu próprio país, não a do Panamá.
Uma empresa panamenha, servidores em quatro países
Escolha a lei sob a qual seus dados ficam: Islândia, Suíça, Romênia ou Países Baixos. A partir de US$ 72,62 por 30 dias. Sem KYC, pagamento em cripto.
Tráfego ilimitado a partir de $72.62/30 dias · sem KYC
Reservar uma vaga