Artículo 30 - Sobre Protección de Datos Personales

Artículo 31. Los responsables y/o custodios de base de datos que transfieran datos personales almacenados en bases de datos a terceros llevarán un registro de estas y deberán estar a disposición de la Autoridad Nacional de Transparencia y Acceso a la Información en caso de que esta lo requiera para cumplir con las facultades que le otorga esta Ley.En el registro al que se refiere el párrafo anterior constará, respecto de cada una de esas bases de datos, la identificación de estas y el responsable de estas, la naturaleza de los datos personales que contiene, el fundamento jurídico de su existencia, los procedimientos de obtención y tratamiento de los datos, el destino de los datos y las personas naturales o jurídicas a las que pueden ser transferidos, la descripción del universo de personas que comprende, las medidas de seguridad, los protocolos y la descripción técnica de la base de datos, la forma y condiciones en que las personas pueden recibir o acceder a los datos referidos a ellas, los procedimientos a realizar para la rectificación, la actualización de los datos, el tiempo de conservación de los datos y cualquier cambio de los elementos indicados, así como la identificación y periodo de todas las persona que han ingresado a los datos personales dentro de los quince días hábiles desde que se inicie dicha actividad.Solo pueden ser capturados para almacenamiento los datos obtenidos del documento de identidad personal que provea su titular.

Artículo 32. En una solicitud de transferencia de datos personales, mediante el uso de una red digital o de cualquier otro medio, deberá dejarse constancia de:1. la individualización del requirente.2. El motivo y el propósito del requerimiento.3. Los datos que se requiere que sean transferidos.4. La notificación a los titulares de los datos personales que integran el requerimiento, el motivo y el nuevo responsable de la información, salvo consentimiento previo por parte del titular.5. El tiempo máximo que el requirente utilizará los datos y la forma como serán destruidos una vez terminado su uso.Se exceptúan de estos requerimientos los procesos internos del responsable del tratamiento de los datos.

Artículo 33. Se entenderá que toda transferencia de datos personales es lícita si se cumple al menos una de las condiciones siguientes:1. Que cuente con el consentimiento del titular de los datos.2. Que el país u organismo internacional o supranacional receptor proporcione un nivel de protección equivalente o superior.3. Que se encuentre prevista en una ley o tratado en los que la República de Panamá sea parte.4. Que sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios.5. Que sea efectuada a cualquier sociedad del mismo grupo económico del responsable del tratamiento, siempre que los datos personales no sean utilizados para finalidades distintas a las que originaron su recolección.6. Que sea necesaria en virtud de un contrato celebrado o por celebrar en interés inequívoco del titular de los datos, por el responsable del tratamiento y un tercero.7. Que sea necesaria o legalmente exigida para la salvaguarda de un interés público o para la representación legal del titular de los datos personales o administración de justicia.8. Que sea necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, o en casos de colaboración judicial internacional.9. Que sea necesaria para el mantenimiento o cumplimiento de una relación jurídica entre el responsable del tratamiento y el titular de los datos.10. Que sea requerida para concretar transferencias bancarias o bursátiles, en lo relativo a las transacciones respectivas y conforme la legislación que les resulte aplicable.11. Que tenga por objeto la cooperación internacional entre organismos de inteligencia para la lucha contra el crimen organizado, el terrorismo, el lavado de activos, los delitos informáticos, la pornografía infantil y el narcotráfico.12. Que el responsable del tratamiento que transfiere los datos y el destinatario adopten mecanismos de autorregulación vinculante, siempre que estos sean acordes a las disposiciones previstas en esta Ley.13. Que se realice en el marco de cláusulas contractuales que contengan mecanismos de protección de los datos personales acordes con las disposiciones previstas en la presente Ley, siempre que el titular sea parte.En todos los casos, el responsable del tratamiento que transfiere los datos y el receptor de los datos personales serán responsables por la licitud del tratamiento de los datos transferidos.