Cobranza y datos personales en México: qué puedes hacer con la información de quien te debe
· 9 min de lectura · actualizado el 14 de septiembre de 2026
Para cobrarle a tu propio cliente no necesitas pedirle permiso. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, dice en su artículo 9 fracción IV que no hace falta el consentimiento cuando los datos se requieren para ejercer un derecho o cumplir obligaciones derivadas de una relación jurídica entre la persona titular y el responsable. Cobrar lo que se debe por un servicio que prestaste es exactamente eso. Lo que la ley sí te pide es un aviso de privacidad que diga que vas a usar esos datos para cobrar, y que el adeudo no se lo cuentes a nadie más.
Por eso la falta más común no es la del permiso. Es la del destinatario. El mensaje que le llega al aval, a la referencia o al grupo de vecinos es el que abre la queja.
Qué ley te aplica hoy
La ley vigente es nueva, y casi todo lo publicado en español todavía cita la anterior. La ley de 2025 abrogó la Ley Federal de Protección de Datos Personales en Posesión de los Particulares del 5 de julio de 2010, según su artículo transitorio Segundo, y tuvo una reforma publicada el 14 de noviembre de 2025. Alcanza a cualquier persona física o moral de carácter privado que trate datos personales, sin importar el giro. Un colegio entra igual que una financiera.
Cambió la ventanilla
Cambió también la ventanilla. La autoridad ya no es el INAI: el artículo 2 fracción XV define a la Secretaría como la Secretaría Anticorrupción y Buen Gobierno, y el artículo 59 le da la facultad de sancionar. Quién te obliga según el tipo de cobro está desglosado en es legal cobrar por WhatsApp en México.
El aviso de privacidad, con lo que la ley pide adentro
El aviso de privacidad es el documento que legitima todo lo demás. El artículo 14 obliga a informar las características principales del tratamiento, y el artículo 15 fija lo que el aviso debe contener al menos.
- La identidad y el domicilio de quien trata los datos.
- Qué datos se tratan, identificando cuáles son sensibles.
- Para qué se tratan, distinguiendo las finalidades que sí requieren consentimiento.
- Las opciones y medios para limitar el uso o la divulgación de los datos.
- Los mecanismos y procedimientos para ejercer los derechos ARCO.
- Cómo se van a comunicar los cambios al propio aviso.
Dos precisiones que se pasan por alto
Dos precisiones que se pasan por alto. La primera es que la cobranza tiene que estar escrita como finalidad: si tu aviso sólo habla de prestar el servicio, el recordatorio queda fuera de lo que informaste. La segunda es el artículo 16 fracción II: cuando los datos se recaban por medio electrónico basta el aviso simplificado, con las primeras cuatro fracciones y el sitio donde se consulta el integral. El formulario de inscripción en línea entra ahí.
El adeudo es dato patrimonial, y aun así no pides permiso
Aquí se atora mucha gente, con razón. El artículo 7 dice que los datos financieros o patrimoniales requieren el consentimiento expreso de la persona titular, y un saldo pendiente es un dato patrimonial. La frase siguiente lo resuelve: salvo las excepciones a que se refieren los artículos 9 y 36. La fracción IV del artículo 9 es la de la relación jurídica entre tu cliente y tú.
La excepción no te libra de informar
O sea que la excepción no te libra de informar, te libra de pedir firma. El aviso de privacidad sigue siendo obligatorio aunque el tratamiento no necesite consentimiento, y el artículo 58 fracción V trata como infracción omitir alguno de los elementos del artículo 15.
Los cinco movimientos donde se decide todo
| Lo que haces | Qué dice la ley | Qué te toca |
|---|---|---|
| Le mandas el recordatorio a tu cliente | No requiere consentimiento, artículo 9 fracción IV | Que la cobranza esté escrita como finalidad en tu aviso |
| Le escribes al aval o a la referencia | Es una transferencia a un tercero, artículo 35 | Comunicarle el aviso de privacidad y no mencionar el adeudo |
| Le pasas la lista a un despacho | Artículos 13 y 35, y sigues siendo la responsable | Contrato por escrito, aviso comunicado y devolución de la cartera |
| Usas la lista de cobranza para una promoción | Finalidad distinta, artículo 11 | Volver a pedir el consentimiento, ahora sí |
| El cliente te pide que borres sus datos | Artículo 25 fracciones I y VI | Puedes negarte con motivo, por escrito y en el plazo |
Contarle el adeudo a un tercero
El saldo de una persona es su dato. Decírselo a alguien más es una transferencia, y el artículo 35 exige comunicarle a ese tercero el aviso de privacidad y las finalidades a las que el titular sujetó el tratamiento. Ese tercero además asume las mismas obligaciones que tú. Nadie hace ese trámite antes de mandarle un WhatsApp a la hermana del cliente. Sin él, ese mensaje ya está fuera de la regla.
Si otorgas crédito, la prohibición es directa
Si otorgas crédito hay una prohibición todavía más directa. El Acuerdo A/002/2015 de la Procuraduría Federal del Consumidor, publicado el 1 de septiembre de 2015, prohíbe en su artículo 5 fracción III enviar comunicaciones a terceros donde se dé a conocer el incumplimiento. La lista completa de conductas está en prácticas prohibidas de cobranza en México.
La regla práctica
La regla práctica es corta. A un tercero se le puede pedir un recado, nunca un cobro. Sirve decir quién eres y pedir que te devuelvan el contacto. No sirve decir que debe. Tampoco cuánto. Qué hacer cuando nadie responde está en qué hacer cuando el cliente no contesta.
Los setenta y dos meses del artículo 10
Este dato casi no circula y cambia cómo se guarda una cartera. El artículo 10 obliga a eliminar los datos relativos al incumplimiento de obligaciones contractuales una vez que transcurren setenta y dos meses, contados desde la fecha en que se presentó el incumplimiento. Son seis años. La lista de morosos que se arrastra desde que abrió el negocio no se sostiene, y tampoco el archivo de bajas que nadie volvió a abrir.
Exactos y actualizados
El mismo artículo pide además que los datos estén exactos y actualizados para el fin con que se recabaron. Un teléfono que ya es de otra persona no es un descuido operativo, es un dato inexacto en manos tuyas.
Cuando el cliente ejerce sus derechos
Los derechos ARCO son cuatro y se pueden ejercer en cualquier momento, según el artículo 27. Acceso a lo que tienes de él, rectificación de lo que está mal, cancelación de lo que ya no debes guardar y oposición al tratamiento. El artículo 29 pide que designes a una persona o un área que reciba esas solicitudes.
Los plazos del artículo 31
Los plazos están en el artículo 31. Tienes veinte días para comunicar la determinación y quince días más para hacerla efectiva si procede, y el plazo se puede ampliar una sola vez por un periodo igual cuando las circunstancias lo justifiquen. El ejercicio es gratuito por el artículo 34, y sólo puedes cobrar los costos de reproducción o envío.
Cuándo puedes negar una cancelación
La cancelación tiene excepciones que a quien cobra le conviene conocer. El artículo 25 permite negarla cuando los datos se refieren a las partes de un contrato y son necesarios para su cumplimiento, o para cumplir una obligación que la propia persona adquirió. Un cliente con saldo abierto no puede borrar su adeudo pidiendo la cancelación. Negarse se puede, con motivo escrito, dentro del plazo y por el medio en que llegó la solicitud.
El derecho nuevo sobre decisiones automatizadas
Hay un derecho nuevo que toca a cualquiera que ordene su cartera con reglas automáticas. El artículo 26 fracción II permite oponerse al tratamiento automatizado que produzca efectos jurídicos no deseados o afecte de manera significativa los intereses de la persona, cuando esté destinado a evaluar sin intervención humana aspectos como su situación económica o su fiabilidad. Priorizar a quién contactar primero no es evaluar a nadie. Asignarle una calificación de riesgo sin que la vea una persona sí se le parece.
Qué pasa si no lo haces
El artículo 58 lista las infracciones y el 59 las multas, medidas en veces la Unidad de Medida y Actualización. Van de 100 a 160,000 UMA para el bloque que incluye omitir elementos del aviso de privacidad, y de 200 a 320,000 UMA para el que incluye transferir datos sin comunicarle el aviso al tercero. En datos sensibles pueden incrementarse hasta por dos veces.
El riesgo real no es la multa
Para la mayoría de las organizaciones que cobran una mensualidad el riesgo real no es la multa. Es la queja y el cliente que se va porque su vecino se enteró de que debe.
Lo mínimo que se ordena esta semana
- Abre tu aviso de privacidad y busca la palabra cobranza. Si no está, agrégala como finalidad y publica la versión nueva.
- Revisa qué dice tu primer mensaje de cobro. El nombre de quien escribe tiene que estar en el primer renglón, porque el principio de información se rompe cuando la persona no sabe quién le habla.
- Saca del flujo a los terceros. Avales y referencias salen de la lista de envío automático y pasan a un guion sin monto.
- Ponle fecha a lo viejo. Marca los incumplimientos que van a cumplir setenta y dos meses y programa su borrado.
- Escribe a dónde llegan las solicitudes ARCO. Un correo y una persona responsable bastan para empezar, y el plazo de veinte días corre desde que entra la solicitud.
Dónde entra Makatea
Makatea manda el aviso al titular del adeudo y a nadie más, guarda el acuse de cada envío y deja el historial de lo que se le dijo a cada cliente y cuándo. Ese registro es lo que necesitas para responder una solicitud de acceso sin buscar en tres teléfonos, y para demostrar que el mensaje salió al número que tu cliente te dio.
Makatea recuerda, registra y comunica. No mueve dinero, no resguarda fondos, no califica crédito y no vende datos. Cómo se guarda la información está en seguridad.
Preguntas frecuentes
¿Necesito el consentimiento de mi cliente para cobrarle?
No. El artículo 9 fracción IV de la ley de 2025 exceptúa el tratamiento que se requiere para ejercer un derecho derivado de la relación jurídica entre tu cliente y tú. Lo que sí necesitas es el aviso de privacidad, con la cobranza escrita como finalidad.
¿Puedo escribirle al aval o a un familiar de quien me debe?
Puedes pedir un recado, no cobrar. Decirle a un tercero que alguien debe es una transferencia de datos y el artículo 35 exige comunicarle el aviso de privacidad. Si otorgas crédito, el Acuerdo A/002/2015 de Profeco lo prohíbe de forma expresa en su artículo 5 fracción III.
¿Tengo que borrar los datos si el cliente me lo pide?
No siempre. El artículo 25 permite negar la cancelación cuando los datos se refieren a las partes de un contrato y son necesarios para su cumplimiento, o para cumplir una obligación que la persona adquirió. La negativa se comunica con motivo y dentro del plazo.
¿Cuánto tiempo puedo conservar el registro de un incumplimiento?
Setenta y dos meses. El artículo 10 obliga a eliminar los datos relativos al incumplimiento de obligaciones contractuales una vez que transcurre ese plazo, contado desde la fecha en que se presentó el incumplimiento.
¿En cuánto tiempo tengo que responder una solicitud de acceso?
Veinte días para comunicar la determinación y quince más para hacerla efectiva, según el artículo 31. El plazo se puede ampliar una sola vez por un periodo igual si las circunstancias lo justifican, y el trámite es gratuito.
¿Quién vigila esto ahora que no está el INAI?
La Secretaría Anticorrupción y Buen Gobierno. La ley la define así en su artículo 2 fracción XV y el artículo 59 le da la facultad de sancionar las infracciones.
¿Qué le pido a una plataforma en materia de datos personales?
Registro de quién tocó qué y cuándo, borrado a solicitud y contrato de encargado. Moonflow, Colektia y Debitia operan en varios países, así que conviene preguntar dónde guardan los datos. Makatea opera en México, Colombia, Ecuador, Perú y Brasil, y deja el registro de cada movimiento. Del lado del precio: Recaudo publica 499, 1,499 y 4,999 pesos al mes más comisión por transacción, y Savio publica comisiones de 3.6% a 3.2% más 3 pesos por tarjeta. Makatea cobra 119, 219 o 349 dólares al mes y ninguna comisión. Verificado el 14 de septiembre de 2026.
Tu cobranza recurrente en automático
Makatea manda los recordatorios por WhatsApp y correo. Registra cada pago y te dice a quién seguir primero.
¿Necesitas el texto para hoy? Mensajes de cobro listos para copiar
“Cada cliente ya tiene su fecha y el mensaje sale solo, por WhatsApp o por correo.”
Sigue leyendo
¿Es legal cobrar por WhatsApp en México en 2026? Qué norma aplica según quién cobra
El horario que todo el mundo repite tiene nombre de norma, año y destinatario. Revisa si eres su destinatario.
¿Qué está prohibido al cobrar una deuda en México? Qué prohíbe cada norma y a quién obliga
La lista que circula en español quedó derogada el 1 de enero de 2023. La vigente tiene veintidós conductas y ocho son omisiones.