Desafortunadamente en los últimos años han aumentado el número de quejas en contra de los despachos de cobranza porque estos practican tácticas intimidatorias o de molestia a personas que no son los deudores. Dentro de estas querellas se suman las involucradas al tema de protección de datos personales, al infringirse sus principios rectores, como lo son el de calidad (los datos poseídos por los despachos no son exactos) y el de información (las personas contactadas no conocen la identidad de quien gestiona la cobranza).
Con base en las problemáticas señaladas, el Instituto Federal de Acceso a la Información y Protección de Datos (IFAI) junto con la Comisión Nacional para la Defensa de los Usuarios de las Instituciones Financieras (CONDUSEF) emitieron la “Guía para orientar el debido tratamiento de los datos personales en la cobranza extrajudicial”, para procurar que esas gestiones se hagan de acuerdo con los principios, deberes y derechos que garanticen una adecuada protección de datos personales.
Al respecto, se define como cobranza extrajudicial a la actividad realizada por una entidad financiera directamente o a través de un despacho de cobranza, a fin de requerir el pago de las obligaciones contraídas por el deudor, o para negociar o reestructurar los créditos, préstamos o financiamientos, y por despacho de cobranza se tendrá al despacho externo, incluyendo a terceros o representantes, que lleven a cabo la cobranza, negociación o restructuración de los créditos, préstamos o financiamientos, y que actúa como intermediario entre las entidades financieras y comerciales y el deudor.
Por tal motivo, se destacarán los tópicos fundamentales contenidos en esa guía, mismos que deberán ser seguidos puntualmente por quienes desarrollen tareas de cobranza, ya sean las instituciones financieras o los despachos contratados por estas, so pena de infringir la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), y por ende, ser objeto de sanciones.
Principios
El artículo 6o de la LFPDPPP prescribe que todo responsable de datos personales, entendido como todo aquel que realice su tratamiento, acatará los principios de:
- licitud
- consentimiento
- información
- calidad
- finalidad
- lealtad
- proporcionalidad
- responsabilidad
Lo importante de estos principios es que se traducen en obligaciones concretas para los responsables.
Licitud
Está previsto en el artículo 7o, primer párrafo de la LFPDPPP, y predica que los datos personales serán recabados y tratados de manera lícita en términos de la legislación mexicana, y en su caso, las normas internacionales.
Por eso será imperioso que al momento de realizar cobranzas extrajudiciales se traten los datos personales de los deudores conforme a las prácticas adecuadas, condiciones y obligaciones provenientes de la LFPDPPP, su Reglamento (RLFPDPPP), y los Lineamientos del Aviso de Privacidad.
Lealtad
Está inmerso en el segundo párrafo del artículo 7o de la LFPDPPP, e implica el compromiso de tratar los datos personales privilegiando la protección de los intereses de su titular y la expectativa razonable de privacidad, es decir, la confianza que deposita cualquier persona en otra, respecto de que estos serán usados de acuerdo con lo acordado entre las partes y observando la normatividad.
Así, deviene la obligación de no utilizar medios engañosos o fraudulentos para recabar y tratar datos personales, es decir, que:
- exista dolo, mala fe o negligencia de la información que se presente al titular sobre el cuidado de sus datos
- se vulnere la expectativa razonable de privacidad (confianza depositada por el titular en el responsable)
- las finalidades no se informen en el aviso de privacidad, o en su defecto, el tratamiento no se ajuste a ellas
A razón de cuidar el nombrado principio, el IFAI recomienda que en la cobranza extrajudicial se observe lo siguiente: - no utilizar identidades falsas con la finalidad de obtener datos personales de los deudores
- emplear medios que estén permitidos por la ley para obtener los datos personales
- proteger la privacidad de los deudores, asegurándose que la persona con la que se está tratando es el deudor. Esto se hará cada vez que se pongan en contacto, antes de divulgar cualquier información acerca de la deuda, el proceso para su recuperación o cualquier otro dato personal
- no difundir o comunicar datos personales a terceros no autorizados por el titular, por ejemplo mediante carteles u otros documentos colocados en el exterior del domicilio del deudor, pues con ello se estaría violando la normatividad y la expectativa razonable de privacidad del deudor
Información
Se encuentra regulado del artículo 15 al 18 de la LFPDPPP, y obliga al responsable a comunicar al titular qué datos personales recabará y las características del tratamiento al que se someterán. Para lograr tal finalidad, la ley prevé que se realizará con la exhibición del aviso de privacidad (documento físico, electrónico o en cualquier otro formato).
Así, todo responsable estará obligado a elaborar y poner a disposición su aviso de privacidad, con el objeto de establecer y delimitar el alcance, términos y condiciones a que sujetará el tratamiento de los datos personales, y con esto el titular, en el ejercicio de su derecho a la autodeterminación informativa, tome decisiones conscientes en relación con su información, y además, mantenga el control y disposición sobre la misma.
La oportunidad en la que se pondrá a disposición el aviso de privacidad dependerá tanto de la forma en que se obtengan los datos personales, como de si se allegaron de ellos de forma directa o indirecta.
Si se obtuvieron (arts. 17 y 18, LFPDPPP):
- de forma personal del titular, el aviso de privacidad será facilitado en el momento en que se recabaron los datos de forma clara y fehaciente, mediante los formatos por los que se consiguen, salvo que se hubiese facilitado con anterioridad
- directamente del titular por cualquier medio electrónico, óptico, sonoro, visual u otra tecnología, el responsable proporcionará al titular de manera inmediata, al menos la información referente a su identidad y domicilio, así como la finalidad del tratamiento; de igual modo le comunicará los mecanismos para acceder al texto completo del mencionado aviso
- de forma indirecta del titular, y si el tratamiento (art. 29, RLFPDPPP):
- involucra el contacto directo con este, el citado aviso se proporcionará al primer contacto que se tenga
- no requiere ese contacto, se exhibirá el referido aviso de forma previa al uso de los datos personales
Elementos
En la elaboración del aviso se incluirá, como mínimo (art. 16, LFPDPP):
- la identidad y domicilio del responsable
- cuál es la finalidad del tratamiento
- las opciones y medios que el responsable ofrezca para limitar el uso o divulgación
- los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición (ARCO)
- de existir, las reglas a que se sujetarán las transferencias de datos
- el procedimiento y medio por el cual el responsable comunicará a los titulares de cambios al aviso
- Entonces, para cuidar con diligencia el principio de información es menester que:
- la institución de crédito dé a conocer al titular el aviso de privacidad, previo a la obtención de los datos personales para el otorgamiento del crédito, préstamo o financiamiento, por ser la responsable. Dentro de dicho documento se señalará como finalidad del tratamiento, lo relativo a la actividad de cobranza
- el responsable no estará obligado a exhibir el aviso de privacidad al titular en cada ocasión que lo contacte para la actividad de cobranza, si previamente lo hizo de su conocimiento. Sin embargo, se sugiere que en cada momento en que se vuelva a tener comunicación con el deudor, se le avise dónde puede consultar ese documento, o en su defecto, antes de iniciar la cobranza se ponga a su disposición un aviso de privacidad que responda únicamente a esa finalidad
- los despachos de cobranza que adquieran una cartera vencida, y por ende, se conviertan en responsables del tratamiento, darán a conocer su aviso de privacidad en el primer contacto con los deudores
Asimismo, con base en las buenas prácticas se expresan las siguientes recomendaciones:
- al realizar la primera comunicación para la cobranza extrajudicial, corroborar la identidad del deudor (titular de los datos personales), informar la identidad de quien se está poniendo en contacto y señalar la información del despacho de cobranza y de la entidad para la cual trabaja, incluso el propósito de la comunicación
- el proporcionar al deudor desde el primer momento, por lo menos, la información básica de: el adeudo (monto, fecha de cálculo, condiciones para liquidarlo y contrato que le originó), el responsable de la cobranza y del acreedor
- adicionalmente a la información proporcionada en el aviso de privacidad, previo al tratamiento de los datos personales, de conformidad con los artículos 17 bis 1 a 17 bis 4 de la Ley para la Transparencia y Ordenamiento de los Servicios Financieros, existe la obligación de las instituciones de crédito de poner a disposición de sus clientes los datos de identificación de los despachos externos, que incluirán a terceros o representantes que realicen la cobranza de los créditos que otorguen
Consentimiento
Está inmerso en el artículo 8o de la LFPDPPP e involucra que todo tratamiento de datos estará sujeto al consentimiento de su titular.
Ergo, por regla general el responsable deberá contar con el consentimiento del titular para el tratamiento de sus datos personales, salvo en los casos de excepción previstos en los artículos 10 y 37 de la LFPDPPP, mismo que se requerirá en atención al tipo de datos que se recaben:
- tácito, cuando habiéndose puesto a disposición del titular el aviso de privacidad, este no manifieste oposición. Se requerirá para cualquier tipo de dato, exceptuando a los patrimoniales, financieros y sensibles
- expreso, la voluntad del titular se manifiesta verbalmente, por: escrito, medios electrónicos, ópticos u otra tecnología. Será necesario para tratar datos patrimoniales y financieros. Si son datos sensibles, la voluntad se expresará por escrito a través de firma autógrafa o electrónica
Es importante resaltar que de acuerdo con la fracción IV del artículo 10 de la LFDPPP, la cobranza configura una relación jurídica entre el titular y el responsable, por lo que no se requiere del consentimiento del primero, a menos que el responsable utilice los datos personales recabados para fines distintos, que no resulten compatibles o análogos.
Finalidad
Está normado en el artículo 12 de la LFPDPPP y predica que los datos personales solo pueden ser tratados para cumplir con la finalidad o finalidades que hayan sido informadas al titular mediante el aviso de privacidad y, en su caso, consentidas por este.
Es decir, los datos recabados se usarán solo para el propósito, motivo o razón informada al titular, especificándolo de manera clara, sin lugar a confusión y con objetividad.
Entonces, para observar este principio será imperioso delimitar para qué se emplearán los datos personales, incluyendo en el aviso de privacidad vinculado con el otorgamiento del crédito, la actividad de cobranza como una finalidad más del tratamiento de datos personales, y además:
- no tratar los datos personales del deudor para un fin distinto a la cobranza, sin el consentimiento del titular, como por ejemplo, para la creación de listas negras
- no utilizar los datos personales que el responsable obtenga sobre terceros con el único propósito de contactarlos para solicitar referencias acerca de una persona interesada en obtener un crédito, para cobrarle al deudor
- de manera adicional, al contactar por primera vez a una referencia se le dará a conocer el aviso de privacidad y se pedirá su consentimiento para el tratamiento de sus datos personales, pues entre esta y el responsable no existe una relación jurídica
Proporcionalidad
Se encuentra prescrito en el artículo 13 de la LFPDPPP y, en atención a este, solo podrán ser objeto de tratamiento los datos personales que resulten necesarios, adecuados y relevantes en relación con las finalidades para las que se hayan obtenido y que se encuentren previstas en el aviso de privacidad.
En este tenor, en la cobranza judicial se procurará solo recabar los datos personales que sean los necesarios y relevantes para dicha tarea.
Calidad
Su fundamento es el artículo 11 de la LFPDPPP, e implica que, teniendo en cuenta las finalidades del tratamiento de datos personales, estos sean:
- exactos: reflejan la realidad del titular; verdaderos o fieles
- completos: no falta ninguno de los requeridos para el objetivo para el cual fueron recabados, y son tratados de forma tal que no se causa un daño o perjuicio al titular
- pertinentes: corresponden efectivamente al titular
- actualizados: están al día y reflejan la situación actual del titular
- correctos: no tienen errores o defectos
Para cumplir de forma adecuada con este principio el responsable adoptará las medidas que estime convenientes para procurar que los datos personales recabados cubran esas características.
Derivado del principio reseñado se encuentra la obligación del responsable de suprimir o eliminar los datos que hubiesen dejado de ser necesarios para el cumplimiento de las finalidades previstas, y a eliminar la información relativa al incumplimiento de obligaciones contractuales, una vez transcurrido el plazo de 72 meses después de dicha falta de observancia.
Una vez cumplidos los plazos legales, es indispensable suprimir la información relativa al incumplimiento de obligaciones contractuales de quien cubra su deuda. Dentro de la cobranza extrajudicial, se buscará:
- en la medida de lo posible, obtener los datos personales de manera directa de los deudores, a fin de presumir que los datos son exactos, completos, pertinentes, actualizados y correctos
- mantener los datos actualizados para identificar correctamente al deudor y así mejorar el procedimiento para recuperar el monto adeudado
- instruir a los despachos de cobranza que supriman y/o regresen a la institución financiera los datos personales de los deudores cuyos asuntos hubiesen sido retirados por parte de esta
- poner al día el estatus de la deuda, a fin de evitar información errónea en cuanto a la calidad de deudor de una persona que ya hubiese cumplido con sus obligaciones
Responsabilidad
Este principio abarca todos los reseñados anteriormente. Está regulado en el artículo 14 de la LFPDPPP y está encaminado a obligar al responsable a velar por el cumplimiento de los principios de protección de datos personales, en relación con los datos que se encuentren bajo su custodia o posesión, por lo que podrá valerse de estándares, mejores prácticas internacionales, políticas corporativas, esquemas de autorregulación vinculante o cualquier otro mecanismo que determine adecuado para tales fines.
Para ajustar la cobranza extrajudicial a este principio se recomienda:
- supervisar constantemente las operaciones de los despachos de cobranza, así como las reclamaciones por sus actividades
- asegurarse que las gestiones se apeguen a los lineamientos y prácticas prescritos en la normatividad de protección de datos
- elaborar políticas de privacidad
Deberes
Seguridad
Quien realice cualquier cobranza extrajudicial buscará contar con un sistema efectivo que garantice la seguridad de los datos personales, implementando las medidas administrativas, físicas y técnicas que velen por la integridad, confidencialidad y disponibilidad de estos, y eviten su daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado (arts. 19, 20 y 21, LFPDPPP).
Confidencialidad
Todo aquel que intervenga en cualquier fase del tratamiento de datos personales guardará confidencialidad, obligación que subsistirá aún después de finalizar su relación con el titular.
En razón de este, será indispensable que las entidades financieras implementen las medidas adecuadas para velar por la confidencialidad de los datos personales de sus deudores en cualquier fase del tratamiento, e incluso con posterioridad a la terminación de la relación jurídica. Dentro de este tópico, también se incluirán a los despachos de cobranza, pues aunque ellos no sean los responsables, deberán ser supervisados por quienes los contraten para efectuar las diligencias de cobro.
Al respecto, para guardar el deber de confidencialidad en la cobranza extrajudicial se recomienda:
- evitar divulgar sin consentimiento del deudor sus datos personales a terceros, aun cuando se trate de sus familiares, a menos que se encuentren legalmente autorizados para tales efectos (garantes, fiadores, obligados solidarios o representantes legales del deudor). El contacto con terceras personas solo será para dejar mensaje a la persona que se desea localizar, con el objeto de que esta se reporte a los números o domicilios establecidos por el despacho de cobranza o la institución de crédito, sin proporcionar ninguna información adicional
- no realizar gestiones de cobro con terceros, con excepción de garantes, fiadores, obligados solidarios o representantes legales del deudor
- no emplear cartelones, anuncios o cualquier medio impreso en lugares públicos, o en el exterior de los domicilios de los deudores, en los que se divulguen datos personales o se haga referencia al adeudo
- asegurarse, al establecer contacto directo, de que la persona con quien se esté tratando sea el deudor. Esto se realizará cada vez que se establezca comunicación y antes de divulgar cualquier información relacionada con la deuda o el procedimiento de cobranza
- evitar realizar visitas o llamadas en el lugar de trabajo del deudor, en las que se revele a terceros no autorizados información sobre el adeudo u otros datos personales
- no informar sobre el deudor, ni indicar que se trata de un despacho de cobranza, cuando se soliciten referencias de aquel a alguna persona que esté vinculada (familiares, vecinos, compañeros de trabajo, empleados, entre otros)
- abstenerse de emplear correos electrónicos, correspondencia, mensajes de texto o voz o cualquier otro, que den a conocer a terceros la condición de deudor o datos relacionados con la actividad de cobranza
- no utilizar lenguaje o símbolos en las envolturas de las comunicaciones que indiquen que se trata de gestiones relacionadas con la actividad de cobranza extrajudicial. El nombre que se utilice en las comunicaciones no deberá indicar expresamente de qué se trata
- mantener confidencialidad de la información relacionada con los deudores, excepto si su comunicación se encuentra permitida en términos de una disposición legal
Derechos
Para salvaguardar la autodeterminación informativa, la LFPDPPP permite a los individuos poseer el control de su información personal reconociéndoles el ejercicio de los siguientes derechos conocidos como derechos ARCO.
Cada titular de los datos personales podrá por sí mismo o por conducto de su representante legal, solicitar al responsable en cualquier momento, el ejercicio de alguno de los derechos ARCO (art. 28, LFPDPPP).
El empleo de cada una de las referidas prerrogativas es independiente entre sí, por lo que se podrá elegir cualquiera sin necesidad de agotar previamente otra. Su ejercicio es gratuito.
El responsable del tratamiento de los datos estará obligado a designar a una persona o departamento de datos personales, que se encargue de tramitar las solicitudes formuladas por los titulares (art. 30, LFPDPPP). Esta designación será comunicada en el aviso de privacidad, y en los medios habilitados para hacer efectivo el ejercicio y cumplimiento de los derechos ARCO (art. 16, fracc. IV, LFPDPPP).
La solicitud se presentará por los medios indicados por el responsable en el aviso de privacidad y contendrá lo siguiente (art. 29, LFPDPPP):
- nombre del titular y domicilio u otro medio para comunicarle la respuesta
- los documentos que acrediten la identidad o, en su caso, la representación legal
- la descripción clara y precisa de los datos personales respecto de los que se busca el ejercicio de alguno de los derechos ARCO
- cualquier otro elemento o documento que facilite la localización de los datos personales
Una vez que se hubiese exhibido la petición, el responsable comunicará al titular, en un plazo máximo de 20 días contados a partir de su recepción, la determinación adoptada. De resultar procedente, se materializará en los próximos 15 días posteriores a la comunicación referida. Los plazos descritos serán ampliados por una sola vez por un periodo igual, siempre que exista una causa que así lo justifique (art. 32, LFPDPPP).
Acceso
Permite solicitar a un responsable determinado la búsqueda dentro de sus bases de información de datos personales de quien ejercita el derecho.
Según la guía práctica para la atención de las solicitudes de ejercicio de los derechos ARCO elaborada por el IFAI, el responsable garantizará este derecho al titular de tres modos:
- el acceso a sus datos que estén en posesión del responsable
- que el titular pueda estar al tanto de la efectiva existencia del tratamiento a que son sometidos sus datos personales
- el conocimiento de los detalles esenciales del tratamiento (responsable, finalidades, personas que intervengan).
En este supuesto, la obligación se tendrá por cumplida cuando se pongan a disposición del titular su información personal, o bien mediante la expedición de copias simples, documentos electrónicos u otro medio que hubiese sido especificado en el aviso de privacidad (art. 33, LFPDPPP)
Sin importar el medio utilizado por el responsable para cumplir, deberá tomar en cuenta que cualquier información entregada al titular será en un formato legible y comprensible.
Rectificación
Aplica cuando los datos sean incorrectos, imprecisos, incompletos o estén desactualizados. Para este efecto, en la solicitud el titular indicará las modificaciones a realizarse y aportará la documentación que sustente la petición (art. 31, LFPDPPP).
Cancelación
Se utiliza para pedir la eliminación de los datos personales existentes en una determinada base de datos con la finalidad de cesar el tratamiento de los mismos, ya sea porque este no cumpla con los lineamientos impuestos en la LFPDPPP, o ya no es necesario en razón de la terminación de las actividades entre el titular y el responsable.
De proceder, el primer paso será realizar el bloqueo de los datos, y, posteriormente, su supresión total o parcial de la información en los registros, archivos, bases de datos o en cualquier medio utilizado para almacenarlos.
El propósito del bloqueo será el de resguardar los datos por un tiempo razonable en el que podrían surgir responsabilidades que para poder ser verificadas, requieran de los datos personales del titular. Durante este periodo, los datos no podrán ser tratados para otra finalidad.
El responsable llevará a cabo las siguientes acciones en términos del artículo 107 del RLFPDPPP:
- establecer el periodo de bloqueo, notificándolo en la respuesta que haga a la solicitud del titular
- realizar operativamente el bloqueo de los datos y acompañarlo de las medidas de seguridad que permitan su conservación y eviten su explotación
- suprimir los datos de modo que, una vez transcurrido el plazo, la información eliminada no pueda ser recuperada de ninguna manera
Oposición
Este derecho otorga al titular la facultad de solicitar a quien esté realizando el tratamiento de sus datos personales que se abstenga de hacerlo en determinadas situaciones, es decir, puede escoger en qué circunstancias no quiere que se utilice su información personal.
En esta hipótesis, el solicitante explicará las razones por las que se opone al tratamiento, siempre que sobrevenga alguna de las siguientes causales (art. 109, RLFPDPPP):
- exista causa legítima y su situación específica así lo advirtiera, lo cual debe justificar que aun siendo lícito el tratamiento, el mismo debe cesar para evitar un perjuicio al titular
- requiera manifestar su oposición para el tratamiento de su información personal porque este no se lleve para fines específicos
- Para atender con diligencia todas las solicitudes de los derechos ARCO en la cobranza judicial, se sugiere observar las siguientes recomendaciones:
- designar a una persona o departamento de datos personales que tramite las solicitudes de los titulares
- no condicionar el ejercicio de alguno de los derechos ARCO a que los ejerza en algún orden previo
- proporcionar al deudor, en caso de requerirlo, toda la información disponible sobre la situación de su deuda, previa identificación
- atender las solicitudes de rectificación del titular, cuando así proceda, para contar con la información actualizada, sobre todo en lo que refiere a datos de contacto y estatus de la deuda
- tener en cuenta que los derechos de cancelación y oposición para el tratamiento de datos personales no siempre procederán, principalmente si las obligaciones legales en torno a la deuda están vigentes
- establecer procedimientos o protocolos de actuación para determinar cómo se deberán atender las solicitudes de Derechos ARCO y revocación del consentimiento, cuando la actividad de cobranza se realice por parte de terceros, al ser probable que los despachos de cobranza reciban estas solicitudes. No obstante, el obligado a prestar atención a las solicitudes será el responsable del tratamiento
Conclusiones
La cobranza de deudas es un derecho de los acreedores para recuperar su patrimonio, ya sea de forma directa o por conducto de despachos externos, no obstante, aquella no está por encima de la protección de los datos personales de los deudores.
Así, resulta indispensable que tanto las entidades financieras como los despachos de cobranza estén capacitados para cumplir cabalmente todas las obligaciones derivadas de la LFPDPPP y sus disposiciones derivadas.
Además, al observar los principios que rigen su tratamiento se obtiene un beneficio, pues se mantienen actualizados los datos de los deudores haciendo más eficiente la tarea de cobranza.
Por otro lado, el que los particulares conozcan cómo debe tratarse su información personal en los asuntos de cobranza les permite tener un verdadero control sobre el ejercicio de su privacidad y autodeterminación informativa.
Aunado a la guía reseñada, los usuarios de los servicios financieros están protegidos por las Disposiciones de Carácter General aplicables a las Entidades Financieras en Materia de Despachos de Cobranza emitidas por la CONDUSEF, las cuales garantizan que:
- la cobranza solo podrá realizarse de las 7:00 a las 22:00 horas del día, considerando los husos horarios del país
- a su vez, los despachos de cobranza no pueden realizar gestiones de cobro a terceras personas, incluidas las referencias personales y/o beneficiarios, con excepción de aquellos que sean deudores solidarios o avales
- tampoco deberán enviar documentos que aparenten ser escritos judiciales, u ostentarse como representantes de algún órgano jurisdiccional o autoridad; y establecer registros especiales, listas negras, cartelones o anuncios, que hagan del conocimiento del público la negativa de pago de los deudores
- los bancos e instituciones financieras que por sí mismos lleven a cabo las gestiones de cobro deben sujetarse a estos criterios, en tanto que están obligados a informar a la CONDUSEF sobre los despachos de cobranza que contraten
- la creación del Registro de Despachos de Cobranza (Redeco) como un sistema electrónico que permite consultar el listado de tales entes que contratan las entidades financieras en México, y de igual forma, también es el medio para presentar quejas en contra de aquellos que incumplan las nuevas disposiciones aplicables a este tipo de empresas
Fuente: Guía para orientar el debido tratamiento de los datos personales en la cobranza extrajudicial
