La protección de datos en el recobro es una responsabilidad compartida: cuando una empresa entrega su cartera de impagados a una agencia de cobros, sigue siendo responsable de cómo se tratan los datos de sus deudores. El Reglamento General de Protección de Datos (RGPD) obliga a elegir un proveedor que ofrezca garantías suficientes y a firmar con él un contrato de encargo del tratamiento. Estas son las 8 garantías que debe exigir antes de externalizar una cartera, sobre todo si es grande o incluye particulares.
- Contrato de encargado del tratamiento conforme al artículo 28 del RGPD.
- Confidencialidad: la deuda no se comenta con terceros.
- Minimización: solo los datos necesarios para reclamar.
- Seguridad y trazabilidad de cada actuación.
¿Cuándo se aplica la protección de datos en el recobro?
El RGPD protege los datos de personas físicas. En el recobro esto incluye:
- Deudores particulares en carteras B2C.
- Autónomos, que son personas físicas aunque la deuda sea comercial.
- Personas de contacto de las empresas deudoras en carteras B2B: nombres, teléfonos y correos de administradores o responsables de pagos.
Por eso la protección de datos en el recobro no es solo un asunto de carteras de consumo: también afecta al recobro entre empresas.
¿Quién es responsable de los datos cuando externaliza el recobro?
Su empresa, como acreedora, es la responsable del tratamiento: decide para qué se usan los datos de sus deudores. La empresa de cobros actúa normalmente como encargada del tratamiento: trata los datos por cuenta de usted y siguiendo sus instrucciones.
El artículo 28 del RGPD establece que el responsable solo debe elegir encargados que ofrezcan garantías suficientes y que la relación debe regularse por contrato. Si el proveedor incumple, su empresa puede verse afectada. Por eso la protección de datos en el recobro debe formar parte de la selección del proveedor, no ser un trámite posterior.
¿Qué 8 garantías debe exigir a su empresa de recobro?
Contrato de encargado del tratamiento
Debe recoger, como mínimo, el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos, las categorías de interesados y las obligaciones del encargado: actuar solo según sus instrucciones, confidencialidad del personal, medidas de seguridad, ayuda para atender los derechos de los interesados y devolución o supresión de los datos al terminar el servicio.
Base jurídica clara
El tratamiento debe apoyarse en una base legal del artículo 6 del RGPD. En el recobro suele ser la ejecución del contrato del que nace la deuda o el interés legítimo del acreedor en cobrar. El proveedor debe tratar los datos solo para esa finalidad.
Confidencialidad frente a terceros
El principio de integridad y confidencialidad del artículo 5 del RGPD impide revelar la deuda a personas ajenas: familiares, vecinos, compañeros de trabajo o clientes del deudor. Pregunte expresamente cómo se evita en llamadas, mensajes y comunicaciones escritas.
Minimización de datos
Solo deben entregarse y usarse los datos necesarios para reclamar: identificación del deudor, datos de contacto, importe y documentación de la deuda. Enviar bases de datos completas «por si acaso» es un riesgo innecesario.
Seguridad del tratamiento
El artículo 32 del RGPD exige medidas técnicas y organizativas adecuadas al riesgo. En la práctica: accesos con usuario y contraseña, permisos por persona y un canal seguro para intercambiar expedientes, en lugar de hojas de cálculo por correo electrónico.
Trazabilidad de las actuaciones
Cada llamada, mensaje, acuerdo y pago debe quedar registrado. La trazabilidad protege a su empresa ante una reclamación del deudor y le permite comprobar que el proveedor actúa dentro de sus instrucciones.
Control de subencargados
El encargado no puede recurrir a otro encargado sin autorización previa del responsable (artículo 28.2 del RGPD). Pregunte si el proveedor subcontrata la gestión, la vía judicial o los servicios de comunicaciones, y con quién.
Gestión de brechas y derechos
Si se produce una violación de seguridad, el encargado debe notificarla al responsable sin dilación indebida (artículo 33.2), para que este pueda notificarla a la autoridad en el plazo legal. El proveedor también debe ayudarle a responder cuando un deudor ejerza sus derechos de acceso, rectificación o supresión.
¿Qué cambia si la cartera incluye deudores de otros países de la UE?
Si sus deudores están en Portugal, Francia o Italia, el marco es el mismo: el RGPD se aplica en toda la Unión Europea. Lo importante es que el proveedor gestione esos expedientes con las mismas garantías y no los derive a terceros sin su autorización. Más información en nuestro servicio de cobro internacional.
¿Qué preguntas hacer sobre protección de datos en el recobro antes de firmar?
- ¿Me facilitan un contrato de encargado del tratamiento conforme al artículo 28 del RGPD?
- ¿Qué base jurídica y qué finalidades aplican al tratamiento de los datos de mis deudores?
- ¿Cómo garantizan que no se informa de la deuda a terceros?
- ¿Qué datos necesitan exactamente y qué hacen con ellos al terminar el servicio?
- ¿Cómo intercambiamos los expedientes y quién tiene acceso a ellos?
- ¿Queda registrada cada actuación con los deudores?
- ¿Subcontratan alguna parte del servicio? ¿A quién?
- ¿Cómo me avisarían de una brecha de seguridad?
¿Cómo trabaja Grupo Intercobros la protección de datos en el recobro?
Nuestro modelo para grandes carteras reduce de forma natural los riesgos más habituales:
- Área Cliente: los expedientes se dan de alta y se consultan en una plataforma, con el estado de cada gestión, el histórico de actuaciones y la documentación. Se evita el intercambio de ficheros por correo.
- Trazabilidad completa: cada actuación queda registrada y se refleja en el dashboard de la cartera.
- Equipo propio: la cartera la gestiona un equipo propio de gestores de cobros y un departamento jurídico interno, sin externalizar la vía judicial.
- Gestor de cuenta cliente asignado: un único interlocutor que traslada sus instrucciones al equipo de recobro.
Si quiere conocer el modelo completo, lea nuestro artículo sobre recobro para grandes empresas y la guía de KPIs de recobro. Y si su duda es si externalizar o no, compare las opciones en externalizar el cobro o reclamar internamente.
Para consultar la normativa y las guías oficiales, la referencia es la Agencia Española de Protección de Datos (AEPD).
Preguntas frecuentes sobre protección de datos en el recobro
¿Se aplica el RGPD al recobro entre empresas?
Sí, en la medida en que se traten datos de personas físicas: autónomos y personas de contacto de las empresas deudoras, como administradores o responsables de pagos.
¿La empresa de recobro es responsable o encargada del tratamiento?
Normalmente es encargada del tratamiento: trata los datos por cuenta del acreedor, que es el responsable, y según sus instrucciones. La relación debe regularse por contrato conforme al artículo 28 del RGPD.
¿Puede la empresa de recobro contactar con familiares o compañeros del deudor?
No para informarles de la deuda. El principio de confidencialidad del RGPD impide revelar la deuda a terceros ajenos.
¿Qué debe incluir el contrato de encargado del tratamiento?
Objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos, categorías de interesados y obligaciones del encargado: instrucciones, confidencialidad, seguridad, subencargados, ayuda con los derechos de los interesados y devolución o supresión de los datos.
¿Qué datos debo entregar a la empresa de recobro?
Solo los necesarios para reclamar: identificación del deudor, datos de contacto, importe y documentación de la deuda.
¿Puede la empresa de recobro subcontratar la gestión?
Solo con autorización previa del responsable del tratamiento, según el artículo 28.2 del RGPD.
¿Qué pasa si hay una brecha de seguridad en el proveedor?
El encargado debe notificarla al responsable sin dilación indebida, y el responsable debe valorar su notificación a la autoridad de control en el plazo legal.
¿Cambia algo si los deudores están en Portugal, Francia o Italia?
El RGPD se aplica en toda la Unión Europea, por lo que las garantías exigibles son las mismas.
Externalice su cartera con garantías
Solicite un análisis gratuito de su cartera. Trabajamos con honorarios al éxito en la fase extrajudicial, un gestor de cuenta cliente asignado, Área Cliente y trazabilidad completa de cada actuación. Contacte por teléfono, a través del formulario de contacto, por el chat de la web o por LinkedIn.
