¿Qué datos puede pedir legalmente una fintech en México?

El marco legal, explicado sin tecnicismos

En México, el tratamiento de datos personales por parte de empresas privadas —incluidas las fintech— se rige principalmente por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Es importante saber que esta ley cambió recientemente: la versión anterior, vigente desde 2010, fue sustituida por una nueva ley publicada en marzo de 2025, que ajustó varias definiciones clave, entre ellas la de consentimiento y la de datos sensibles.

Ese cambio vino acompañado de otro más visible: la desaparición del INAI. Hasta 2025, ese organismo era la autoridad encargada de vigilar la protección de datos en México. Sus funciones pasaron a la Secretaría Anticorrupción y Buen Gobierno, que hoy es la instancia responsable de recibir quejas y sancionar el mal uso de datos personales por parte de particulares.

A esto se suma una capa adicional, específica del sector financiero. Muchas plataformas de préstamos en línea operan como Sociedades Financieras de Objeto Múltiple (SOFOM), reguladas por la Ley General de Organizaciones y Actividades Auxiliares del Crédito y supervisadas, en lo que corresponde a la protección del usuario, por la CONDUSEF. Esa doble capa —protección de datos personales, más regulación financiera— es la que define, en la práctica, qué puede y qué no puede pedirte una fintech legítima.

Los datos que una fintech sí puede pedirte

No toda solicitud de información es abusiva. Para evaluar tu solicitud de crédito, verificar tu identidad y cumplir con obligaciones legales de prevención de fraude y lavado de dinero, una fintech legítima necesita ciertos datos. La clave no está en si te los piden, sino en si existe una razón concreta detrás de cada uno.

Fíjate en algo: ninguna de estas categorías incluye tu lista de contactos, tus fotos personales o tu ubicación minuto a minuto. Eso no es casualidad. Volveremos a ese punto en un momento.

Por qué “aceptar” no es un cheque en blanco

La ley mexicana exige que cualquier empresa que trate tus datos te lo informe primero, a través de un documento llamado aviso de privacidad. Ahí debe explicarte, con claridad, qué datos va a recopilar, para qué los va a usar y qué opciones tienes sobre ellos.

Con la nueva ley de 2025, ese aviso tiene que ser todavía más específico: ahora es obligatorio que distinga entre las finalidades necesarias para el servicio (por ejemplo, verificar tu identidad) y las finalidades voluntarias (por ejemplo, enviarte publicidad). Si una empresa quiere usar tus datos para algo que no estaba en el aviso original, ya no puede simplemente asumir que estás de acuerdo: tiene que pedirte tu consentimiento de nuevo.

Hay una categoría que merece un párrafo aparte: los datos sensibles. La ley los define como aquellos que, de usarse de forma indebida, pueden afectar tu esfera más íntima —salud, creencias religiosas, orientación sexual, opiniones políticas, datos biométricos o genéticos, entre otros—. Para este tipo de información, un simple “acepto” genérico no basta: la ley exige un consentimiento expreso, es decir, una confirmación clara y específica de tu parte, no una casilla premarcada.

Las señales de que te están pidiendo de más

La CONDUSEF ha documentado, en repetidas alertas, un patrón que se repite en las plataformas fraudulentas conocidas coloquialmente como “montadeudas”: ofrecen dinero rápido, sin revisar tu historial, y a cambio piden acceso a permisos que ninguna institución financiera real necesita para prestarte dinero.

Estos son los permisos que deberían encender una alerta inmediata:

• Acceso a tu lista de contactos. No existe ninguna razón legítima para que una fintech necesite saber a quién tienes agendado en tu celular. Cuando esto se pide, suele ser para usarlo después como herramienta de cobranza agresiva o de extorsión hacia ti o hacia terceros.
• Acceso a tu galería de fotos y videos. Evaluar un crédito no requiere revisar tus imágenes personales, salvo la fotografía puntual de tu identificación o tu selfie de verificación, que es distinto a un acceso abierto a toda tu galería.
• Ubicación en tiempo real, de forma constante. Confirmar tu domicilio es razonable; monitorear dónde estás en todo momento no lo es.
• Lectura de tus mensajes SMS. Salvo el código de verificación que tú mismo ingresas, no hay motivo para que una app lea el contenido completo de tus mensajes.
• Pagos por adelantado antes de recibir el crédito. Ninguna institución financiera regulada te va a cobrar una comisión o “garantía” antes de depositarte el dinero.

Ninguno de estos puntos depende de una opinión subjetiva. Son, literalmente, los mismos que la propia CONDUSEF ha señalado públicamente como patrón de fraude. Si una plataforma te los exige como condición obligatoria para avanzar, esa es la señal más clara de que no estás frente a una fintech legítima.

El caso especial del Buró de Crédito

Hay una excepción que conviene aclarar, porque a veces genera confusión: sí es legítimo que una fintech consulte tu historial en el Buró de Crédito o en Círculo de Crédito. Es una práctica estándar para evaluar el riesgo de un préstamo, y muchas instituciones bancarias tradicionales hacen exactamente lo mismo.

La diferencia está en el consentimiento. Esa consulta no puede hacerse sin que tú la autorices de forma expresa, normalmente mediante una autorización específica dentro de la solicitud, separada de los términos generales. Si una plataforma consulta tu historial crediticio sin haberte mostrado antes esa autorización de forma clara, ahí sí hay un problema.

Tus derechos ARCO, en la práctica

La ley mexicana te da control sobre tus datos incluso después de haberlos compartido. Ese control se resume en cuatro derechos, conocidos como derechos ARCO, y cualquier empresa que trate tus datos —fintech incluida— debe darte un canal para ejercerlos.

En la práctica, casi toda empresa seria incluye en su aviso de privacidad un correo o formulario específico para ejercer estos derechos. Puedes ver un ejemplo de cómo se estructura este tipo de documento en el aviso de privacidad de ALVOS, donde se detallan las finalidades del tratamiento de datos y los canales disponibles para el usuario.

Qué hacer si sospechas que una app pide de más

Si ya estás dentro del proceso de solicitud y algo no te cuadra, hay pasos concretos que puedes seguir antes de continuar. El primero es buscar a la institución en el Sistema de Registro de Prestadores de Servicios Financieros, conocido como SIPRES, la herramienta pública de CONDUSEF para verificar si una entidad está debidamente registrada.

Si no aparece registrada, o si aparece pero los permisos que te pide no coinciden con lo razonable, lo más seguro es detener la solicitud ahí mismo. No hace falta continuar “para ver qué pasa”. Revisa también, dentro de la configuración de tu celular, qué permisos ya le diste a la app y retira los que no correspondan a lo que describimos antes.

Si ya compartiste datos con una plataforma que ahora te parece sospechosa, cambia tus contraseñas, avisa a tu banco si compartiste datos bancarios y presenta tu queja directamente ante la CONDUSEF. Cuanto antes actúes, menor es la ventana de riesgo.

Preguntas frecuentes

¿Es legal que una fintech me pida mi CURP?

Sí. El CURP es un dato de identidad estándar que las instituciones financieras usan para verificar quién eres y cumplir con las normas de prevención de fraude, no un dato sensible en sí mismo.

¿Puede una fintech negarme el crédito si no le doy acceso a mis contactos?

Una fintech legítima no debería condicionar la aprobación de tu crédito a ese permiso, porque no es un dato necesario para evaluar tu solicitud. Si esto ocurre, es una señal de alerta, no una condición normal del proceso.

¿Qué pasa si ya le di acceso a mis contactos a una app y me arrepiento?

Puedes revocar ese permiso desde la configuración de tu celular en cualquier momento. Si además sospechas un uso indebido de esa información, puedes ejercer tu derecho de cancelación ante la empresa y presentar una queja ante la CONDUSEF.

¿Toda mi información financiera se considera un dato sensible por ley?

No exactamente. Los datos sensibles, en sentido estricto, son los que afectan tu esfera más íntima, como salud u orientación sexual. Sin embargo, tus datos patrimonios y financieros también reciben protección especial y, en la práctica, suelen requerir un consentimiento claro y específico antes de tratarse.

¿Dónde puedo consultar el texto completo de la ley que protege mis datos?

Puedes revisar el texto vigente de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares directamente en el sitio de la Cámara de Diputados.

Para cerrar

La próxima vez que una app te pida permisos antes de completar tu solicitud, vale la pena tomarte los quince segundos que toma leer qué te está pidiendo y para qué. La mayoría de las veces será algo razonable: tu identificación, tus datos de contacto, tu historial crediticio con tu autorización. Y de vez en cuando, será una señal de que algo no está bien.

Conocer esta diferencia no es un ejercicio legal abstracto. Es, en la práctica, la herramienta más simple que tienes para protegerte antes de compartir información que después es difícil de recuperar. Si quieres revisar cómo funciona este tipo de verificación en un proceso real, puedes consultar la sección de préstamos personales de ALVOS o revisar este artículo sobre cómo saber si una app de préstamos es segura antes de instalarla. Este contenido tiene fines informativos y no sustituye la asesoría legal especializada.