Sí, el cold email B2B es legal en México, con condiciones. Ninguna ley mexicana prohíbe escribir en frío a un contacto profesional, pero la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) regula cómo obtienes y usas los datos del destinatario. En la práctica, un cold email es defendible cuando escribes a datos de contacto profesional con una finalidad de negocio legítima, te identificas, pones a disposición tu aviso de privacidad y ofreces una baja sencilla que respetas de inmediato.

Eso es lo citable en dos frases. Ahora veamos de dónde sale, porque en 2025 el marco cambió por completo y buena parte de lo que se publica sobre el tema sigue citando la ley anterior.

La LFPDPPP vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y abrogó la ley de 2010 (Transitorio Segundo). El texto oficial, con su última reforma del 14 de noviembre de 2025, está disponible en la Cámara de Diputados.

El cambio institucional más visible: el INAI desapareció por la reforma constitucional de simplificación orgánica de diciembre de 2024. La autoridad de protección de datos en el sector privado es hoy la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV, y artículos 38 y 39 de la ley), que hereda las funciones de vigilancia, verificación y sanción.

Un matiz importante: el Reglamento de la LFPDPPP de 2011 no fue abrogado expresamente. La propia ley ordenó al Ejecutivo adecuar los reglamentos en un plazo de 90 días (Transitorio Décimo Segundo), por lo que en la práctica el Reglamento de 2011 sigue siendo la referencia operativa en todo lo que no contradiga a la nueva ley. Es una zona en transición y conviene tratarla como tal.

Datos personales vs datos de contacto profesional

La ley protege los datos personales, definidos como “cualquier información concerniente a una persona identificada o identificable” (artículo 2, fracción V). Aquí hay un detalle que los despachos legales han señalado: la nueva definición ya no dice “persona física”, lo que abrió un debate sobre si las personas morales pueden ser titulares de datos. No hay todavía criterio firme de la autoridad, así que trátalo como pregunta abierta, no como regla.

Para la prospección B2B, la pieza clave está en el artículo 5 del Reglamento, que excluye de su aplicación:

Esa última condición es el matiz honesto que debes conocer: escribirle a juan.perez@empresa.com para proponerle un software que su área evalúa encaja razonablemente en ese contexto profesional. Usar ese mismo correo para ofrecerle un crédito personal, no. Y como la exclusión vive en un reglamento pendiente de armonización con la ley de 2025, la postura prudente es aplicar las garantías básicas (aviso, finalidad, baja) incluso a datos de contacto profesional.

Otra confusión frecuente: la ley permite tratar datos sin consentimiento cuando figuran en “fuentes de acceso público” (artículo 9, fracción II). Suena a que todo lo que está en internet califica, pero la definición legal (artículo 2, fracción X) exige que se trate de bases que puedan consultarse públicamente por disposición de ley. Un perfil de LinkedIn o el directorio de un sitio corporativo no encajan automáticamente en esa figura. No construyas tu argumento de cumplimiento sobre “estaba en internet”.

Qué debe cumplir un cold email en México

Si tratas datos personales para prospección, esto es lo mínimo que la ley y el Reglamento esperan de ti:

  1. Aviso de privacidad disponible. Los artículos 14 a 16 de la ley obligan a informar qué datos tratas, con qué finalidades, cómo limitar su uso y cómo ejercer derechos ARCO. Cuando los datos no se obtuvieron directamente del titular (el caso típico del cold email), el artículo 17 exige darle a conocer el aviso en el primer contacto. Un enlace visible a tu aviso de privacidad para México en el pie del correo resuelve esto de forma limpia.
  2. Finalidad explícita de prospección. El artículo 30 del Reglamento pide que las finalidades de mercadotecnia, publicidad o prospección comercial estén incluidas en el aviso. Si tu aviso solo habla de “atención a clientes”, no cubre tus campañas en frío.
  3. Consentimiento bien entendido. La regla general admite el consentimiento tácito (artículo 7): informas mediante el aviso y, si el titular no manifiesta oposición, puedes tratar los datos para las finalidades informadas. Por eso el aviso y la mecánica de oposición no son un adorno: son lo que sostiene el consentimiento.
  4. Opción de baja real. El titular puede oponerse al tratamiento en cualquier momento (artículo 26 de la ley) y el Reglamento regula los listados de exclusión gratuitos (artículos 109 y 110). Traducido a la práctica: enlace de baja de un clic, sin pedir login, y una lista de supresión que impida volver a contactar a quien ya dijo que no.
  5. Capacidad de responder derechos ARCO. Acceso, rectificación, cancelación y oposición (artículos 22 a 26). Necesitas saber qué datos tienes de cada persona y de dónde salieron para poder responder una solicitud.

El costo de ignorar esto no es teórico. El artículo 58 tipifica 19 infracciones y el artículo 59 prevé desde apercibimientos hasta multas de 100 a 160,000 UMA y de 200 a 320,000 UMA según la conducta, duplicables cuando hay datos sensibles. Los artículos 62 a 64 llegan a penas de prisión para vulneraciones con ánimo de lucro. El valor de la UMA lo actualiza el INEGI cada año, así que los montos en pesos crecen solos.

Buenas prácticas que reducen riesgo (y mejoran respuesta)

Este artículo es informativo y refleja el marco vigente a la fecha de publicación con base en fuentes oficiales. No es asesoría legal y tu caso concreto (sector, tipo de datos, volumen, transferencias) puede cambiar el análisis. Antes de definir tu política de prospección, consulta a un abogado especializado en protección de datos en México, sobre todo mientras se emiten las adecuaciones reglamentarias de la ley de 2025.

Cómo apoya Growly el cumplimiento

Growly está construido para que operar estas obligaciones no dependa de tu memoria: cada correo puede incluir tu aviso de privacidad, la baja es de un clic y alimenta automáticamente una lista de exclusión que la plataforma respeta en campañas futuras, y el registro de tratamiento documenta qué datos usas y con qué finalidad. Seamos honestos: ninguna herramienta te “hace legal” por sí sola, porque el responsable del tratamiento eres tú. Lo que sí hace es que cumplir sea el camino fácil en lugar del pendiente eterno. Puedes revisar nuestra postura completa en transparencia de datos.

Fuentes