Datos de pacientes: obligaciones de privacidad para tu consultorio (LFPDPPP)

Todo lo que guardas de un paciente —su historia clínica, sus notas, hasta el motivo de su consulta— es, por definición legal, dato personal sensible. Eso coloca a cualquier consultorio en México, del tamaño que sea, dentro de las obligaciones de la ley de protección de datos: aviso de privacidad, consentimiento, derechos ARCO y medidas de seguridad.

Esta guía traduce esas obligaciones a la práctica de un consultorio, y termina con la pregunta que casi nadie se hace al contratar software médico: ¿a cuántas manos ajenas estás pasando los datos de tus pacientes?

Aviso: este artículo es informativo y no constituye asesoría legal. Para tu caso concreto, consulta el texto vigente de la ley o a un especialista en protección de datos.

La ley que aplica en 2026 (ojo: cambió en 2025)

La referencia vigente es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abrogó la ley original de 2010 — puedes consultar el texto oficial en la Cámara de Diputados.

Dos cambios de contexto que conviene tener claros:

• Desapareció el INAI. Desde el 21 de marzo de 2025, la autoridad en materia de protección de datos de particulares es la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso de privacidad todavía menciona al INAI como autoridad, toca actualizarlo.
• El fondo se mantiene. El objeto de la ley sigue siendo el mismo: tratamiento legítimo, controlado e informado de los datos personales. Los principios, el aviso de privacidad, los derechos ARCO y el régimen especial de los datos sensibles siguen ahí.

Tu consultorio —persona física con actividad profesional o sociedad— es un responsable del tratamiento de datos personales bajo esta ley. No hay excepción por ser consulta pequeña.

Los datos de tus pacientes son "sensibles" — y eso eleva la vara

La ley distingue los datos personales sensibles: los que afectan la esfera más íntima del titular, y los de salud son el ejemplo de libro — estado de salud presente y futuro, información genética, y en la práctica todo el contenido del expediente clínico.

Que sean sensibles implica, en corto:

• Consentimiento reforzado: para datos sensibles la ley exige el consentimiento expreso del titular — no basta el consentimiento tácito que funciona para un dato de contacto.
• Finalidad estricta: los usas para atender al paciente y lo directamente relacionado; cualquier otra finalidad requiere informarla y justificarla.
• Seguridad proporcional al riesgo: a dato más delicado, medidas más serias.

La buena noticia: nada de esto exige un departamento jurídico. Exige orden — que es exactamente lo que un consultorio bien llevado ya tiene.

Tus cuatro obligaciones prácticas

1. Ten (y muestra) un aviso de privacidad

El aviso de privacidad de tu consultorio médico es el documento donde le dices al paciente, antes de tratar sus datos: quién eres (identidad y domicilio del responsable), qué datos recabas —identificando cuáles son sensibles—, para qué finalidades, y cómo puede ejercer sus derechos.

En la práctica de consultorio se usa en dos formatos:

• Aviso integral: el documento completo, visible en el consultorio (impreso disponible en recepción) y en tu sitio web si tienes.
• Aviso simplificado o corto: una versión breve al momento de recabar los datos —al agendar la primera cita, en el formato de historia clínica— que remite al integral.

Sin aviso de privacidad no hay tratamiento lícito: es la pieza cero.

2. Recaba el consentimiento correcto

Para los datos de salud, consentimiento expreso: el paciente debe manifestar su aceptación de forma inequívoca — típicamente firmando el aviso/consentimiento en el registro inicial, en papel o por medios electrónicos. El silencio o el simple hecho de que "te dio sus datos" no basta tratándose de información sensible.

Guárdalo: si un día necesitas demostrar que tenías consentimiento, la firma archivada en el expediente del paciente es tu evidencia. (El consentimiento informado clínico para procedimientos es otra figura distinta — la tocamos en otro artículo del blog.)

3. Responde a los derechos ARCO

Todo paciente puede pedirte Acceso a sus datos, Rectificación de los inexactos, Cancelación cuando proceda, u Oposición al tratamiento. Tu obligación es tener un canal para recibir esas solicitudes (un correo del consultorio basta) y responderlas en los plazos de ley.

Para un consultorio ordenado, ARCO es trivial: si el expediente del paciente está completo y localizable en segundos, darle acceso o corregir un dato es un trámite de minutos, no una crisis.

4. Protege los datos con medidas reales

La ley exige medidas de seguridad administrativas, técnicas y físicas proporcionales al riesgo. Traducido a consultorio:

• Administrativas: quién de tu equipo puede ver expedientes; acuerdos de confidencialidad con tu personal.
• Técnicas: cifrado de la información, contraseñas serias, respaldos.
• Físicas: el archivero bajo llave, la computadora que no queda abierta en recepción.

Y una vulneración de seguridad que afecte datos de pacientes no es solo un problema técnico: es un incidente legal frente a la autoridad y frente al titular.

¿Dónde viven los datos? La pregunta que casi nadie hace a su software

Aquí la decisión de software se vuelve decisión de privacidad. Cuando usas un sistema médico en la nube, los expedientes de tus pacientes se almacenan en servidores del proveedor — un tercero que participa del tratamiento, con sus propios encargados, ubicaciones y políticas. Tu cadena de responsabilidad se alarga: tú sigues siendo el responsable ante el paciente, pero el dato ya no está bajo tu control físico.

Con una arquitectura de datos locales — la de un software de gestión clínica de escritorio como Clinify — el expediente se guarda cifrado en tu propia computadora, con copias de seguridad diarias, y el acceso queda en tu equipo y tu personal. La superficie de riesgo se encoge: menos terceros involucrados en el tratamiento, menos transferencias que explicar en el aviso, y una respuesta clara cuando el paciente pregunta dónde está su información: aquí, en el consultorio.

No es un tecnicismo: para profesiones donde la confidencialidad es el activo —psicólogos y terapeutas, por ejemplo— la arquitectura del software es parte del cumplimiento, no un detalle de TI.

Preguntas frecuentes

¿Mi consultorio necesita aviso de privacidad aunque sea muy pequeño?

Sí. La LFPDPPP aplica a cualquier particular que trate datos personales, y un consultorio trata datos sensibles de salud desde el primer paciente. El tamaño no exime; a lo sumo simplifica el documento, porque tus finalidades son pocas y claras.

¿Qué debe decir el aviso de privacidad de un consultorio médico?

Como mínimo: la identidad y domicilio del responsable (tú o tu sociedad), qué datos recabas identificando los sensibles (datos de salud), las finalidades del tratamiento (atención médica, seguimiento, recordatorios de citas, cobro), y los mecanismos para ejercer los derechos ARCO. Tenlo en versión integral (visible en el consultorio o tu sitio) y corta (al recabar los datos).

¿Necesito consentimiento firmado de cada paciente?

Para datos sensibles de salud, la ley exige consentimiento expreso — la práctica estándar en consultorio es recabarlo por escrito (papel o medio electrónico) junto con el aviso de privacidad en el registro inicial, y conservarlo en el expediente del paciente como evidencia.

¿Guardar los expedientes en mi computadora cumple mejor que la nube?

Ninguna arquitectura te exime de tus obligaciones, pero los datos locales reducen la cadena de terceros: no hay proveedor almacenando tus expedientes ni transferencias adicionales que documentar. Con cifrado, respaldos y control de acceso —lo que hace Clinify por defecto—, cumples el requisito de medidas de seguridad con una superficie de riesgo más corta que la de un sistema que envía cada nota a un servidor ajeno.