Aviso de privacidad para un consultorio médico

Qué datos recaba un consultorio

• Expediente clínico e historia clínica
• Padecimiento actual, signos y síntomas
• Antecedentes heredofamiliares
• Antecedentes personales patológicos y no patológicos
• Diagnóstico, pronóstico y notas de evolución
• Datos de exploración física (signos vitales, peso, talla)
• Resultados de estudios de laboratorio y gabinete
• Cartas de consentimiento informado
• Fotografías clínicas de la evolución del tratamiento
• Datos de la póliza de gastos médicos
• Médico que refiere y médicos interconsultantes
• Persona a contactar en caso de urgencia

La salud es el dato sensible del giro

Sensibles del giro (art. 8: consentimiento expreso y por escrito):

Estado de salud presente, pasado y futuro: padecimiento actual, diagnósticos, tratamientos, medicamentos, alergias, resultados de estudios y notas de evolución

Es el dato sensible característico del giro. El artículo 2, fracción VI de la LFPDPPP considera sensible el estado de salud presente o futuro; el historial pasado también es sensible, pero por la cláusula general de esa fracción (la enumeración es enunciativa, no limitativa), no porque la enumeración lo mencione expresamente. El artículo 8 exige consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica u otro mecanismo de autenticación. El consentimiento debe recabarse en el momento de abrir el expediente, no de forma tácita ni sepultado en un formato de registro. Excepción del artículo 9, fracción VI: no se requiere consentimiento cuando el tratamiento sea indispensable para la atención médica, prevención, diagnóstico o gestión de servicios sanitarios mientras el titular no esté en condiciones de otorgarlo y quien trate los datos esté sujeto al secreto profesional.

Antecedentes heredofamiliares

Revelan el estado de salud de familiares que no son titulares de la relación con el consultorio. Se recaban únicamente por su valor diagnóstico, deben limitarse a lo clínicamente necesario y no pueden usarse para perfilar al paciente con fines comerciales ni compartirse con aseguradoras fuera del trámite del siniestro.

Información genética y resultados de estudios genéticos

Sensible por mención expresa del artículo 2, fracción VI. Máximo nivel de riesgo porque afecta también a los familiares consanguíneos. Solo debe recabarse cuando el estudio genético forme parte del diagnóstico o tratamiento indicado, con consentimiento expreso y por escrito específico para ese estudio, y con prohibición explícita de transferirla a aseguradoras o empleadores.

Hábitos de consumo de tabaco, alcohol y otras sustancias psicoactivas

Forman parte del interrogatorio obligatorio de la historia clínica conforme al numeral 6.1.1 de la NOM-004-SSA3-2012. Son datos de salud y su uso indebido puede dar origen a discriminación laboral o al encarecimiento de un seguro, por lo que su acceso debe restringirse al personal clínico.

Preferencia sexual

Sensible por mención expresa de la ley. Solo se justifica cuando resulte clínicamente relevante para el diagnóstico o el tratamiento (por ejemplo, en salud sexual y reproductiva). Nunca debe recabarse de forma rutinaria en la ficha de identificación.

Creencias religiosas

Sensible por mención expresa de la ley. En el sector salud tiene una finalidad legítima acotada: asistencia espiritual solicitada por el paciente y objeciones al tratamiento (por ejemplo, transfusiones). Debe ser un dato voluntario y separado del consentimiento general, y no puede condicionarse la atención a proporcionarlo.

Fotografías y videograbaciones clínicas

Cuando muestran una lesión, un padecimiento o el resultado de un tratamiento son datos de salud, aunque el rostro esté cubierto. Su uso para el expediente es finalidad primaria; su publicación con fines docentes, de difusión o en redes sociales exige, además, la autorización escrita del paciente conforme al numeral 5.5 de la NOM-004-SSA3-2012, recabada por separado y revocable.

Datos de la póliza de gastos médicos, RFC, CURP y datos de facturación (NO son sensibles)

Aclaración deliberada: el número de póliza, la aseguradora, el RFC, la CURP, los datos bancarios y las imágenes de videovigilancia son datos personales ordinarios, financieros o patrimoniales, no sensibles. Los datos financieros y patrimoniales requieren consentimiento expreso conforme al artículo 7 de la LFPDPPP, pero no el consentimiento expreso y por escrito reservado a los sensibles. Declararlos como sensibles es un error frecuente que diluye el régimen reforzado de los datos que sí lo son.

Para qué usa los datos un consultorio

Finalidades primarias (dan origen a la relación; sin casilla de negativa):

• Prestar los servicios de atención médica, diagnóstico y tratamiento solicitados por el paciente
• Integrar, actualizar, resguardar y conservar el expediente clínico del paciente en los términos de la NOM-004-SSA3-2012
• Identificar y verificar la identidad del paciente y de quien solicita el servicio
• Agendar, confirmar, reprogramar y controlar las citas médicas
• Enviar recordatorios de la cita y de las indicaciones previas al estudio o procedimiento
• Comunicar y entregar al paciente los resultados de estudios, recetas y prescripciones médicas
• Dar seguimiento a la evolución del padecimiento y al apego al tratamiento
• Recabar y documentar el consentimiento informado para procedimientos diagnósticos y terapéuticos
• Referir al paciente y compartir su información con médicos interconsultantes y especialistas cuando el caso lo requiera
• Realizar el cobro de los honorarios y servicios, emitir comprobantes fiscales y llevar la contabilidad
• Gestionar el trámite de reembolso o pago directo ante la aseguradora de gastos médicos del paciente
• Contactar a la persona designada por el paciente y coordinar su traslado o atención en caso de urgencia
• Cumplir las obligaciones que imponen la Ley General de Salud, las normas oficiales mexicanas y los requerimientos de la autoridad sanitaria
• Atender dudas, quejas, aclaraciones y solicitudes de información del paciente
• Vigilar la seguridad de las personas y de las instalaciones mediante circuito cerrado de televisión
• Acreditar la debida prestación del servicio médico y defender los derechos del responsable ante quejas, arbitrajes médicos o procedimientos judiciales

Tus encargados (no son transferencias)

Encargados (tratan datos por tu cuenta; no son transferencias):

• Proveedor del sistema de expediente clínico electrónico — Captura, almacenamiento y respaldo del expediente clínico en la nube por instrucción del médico responsable
• Plataforma de agenda y recordatorio de citas — Programación de citas y envío de recordatorios por mensaje, correo o llamada
• Proveedor de hospedaje web y almacenamiento en la nube — Alojamiento del sitio, del formulario de citas y de los respaldos de información
• Proveedor de correo electrónico corporativo — Comunicación con el paciente y envío de recetas y resultados
• WhatsApp — Canal de mensajería para recordatorios de cita y comunicación con el paciente
• Proveedor autorizado de certificación (PAC) — Timbrado y emisión de comprobantes fiscales digitales por internet
• Despacho contable externo — Registro contable y cumplimiento de obligaciones fiscales por cuenta del responsable
• Plataforma de videoconsulta y telemedicina — Realización de la consulta a distancia por instrucción del médico
• Proveedor de videovigilancia y seguridad — Operación y resguardo de las grabaciones del circuito cerrado
• Empresa de destrucción certificada de documentos — Destrucción segura de expedientes y documentos clínicos al concluir el plazo de conservación
• Pasarela de pago y terminal punto de venta — Procesamiento de pagos con tarjeta de crédito o débito
• PayPal — Procesamiento de pagos en línea
• Stripe — Procesamiento de pagos con tarjeta
• Shopify Payments — Procesamiento de pagos con tarjeta
• Mercado Pago — Procesamiento de pagos en línea
• Clip — Procesamiento de pagos con tarjeta en punto de venta
• Conekta — Procesamiento de pagos y referencias en efectivo
• Openpay — Procesamiento de pagos en línea

A quién se transfieren (interconsulta, aseguradoras, autoridad sanitaria)

Transferencias (a terceros que usan los datos para fines propios; excepciones, art. 36):

• Médicos tratantes, interconsultantes y especialistas a los que se refiere al paciente — Continuar el diagnóstico y el tratamiento del paciente bajo la responsabilidad profesional de cada médico (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))
• Laboratorios de análisis clínicos y gabinetes de imagen a los que se refiere al paciente — Realizar e interpretar los estudios indicados por el médico tratante (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))
• Hospitales, clínicas y servicios de urgencias — Coordinar el ingreso, la hospitalización, la cirugía o la atención de urgencias del paciente (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))
• Instituciones de seguros y sus administradores de siniestros — Tramitar la autorización, el pago directo o el reembolso de los gastos médicos amparados por la póliza contratada por el paciente (art. 36 fr. IV LFPDPPP (transferencia necesaria por virtud de un contrato celebrado o por celebrar en interés de la persona titular))
• Secretaría de Salud y autoridades sanitarias estatales — Cumplir la notificación obligatoria de enfermedades transmisibles y de casos sujetos a vigilancia epidemiológica (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
• Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS) — Atender visitas de verificación sanitaria y requerimientos de la autoridad reguladora (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
• Servicio de Administración Tributaria (SAT) — Emitir comprobantes fiscales y cumplir las obligaciones tributarias del responsable (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
• Autoridades judiciales, ministerios públicos y CONAMED — Atender requerimientos fundados y motivados, incluidas las solicitudes de expediente clínico y los procedimientos de arbitraje médico (art. 36 fr. V LFPDPPP (salvaguarda de un interés público o procuración y administración de justicia))
• Instituciones bancarias y financieras — Procesar los pagos y las devoluciones del paciente (art. 36 fr. VII LFPDPPP (mantenimiento o cumplimiento de la relación jurídica entre el responsable y la persona titular))
• Terceros pagadores y empresas con convenio que cubren la atención del paciente — Facturar y cobrar los servicios prestados al amparo del convenio (art. 36 fr. IV LFPDPPP (transferencia necesaria por virtud de un contrato celebrado o por celebrar en interés de la persona titular))
• Sociedades controladoras, subsidiarias y afiliadas del responsable — Continuidad de la atención y administración del grupo bajo procesos y políticas internas comunes (art. 36 fr. III LFPDPPP (sociedades controladoras, subsidiarias o afiliadas bajo el control común del responsable, o sociedad del mismo grupo que opera bajo los mismos procesos y políticas internas))
• Bancos de sangre y servicios de medicina transfusional — Gestionar la disposición de sangre y hemocomponentes indicada al paciente (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))

Normativa sectorial que también te aplica

Normas del sector que concurren con la LFPDPPP:

• Ley General de Salud (artículos 136, 137 y 138: notificación obligatoria de enfermedades transmisibles a la autoridad sanitaria)
• NOM-004-SSA3-2012, Del expediente clínico (numeral 5.4: los expedientes son propiedad del prestador de servicios y deben conservarse por un periodo mínimo de 5 años contados a partir de la fecha del último acto médico; numeral 5.5.1: la información solo puede proporcionarse a terceros mediante solicitud escrita del paciente, tutor o representante legal; numeral 5.7: manejo confidencial)
• NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud, cuando el consultorio opere expediente clínico electrónico
• Reglamento de la Ley General de Salud en materia de Prestación de Servicios de Atención Médica (artículo 134: los expedientes clínicos solo serán manejados por personal autorizado)
• NOM-017-SSA2-2012, Para la vigilancia epidemiológica
• NOM-046-SSA2-2005, Violencia familiar, sexual y contra las mujeres. Criterios para la prevención y atención (notificación obligatoria al Ministerio Público en los casos previstos)
• NOM-010-SSA2-2010, Para la prevención y el control de la infección por Virus de la Inmunodeficiencia Humana (confidencialidad del resultado)
• Aviso de funcionamiento y responsable sanitario ante COFEPRIS

Revisado contra la LFPDPPP vigente el 16 de octubre de 2026 y la normativa sanitaria citada. Reglaria no es autoridad