Aviso de privacidad para un consultorio médico

Qué datos recaba un consultorio

• Expediente clínico e historia clínica
• Padecimiento actual, signos y síntomas
• Antecedentes heredofamiliares
• Antecedentes personales patológicos y no patológicos
• Diagnóstico, pronóstico y notas de evolución
• Datos de exploración física (signos vitales, peso, talla)
• Resultados de estudios de laboratorio y gabinete
• Cartas de consentimiento informado
• Fotografías clínicas de la evolución del tratamiento
• Datos de la póliza de gastos médicos
• Médico que refiere y médicos interconsultantes
• Persona a contactar en caso de urgencia

La salud es el dato sensible del giro

Sensibles del giro (art. 8: consentimiento expreso y por escrito):

Estado de salud presente, pasado y futuro: padecimiento actual, diagnósticos, tratamientos, medicamentos, alergias, resultados de estudios y notas de evolución

Es el dato sensible característico del giro. El artículo 2, fracción VI de la LFPDPPP considera sensible el estado de salud, y el artículo 8 exige consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica u otro mecanismo de autenticación. El consentimiento debe recabarse en el momento de abrir el expediente, no de forma tácita ni sepultado en un formato de registro. Excepción del artículo 9, fracción VI: no se requiere consentimiento cuando el tratamiento sea indispensable para la atención médica, prevención, diagnóstico o gestión de servicios sanitarios mientras el titular no esté en condiciones de otorgarlo y quien trate los datos esté sujeto al secreto profesional.

Antecedentes heredofamiliares

Revelan el estado de salud de familiares que no son titulares de la relación con el consultorio. Se recaban únicamente por su valor diagnóstico, deben limitarse a lo clínicamente necesario y no pueden usarse para perfilar al paciente con fines comerciales ni compartirse con aseguradoras fuera del trámite del siniestro.

Información genética y resultados de estudios genéticos

Sensible por mención expresa del artículo 2, fracción VI. Máximo nivel de riesgo porque afecta también a los familiares consanguíneos. Solo debe recabarse cuando el estudio genético forme parte del diagnóstico o tratamiento indicado, con consentimiento expreso y por escrito específico para ese estudio, y con prohibición explícita de transferirla a aseguradoras o empleadores.

Hábitos de consumo de tabaco, alcohol y otras sustancias psicoactivas

Forman parte del interrogatorio obligatorio de la historia clínica conforme al numeral 6.1.1 de la NOM-004-SSA3-2012. Son datos de salud y su uso indebido puede dar origen a discriminación laboral o al encarecimiento de un seguro, por lo que su acceso debe restringirse al personal clínico.

Preferencia sexual

Sensible por mención expresa de la ley. Solo se justifica cuando resulte clínicamente relevante para el diagnóstico o el tratamiento (por ejemplo, en salud sexual y reproductiva). Nunca debe recabarse de forma rutinaria en la ficha de identificación.

Creencias religiosas

Sensible por mención expresa de la ley. En el sector salud tiene una finalidad legítima acotada: asistencia espiritual solicitada por el paciente y objeciones al tratamiento (por ejemplo, transfusiones). Debe ser un dato voluntario y separado del consentimiento general, y no puede condicionarse la atención a proporcionarlo.

Fotografías y videograbaciones clínicas

Cuando muestran una lesión, un padecimiento o el resultado de un tratamiento son datos de salud, aunque el rostro esté cubierto. Su uso para el expediente es finalidad primaria; su publicación con fines docentes, de difusión o en redes sociales exige, además, la autorización escrita del paciente conforme al numeral 5.5 de la NOM-004-SSA3-2012, recabada por separado y revocable.

Datos de la póliza de gastos médicos, RFC, CURP y datos de facturación (NO son sensibles)

Aclaración deliberada: el número de póliza, la aseguradora, el RFC, la CURP, los datos bancarios y las imágenes de videovigilancia son datos personales ordinarios, financieros o patrimoniales, no sensibles. Los datos financieros y patrimoniales requieren consentimiento expreso conforme al artículo 7 de la LFPDPPP, pero no el consentimiento expreso y por escrito reservado a los sensibles. Declararlos como sensibles es un error frecuente que diluye el régimen reforzado de los datos que sí lo son.

Para qué usa los datos un consultorio

Finalidades primarias (dan origen a la relación; sin casilla de negativa):

• Prestar los servicios de atención médica, diagnóstico y tratamiento solicitados por el paciente
• Integrar, actualizar, resguardar y conservar el expediente clínico del paciente en los términos de la NOM-004-SSA3-2012
• Identificar y verificar la identidad del paciente y de quien solicita el servicio
• Agendar, confirmar, reprogramar y controlar las citas médicas
• Enviar recordatorios de la cita y de las indicaciones previas al estudio o procedimiento
• Comunicar y entregar al paciente los resultados de estudios, recetas y prescripciones médicas
• Dar seguimiento a la evolución del padecimiento y al apego al tratamiento
• Recabar y documentar el consentimiento informado para procedimientos diagnósticos y terapéuticos
• Referir al paciente y compartir su información con médicos interconsultantes y especialistas cuando el caso lo requiera
• Realizar el cobro de los honorarios y servicios, emitir comprobantes fiscales y llevar la contabilidad
• Gestionar el trámite de reembolso o pago directo ante la aseguradora de gastos médicos del paciente
• Contactar a la persona designada por el paciente y coordinar su traslado o atención en caso de urgencia
• Cumplir las obligaciones que imponen la Ley General de Salud, las normas oficiales mexicanas y los requerimientos de la autoridad sanitaria
• Atender dudas, quejas, aclaraciones y solicitudes de información del paciente

Tus encargados (no son transferencias)

Encargados (tratan datos por tu cuenta; no son transferencias):

• Proveedor del sistema de expediente clínico electrónico — Captura, almacenamiento y respaldo del expediente clínico en la nube por instrucción del médico responsable
• Plataforma de agenda y recordatorio de citas — Programación de citas y envío de recordatorios por mensaje, correo o llamada
• Proveedor de hospedaje web y almacenamiento en la nube — Alojamiento del sitio, del formulario de citas y de los respaldos de información
• Proveedor de correo electrónico corporativo — Comunicación con el paciente y envío de recetas y resultados
• WhatsApp — Canal de mensajería para recordatorios de cita y comunicación con el paciente
• Proveedor autorizado de certificación (PAC) — Timbrado y emisión de comprobantes fiscales digitales por internet
• Pasarela de pago y terminal punto de venta — Procesamiento de los pagos del paciente
• Despacho contable externo — Registro contable y cumplimiento de obligaciones fiscales por cuenta del responsable
• Plataforma de videoconsulta y telemedicina — Realización de la consulta a distancia por instrucción del médico
• Proveedor de videovigilancia y seguridad — Operación y resguardo de las grabaciones del circuito cerrado

A quién se transfieren (interconsulta, aseguradoras, autoridad sanitaria)

Transferencias (a terceros que usan los datos para fines propios; excepciones, art. 36):

• Médicos tratantes, interconsultantes y especialistas a los que se refiere al paciente — Continuar el diagnóstico y el tratamiento del paciente bajo la responsabilidad profesional de cada médico (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))
• Laboratorios de análisis clínicos y gabinetes de imagen a los que se refiere al paciente — Realizar e interpretar los estudios indicados por el médico tratante (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))
• Hospitales, clínicas y servicios de urgencias — Coordinar el ingreso, la hospitalización, la cirugía o la atención de urgencias del paciente (art. 36 fr. II LFPDPPP (transferencia necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios))
• Instituciones de seguros y sus administradores de siniestros — Tramitar la autorización, el pago directo o el reembolso de los gastos médicos amparados por la póliza contratada por el paciente (art. 36 fr. IV LFPDPPP (transferencia necesaria por virtud de un contrato celebrado o por celebrar en interés de la persona titular))
• Secretaría de Salud y autoridades sanitarias estatales — Cumplir la notificación obligatoria de enfermedades transmisibles y de casos sujetos a vigilancia epidemiológica (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
• Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS) — Atender visitas de verificación sanitaria y requerimientos de la autoridad reguladora (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
• Servicio de Administración Tributaria (SAT) — Emitir comprobantes fiscales y cumplir las obligaciones tributarias del responsable (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
• Autoridades judiciales, ministerios públicos y CONAMED — Atender requerimientos fundados y motivados, incluidas las solicitudes de expediente clínico y los procedimientos de arbitraje médico (art. 36 fr. V LFPDPPP (salvaguarda de un interés público o procuración y administración de justicia))
• Instituciones bancarias y financieras — Procesar los pagos y las devoluciones del paciente (art. 36 fr. VII LFPDPPP (mantenimiento o cumplimiento de la relación jurídica entre el responsable y la persona titular))
• Terceros pagadores y empresas con convenio que cubren la atención del paciente — Facturar y cobrar los servicios prestados al amparo del convenio (art. 36 fr. IV LFPDPPP (transferencia necesaria por virtud de un contrato celebrado o por celebrar en interés de la persona titular))
• Sociedades controladoras, subsidiarias y afiliadas del responsable — Continuidad de la atención y administración del grupo bajo procesos y políticas internas comunes (art. 36 fr. III LFPDPPP (sociedades controladoras, subsidiarias o afiliadas bajo el control común del responsable, o sociedad del mismo grupo que opera bajo los mismos procesos y políticas internas))

Normativa sectorial que también te aplica

Normas del sector que concurren con la LFPDPPP:

• Ley General de Salud (artículos 136, 137 y 138: notificación obligatoria de enfermedades transmisibles a la autoridad sanitaria)
• NOM-004-SSA3-2012, Del expediente clínico (numeral 5.4: los expedientes son propiedad del prestador de servicios y deben conservarse por un periodo mínimo de 5 años contados a partir de la fecha del último acto médico; numeral 5.5.1: la información solo puede proporcionarse a terceros mediante solicitud escrita del paciente, tutor o representante legal; numeral 5.7: manejo confidencial)
• NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud, cuando el consultorio opere expediente clínico electrónico
• Reglamento de la Ley General de Salud en materia de Prestación de Servicios de Atención Médica (artículo 134: los expedientes clínicos solo serán manejados por personal autorizado)
• NOM-017-SSA2-2012, Para la vigilancia epidemiológica
• NOM-046-SSA2-2005, Violencia familiar, sexual y contra las mujeres. Criterios para la prevención y atención (notificación obligatoria al Ministerio Público en los casos previstos)
• NOM-010-SSA2-2010, Para la prevención y el control de la infección por Virus de la Inmunodeficiencia Humana (confidencialidad del resultado)
• Aviso de funcionamiento y responsable sanitario ante COFEPRIS

A la fecha de este documento, el Reglamento de la LFPDPPP (nueva ley en vigor desde el 21 de marzo de 2025) aún no ha sido publicado: el Transitorio Décimo Segundo ordena al Ejecutivo expedir las adecuaciones a los reglamentos y demás disposiciones aplicables dentro de los noventa días naturales siguientes a la entrada en vigor. Por eso ni el Reglamento ni los Lineamientos anteriores se citan como normativa en vigor; se cita la ley, y ciertos formatos y términos procesales ante la Secretaría Anticorrupción y Buen Gobierno están pendientes de definirse.

Genera el aviso correcto para tu consultorio

El generador arma tu aviso integral y simplificado ya ajustado a un giro de salud: marca la salud como dato sensible, incluye el consentimiento del artículo 8, separa encargados de transferencias y añade el canal de derechos ARCO. Gratis y sin registro.

Generar el aviso de mi consultorio

Contenido orientativo por giro con base en la LFPDPPP vigente · revisado a agosto de 2026 y la normativa sanitaria citada; no es asesoría legal ni sustituye el criterio de un profesional. Reglaria no es autoridad ni tiene aval oficial.