Aviso de privacidad para clínicas: qué exige la LFPDPPP

El aviso de privacidad de una clínica debe identificar al responsable, los datos que trata señalando los sensibles, las finalidades distinguiendo las necesarias de las voluntarias, los medios para limitar el uso de los datos y el procedimiento para ejercer derechos ARCO y comunicar cambios.

Suena sencillo hasta que se comprueba contra la realidad de una consulta: el formulario de la web, el mensaje por aplicación de mensajería para agendar, la hoja de recepción que se rellena a mano, la cámara del pasillo, el laboratorio externo que recibe la muestra y el sistema que guarda el expediente. Cada uno de esos puntos recaba datos, y el aviso publicado en el pie de la web no cubre a ninguno salvo el primero.

¿Qué ley se aplica hoy en México?

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente, sustituyendo a la ley homónima de 2010.

Dos cambios estructurales que conviene tener presentes antes de redactar nada:

• Cambió la autoridad. Con la desaparición del Instituto Nacional de Transparencia, la supervisión en materia de protección de datos en posesión de particulares pasó a la Secretaría Anticorrupción y Buen Gobierno.
• Se reforzó la exigencia sobre finalidades. El aviso debe distinguir con claridad las finalidades necesarias para la relación jurídica de las que no lo son, y un tratamiento para finalidad distinta a la informada requiere volver a solicitar consentimiento.

Este artículo describe el marco general. No sustituye la revisión de un abogado sobre el aviso concreto de una clínica concreta, por los motivos que explicamos al final.

¿Qué es el aviso de privacidad y en qué se diferencia de una política de privacidad?

Un aviso de privacidad es el documento que el responsable pone a disposición del titular en el momento en que recaba sus datos, con el fin de informarle qué datos trata, para qué, con quién los comparte y cómo puede controlarlos. Es un acto de información con momento y destinatario definidos.

Una política de privacidad, en cambio, es un texto corporativo genérico. Puede coincidir en contenido, pero no cumple la función si no se entrega en el punto de recolección. Una clínica con una política excelente en la web y sin aviso en recepción está incumpliendo en el punto donde más datos sensibles entran.

¿Qué contenido mínimo debe tener el aviso?

Elemento	Qué debe decir en una clínica
Identidad y domicilio del responsable	Denominación legal completa de la sociedad o del profesional, no el nombre comercial a secas
Datos que se tratan	Categorías concretas, señalando expresamente los sensibles: estado de salud, antecedentes, resultados, datos biométricos si los hay
Finalidades necesarias	Las que dan origen y mantienen la relación: atención médica, integración del expediente, facturación, seguimiento clínico
Finalidades no necesarias	Recordatorios comerciales, encuestas de satisfacción, campañas, uso de imágenes con fines docentes o de difusión
Mecanismo para negar las finalidades no necesarias	Cómo se rechaza cada una, por separado y sin condicionar la atención
Transferencias y remisiones	Laboratorios, aseguradoras, sistemas de gestión, servicios en la nube; señalando cuáles requieren consentimiento
Medios para limitar el uso o divulgación	Canal concreto, no una fórmula abstracta
Ejercicio de derechos ARCO	Acceso, rectificación, cancelación y oposición: a quién se dirige la solicitud, por qué vía y qué se debe acompañar
Revocación del consentimiento	Procedimiento y efectos, incluido lo que la clínica está obligada a conservar pese a la revocación
Uso de tecnologías de rastreo	Si la web o la aplicación emplea cookies u otras tecnologías de seguimiento
Cambios al aviso	Cómo se comunicarán y dónde se publicarán

Dos precisiones que evitan la mayor parte de los problemas:

• Las finalidades se enumeran, no se agrupan. "Fines administrativos y de mejora del servicio" no informa de nada y no permite al paciente negarse a una cosa y aceptar otra.
• Negar una finalidad no necesaria no puede condicionar la atención. Si el paciente rechaza las comunicaciones comerciales, sigue teniendo derecho a la consulta en las mismas condiciones. Escribirlo en el aviso es lo que lo hace creíble.

¿Cuándo hace falta el aviso simplificado?

La ley incorpora la obligación de poner a disposición del titular un aviso simplificado cuando los datos se recaban por medios electrónicos, ópticos, sonoros, visuales u otras tecnologías. Es la versión corta que se muestra en el punto de contacto digital.

Contenido típico del simplificado: quién es el responsable, para qué se van a usar los datos, si hay transferencias que requieren consentimiento, y dónde consultar el aviso integral, con enlace o mecanismo de acceso directo.

Aplicado a una clínica, el simplificado es lo que va en:

• El formulario de cita de la web, antes del botón de envío.
• El primer mensaje automatizado del canal de mensajería.
• La pantalla de registro del quiosco o tableta de recepción.
• El pie de los correos de captación.

Y el integral es lo que va publicado en la web y disponible en papel en recepción para quien lo pida.

¿Por qué los datos de salud cambian todo?

Porque son datos sensibles. La ley considera sensibles aquellos que afectan a la esfera más íntima del titular o cuyo uso indebido pueda originar discriminación o conllevar un riesgo grave: entre ellos, el estado de salud presente y futuro, la información genética, el origen racial o étnico, las creencias y la preferencia sexual.

Eso desencadena tres consecuencias operativas:

1. Consentimiento expreso y por escrito. No basta el tácito. El titular debe manifestarlo mediante firma autógrafa, firma electrónica o un mecanismo de autenticación equivalente. En una clínica, esto significa que el consentimiento debe quedar documentado y recuperable, no confiado a la memoria de quien atendió en recepción.
2. Principio de minimización reforzado. Se recaba lo necesario para la finalidad informada. El campo "observaciones" de un formulario web abierto al paciente es una vía de entrada de información sensible que nadie pidió y que después hay que custodiar igual.
3. Medidas de seguridad proporcionales a la sensibilidad. Control de acceso por rol, registro de quién consulta cada expediente, cifrado en tránsito y en reposo, y un procedimiento de respuesta ante vulneraciones. Ningún control elimina el riesgo por completo; el objetivo es reducirlo de forma demostrable y poder acreditar qué se hizo. Si el expediente vive en un servicio en la nube, la lista concreta está en seguridad de la historia clínica en la nube.

¿Dónde se recaban datos en una clínica de verdad?

Este es el ejercicio que descubre los huecos. Cada fila necesita su aviso, y varias necesitan además consentimiento documentado.

Punto de recolección	Aviso que corresponde	Riesgo frecuente
Recepción presencial	Integral disponible, simplificado visible	Se entrega el aviso pero no se conserva evidencia de la entrega
Formulario de cita en la web	Simplificado con enlace al integral	Casilla premarcada, que no vale como consentimiento
Mensajería instantánea	Simplificado en el primer mensaje	Historiales con datos clínicos en teléfonos personales del personal
Teleconsulta	Simplificado antes de iniciar, más consentimiento si se graba	Grabación sin consentimiento expreso ni política de retención
Videovigilancia	Cartel informativo en el punto de captación	Cámaras orientadas a zonas de atención donde se oye información clínica
Wifi de cortesía	Aviso en el portal de acceso	Registro de datos de conexión sin informar
Laboratorio o estudios externos	Mención expresa en el integral	Transferencia no informada al paciente
Sistema de gestión y respaldo	Mención de encargados y ubicación	Servicios contratados sin acuerdo que regule el tratamiento
Herramientas de transcripción o resumen automático	Mención expresa y evaluación previa	Datos clínicos introducidos en servicios sin contrato

La última fila crece cada mes. Si en la clínica se usa alguna herramienta que transcriba o resuma consultas, ese uso es un tratamiento de datos sensibles por un tercero y debe estar registrado antes de discutir si es buena idea: el método está en nuestro artículo sobre el inventario de sistemas de IA.

¿Qué relación tiene el aviso con el expediente clínico?

Son obligaciones distintas que conviven. La NOM-004-SSA3-2012, del expediente clínico fija criterios sobre integración, uso, manejo, archivo, conservación, propiedad, titularidad y confidencialidad del expediente. La ley de datos regula la información al titular y el ejercicio de sus derechos.

El punto donde se cruzan y donde más se falla: una solicitud de cancelación no permite destruir un expediente clínico cuya conservación es obligatoria. El aviso debe decirlo de antemano, con lenguaje claro, en la sección de derechos ARCO. Un paciente que pide el borrado y recibe una negativa sin explicación previa acaba en queja; el mismo paciente informado desde el principio acepta la respuesta sin fricción.

¿Dónde termina la plantilla y empieza el criterio jurídico?

Una plantilla resuelve la estructura y el lenguaje base. Deja de servir en cuanto aparece alguna de estas situaciones, todas frecuentes:

• Menores de edad y representación. Quién consiente, cómo se acredita y qué ocurre al alcanzar la mayoría de edad.
• Uso docente, difusión o publicación de casos. Exige consentimiento específico, separado y revocable, con tratamiento propio de las imágenes.
• Investigación clínica. Régimen adicional, con requisitos que la ley de datos no agota.
• Aseguradoras y terceros pagadores. Qué se transfiere, con qué alcance y qué se queda fuera.
• Operación transfronteriza. Si la clínica atiende a pacientes residentes en la Unión Europea o en California, se suman regímenes con lógica distinta, como explicamos en la comparación entre GDPR y CCPA.
• Vulneración de seguridad. Qué se comunica, a quién y en qué plazo. Esto no se improvisa el día del incidente.

Cada una de esas seis situaciones se ha resuelto mal en avisos que hemos revisado, y ninguna se arregla copiando el aviso de otra clínica. En esos puntos hace falta criterio jurídico sobre el caso, no un texto general.

Qué hacer ahora

1. Levanta el mapa real de puntos de recolección, incluidos mensajería, cámaras y wifi. La tabla de arriba sirve de base.
2. Separa las finalidades necesarias de las que no lo son y escribe cada una en una línea propia.
3. Redacta el aviso integral y publica el simplificado en todos los puntos digitales, con enlace al integral.
4. Diseña el consentimiento expreso y por escrito para datos sensibles, con evidencia recuperable y asociada al expediente. Si el alta de pacientes está automatizada, revisa cómo encaja el consentimiento en el flujo siguiendo el onboarding de pacientes automatizado.
5. Escribe en la sección de derechos ARCO qué se conserva por obligación normativa aunque el paciente pida cancelación.
6. Revisa qué herramientas de terceros tocan información clínica y comprueba si existe acuerdo que lo respalde.
7. Somete el resultado a revisión jurídica antes de publicarlo. Es el paso que la plantilla no puede darte.

Trabajamos este mapa junto con los controles técnicos que lo sostienen —accesos por rol, registro de consultas al expediente y respuesta a incidentes— desde el pilar de compliance y con el enfoque específico de salud digital. El estado de cada marco que aplicamos, sin insinuar certificaciones inexistentes, está publicado en nuestro centro de confianza. Si quieres una revisión del aviso que hoy tiene tu clínica y del hueco entre lo que dice y lo que pasa en recepción, escríbenos en contacto.