Aviso de privacidad para consultorio médico: guía LFPDPPP y plantilla 2026

Piensa un momento en lo que guardas todos los días en tu consultorio: nombres, domicilios, teléfonos y, sobre todo, algo mucho más delicado —diagnósticos, estudios, tratamientos y antecedentes. La información de salud de tus pacientes es, por definición legal, uno de los tipos de datos más sensibles que existen en México. Y por eso, si atiendes pacientes, la ley te obliga a tener un documento muy específico: el aviso de privacidad.

No es un trámite para llenar y olvidar. Es la forma en que le informas a tu paciente qué haces con sus datos y, al mismo tiempo, tu propia protección legal. En esta guía te explicamos, de forma práctica, qué es el aviso de privacidad, qué debe contener según la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), dónde exponerlo y los errores más comunes que pueden costarte una sanción.

⚠️ Aviso importante: este artículo es una guía orientativa con fines educativos y no sustituye la asesoría de un abogado. Verifica siempre la legislación vigente y consulta a un profesional legal para tu caso concreto.

Qué es el aviso de privacidad y quién es el “responsable”

El aviso de privacidad es el documento donde tú, como profesional de la salud, le informas a tu paciente qué datos personales recabas, para qué los usas y cómo puede ejercer sus derechos sobre ellos. Esta obligación nace de la LFPDPPP, vigente en México desde 2010.

Para entender tus obligaciones, hay tres figuras que conviene tener claras:

• Titular: es tu paciente, el dueño de los datos.
• Responsable: eres tú —el médico o la clínica— quien decide para qué se usan los datos y quien tiene la obligación de publicar el aviso de privacidad.
• Encargado: el proveedor que procesa los datos por cuenta tuya, como un sistema de expediente clínico electrónico.

Aquí está el punto que muchos médicos pasan por alto: aunque uses un software para guardar la información, la responsabilidad legal frente al paciente sigue siendo tuya. Tú eres el responsable, y por eso el aviso lo publicas tú.

Hay un matiz más. Los datos de salud son datos personales sensibles, y la ley les da una protección reforzada. Como regla general, para tratarlos necesitas el consentimiento expreso de tu paciente.

Qué debe contener tu aviso de privacidad (6 elementos esenciales)

Para cumplir con la ley, tu aviso de privacidad integral debe incluir, como mínimo, estos seis elementos:

1. Identidad y domicilio del responsable. El nombre del consultorio o del médico y una dirección donde el paciente pueda localizarte.
2. Finalidades del tratamiento. Para qué usas los datos. Conviene separar las finalidades primarias (dar la atención médica, integrar el expediente) de las secundarias (recordatorios, promociones), que el paciente debe poder rechazar.
3. Datos que recabas —incluyendo, de forma expresa, datos sensibles de salud. Mencionarlo no es opcional: la información clínica tiene protección reforzada.
4. Medios para ejercer los derechos ARCO. Acceso, Rectificación, Cancelación y Oposición. Debes indicar a dónde escribir para ejercerlos.
5. Transferencias a terceros. Si compartes datos con un laboratorio, un sistema de facturación u otro tercero, debes informarlo.
6. Cómo comunicarás los cambios al aviso en el futuro.

Un dato práctico: la ley reconoce tres formatos de aviso. El integral (el completo, con todos los elementos), el simplificado (una versión corta que remite al integral) y el corto (para espacios reducidos). En tu consultorio lo ideal es tener el integral disponible y una versión corta a la vista.

Dónde exponer el aviso de privacidad

El aviso debe darse a conocer al paciente en el momento en que recabas sus datos, o antes. En la práctica, eso se traduce en tres lugares:

• En la recepción de tu consultorio, a la vista: un cartel o una carpeta accesible.
• En tu sitio web o redes sociales, si captas pacientes por esos canales.
• En la primera consulta, al abrir el expediente, dejando constancia de que lo pusiste a su disposición.

5 errores comunes que te pueden costar una sanción

• Copiar un aviso genérico de internet sin adaptarlo. Un aviso que no refleja lo que realmente haces con los datos no te protege.
• Olvidar mencionar de forma expresa los datos sensibles de salud. En un consultorio, esto no es opcional.
• No dar una vía real para ejercer derechos ARCO. Un correo que nadie revisa no cuenta; recuerda que la ley marca plazos concretos para responder.
• No dejar constancia de la entrega del aviso. Si no puedes demostrar que el paciente lo conoció, es como si no existiera.
• Guardar los expedientes sin medidas de seguridad. De nada sirve un aviso impecable si cualquiera puede acceder a la información de tus pacientes.

La protección de datos no termina en el papel: vive en la forma en que resguardas el expediente todos los días.

Plantilla orientativa de aviso de privacidad para consultorio

Usa esta estructura como punto de partida y adáptala a tu realidad. Recuerda validar el texto final con un abogado.

AVISO DE PRIVACIDAD

[Nombre del consultorio / médico], con domicilio en [dirección completa],
es el responsable del uso y protección de sus datos personales.

1. Datos que recabamos
Recabamos datos de identificación y contacto (nombre, domicilio, teléfono,
correo) y datos personales sensibles relativos a su salud (antecedentes,
diagnósticos, estudios y tratamientos), necesarios para brindarle atención médica.

2. Finalidades
Primarias: brindar atención médica, integrar y resguardar su expediente clínico,
emitir recetas y comprobantes.
Secundarias (usted puede rechazarlas): envío de recordatorios de cita e
información de servicios.

3. Datos sensibles
Para el tratamiento de sus datos de salud recabamos su consentimiento expreso.

4. Derechos ARCO
Usted puede Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos
enviando su solicitud a [correo/medio], la cual atenderemos en los plazos de ley.

5. Transferencias
Sus datos podrán compartirse con [laboratorio / sistema de facturación / etc.]
únicamente para las finalidades antes descritas.

6. Cambios al aviso
Cualquier modificación a este aviso será comunicada a través de [medio].

Fecha de última actualización: [fecha].

Cómo un expediente electrónico te ayuda a proteger esos datos

Tener el aviso perfecto es la mitad del trabajo; la otra mitad es proteger de verdad la información. Ahí es donde un expediente clínico electrónico bien diseñado hace la diferencia.

En SaludTotal, como encargados del tratamiento, resguardamos los datos de tus pacientes con cifrado, respaldos y control de accesos por perfiles, de modo que cada persona vea solo lo que le corresponde. Y cuando un paciente ejerce sus derechos —por ejemplo, pide acceder o cancelar sus datos— contamos con un procedimiento para apoyarte a responder esa solicitud dentro de los plazos de la ley.

Queremos ser claros: la herramienta te ayuda a cumplir, pero el responsable frente al paciente sigues siendo tú. Nosotros aportamos la seguridad y el orden; tú pones el criterio y el aviso.

Cómo empezar

• Revisa tu aviso actual contra los 6 elementos de esta guía. Marca lo que falte.
• Menciona de forma expresa los datos sensibles de salud y separa finalidades primarias de secundarias.
• Define un medio real para solicitudes ARCO y asigna a alguien que lo revise.
• Deja constancia de la entrega del aviso en la primera consulta.
• Verifica cómo resguardas los expedientes: accesos, respaldos y cifrado.
• Valida el texto final con un abogado antes de publicarlo.

¿Quieres ver cómo un expediente clínico electrónico seguro y ordenado te facilita proteger a tus pacientes y responder solicitudes ARCO? Conoce SaludTotal o escríbenos por WhatsApp al +52 81 4018 7151.