Guías
Protección de datos para nutriólogos en México: qué cambió en 2025
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares abrogó la ley de 2010 y sustituyó al INAI. Qué implica para una consulta de nutrición.
En marzo de 2025 México estrenó una Ley Federal de Protección de Datos Personales en Posesión de los Particulares nueva, que abroga la de 2010 y cambia la autoridad supervisora. Si tu aviso de privacidad sigue mencionando al INAI, está desactualizado.
El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) que abroga la ley de 2010. El cambio institucional es el más visible: el INAI desapareció y las funciones de supervisión pasaron a la Secretaría Anticorrupción y Buen Gobierno.
Tus datos son sensibles por definición
La normativa mexicana considera datos personales sensibles aquellos que afectan a la esfera más íntima del titular o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave. El estado de salud está expresamente en esa categoría. Para tratarlos se exige consentimiento expreso y por escrito del titular, un estándar más alto que el consentimiento tácito que basta para datos ordinarios.
El aviso de privacidad
Es la pieza central del sistema mexicano y no es opcional. Debe ponerse a disposición del paciente antes de recabar sus datos y contener, como mínimo:
- Identidad y domicilio de quien trata los datos: tú o tu consultorio.
- Las finalidades del tratamiento, separando las necesarias de las que no lo son.
- Que se tratarán datos sensibles y para qué, con mención expresa.
- Los medios para ejercer los derechos ARCO —acceso, rectificación, cancelación y oposición— y ante quién.
- Las transferencias de datos que se realicen y a quién.
- El procedimiento para comunicar cambios al aviso.
Consentimiento expreso y por escrito
Para datos sensibles no basta con que el paciente no se oponga. Necesitas su consentimiento expreso y por escrito, lo que en la práctica significa firma —manuscrita o electrónica— sobre un documento que declare que se le informó qué datos sensibles se tratarán y con qué finalidad. Guarda ese documento con la misma diligencia que el expediente clínico: es tu prueba.
Cómo se cruza con la NOM-004
La normativa de datos personales y la del expediente clínico conviven. La NOM-004-SSA3-2012 te obliga a conservar el expediente un mínimo de cinco años desde el último acto registrado; la ley de datos te obliga a suprimir lo que ya no tiene finalidad. No se contradicen: la obligación de conservación es, precisamente, una finalidad que justifica mantener el expediente, aunque no lo uses de forma activa.
| Situación | Qué hacer con el expediente | Qué hacer con los datos de marketing |
|---|---|---|
| Paciente activo | Se mantiene y se actualiza | Se usan si dio consentimiento |
| Paciente que deja de venir | Se conserva por obligación, sin uso activo | Se deja de usar |
| Paciente revoca consentimiento | Se conserva por obligación legal | Se suprime y se documenta |
| Cumplido el plazo de conservación | Se puede suprimir de forma segura | Ya debería estar suprimido |
Medidas de seguridad exigibles
La normativa exige medidas administrativas, técnicas y físicas proporcionales al riesgo, y tratándose de datos sensibles el listón sube. En consulta, esto se traduce en lo previsible pero pocas veces implementado:
- Usuario nominal para cada persona con acceso, con contraseña propia y segundo factor.
- Cifrado de los dispositivos donde se consulten expedientes.
- Respaldos verificados, con al menos una copia fuera del equipo principal.
- Control de quién accede a qué, y registro de esos accesos cuando sea posible.
- Acuerdos de confidencialidad con recepción, asistentes y cualquier colaborador.
- Resguardo físico bajo llave de todo lo que siga en papel.
Vulneraciones de seguridad
Ante una vulneración que afecte de forma significativa los derechos patrimoniales o morales de los titulares, corresponde informarles sin demora para que puedan tomar medidas. Documenta siempre el incidente, qué datos se vieron afectados, qué medidas correctivas aplicaste y cómo evitarás la repetición.
Preguntas frecuentes
¿Sigo pudiendo usar mi aviso de privacidad anterior?
La estructura sigue siendo válida, pero hay que actualizar las referencias a la autoridad y revisar que las finalidades y los datos sensibles estén descritos con la precisión que exige la ley vigente.
¿El consentimiento puede ser electrónico?
Sí, siempre que quede constancia atribuible al titular. Lo relevante no es el papel, es poder acreditar quién consintió, cuándo y sobre qué información.
¿Qué pasa si trabajo con pacientes fuera de México?
Puede aplicarte más de un marco a la vez. Si atiendes a residentes en la Unión Europea, por ejemplo, el RGPD puede alcanzarte, y conviene alinear tus prácticas al estándar más exigente.
¿Necesito registrar mi base de datos ante alguna autoridad?
El modelo mexicano no se basa en un registro previo de bases de datos, sino en la responsabilidad de quien trata los datos: el aviso de privacidad, el consentimiento y las medidas de seguridad son lo que se te va a exigir acreditar.
Esta guía es informativa y no constituye asesoramiento legal. Consulta la normativa vigente en tu país y, si tienes dudas, con un profesional.
Próximo paso
Lleva la nutrición clínica al siguiente nivel con Almendra
Diseña planes, gestiona pacientes y automatiza seguimientos en una sola plataforma.