Guias
Proteção de dados para nutricionistas no México: o que mudou em 2025
A nova Ley Federal de Protección de Datos Personales en Posesión de los Particulares revogou a lei de 2010 e substituiu o INAI. O que isso implica para um consultório de nutrição.
Em março de 2025, o México estreou uma nova Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que revoga a de 2010 e muda a autoridade supervisora. Se o seu aviso de privacidade ainda menciona o INAI, ele está desatualizado.
Em 20 de março de 2025 foi publicada uma nova Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que revoga a lei de 2010. A mudança institucional é a mais visível: o INAI deixou de existir e as funções de supervisão passaram para a Secretaría Anticorrupción y Buen Gobierno.
Seus dados são sensíveis por definição
A legislação mexicana considera dados pessoais sensíveis aqueles que afetam a esfera mais íntima do titular ou cuja utilização indevida possa dar origem a discriminação ou implique um risco grave. O estado de saúde está expressamente nessa categoria. Para tratá-los, exige-se consentimento expresso e por escrito do titular, um padrão mais alto que o consentimento tácito que basta para dados comuns.
O aviso de privacidade
É a peça central do sistema mexicano e não é opcional. Deve ser colocado à disposição do paciente antes de coletar seus dados e conter, no mínimo:
- Identidade e endereço de quem trata os dados: você ou seu consultório.
- As finalidades do tratamento, separando as necessárias das que não são.
- Que serão tratados dados sensíveis e para quê, com menção expressa.
- Os meios para exercer os direitos ARCO — acesso, retificação, cancelamento e oposição — e perante quem.
- As transferências de dados que forem realizadas e para quem.
- O procedimento para comunicar mudanças no aviso.
Consentimento expresso e por escrito
Para dados sensíveis, não basta que o paciente não se oponha. Você precisa do consentimento expresso e por escrito dele, o que na prática significa assinatura — manuscrita ou eletrônica — em um documento que declare que ele foi informado sobre quais dados sensíveis serão tratados e com qual finalidade. Guarde esse documento com o mesmo cuidado que o prontuário: é a sua prova.
Como se cruza com a NOM-004
A legislação de dados pessoais e a do prontuário convivem. A NOM-004-SSA3-2012 obriga você a conservar o prontuário por no mínimo cinco anos a partir do último ato registrado; a lei de dados obriga você a suprimir o que já não tem finalidade. Elas não se contradizem: a obrigação de conservação é, justamente, uma finalidade que justifica manter o prontuário, mesmo que você não o use de forma ativa.
| Situação | O que fazer com o prontuário | O que fazer com os dados de marketing |
|---|---|---|
| Paciente ativo | É mantido e atualizado | São usados se ele deu consentimento |
| Paciente que deixa de vir | É conservado por obrigação, sem uso ativo | Deixam de ser usados |
| Paciente revoga o consentimento | É conservado por obrigação legal | São suprimidos e isso é documentado |
| Cumprido o prazo de conservação | Pode ser suprimido de forma segura | Já deveriam estar suprimidos |
Medidas de segurança exigíveis
A legislação exige medidas administrativas, técnicas e físicas proporcionais ao risco e, quando se trata de dados sensíveis, a exigência sobe. No consultório, isso se traduz no previsível, mas raramente implementado:
- Usuário nominal para cada pessoa com acesso, com senha própria e segundo fator.
- Criptografia dos dispositivos em que os prontuários são consultados.
- Backups verificados, com pelo menos uma cópia fora do equipamento principal.
- Controle de quem acessa o quê e registro desses acessos sempre que possível.
- Acordos de confidencialidade com recepção, assistentes e qualquer colaborador.
- Guarda física trancada de tudo o que ainda estiver em papel.
Violações de segurança
Diante de uma violação que afete de forma significativa os direitos patrimoniais ou morais dos titulares, é preciso informá-los sem demora para que possam tomar providências. Documente sempre o incidente, quais dados foram afetados, quais medidas corretivas você aplicou e como evitará que se repita.
Perguntas frequentes
Ainda posso usar meu aviso de privacidade anterior?
A estrutura continua válida, mas é preciso atualizar as referências à autoridade e revisar se as finalidades e os dados sensíveis estão descritos com a precisão que a lei vigente exige.
O consentimento pode ser eletrônico?
Sim, desde que fique um registro atribuível ao titular. O relevante não é o papel, e sim poder comprovar quem consentiu, quando e sobre quais informações.
E se eu trabalho com pacientes fora do México?
Mais de um marco pode se aplicar a você ao mesmo tempo. Se você atende residentes na União Europeia, por exemplo, o RGPD pode alcançá-lo, e é recomendável alinhar suas práticas ao padrão mais exigente.
Preciso registrar meu banco de dados perante alguma autoridade?
O modelo mexicano não se baseia em um registro prévio de bancos de dados, mas na responsabilidade de quem trata os dados: o aviso de privacidade, o consentimento e as medidas de segurança são o que você terá de comprovar.
Este guia é informativo e não constitui assessoria jurídica. Consulte a legislação vigente no seu país e, em caso de dúvida, um profissional.
Próximo passo
Leve a nutrição clínica para o próximo nível com a Almendra
Crie planos, gerencie pacientes e automatize acompanhamentos em uma única plataforma.