Si tu aviso de privacidad menciona al INAI, está desactualizado. El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una Ley Federal de Protección de Datos Personales en Posesión de los Particulares completamente nueva, vigente desde el 21 de marzo. Y el expediente de tus pacientes es, por definición, información de la categoría más protegida que reconoce esa ley.
La ley regula el tratamiento de datos personales por parte de particulares. Un consultorio privado —aunque seas tú solo— es un particular que trata datos personales. No hay excepción por tamaño, igual que con la NOM-004.
En el lenguaje de la ley tú eres el responsable: quien decide sobre el tratamiento de esos datos y responde por ellos.
La ley distingue los datos personales sensibles: los que revelan origen racial o étnico, estado de salud, información genética, creencias religiosas o filosóficas, opiniones políticas o preferencia sexual.
La consecuencia práctica es el nivel de consentimiento:
Todo tu expediente cae en el tercer supuesto. Es la diferencia entre «lo dejé a la vista» y «tengo la firma».
Es el documento con el que informas al paciente qué datos tratas y para qué, y debes ponerlo a su disposición desde el momento en que recabas los datos — no después.
La ley nueva subió el detalle exigido: hay que enumerar los datos que se tratarán, identificando cuáles son sensibles, y distinguir las finalidades que requieren consentimiento de las que no. Un aviso genérico de una cuartilla, copiado de internet, ya no cumple ese estándar.
La ley nueva define por primera vez los derechos ARCO, que hasta ahora vivían en el reglamento y en la práctica:
Debes tener un mecanismo para que el paciente los ejerza, y responder en un plazo máximo de veinte días, con quince días adicionales para ejecutarlo cuando proceda.
⚠️ Ojo con la cancelación: el derecho del paciente a pedir que borres sus datos convive con tu obligación sanitaria de conservar el expediente cinco años como mínimo. No se resuelve borrando sin más; es justo el tipo de caso donde conviene asesoría.
El cambio más visible de la reforma: el INAI dejó de existir. La autoridad en materia de protección de datos en posesión de particulares es ahora la Secretaría Anticorrupción y Buen Gobierno, a la que se transfirieron los recursos del extinto instituto.
Además, la defensa cambió de vía: se establece el amparo ante jueces y tribunales especializados, en sustitución del juicio de nulidad ante el Tribunal Federal de Justicia Administrativa. Y las sanciones se calculan en UMA, ya no en salarios mínimos.
Revisa hoy tu aviso de privacidad. Si nombra al INAI como la instancia ante la cual reclamar, está señalando a un organismo que ya no existe.
El Ejecutivo tenía 90 días naturales desde la entrada en vigor para publicar las adecuaciones reglamentarias. Ese plazo venció y, al corte de esta guía, el reglamento nuevo aún no se publica.
Dos consecuencias prácticas: el reglamento de 2011 sigue aplicando de forma supletoria en todo lo que no contradiga a la ley nueva; y la ausencia de reglamento no suspende tus obligaciones — el texto de la ley ya es claro sobre lo central: consentimiento, aviso de privacidad, medidas de seguridad y supresión de datos que ya no son necesarios.
Estás obligado a establecer medidas administrativas, técnicas y físicas que protejan los datos contra daño, pérdida, alteración, destrucción o acceso no autorizado.
Esto es más concreto de lo que suena. Un expediente en una laptop sin cifrar, sin contraseña y sin respaldo es un problema de cumplimiento, no sólo de orden: si esa computadora se pierde, no perdiste unos archivos — tuviste una vulneración de datos sensibles de tus pacientes.
Esta guía es de orientación y no sustituye asesoría legal. La materia está en transición: la ley es nueva, el reglamento está pendiente y los criterios de la nueva autoridad apenas se están formando. Consulta el texto vigente en el Diario Oficial de la Federación y verifica tu caso con un especialista antes de tomar decisiones. Última revisión de esta página: agosto de 2026.
Santé es un programa de gestión clínica que se instala en la computadora de tu consultorio. Su expediente está diseñado en torno a la estructura que pide la NOM-004: historia clínica, notas de evolución, consentimientos informados y resguardo — de modo que te ayuda a cumplir ese requisito sin que tengas que armar el formato desde cero.
Lo decimos con precisión a propósito: ningún software “cumple” una norma. El cumplimiento es un acto del profesional, y la firma es tuya. Lo que un buen sistema hace es que sostenerlo te cueste minutos en vez de tardes. Desconfía de quien te prometa un aval que no existe.