Publicación de casos clínicos en redes sociales: marco regulatorio y consideraciones éticas
La práctica de compartir información sobre pacientes en plataformas digitales de acceso público —incluyendo redes sociales como Instagram, Facebook, TikTok o X (antes Twitter)— representa una de las zonas de mayor riesgo regulatorio y ético para los profesionales de la salud en México. La respuesta corta es: no, no puede publicarse información de pacientes sin cumplir con un conjunto estricto de requisitos legales, éticos y técnicos que, en la práctica clínica ordinaria, rara vez se satisfacen por completo.
El dato de salud como dato sensible
El punto de partida es comprender qué tipo de dato se maneja. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) clasifica los datos relativos al estado de salud, historial médico, condición física y psicológica de una persona como datos personales sensibles: aquellos que, si son divulgados indebidamente, pueden originar discriminación o poner en riesgo grave a su titular. Esta categoría recibe el nivel de protección más alto de la ley y requiere consentimiento expreso, específico e informado del titular para cualquier tratamiento —incluida la publicación.
El consentimiento informado en este contexto no es el mismo documento que se firma antes de un procedimiento quirúrgico. Es un acto jurídico autónomo mediante el cual el paciente autoriza, con pleno conocimiento de causa y sin presión alguna, que su información sea utilizada para un propósito determinado —en este caso, publicación pública con fines educativos, de divulgación o de marketing clínico— y que comprende los alcances, riesgos y posibilidad de revocación de dicho consentimiento.
Obligaciones derivadas del expediente clínico
La NOM-004-SSA3-2012, relativa al expediente clínico, establece que toda la información contenida en dicho expediente es confidencial y de propiedad del paciente, aunque la custodia corresponda al establecimiento de salud. Publicar imágenes, diagnósticos, notas de evolución, estudios de laboratorio o cualquier elemento identificable del expediente en una red social constituye una violación directa a esta norma, independientemente de que el profesional haya sido quien generó esa información.
Asimismo, la NOM-024-SSA3-2012, que regula los sistemas de información de registro electrónico para la salud, impone controles de acceso, trazabilidad y confidencialidad sobre los registros electrónicos. Extraer información de un sistema de historial clínico electrónico para difundirla en canales públicos vulnera los principios de finalidad y seguridad que esta norma tutela.
La Ley General de Salud y el secreto profesional
La Ley General de Salud consagra el derecho del paciente a la confidencialidad de su información médica como parte integral del derecho a la protección de la salud. El secreto profesional médico —obligación deontológica y, en varios supuestos, legal— prohíbe revelar información conocida en el ejercicio de la profesión sin causa justificada. La divulgación en redes sociales no constituye ninguna de las excepciones reconocidas (mandato judicial, riesgo grave para terceros, autorización del paciente), por lo que su incumplimiento puede acarrear responsabilidad civil, administrativa y, en casos extremos, penal.
Publicidad médica y restricciones COFEPRIS
Cuando la publicación de casos tiene finalidades de promoción o publicidad de servicios médicos —mostrar resultados, captar pacientes—, entran en juego además los avisos y lineamientos de publicidad sanitaria emitidos por la COFEPRIS (Comisión Federal para la Protección contra Riesgos Sanitarios). La normativa sanitaria mexicana prohíbe la publicidad de servicios de salud que induzca a error, que use testimonios de pacientes de manera que genere expectativas no garantizables, o que divulgue resultados individuales como representativos. El uso de fotografías de "antes y después" o casos clínicos como reclamo publicitario en redes sociales es una práctica que COFEPRIS ha sancionado reiteradamente.
¿Existe algún escenario en que sea posible?
Sí, pero con condiciones muy estrictas. La publicación de un reporte de caso clínico —género reconocido en la literatura científica— puede ser legítima cuando cumple todos los elementos siguientes:
- Consentimiento informado específico y por escrito para la publicación, firmado por el paciente (o su representante legal), que detalle el medio, el público y el propósito exacto.
- Anonimización efectiva o seudonimización de todos los identificadores directos e indirectos: nombre, fecha de nacimiento, lugar de residencia, imágenes del rostro, número de expediente, datos de familiares, tatuajes visibles u otras marcas identificables.
- Propósito legítimo y documentado: educación médica, divulgación científica o interés público en salud —nunca publicidad comercial encubierta.
- Evaluación por un Comité de Ética en Investigación (CEI) cuando la publicación deriva de un protocolo de investigación o involucra información especialmente sensible.
- Canal adecuado: una red social de acceso irrestricto difícilmente garantiza el control de audiencia que exigen los datos sensibles; los canales científicos revisados por pares son el estándar aceptado.
- Verificación de que la anonimización es robusta: en la práctica, combinaciones de datos aparentemente inocuos (diagnóstico raro + ciudad + rango de edad) pueden reidentificar a un paciente —fenómeno conocido como re-identificación.
- Posibilidad real de revocación: el paciente debe poder retirar su consentimiento y el profesional debe tener capacidad técnica para eliminar el contenido de forma efectiva e inmediata.
Consecuencias del incumplimiento
Las sanciones aplicables son concurrentes: la LFPDPPP faculta al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) para imponer multas económicas significativas y ordenar la cesación del tratamiento. La Ley General de Salud y la normativa colegial pueden dar lugar a suspensión de la cédula profesional. Adicionalmente, el paciente afectado puede ejercer acción civil por daño moral, cuya cuantificación en casos de exposición masiva puede ser considerable.
Glosario
- Dato personal sensible: Categoría de datos personales cuya divulgación indebida puede originar discriminación o riesgo grave para el titular; incluye datos de salud, origen étnico, creencias religiosas y orientación sexual (LFPDPPP).
- Consentimiento informado específico: Autorización expresa, libre y documentada del titular de los datos para un tratamiento concreto y previamente descrito; distinto del consentimiento clínico general.
- Anonimización: Proceso irreversible mediante el cual se eliminan o alteran todos los identificadores de un conjunto de datos, de modo que la reidentificación del individuo sea imposible.
- Seudonimización: Técnica que sustituye identificadores directos por códigos, manteniendo la posibilidad de revertir el proceso bajo condiciones controladas; no equivale a anonimización plena.
- Secreto profesional médico: Obligación ética y jurídica del profesional de la salud de no revelar información conocida en el ejercicio de su profesión, salvo excepciones legalmente reconocidas.
- Reporte de caso clínico: Género de comunicación científica que describe detalladamente la presentación, diagnóstico, tratamiento y evolución de uno o pocos pacientes con carácter educativo o de interés científico.
- Re-identificación: Proceso por el cual datos aparentemente anónimos permiten determinar la identidad de un individuo al combinarse con otras fuentes de información disponibles.
- Comité de Ética en Investigación (CEI): Órgano colegiado e independiente que evalúa la pertinencia ética, científica y regulatoria de protocolos de investigación en seres humanos antes de su ejecución o publicación.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación.
- Cámara de Diputados del H. Congreso de la Unión. (2021). Ley General de Salud (última reforma). Diario Oficial de la Federación.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación.
- COFEPRIS. (s.f.). Lineamientos para publicidad de servicios de salud y medicamentos. Comisión Federal para la Protección contra Riesgos Sanitarios. Recuperado de fuentes oficiales COFEPRIS.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (2014). Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación.
- World Medical Association. (2013). Declaration of Helsinki: Ethical Principles for Medical Research Involving Human Subjects. JAMA, 310(20), 2191–2194. https://doi.org/10.1001/jama.2013.281053