Introducción: el problema de la reseña en salud
El uso de testimonios y reseñas de pacientes en comunicaciones comerciales de prestadores de servicios de salud —clínicas, hospitales, consultorios, plataformas de telemedicina— constituye un área de alta sensibilidad regulatoria en México. A diferencia de otros sectores, aquí convergen al menos tres cuerpos normativos simultáneos: la protección de datos personales sensibles, la regulación sanitaria de publicidad de servicios de salud y las disposiciones sobre el expediente clínico. Operar fuera de este marco expone al prestador a sanciones administrativas, penales y civiles. Este artículo precisa qué tipos de reseñas pueden emplearse legalmente, bajo qué condiciones y qué pasos operativos son indispensables.
Datos personales sensibles: el punto de partida
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) define como dato personal sensible aquel que afecta la esfera más íntima del titular o cuya utilización indebida puede dar origen a discriminación o conlleve un riesgo grave; incluye de forma expresa el estado de salud presente y futuro y el historial clínico. La ley exige que el tratamiento de estos datos cuente con el consentimiento expreso del titular —es decir, una manifestación de voluntad inequívoca, libre, específica e informada, que además debe constar por escrito, ya sea en soporte físico o en medio electrónico fiable.
En la práctica esto significa que una reseña donde el paciente menciona su diagnóstico, tratamiento recibido, medicamento prescrito o resultado clínico —incluso publicada voluntariamente por él en una plataforma pública— no puede ser reproducida, citada ni amplificada por el prestador sin que exista un aviso de privacidad específico que cubra esa finalidad de uso y sin el consentimiento expreso mencionado. El consentimiento otorgado para recibir atención médica no se extiende al uso publicitario de la experiencia del paciente.
El expediente clínico y su confidencialidad
La NOM-004-SSA3-2012, que regula el expediente clínico, establece que su contenido es confidencial y que el acceso a él está restringido al personal de salud involucrado en la atención, al propio paciente y, en supuestos específicos, a autoridades competentes. Cualquier fragmento derivado del expediente —notas de evolución, diagnósticos, indicaciones terapéuticas— que aparezca en una reseña constituye información protegida, sin importar que haya sido el paciente quien la divulgó primero. El prestador que reutiliza esa información en canales propios puede incurrir en una violación autónoma a esta norma.
La NOM-024-SSA3-2012, relativa a los sistemas de información de registro electrónico para la salud, complementa este marco al exigir que los sistemas de información aseguren la confidencialidad, integridad y disponibilidad del dato clínico; por extensión, exportar o vincular datos clínicos a plataformas de reseñas o gestión de reputación sin garantías equivalentes de seguridad técnica resulta problemático bajo esta normativa.
Publicidad de servicios de salud: COFEPRIS y la Ley General de Salud
La Ley General de Salud (LGS) y los lineamientos de la Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS) —hoy reorganizada bajo la Comisión de Evidencia y Manejo de Riesgos (COFEMER/CONAMER) en algunas funciones, aunque el marco sustantivo de publicidad en salud permanece vigente— prohíben la publicidad de servicios de salud que induzca a error sobre la eficacia de un tratamiento, que utilice testimonios de pacientes de forma que implique garantía de resultado o que explote la condición de vulnerabilidad del paciente.
Conforme a la normativa vigente en materia de publicidad sanitaria, los testimonios que atribuyan al tratamiento un resultado terapéutico garantizado están prohibidos, independientemente de que el paciente haya dado su consentimiento para publicarlos. La razón es que el derecho del consumidor de salud a no recibir publicidad engañosa opera de forma autónoma al consentimiento del testante.
Tipología de reseñas: cuáles son legalmente utilizables
A partir del marco anterior, es posible clasificar las reseñas en tres categorías según su viabilidad legal:
- Reseñas de experiencia no clínica: Opiniones sobre trato del personal, instalaciones, tiempos de espera, facilidad de agendar cita o proceso de facturación. No contienen datos de salud; pueden usarse con consentimiento simple documentado y aviso de privacidad que cubra la finalidad de uso comercial.
- Reseñas de resultado clínico con consentimiento expreso reforzado: Testimonios en los que el paciente describe mejoría o resultado de un tratamiento. Requieren: (a) consentimiento expreso por escrito para uso publicitario, con descripción específica del canal y formato de publicación; (b) aviso de privacidad que contemple tratamiento de datos sensibles para fines de mercadotecnia; (c) revisión de que el texto no configure publicidad engañosa conforme a la LGS; y (d) que el prestador pueda acreditar que el resultado descrito es veraz, no atípico y no se presenta como garantía.
- Reseñas clínicas sin consentimiento expreso: Testimonios publicados por el paciente en plataformas de terceros (Google Maps, Doctoralia, redes sociales) que el prestador no recabó ni solicitó. No pueden reproducirse, citarse ni vincularse en canales propios del prestador sin obtener retroactivamente el consentimiento requerido.
Pasos accionables para construir un banco de reseñas legalmente válido
- Diseñar y registrar ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) un aviso de privacidad integral que incluya de forma explícita la finalidad de mercadotecnia y gestión de reputación como tratamiento secundario de datos sensibles.
- Elaborar un formulario de consentimiento expreso específico para reseñas —separado del consentimiento informado clínico— que identifique: identidad del responsable, canales de publicación, plazo de uso, posibilidad de revocación y datos de contacto del oficial de privacidad.
- Aplicar el formulario únicamente en el momento post-alta o post-consulta, nunca durante o antes de la atención, para evitar que el paciente perciba condicionamiento en su atención.
- Filtrar cada testimonio a través de un checklist de publicidad sanitaria: ¿implica garantía de resultado? ¿Contiene afirmación terapéutica no verificable? ¿Explota una condición de vulnerabilidad?
- Conservar el soporte del consentimiento por un plazo no menor al que establezca la normativa aplicable al expediente clínico del paciente, para efectos de prueba ante una eventual queja ante el INAI o la autoridad sanitaria.
- Implementar un proceso de revocación ágil: si el paciente revoca su consentimiento, la reseña debe ser retirada de todos los canales sin demora.
- Consultar con el área legal o de cumplimiento normativo antes de publicar reseñas que mencionen cualquier condición de salud, aunque sea de forma implícita.
Conclusión
Legalmente, solo las reseñas recabadas con consentimiento expreso documentado, respaldadas por un aviso de privacidad que contemple el tratamiento de datos sensibles para fines publicitarios y verificadas frente al marco de publicidad sanitaria de la LGS y los lineamientos COFEPRIS son utilizables sin riesgo regulatorio significativo. Las reseñas de experiencia no clínica ofrecen el menor riesgo y pueden ser la base inicial del banco de testimonios mientras se consolida el proceso de consentimiento reforzado para reseñas clínicas. La gestión proactiva de este proceso no es únicamente un ejercicio de cumplimiento: es un diferenciador ético frente a competidores que operan en zona gris.
Glosario
- Dato personal sensible: Categoría especial de dato personal cuyo tratamiento indebido puede originar discriminación o un riesgo grave para el titular; incluye información sobre estado de salud, historial clínico, origen étnico, creencias religiosas y vida sexual, entre otros.
- Consentimiento expreso: Manifestación de voluntad libre, específica, informada e inequívoca mediante la cual el titular autoriza el tratamiento de sus datos personales; a diferencia del tácito, debe constar de forma afirmativa y documentada.
- Aviso de privacidad: Documento físico, electrónico o en cualquier otro formato generado por el responsable del tratamiento de datos que informa al titular sobre la identidad del responsable, las finalidades del tratamiento y los medios para ejercer sus derechos.
- Expediente clínico: Conjunto de documentos escritos, gráficos, imagenológicos, electrónicos, magnéticos, electromagnéticos, ópticos, magneto-ópticos y de cualquier otra índole, en los cuales el personal de salud hace los registros de la atención médica prestada; regulado por la NOM-004-SSA3-2012.
- Publicidad engañosa en salud: Toda comunicación que, respecto de un servicio o producto de salud, induzca a error o pueda inducir a error al consumidor, en particular cuando implique garantía de resultado terapéutico no sustentada científicamente.
- Oficial de privacidad: Persona designada por el responsable del tratamiento de datos para fomentar la protección de datos personales dentro de la organización, atender solicitudes de los titulares y coordinar el cumplimiento normativo ante el INAI.
- Revocación del consentimiento: Acto mediante el cual el titular retira la autorización previamente otorgada para el tratamiento de sus datos; una vez ejercida, el responsable debe cesar el tratamiento y, cuando aplique, retirar los datos de los canales de difusión.
Referencias
- Cámara de Diputados del H. Congreso de la Unión. (2024). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. Recuperado del sitio web del Congreso de la Unión.
- Cámara de Diputados del H. Congreso de la Unión. (2024). Ley General de Salud. Diario Oficial de la Federación. Recuperado del sitio web del Congreso de la Unión.
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación, 15 de octubre de 2012.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación, 30 de noviembre de 2012.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (2023). Guía para la elaboración del aviso de privacidad. Recuperado de inai.org.mx.
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). Lineamientos en materia de publicidad de servicios de salud. Recuperado de gob.mx/cofepris.