El dilema de la respuesta pública: reputación frente a privacidad
Cuando un paciente o usuario publica una reseña negativa en plataformas como Google Maps, Doctoralia o redes sociales, el prestador de servicios de salud enfrenta una tensión jurídica de alta relevancia: defender su reputación profesional sin incurrir en una revelación indebida de datos personales sensibles. Responder parece un acto comunicativo ordinario, pero en el contexto de la atención clínica puede constituir una violación a la confidencialidad —obligación de no divulgar información obtenida en el ejercicio profesional— y al régimen de protección de datos personales. Este artículo analiza el marco normativo aplicable y ofrece criterios operativos para redactar respuestas legalmente válidas.
El dato de salud como categoría protegida
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) clasifica los datos relativos a la salud como datos personales sensibles, es decir, aquellos cuya divulgación indebida puede dar origen a discriminación o afectar de manera significativa la esfera más íntima de su titular. Esta categoría está sujeta a un estándar de tratamiento reforzado: requiere consentimiento expreso y por escrito del titular para cualquier tratamiento distinto al que motivó su recolección original, salvo excepciones expresamente previstas en la ley.
En paralelo, la NOM-004-SSA3-2012 relativa al expediente clínico establece que la información contenida en dicho expediente es confidencial y solo puede ser proporcionada a terceros cuando el paciente, su representante legal o una autoridad competente así lo autorice. La NOM-024-SSA3-2012, que regula los sistemas de información de registro electrónico para la salud, amplía esta obligación a toda la infraestructura de gestión de datos clínicos, incluyendo la seguridad en el acceso y la transmisión de información.
La Ley General de Salud, por su parte, reconoce el secreto profesional médico como parte de los derechos del paciente y como obligación del personal de salud. Divulgar, incluso de manera parcial o implícita, que una persona fue atendida en un establecimiento, cuál fue su diagnóstico o qué tratamiento recibió —sin su consentimiento— constituye una infracción a este principio, independientemente del medio en que ocurra la divulgación.
¿Qué significa "responder" desde la perspectiva del tratamiento de datos?
Confirmar que el autor de una reseña fue paciente del establecimiento, mencionar la fecha de atención, referirse al motivo de consulta o aludir a cualquier circunstancia del servicio prestado implica revelar datos personales sensibles. Este acto constituye tratamiento de datos en los términos de la LFPDPPP, entendido como cualquier operación sobre datos personales, incluida su comunicación, difusión o puesta a disposición. El hecho de que el propio paciente haya divulgado parte de esa información en su reseña no otorga al responsable del tratamiento —el prestador de servicios— la facultad de ampliarla, confirmarla o complementarla sin consentimiento expreso.
COFEPRIS, como autoridad sanitaria, ha reiterado en criterios y avisos que los establecimientos de atención médica deben mantener la confidencialidad de la información clínica en todos sus canales de comunicación, incluyendo los digitales. La respuesta pública a una reseña forma parte de esos canales.
La respuesta legalmente válida: límites y posibilidades
Responder una reseña es legalmente posible siempre que la respuesta no contenga, confirme ni permita inferir información sobre la relación clínica o los datos personales del paciente. El principio rector es la disociación: la respuesta debe poder leerse sin que sea posible identificar, directa ni indirectamente, a la persona ni los detalles de su atención.
Los criterios prácticos para una respuesta válida son los siguientes:
- Agradecer sin confirmar la relación: expresar gratitud por el comentario sin reconocer que la persona fue atendida en el establecimiento.
- Redirigir al canal privado: invitar al autor a contactar directamente al responsable de calidad o al titular del aviso de privacidad para atender su caso de forma confidencial.
- Describir procesos generales: explicar los protocolos o estándares de atención del establecimiento sin vincularlos al caso específico del reseñador.
- Evitar la negación detallada: rebatir punto a punto los hechos narrados en la reseña implica necesariamente hacer referencia a información clínica concreta, lo que constituye una revelación indebida.
- No inferir diagnóstico ni tratamiento: cualquier referencia —aunque sea en sentido negativo ("eso no corresponde a lo que ocurrió")— vincula al establecimiento con la atención del paciente.
- Documentar el incidente internamente: registrar la reseña y la respuesta en el expediente de gestión de quejas del establecimiento conforme a los procedimientos internos de calidad.
- Obtener consentimiento si se requiere más: si el establecimiento considera necesario hacer una declaración más detallada, debe obtener primero el consentimiento expreso y por escrito del paciente.
El equilibrio entre derecho a la información y derecho a la privacidad
El ordenamiento jurídico mexicano no contempla una jerarquía absoluta entre el derecho a la información del prestador y el derecho a la privacidad del paciente. Sin embargo, en el campo de la salud prevalece el principio de confidencialidad reforzada, reconocido tanto en la normativa sanitaria como en el régimen de datos personales sensibles de la LFPDPPP. Esto significa que, en caso de conflicto entre ambos derechos, el estándar aplicable exige que cualquier divulgación esté expresamente autorizada o sea estrictamente necesaria para fines de salud pública o de cumplimiento legal, ninguno de los cuales aplica a la gestión reputacional en plataformas de reseñas.
El riesgo no es menor: la divulgación indebida de datos personales sensibles puede derivar en sanciones administrativas por parte del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), así como en responsabilidad civil y, en casos de especial gravedad, en consecuencias en el ámbito de la ética profesional médica.
Conclusión operativa
Sí es posible responder públicamente a una reseña sin violar la privacidad, pero únicamente si la respuesta se mantiene en un plano genérico, no confirma la relación clínica y redirige al interlocutor a un canal privado. Cualquier respuesta que implique, confirme o permita deducir información sobre la atención prestada constituye un tratamiento no autorizado de datos personales sensibles con consecuencias normativas concretas. La regla de oro es: una respuesta pública válida debe poder publicarse sin que nadie, salvo quien la escribió, pueda identificar de quién se habla.
Glosario
- Datos personales sensibles: categoría de datos cuya divulgación puede generar discriminación o afectar la esfera más íntima del titular; en México, los datos de salud pertenecen a esta categoría conforme a la LFPDPPP.
- Confidencialidad: obligación jurídica y ética de no revelar información obtenida en el ejercicio de una relación de confianza, especialmente la relación médico-paciente.
- Secreto profesional médico: deber del personal de salud de no divulgar información relativa al estado de salud, diagnóstico o tratamiento de sus pacientes, reconocido en la Ley General de Salud.
- Tratamiento de datos: cualquier operación sobre datos personales, incluyendo recolección, uso, divulgación, comunicación o puesta a disposición, conforme a la LFPDPPP.
- Responsable del tratamiento: persona física o moral que decide sobre el tratamiento de datos personales; en el contexto clínico, el establecimiento de salud o el profesional en ejercicio privado.
- Disociación: procedimiento por el que se elimina o modifica la información de un conjunto de datos de modo que no pueda asociarse a persona determinada o determinable.
- Aviso de privacidad: documento físico, electrónico o en cualquier otro formato generado por el responsable, puesto a disposición del titular de los datos, previo al tratamiento de sus datos personales.
- INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales; autoridad regulatoria en materia de protección de datos personales en México.
Referencias
- Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación, 5 de julio de 2010. México.
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación, 15 de octubre de 2012. México.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación, 30 de noviembre de 2012. México.
- Congreso de la Unión. (1984, con reformas). Ley General de Salud. Diario Oficial de la Federación. México.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (s.f.). Guías y criterios para el tratamiento de datos personales sensibles. Recuperado de https://www.inai.org.mx
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). (s.f.). Avisos y criterios sobre confidencialidad en establecimientos de atención médica. Secretaría de Salud. México.