Introducción: el dato clínico como categoría jurídicamente sensible
En el ejercicio de las profesiones de la salud, la recopilación de información sobre el paciente es una condición sine qua non para la atención médica. Sin embargo, no toda información es susceptible de ser recabada de manera indiscriminada. El ordenamiento jurídico mexicano establece una distinción fundamental entre datos personales ordinarios —aquellos que identifican o hacen identificable a una persona— y los datos personales sensibles, categoría que incluye la información relativa al estado de salud y que, por su naturaleza, merece una protección reforzada. Comprender esta distinción es la piedra angular de la práctica clínica ética y legalmente responsable.
Marco normativo aplicable
La regulación de los datos del paciente en México descansa sobre un andamiaje normativo articulado en distintos niveles. La Ley General de Salud (LGS) establece las bases del expediente clínico y la confidencialidad de la relación médico-paciente. La NOM-004-SSA3-2012 (Del expediente clínico) define con precisión los elementos que deben integrarse al registro, su custodia y los supuestos de acceso legítimo. La NOM-024-SSA3-2012 regula los sistemas de información de registro electrónico para la salud, estableciendo requisitos de interoperabilidad, confidencialidad e integridad del dato digital. Finalmente, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su reglamento rigen el tratamiento de datos por parte de entidades privadas, imponiendo obligaciones específicas cuando el responsable del tratamiento es un prestador de servicios de salud privado.
Datos que el profesional de salud puede y debe recabar
La NOM-004-SSA3-2012 establece el contenido mínimo obligatorio del expediente clínico. Estos datos son legítimos porque responden a una finalidad terapéutica directa, cuentan con fundamento normativo expreso y están sujetos a deber de confidencialidad. Entre los datos que pueden y deben solicitarse se encuentran:
- Datos de identificación: nombre completo, fecha de nacimiento, sexo, CURP, domicilio, derechohabiencia o número de afiliación a sistema de salud.
- Antecedentes heredofamiliares y personales patológicos: enfermedades crónicas, cirugías previas, alergias, internaciones anteriores.
- Motivo de consulta y padecimiento actual: descripción semiológica del síntoma principal y su evolución temporal.
- Exploración física: signos vitales, hallazgos por aparatos y sistemas, escala de valoración funcional cuando aplique.
- Diagnósticos (presuntivo y definitivo): codificados conforme a la Clasificación Internacional de Enfermedades (CIE) vigente.
- Plan terapéutico: prescripciones, procedimientos indicados, seguimiento programado.
- Datos del responsable o tutor legal cuando el paciente sea menor de edad o se encuentre en situación de incapacidad jurídica.
- Consentimiento informado: registrado por escrito para procedimientos de riesgo, conforme al articulado de la propia NOM-004-SSA3-2012.
En entornos digitales, la NOM-024-SSA3-2012 exige que cada campo del registro electrónico cuente con mecanismos de autenticación y trazabilidad, de modo que sea posible identificar quién registró el dato, cuándo y con qué propósito.
Datos que no pueden recabarse sin fundamento o que están prohibidos
La LFPDPPP clasifica como datos personales sensibles aquellos cuya divulgación puede generar discriminación o poner en riesgo al titular. El estado de salud, la orientación sexual, las creencias religiosas y el origen étnico o racial pertenecen a esta categoría. Para recabar datos sensibles, la norma exige consentimiento expreso —a diferencia del consentimiento tácito admisible para datos ordinarios— y una finalidad legítima, proporcional y explícita.
En términos prácticos, los datos que no deben solicitarse son aquellos que:
- No guardan relación directa con la finalidad terapéutica que justifica la atención (p. ej., afiliación política, patrimonio, vida sexual cuando no es relevante clínicamente).
- Implican perfilamiento con fines comerciales o de investigación sin consentimiento informado específico para ese propósito secundario.
- Se recopilan con base en suposiciones discriminatorias, como preguntar por origen étnico para negar o condicionar la atención.
- Involucran datos de terceros ajenos a la relación clínica (familiares del paciente) sin que estos hayan otorgado su propio consentimiento.
- Son solicitados por personal no facultado, en ausencia de la autorización expresa del responsable del tratamiento o del titular del dato.
Adicionalmente, la LFPDPPP prohíbe crear bases de datos de datos sensibles con finalidades lucrativas o de cesión a terceros sin consentimiento expreso, lo que limita significativamente prácticas como la venta de bases de datos de pacientes o el perfilamiento para marketing farmacéutico sin autorización.
El aviso de privacidad como instrumento de transparencia
Conforme a la LFPDPPP, todo responsable del tratamiento —incluidos los consultorios, clínicas y hospitales privados— está obligado a emitir un aviso de privacidad antes o en el momento de la recopilación del dato. Este aviso debe indicar: la identidad del responsable, las finalidades del tratamiento, las transferencias previstas, los mecanismos para ejercer los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) y el procedimiento para revocar el consentimiento. La normatividad COFEPRIS refuerza esta obligación para los establecimientos sujetos a su supervisión, vinculando el incumplimiento del aviso de privacidad a infracciones sanitarias.
Principio de proporcionalidad y mínimo necesario
Un criterio transversal a toda esta regulación es el principio de proporcionalidad (también denominado principio de minimización en doctrina comparada): solo deben recabarse los datos estrictamente necesarios para la finalidad que justifica su tratamiento. Solicitar información excesiva no solo viola la LFPDPPP, sino que puede constituir una vulneración a la intimidad del paciente tutelada por la propia LGS y por los artículos constitucionales que protegen la privacidad. En la práctica, este principio obliga al profesional de salud a preguntarse, antes de registrar cualquier dato: ¿es este dato necesario para diagnosticar, tratar o dar seguimiento a este paciente? Si la respuesta es negativa, el dato no debe solicitarse.
Glosario
- Dato personal: cualquier información concerniente a una persona física identificada o identificable.
- Dato personal sensible: categoría especial de dato cuya divulgación puede generar discriminación o afectar gravemente al titular; incluye información sobre salud, origen étnico, orientación sexual y creencias religiosas.
- Expediente clínico: conjunto de documentos escritos, gráficos, imagenológicos, electrónicos y de cualquier otra índole, en los que el personal de salud registra la atención prestada al paciente; regulado por la NOM-004-SSA3-2012.
- Consentimiento informado: proceso de comunicación y aceptación voluntaria mediante el cual el paciente autoriza un procedimiento diagnóstico o terapéutico tras recibir información suficiente sobre sus riesgos, beneficios y alternativas.
- Derechos ARCO: facultades que la LFPDPPP reconoce al titular del dato para Acceder, Rectificar, Cancelar y Oponerse al tratamiento de su información personal.
- Aviso de privacidad: documento físico, electrónico o en cualquier formato generado por el responsable del tratamiento, que informa al titular sobre el uso que se dará a sus datos personales.
- Responsable del tratamiento: persona física o moral, de carácter privado, que decide sobre el tratamiento de datos personales; en el contexto clínico, el médico, consultorio u hospital que recaba los datos del paciente.
- Principio de proporcionalidad (minimización): criterio normativo que exige que los datos recabados sean los estrictamente necesarios, adecuados y relevantes en relación con la finalidad para la que fueron obtenidos.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación. Ciudad de México, México.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación. Ciudad de México, México.
- Congreso de la Unión. (1984, con reformas). Ley General de Salud. Diario Oficial de la Federación. Ciudad de México, México.
- Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. Ciudad de México, México.
- Poder Ejecutivo Federal. (2011). Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. Ciudad de México, México.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (s.f.). Guía para el sector salud: tratamiento de datos personales sensibles. INAI. Ciudad de México, México.