Introducción: El contexto regulatorio de las solicitudes aseguradoras
Cuando una aseguradora solicita información médica o personal de un paciente o asegurado, se activa un entramado normativo complejo que involucra el derecho a la privacidad, la protección de datos personales sensibles y las obligaciones documentales del sector salud. Comprender los límites legales de estas solicitudes —y la forma correcta de responderlas— resulta indispensable tanto para los prestadores de servicios de salud como para los propios asegurados. Este artículo analiza el marco regulatorio aplicable en México y ofrece una guía accionable para gestionar dichas solicitudes con rigor técnico y legal.
Naturaleza jurídica de la información solicitada
Las aseguradoras suelen requerir dos tipos de información: el expediente clínico, definido por la NOM-004-SSA3-2012 como el conjunto de documentos escritos, gráficos, imagenológicos, electrónicos, magnéticos, electromagnéticos, ópticos, magneto-ópticos y de otras tecnologías, que integran sistemáticamente los aspectos clínicos relevantes de la atención médica de un paciente; y los datos personales sensibles, categoría definida por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) como aquellos que afectan la esfera más íntima del titular, cuyo uso indebido puede dar origen a discriminación o conllevar un riesgo grave.
El estado de salud, el historial clínico, las condiciones preexistentes y los diagnósticos califican inequívocamente como datos sensibles bajo la LFPDPPP. Esto implica que su tratamiento —incluyendo la transferencia a una aseguradora— requiere un estándar de protección reforzado.
Marco legal aplicable
Antes de entregar cualquier información, el prestador de salud o el asegurado debe identificar el fundamento normativo que rige la solicitud:
- NOM-004-SSA3-2012, expediente clínico: Establece que el expediente clínico es propiedad del establecimiento de salud, pero el paciente tiene derecho a que se le proporcione copia. La norma regula quiénes pueden tener acceso al expediente, cómo debe resguardarse y en qué condiciones puede transferirse. En la práctica, ninguna aseguradora puede exigir el expediente clínico completo de forma unilateral sin que medie consentimiento expreso del paciente o una resolución de autoridad competente.
- LFPDPPP, artículos relativos al consentimiento y transferencia de datos sensibles: La ley exige consentimiento expreso y por escrito del titular para el tratamiento de datos sensibles. Cuando una aseguradora, en su calidad de responsable o encargada del tratamiento, solicita información de salud, debe acreditar que cuenta con ese consentimiento. El aviso de privacidad de la aseguradora debe especificar las finalidades del tratamiento; si la finalidad de la solicitud no está contemplada en dicho aviso, el tratamiento carece de base legal.
- Ley General de Salud: Regula el secreto profesional médico y establece que la información clínica es confidencial. Conforme a la normativa vigente, los prestadores de salud solo pueden revelar información protegida por el secreto profesional cuando exista mandato judicial, consentimiento del paciente, o causa de interés público legalmente definida. Una solicitud rutinaria de una aseguradora no satisface por sí misma ninguna de estas excepciones.
- NOM-024-SSA3-2012, sistemas de información electrónica en salud: Aplica cuando el expediente está en formato digital. Esta norma regula la interoperabilidad, la integridad y la seguridad de los registros electrónicos, estableciendo controles de acceso que deben mantenerse incluso al atender solicitudes externas. En la práctica, el hecho de que el expediente esté digitalizado no amplía automáticamente los derechos de acceso de terceros.
Pasos accionables ante una solicitud de información de aseguradora
La respuesta adecuada a una solicitud de este tipo debe seguir un protocolo estructurado que garantice el cumplimiento normativo y proteja los derechos del titular de los datos:
- Verificar la identidad y legitimidad del solicitante: Confirmar que quien solicita es efectivamente la aseguradora contratante y que actúa en ejercicio de una facultad contractual o legal válida.
- Revisar el contrato de seguro y el aviso de privacidad: Identificar si existe cláusula de consentimiento para compartir información médica y si la finalidad declarada en el aviso de privacidad abarca el tipo de información solicitado.
- Obtener o verificar el consentimiento expreso del asegurado: Si no existe un consentimiento previo documentado, recabarlo por escrito antes de cualquier divulgación. Este documento debe especificar qué información se compartirá, con quién, para qué fin y por cuánto tiempo.
- Delimitar el alcance de la información: Aplicar el principio de proporcionalidad (consagrado en la LFPDPPP): solo compartir la información estrictamente necesaria para la finalidad declarada. No entregar el expediente clínico completo cuando la solicitud puede satisfacerse con un resumen médico o con documentos específicos.
- Documentar la entrega: Generar un acuse de recibo que registre qué documentos se entregaron, en qué fecha, a quién y bajo qué fundamento. Esta trazabilidad es esencial ante cualquier eventual controversia o auditoría regulatoria.
- Consultar al responsable de protección de datos o al área jurídica: Cuando la solicitud sea ambigua, desproporcionada o carezca de fundamento contractual claro, suspender la entrega y escalar internamente antes de proceder.
- Conocer el derecho de oposición del asegurado: El titular de los datos puede ejercer ante la aseguradora sus derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) si considera que el tratamiento de su información no se ajusta a la ley. El prestador de salud no debe convertirse en cómplice de un tratamiento ilícito.
Situaciones especiales: pericias, litigios y siniestros
En contextos de siniestro declarado, las aseguradoras frecuentemente solicitan información a través de un perito médico (profesional designado para evaluar técnicamente un siniestro de salud). En estos casos, la solicitud sigue siendo sujeta a las mismas reglas de consentimiento y proporcionalidad, aunque la urgencia operativa puede presionar a una respuesta precipitada. Si la solicitud llega acompañada de resolución judicial o de autoridad administrativa competente, el marco cambia: en ese supuesto, la entrega puede ser obligatoria, pero debe realizarse exclusivamente en los términos y con el alcance que la resolución indique, sin extralimitarse.
Responsabilidades y sanciones
La divulgación no autorizada de datos personales sensibles puede constituir una infracción a la LFPDPPP, sancionable por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Adicionalmente, la violación del secreto profesional médico puede acarrear responsabilidades de orden civil, administrativo y, en casos graves, penal. Para el establecimiento de salud, el incumplimiento de la NOM-004-SSA3-2012 puede derivar en sanciones por parte de la Secretaría de Salud o de COFEPRIS, autoridad sanitaria federal.
Conclusión
Una solicitud de información de aseguradora no es un trámite neutral: activa derechos fundamentales del paciente y obligaciones legales para el prestador de salud. La clave está en verificar el consentimiento, delimitar el alcance con criterio de proporcionalidad y documentar cada paso del proceso. Actuar con rigor técnico en este punto no solo protege al paciente, sino que blindia jurídicamente al establecimiento de salud frente a reclamaciones posteriores.
Glosario
- Expediente clínico: Conjunto de documentos que integran sistemáticamente los aspectos clínicos relevantes de la atención médica de un paciente, regulado por la NOM-004-SSA3-2012.
- Datos personales sensibles: Categoría especial de datos personales —incluidos los de salud— que por su naturaleza requieren un nivel de protección reforzado conforme a la LFPDPPP.
- Derechos ARCO: Derechos de Acceso, Rectificación, Cancelación y Oposición que todo titular de datos personales puede ejercer ante el responsable del tratamiento.
- Secreto profesional médico: Obligación ética y legal del profesional de salud de no divulgar la información obtenida en el ejercicio de su práctica, salvo las excepciones legalmente previstas.
- Principio de proporcionalidad: Principio de protección de datos que exige que la información recopilada y transferida sea estrictamente la necesaria para cumplir la finalidad declarada, evitando el exceso en el tratamiento.
- Perito médico: Profesional designado por una aseguradora o por autoridad judicial para evaluar técnicamente un siniestro de salud o una condición médica con efectos legales o contractuales.
- Aviso de privacidad: Documento que el responsable del tratamiento de datos debe poner a disposición del titular, detallando las finalidades, las transferencias y los derechos que le asisten conforme a la LFPDPPP.
- INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales; autoridad garante del cumplimiento de la LFPDPPP en México.
Referencias
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación.
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación.
- Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación.
- Congreso de la Unión. (1984, con reformas posteriores). Ley General de Salud. Diario Oficial de la Federación.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (s.f.). Guía para responsables del tratamiento de datos personales sensibles. Recuperado de inai.org.mx
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). (s.f.). Marco normativo de establecimientos de atención médica. Recuperado de gob.mx/cofepris