Aviso de privacidad para consultorio dental en México: qué debe decir y un modelo con la ley de 2025
Todo consultorio dental en México trata datos de salud, que la ley considera sensibles. Eso obliga a tener un aviso de privacidad y a pedir el consentimiento por escrito. Qué debe contener según la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente desde marzo de 2025, y un modelo para adaptar.
El expediente de un paciente tiene su nombre, su domicilio, sus alergias, sus enfermedades y sus radiografías. Para la ley mexicana, el estado de salud es un dato personal sensible, y eso tiene dos consecuencias para el consultorio: necesitas un aviso de privacidad y necesitas el consentimiento expreso y por escrito del paciente para tratar esos datos.
La ley vigente es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025, que sustituyó a la de 2010. Quien la vigila ya no es el INAI, que desapareció, sino la Secretaría Anticorrupción y Buen Gobierno. Las obligaciones del consultorio son casi las mismas que antes; lo que cambia es quién sanciona y que el aviso debe estar disponible desde el momento en que se recaban los datos.
Qué debe contener el aviso (artículo 15)
La ley lista seis elementos mínimos:
- Identidad y domicilio del responsable: el consultorio o el dentista, con su dirección.
- Los datos que se tratan, identificando cuáles son sensibles. En un consultorio: datos de salud, y a veces biométricos (foto, huella) o de menores.
- Finalidades del tratamiento, distinguiendo las que requieren consentimiento. Atenderte y llevar tu expediente no lo requieren; mandarte promociones sí.
- Opciones para limitar el uso o divulgación de los datos.
- Mecanismos para ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición).
- Cómo se comunicarán los cambios al aviso.
Y hay un detalle que cambia todo para el consultorio: si tratas datos sensibles, el aviso debe decirlo expresamente, y el consentimiento debe ser expreso y por escrito, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación (artículo 8).
Integral y simplificado
Cuando los datos se recogen en persona con un formato impreso, el aviso se da a conocer en ese momento, salvo que ya se hubiera entregado antes. Cuando se recogen por un medio electrónico (un formulario en el celular, un chat), basta un aviso simplificado con los primeros cuatro elementos y la indicación de dónde leer el aviso integral (artículo 16).
En la práctica, un consultorio necesita las dos cosas: el integral, colgado en recepción y en su sitio, y una línea corta en la ficha de primera visita con la firma del paciente.
Un modelo de aviso integral
Adáptalo con tus datos. No es asesoría legal; es el punto de partida que cumple con los seis elementos.
AVISO DE PRIVACIDAD INTEGRAL. Consultorio Dental Vértice, con domicilio en Av. Constituyentes 120, Querétaro, Qro., es responsable del tratamiento de sus datos personales. Datos que tratamos: identificación y contacto (nombre, fecha de nacimiento, CURP, domicilio, teléfono, correo), datos de facturación (RFC) y datos sensibles de salud: antecedentes, alergias, diagnósticos, tratamientos, radiografías y fotografías clínicas. Si es menor de edad, los datos los proporciona su representante. Finalidades: integrar y conservar su expediente clínico conforme a la NOM-004-SSA3-2012 y la NOM-013-SSA2-2015, prestarle atención dental, agendar y recordar sus citas, emitir recibos y facturas, y cumplir obligaciones legales. Con su consentimiento adicional: enviarle recordatorios de revisión periódica y comunicaciones del consultorio. Usted puede negarse a estas últimas sin que afecte su atención. Para limitar el uso o divulgación de sus datos y para ejercer sus derechos de acceso, rectificación, cancelación y oposición (ARCO), o revocar su consentimiento, escriba a privacidad@consultoriovertice.mx o acuda al consultorio con identificación. Responderemos en un plazo máximo de veinte días hábiles. Sus datos no se transfieren a terceros salvo obligación legal o requerimiento de autoridad; el expediente se conserva al menos cinco años desde su última consulta. Los cambios a este aviso se publicarán en el consultorio y en nuestro sitio. Consiento el tratamiento de mis datos personales sensibles de salud para las finalidades descritas. Nombre y firma del paciente o representante, fecha.
El simplificado, para la ficha de primera visita
Consultorio Dental Vértice, Av. Constituyentes 120, Querétaro, tratará sus datos de identificación, contacto y de salud para integrar su expediente clínico y atenderle. Consulte el aviso de privacidad integral en recepción o en consultoriovertice.mx/privacidad. Consiento el tratamiento de mis datos de salud. Firma.
Plazos y multas
Las solicitudes ARCO se responden en un plazo máximo de veinte días y, si proceden, se cumplen en los quince siguientes; ambos plazos pueden ampliarse una vez. Las multas de la ley llegan a 320.000 veces la UMA, y pueden duplicarse cuando se trata de datos sensibles, que es el caso de un consultorio.
El resto de lo que COFEPRIS y la norma piden del expediente está en expediente clínico dental: NOM-004, NOM-013 y COFEPRIS.
