Aviso de privacidad para consultorios: qué debe incluir (LFPDPPP)

Cada vez que registras a un paciente nuevo —nombre, teléfono, historia clínica, radiografías— tu consultorio está tratando datos personales, y buena parte de ellos son datos sensibles. Por eso el aviso de privacidad no es un formalismo de empresas grandes: es una obligación legal de todo consultorio dental en México bajo la LFPDPPP, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

En esta guía vemos qué debe incluir exactamente tu aviso, por qué los datos de salud exigen consentimiento expreso, dónde van la versión integral y la corta, para qué sirven las casillas separadas —fotos clínicas, promociones— y los errores que más se repiten en consultorios dentales.

Datos de salud = datos sensibles

La LFPDPPP aplica a los particulares que tratan datos personales, y un consultorio dental encaja de lleno: recabas identidad y contacto, pero también diagnósticos, historia clínica, radiografías, fotografías clínicas e información de pago.

La ley clasifica como sensibles los datos que afectan la esfera más íntima del titular, y menciona expresamente el estado de salud presente, pasado o futuro. En tu operación diaria eso abarca prácticamente todo el expediente: padecimientos, alergias, medicamentos, tratamientos, imágenes diagnósticas. Incluso el simple hecho de que alguien sea tu paciente ya es información de salud.

La consecuencia práctica es un estándar reforzado: para tratar datos sensibles necesitas consentimiento expreso y por escrito del titular, y medidas de seguridad proporcionales a la sensibilidad de la información.

Un apunte de actualidad: en marzo de 2025 se publicó una nueva LFPDPPP que sustituyó a la ley de 2010, y la autoridad en la materia dejó de ser el INAI para quedar en la Secretaría Anticorrupción y Buen Gobierno. Para un consultorio, las obligaciones esenciales —aviso de privacidad, consentimiento, derechos ARCO, medidas de seguridad— se mantienen, así que lo que sigue te aplica igual con la ley vigente.

Qué debe incluir tu aviso de privacidad integral

El aviso integral es el documento completo. Como mínimo debe contener:

1. Identidad y domicilio del responsable: el consultorio, la clínica o el profesional que decide sobre el tratamiento de los datos.
2. Los datos que recabas, señalando de forma expresa que tratas datos sensibles de salud.
3. Las finalidades del tratamiento, distinguiendo las primarias (atención odontológica, integración del expediente, agenda, cobro y facturación) de las secundarias (recordatorios comerciales, promociones, difusión de casos clínicos).
4. Los mecanismos para que el paciente limite el uso o divulgación de sus datos.
5. Los medios para ejercer los derechos ARCO —acceso, rectificación, cancelación y oposición— con un procedimiento realista y un contacto que sí responda; te lo explicamos a detalle en nuestra guía de derechos ARCO en la clínica dental.
6. Las transferencias de datos que realizas: laboratorios dentales, especialistas a los que refieres, aseguradoras, procesadores de pago.
7. Cómo revocar el consentimiento y el procedimiento para comunicar cambios al propio aviso.

La regla de oro: el aviso debe describir lo que tu consultorio hace en realidad con los datos, no lo que dice la plantilla que descargaste.

Integral, simplificado y corto: dónde va cada versión

La ley reconoce que no siempre hay espacio para el documento completo; por eso existen tres versiones del aviso.

Aviso integral

Es el documento completo, con todos los elementos que exige la ley, disponible en tu sitio web o impreso en el consultorio para quien lo solicite.

Aviso simplificado

Se usa en el primer contacto: resume identidad y finalidades, y señala dónde consultar el aviso integral. Es el párrafo que acompaña tus formatos de registro o historia clínica.

Aviso corto

Es la versión mínima para espacios reducidos, como el cartel o el código QR de recepción.

La combinación práctica para un consultorio dental: cartel o QR visible en recepción, párrafo con firma en el formato de primera consulta y documento integral disponible en tu página o impreso. Las tres piezas cuentan la misma historia en distintos niveles de detalle.

Consentimiento: expreso, por escrito y con casillas separadas

Para datos de salud no basta el consentimiento tácito de «si sigue navegando, acepta»: necesitas la firma del paciente —autógrafa o electrónica— después de informarle cómo tratarás sus datos.

Además, no todas las finalidades pesan lo mismo. Atender al paciente es una finalidad necesaria; usar sus fotos en redes o enviarle promociones no lo es. La forma correcta de recabar el consentimiento es con casillas separadas, por ejemplo:

• Autorizo el tratamiento de mis datos, incluidos datos de salud, para mi atención odontológica y la integración de mi expediente.
• Autorizo el uso de mis fotografías clínicas con fines de difusión o docencia.
• Acepto recibir información sobre promociones y campañas del consultorio.

Tres reglas acompañan a las casillas:

• No puedes condicionar la atención a que el paciente acepte finalidades secundarias como la publicidad.
• Menores de edad: el consentimiento lo otorgan los padres o tutores.
• La revocación siempre es posible y tu aviso debe explicar cómo solicitarla y qué efectos tiene.

Medidas de seguridad razonables

La ley obliga a establecer medidas administrativas, técnicas y físicas para proteger los datos, proporcionales a su sensibilidad; tratándose de salud, el estándar exigible es alto:

• Físicas: archiveros bajo llave, expedientes fuera de la vista de otros pacientes, acceso restringido al área de archivo.
• Administrativas: acuerdos de confidencialidad con el personal, capacitación básica al equipo y una política clara de quién puede ver qué información.
• Técnicas: contraseñas individuales que nunca se comparten, respaldos periódicos, equipos que se bloquean al ausentarse y cuidado extremo con la mensajería: una radiografía enviada al chat personal del doctor sale de tu control para siempre.

En el frente técnico, un software de gestión como DaleControl te ayuda a avanzar hacia accesos por usuario y expedientes centralizados en lugar de archivos dispersos en computadoras y teléfonos; las políticas, el aviso y la capacitación del equipo siguen siendo responsabilidad del consultorio. Y si quieres reforzar este flanco completo, tenemos una guía de ciberseguridad para consultorios dentales.

Errores comunes en consultorios dentales

Estos son los tropiezos que más se repiten y que puedes corregir esta misma semana:

• Copiar un aviso genérico de internet que ni siquiera menciona datos de salud ni transferencias a laboratorios.
• Recabar una sola firma «para todo», sin casillas separadas por finalidad.
• Publicar casos clínicos de antes y después en redes sociales sin consentimiento específico para esa finalidad.
• Compartir radiografías y fotos por mensajería personal, sin control de quién las conserva ni por cuánto tiempo.
• No tener procedimiento para derechos ARCO: si un paciente pide su información, nadie sabe qué contestar ni en qué plazo.
• Recabar más datos de los necesarios «por si acaso», lo que multiplica tu riesgo sin ningún beneficio clínico.
• Olvidar los canales digitales: el formulario de tu página y el WhatsApp del consultorio también recaban datos y también necesitan aviso.

Recuerda, además, que el aviso de privacidad es solo una pieza del rompecabezas regulatorio de tu consultorio; el panorama completo lo tienes en nuestra guía de normativas para clínicas dentales en México.

Checklist rápido para tu consultorio

Antes de cerrar, evalúa tu situación actual punto por punto:

1. Tengo un aviso integral que menciona expresamente los datos sensibles de salud.
2. Mis formatos de registro incluyen la versión simplificada y la firma del paciente.
3. En recepción hay un cartel o código QR con el aviso corto.
4. Uso casillas separadas para fotografías clínicas y comunicaciones comerciales.
5. Mi equipo firmó acuerdos de confidencialidad y sabe a quién canalizar una solicitud ARCO.
6. Puedo decir, sin dudar, qué terceros reciben datos de mis pacientes y para qué.
7. Los accesos al software y a los archivos físicos son personales y están controlados.

Si marcaste todo, vas muy bien; si no, ya tienes tu lista de pendientes en orden de prioridad.

Conclusión

El aviso de privacidad no es un papel para cubrirte: es la manera formal de decirle a tu paciente qué haces con su información más delicada, y hacerlo bien construye la misma confianza que buscas ganarte en el sillón dental. La fórmula está al alcance de cualquier consultorio: un aviso adaptado a tu operación real, consentimiento con casillas separadas, medidas de seguridad proporcionales y un equipo que sabe qué puede y qué no puede hacer con los datos. Empieza hoy por leer tu aviso actual —si existe— y compararlo contra esta guía punto por punto.

Este artículo es informativo y no constituye asesoría legal.