Protección de datos de pacientes en México: guía LFPDPPP, INAI y NOM-024 para centros radiológicos dentales

Una clínica radiológica dental en México maneja datos personales sensibles todos los días. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), vigente desde julio de 2010, los protege con uno de los marcos más robustos de América Latina. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) es la autoridad de control y puede imponer multas de hasta 320.000 días de UMA, duplicadas cuando se trata de datos sensibles.

Este artículo explica qué dice la LFPDPPP, cómo se articula con la NOM-024-SSA3-2012 sobre sistemas de información clínica y la NOM-004-SSA3-2012 sobre el expediente clínico, y cómo CBCTHub cumple cada exigencia técnica para que tu centro radiológico opere con confianza.

La LFPDPPP en pocas palabras

La LFPDPPP entro en vigor el 6 de julio de 2010 y aplica a personas físicas y morales privadas que traten datos personales. Su Reglamento de 2011 detalla las obligaciones técnicas. Los Lineamientos del Aviso de Privacidad de 2013 establecen el contenido mínimo del aviso al titular.

Marco regulatorio: las leyes que aplican a una clínica dental en México

• LFPDPPP (2010): ley federal aplicable a particulares.
• Reglamento de la LFPDPPP (2011): detalla los principios y deberes.
• Lineamientos del Aviso de Privacidad (2013): contenido obligatorio del aviso.
• Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (2017): aplicable a IMSS, ISSSTE, hospitales públicos.
• NOM-024-SSA3-2012: sistemas de información de registro electrónico para la salud, seguridad y confidencialidad.
• NOM-004-SSA3-2012: expediente clínico, contenido mínimo y conservación.
• Ley General de Salud: secreto profesional médico.

Datos personales sensibles según la LFPDPPP

El artículo 3 fracción VI define datos personales sensibles como aquellos que afecten la esfera más intima del titular o cuya utilización indebida pueda dar origen a discriminación. Incluye expresamente origen racial, estado de salud presente y futura, información genética, creencias religiosas, vida sexual. Una tomografía CBCT es dato sensible.

Que exige la ley sobre los datos del paciente

Aviso de Privacidad obligatorio

Toda clínica debe entregar al paciente un Aviso de Privacidad antes de recabar sus datos. El Aviso debe contener: identidad y domicilio del responsable, finalidades del tratamiento, opciones para limitar el uso, medios para ejercer derechos ARCO, transferencias previstas, mecanismo para cambios al Aviso. Existen tres modalidades: integral, simplificado y corto. El integral debe estar disponible en sitio web o en la recepción.

Consentimiento expreso para datos sensibles

El artículo 9 de la LFPDPPP exige consentimiento expreso y por escrito para tratar datos sensibles. La firma electrónica avanzada o la firma autógrafa en papel cumplen el requisito.

Derechos ARCO (Acceso, Rectificación, Cancelación, Oposición)

El titular puede ejercer sus derechos en cualquier momento. El responsable tiene 20 días hábiles para responder y 15 días adicionales para hacer efectiva la solicitud. Debe existir un departamento o persona designada para atender solicitudes ARCO.

Principios de la LFPDPPP

Licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad, responsabilidad. Cada tratamiento debe cumplir los ocho.

Medidas de seguridad

El artículo 19 obliga a implementar medidas administrativas, físicas y técnicas para proteger los datos. El Reglamento detalla el sistema de gestión de seguridad. La NOM-024 añade requisitos técnicos específicos para registros clínicos electronicos.

Notificación de vulneraciones

El artículo 64 del Reglamento obliga a informar al titular sin dilación cuando ocurra una vulneración. No hay plazo fijo como en GDPR, pero la jurisprudencia INAI ha aplicado el principio de inmediatez.

Transferencias internacionales

Las transferencias de datos al extranjero requieren consentimiento del titular o quedar amparadas en supuestos del artículo 37. Es práctica recomendada incluir clausulas de protección en contratos con proveedores cloud extranjeros.

Encargado del tratamiento

Todo proveedor que trate datos por cuenta del responsable es un encargado. Debe firmar contrato que cumpla los requisitos del artículo 50 del Reglamento.

Conservación (NOM-004)

La NOM-004-SSA3-2012 establece que el expediente clínico debe conservarse por al menos cinco años desde el último acto médico, incluyendo los exámenes de imagen asociados.

Sanciones del INAI

• De 100 a 160.000 UMA (Unidad de Medida y Actualización) por infracciones leves o graves. En 2026 la UMA ronda los MXN 113, así que el rango va de unos MXN 11.300 a MXN 18 millones aproximadamente.
• De 200 a 320.000 UMA por infracciones a obligaciones reforzadas (hasta unos MXN 36 millones).
• Las multas se DUPLICAN cuando se trata de datos sensibles según el artículo 64 de la LFPDPPP.
• Penas privativas de libertad de 3 meses a 3 años por uso indebido y de 6 meses a 5 años por tratamiento doloso (artículos 67 y 68).

Riesgos concretos para un centro radiológico dental mexicano

No tener Aviso de Privacidad visible es una de las infracciones más comunes que detecta el INAI. Enviar tomografías por WhatsApp sin cifrado, no responder solicitudes ARCO en plazo, o usar un proveedor cloud extranjero sin contrato adecuado son infracciones documentadas. En 2023 el INAI sanciono a varias instituciones de salud con multas de varios millones de pesos por brechas no notificadas.

Cómo CBCTHub te ayuda a cumplir la LFPDPPP y la NOM-024

Plantilla de Aviso de Privacidad para México

CBCTHub incluye plantillas de Aviso de Privacidad integral y simplificado adaptadas a la LFPDPPP. Solo tienes que personalizar los datos de tu clínica.

Consentimiento expreso por escrito

El módulo de consentimiento informado de CBCTHub genera el documento conforme al artículo 9, lo envía al paciente y recoge firma electrónica verificable. Cumple el requisito de consentimiento expreso para datos sensibles.

Cifrado en tránsito y en reposo

TLS 1.3 y AES-256 cumplen las medidas técnicas que exige el artículo 19 de la LFPDPPP y la NOM-024 en sus apartados de seguridad.

Audit log para derechos ARCO

Cada acceso y modificación queda registrado. Cuando un paciente ejerce ARCO, exportas el log del expediente correspondiente desde el panel de la clínica.

Procedimiento documentado para derechos ARCO

CBCTHub permite responder solicitudes de acceso (exportación de datos), rectificación (edición del expediente), cancelación (borrado) y oposición (cierre de tratamiento) en cuestión de minutos, dentro del plazo de 20 días hábiles.

Borrado seguro para derecho de cancelación

DELETE /api/v1/exams/{id} elimina el examen y todos los DICOM en R2 de forma irreversible. Cumple el derecho de cancelación del artículo 25 de la LFPDPPP.

Portabilidad mediante export-data

El endpoint /api/account/export-data entrega los datos en JSON estructurado para portabilidad o auditoría.

Contrato con el encargado

CBCTHub firma contrato de encargo que cumple los requisitos del artículo 50 del Reglamento de la LFPDPPP. Disponible para descarga en /privacidad.

RLS multi-tenant en Supabase

Aislamiento estricto entre clínicas. Cumple el principio de responsabilidad del artículo 6 de la LFPDPPP.

Notificación de vulneraciones

Si detectamos una brecha que afecte tus datos, te notificamos sin dilación para que puedas cumplir el artículo 64 del Reglamento.

Checklist de cumplimiento LFPDPPP para tu centro

• Designar Departamento de Datos Personales o persona responsable.
• Publicar Aviso de Privacidad integral en sitio web y simplificado en recepción.
• Plantilla de consentimiento expreso para datos sensibles.
• Procedimiento documentado de respuesta a derechos ARCO (plazo de 20 días).
• Sistema de gestión de seguridad documentado.
• Contrato con CBCTHub y todos los encargados.
• Política de retención de 5 años mínimo según NOM-004.
• Cumplir requisitos técnicos de la NOM-024 si usas registro electrónico.
• Capacitación anual del personal.
• Bitácora de incidentes de seguridad.

FAQ

¿Puedo enviar tomografías por WhatsApp?

No de forma segura. WhatsApp no garantiza las medidas técnicas que exige el artículo 19 de la LFPDPPP para datos sensibles. Usa un link seguro de CBCTHub que cumple cifrado, control de acceso y trazabilidad.

¿Cuánto tiempo debo conservar el expediente?

La NOM-004-SSA3-2012 fija un mínimo de 5 años desde el último acto médico. Para implantes muchas clínicas conservan la vida útil del implante.

¿Qué pasa si pierdo el respaldo con datos sensibles?

Debes notificar al titular sin dilación según el artículo 64 del Reglamento. La multa por incumplimiento de medidas de seguridad puede duplicarse al tratarse de datos sensibles.

¿Necesito firmar algo con CBCTHub?

Si. El artículo 50 del Reglamento exige contrato con el encargado. CBCTHub lo proporciona en /privacidad.

Recursos oficiales

• INAI
• LFPDPPP (PDF Cámara de Diputados)
• NOM-024-SSA3-2012
• NOM-004-SSA3-2012

Descarga el contrato de encargado de CBCTHub | Solución para centros radiológicos en México | Planes y precios

Este artículo es informativo y no constituye asesoría legal. Consulta con un abogado especializado en protección de datos mexicano para tu caso específico.