Protección de datos y expediente clínico para psicólogos en México: qué exige la ley

Esto no es asesoría legal — es un mapa de lo que sí pudimos verificar en fuentes públicas para que sepas qué preguntarle a tu abogado antes de que te lo pregunte un paciente, o algo peor. La ficha de un paciente de psicología es, legalmente, uno de los tipos de dato con más protección que existen en México.

Los datos de salud son "datos personales sensibles"

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) clasifica los datos de salud como datos personales sensibles — la categoría de mayor protección de toda la ley, junto con origen étnico, creencias religiosas u orientación sexual. Eso cambia lo que te exige la ley frente a, por ejemplo, guardar el correo de un cliente cualquiera:

• Consentimiento expreso y por escrito del paciente para tratar sus datos de salud, no un consentimiento tácito o implícito.
• Aviso de privacidad que explique qué datos recabas, para qué los usas y cómo los proteges.
• Medidas de seguridad físicas, técnicas y administrativas proporcionales al tipo de dato — no basta con "tener cuidado".
• Derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) que tu paciente puede ejercer en cualquier momento.

El aviso de privacidad: integral, simplificado y corto

La ley reconoce tres formatos. El integral es el documento completo que debe estar siempre disponible (por ejemplo, en tu web o en tu consultorio). El simplificado es una versión condensada para espacios limitados o contacto directo — debe incluir tu identidad y datos de contacto, las finalidades del tratamiento, el mecanismo para ejercer los derechos ARCO y una referencia a dónde consultar el aviso integral. El corto es aún más breve, para espacios muy reducidos, y siempre remite al integral.

El expediente clínico: la NOM-004-SSA3-2012 también aplica a psicología

Aparte de la protección de datos, existe una norma técnica específica sobre cómo debe integrarse un expediente clínico: la NOM-004-SSA3-2012. Fuentes del sector salud que analizan la norma coinciden en que aplica a todo el personal y los establecimientos de salud de los sectores público, social y privado — incluidos los consultorios individuales — y que contempla explícitamente la atención psicológica dentro de su alcance.

Lo que exige, en términos prácticos, para el expediente de cada paciente:

• Datos generales del paciente y, cuando aplique, de quien lo acompaña o autoriza el tratamiento.
• Antecedentes personales y familiares relevantes, recabados desde la primera sesión.
• Padecimiento actual y valoración inicial, documentados desde el primer encuentro.
• Notas de evolución en cada sesión posterior, con los cambios observados y las decisiones clínicas tomadas.
• Consentimiento informado firmado y archivado como parte del expediente.
• Conservación mínima de cinco años desde la fecha del último acto registrado — es un mínimo, no un máximo; para menores de edad o casos con litigio de por medio, conviene conservarlo más tiempo.

Secreto profesional: la otra capa de protección

Además de la ley y la norma técnica, los códigos éticos de la profesión en México establecen el secreto profesional como principio central: lo que un paciente comparte en sesión no se divulga, salvo las excepciones reconocidas (riesgo real para la vida del paciente o de terceros, o requerimiento de autoridad competente). Es la capa de confianza que hace posible la terapia — y también una razón más para que el expediente esté protegido incluso de miradas dentro de tu propio consultorio si trabajas en equipo.

Esa misma capa de confianza es la que está en juego si decides apoyarte en herramientas de inteligencia artificial para alguna tarea de tu consultorio. Antes de pegar información de un paciente en un asistente genérico, revisa nuestra guía sobre qué papel puede jugar la IA en tu consulta, y qué no.

Qué significa esto para tu consultorio, en la práctica

• No mandes fichas ni notas de sesión por WhatsApp o correo sin cifrar — usa un sistema pensado para eso, no una carpeta compartida genérica.
• Controla quién accede: si tienes recepcionista o colegas, que cada quien vea solo lo que necesita para su función.
• Ten respaldos automáticos, no una copia manual que dependa de que te acuerdes de hacerla.
• Define qué pasa al cumplirse el plazo de conservación: destrucción segura, no solo borrar el archivo de la carpeta.
• Si trabajas con papel, un expediente físico necesita el mismo cuidado: llave, acceso restringido, y un plan si el consultorio cambia de dirección.

Nerela guarda la ficha, las notas de sesión y el historial de cada paciente cifrados en tránsito y en reposo, alojados en la Unión Europea, con respaldos automáticos y aislamiento por cuenta en la base de datos — y puedes pedir la exportación o el borrado de los datos de un paciente cuando haga falta. Eso resuelve la parte técnica de la seguridad; el aviso de privacidad y el consentimiento informado siguen siendo una tarea tuya, con tu abogado.