Aviso de privacidad y derechos ARCO en su consultorio (ley de 2025)

Actualizado el 27 de octubre de 2026

En breve

El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el día siguiente, que abrogó la ley de 2010. La autoridad ya no es el INAI: es la Secretaría Anticorrupción y Buen Gobierno. Para un consultorio, lo esencial es esto: los datos de salud son datos sensibles y requieren consentimiento expreso y por escrito; debe poner a disposición de sus pacientes un aviso de privacidad con los contenidos que fija la ley; y debe atender las solicitudes de acceso, rectificación, cancelación y oposición (derechos ARCO) en los plazos de la ley.

A quién aplica

A las personas físicas o morales de carácter privado que tratan datos personales (artículo 2, fracción XVI): un médico en su consultorio y una clínica privada están incluidos.

Los datos de salud son sensibles

La ley considera sensibles los datos que pueden revelar el estado de salud presente o futuro y la información genética (artículo 2, fracción VI).
Para tratarlos se necesita el consentimiento expreso y por escrito del paciente, con su firma autógrafa, su firma electrónica o cualquier mecanismo de autenticación (artículo 8).
Excepción: no se necesita consentimiento cuando los datos son indispensables para la atención médica mientras el paciente no esté en condiciones de darlo, y los trata alguien sujeto al secreto profesional (artículo 9, fracción VI).
El paciente puede revocar su consentimiento en cualquier momento, sin efectos retroactivos, y el aviso debe explicar cómo (artículo 7).

El aviso de privacidad

Qué debe contener

El artículo 15 fija el contenido mínimo:

Su identidad y domicilio como responsable.
Los datos que trata, identificando los sensibles.
Las finalidades del tratamiento, distinguiendo las que requieren consentimiento.
Las opciones para limitar el uso o la divulgación de los datos.
Los medios para ejercer los derechos ARCO.
Cómo comunicará los cambios al aviso.

Si transfiere datos a terceros, el aviso debe incluir una cláusula en la que el paciente indique si acepta o no la transferencia (artículo 35).

Cuándo y cómo darlo

Desde el momento en que recaba los datos (artículo 2, fracción I).
Si los recaba en persona con un formato impreso, lo entrega en ese momento (artículo 16).
Si los recaba por medios electrónicos u otra tecnología, puede usar una versión simplificada con, al menos, los puntos 1 a 4 del artículo 15 y el lugar donde se consulta el aviso integral (artículo 16).
Si después quiere usar los datos para una finalidad nueva, necesita un consentimiento nuevo (artículo 11).

La ley no da un plazo de transición para los avisos que ya existían: desde marzo de 2025 su aviso debe cumplir con el artículo 15. Si su aviso menciona al INAI como autoridad, actualícelo.

Los derechos ARCO

Son los derechos de acceso, rectificación, cancelación y oposición (artículo 2, fracción VII). El paciente, o su representante legal, puede ejercerlos en cualquier momento (artículos 21 y 27).

Qué debe tener listo

Designe a una persona o un departamento de datos personales que reciba y atienda las solicitudes (artículo 29).
La solicitud lleva el nombre y un medio para notificar al paciente, los documentos que acrediten su identidad, la descripción de los datos (salvo en el acceso), el derecho que ejerce y lo que ayude a localizar los datos (artículo 28). Una rectificación incluye además los cambios y los documentos que los respalden.

Plazos

Responder en un máximo de 20 días hábiles (artículo 31).
Si la solicitud procede, hacerla efectiva dentro de los 15 días hábiles siguientes.
Cada plazo puede ampliarse una sola vez por un periodo igual, si lo justifica.
El acceso se entrega después de verificar la identidad del paciente.

Costo

Es gratuito, salvo los gastos de reproducción, copia o envío. Si el paciente repite la misma solicitud en menos de doce meses, puede cobrarle hasta tres UMA (artículo 34).

Cuándo puede negarse

Cuando no se acredita la identidad, cuando no tiene esos datos, cuando afecta derechos de un tercero, cuando hay un impedimento legal o cuando ya se atendió. La negativa debe ser fundada, enviarse en el plazo y por el mismo medio de la solicitud, y puede ser parcial (artículo 33).

El expediente clínico y la cancelación

La ley no obliga a cancelar datos que deben tratarse por disposición legal, ni los que se tratan para la prevención, el diagnóstico médico o la gestión de servicios de salud por un profesional sujeto al secreto (artículo 25, fracciones II y VII), y no procede la oposición cuando el tratamiento es necesario para cumplir una obligación legal (artículo 26). Esto se relaciona con la NOM-004, que obliga a conservar el expediente clínico al menos cinco años desde el último acto médico. Si un paciente pide cancelar sus datos, revise primero esa obligación de conservación.

Si el paciente no está conforme

Puede presentar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno dentro de los 15 días siguientes a su respuesta, o a partir de que venció el plazo sin respuesta (artículo 40).

Sanciones

La ley prevé desde un apercibimiento por no atender una solicitud ARCO hasta multas de 100 a 160,000 UMA (por ejemplo, por omitir elementos del aviso de privacidad) y de 200 a 320,000 UMA (por ejemplo, por recabar datos sin el consentimiento expreso que se requiere) (artículo 59). Cuando se trata de datos sensibles, las multas pueden aumentar hasta el doble.

Lo que aún no está definido

Al 27 de octubre de 2026 no encontramos un reglamento nuevo de esta ley ni lineamientos de la Secretaría para particulares. La Cámara de Diputados sigue mostrando como vigente el reglamento de 2011, emitido para la ley anterior. Revisaremos esta guía cuando se publiquen.

Errores comunes

Un aviso de privacidad que no señala cuáles datos son sensibles.
Tratar datos de salud sin consentimiento expreso y por escrito.
Un aviso que todavía menciona al INAI como autoridad.
No tener designada a una persona para las solicitudes ARCO.
Dejar vencer los 20 días hábiles sin responder.
Cancelar un expediente que la NOM-004 obliga a conservar.

Preguntas frecuentes

¿Necesito el consentimiento por escrito para guardar los datos de salud de mis pacientes?

Sí. Los datos de salud son sensibles, y la ley pide consentimiento expreso y por escrito, que puede darse con firma autógrafa, firma electrónica u otro mecanismo de autenticación.

¿Mi aviso de privacidad de antes de 2025 sigue sirviendo?

La ley no dio un plazo de transición. Revise que cumpla con el artículo 15, que identifique los datos sensibles, que incluya la cláusula de transferencias si las hace y que no mencione al INAI como autoridad.

Un paciente me pide borrar su expediente, ¿debo hacerlo?

No necesariamente. La ley no obliga a cancelar los datos que deben conservarse por disposición legal, y la NOM-004 pide conservar el expediente al menos cinco años desde el último acto médico.

¿Cuánto tiempo tengo para responder una solicitud ARCO?

Hasta 20 días hábiles para responder y, si procede, 15 días hábiles más para hacerla efectiva. Cada plazo se puede ampliar una vez por un periodo igual, si lo justifica.

Cómo le ayuda Vidata

Cada clínica en Vidata tiene su aviso de privacidad, con versiones, y cuando publica una versión nueva el paciente la lee y la acepta al entrar a su cuenta. El paciente envía sus solicitudes ARCO desde su cuenta, y la administración de la clínica las ve, las atiende y les responde dentro de Vidata.

Fuentes oficiales

Información general; no constituye asesoría legal. Verifique los requisitos vigentes con la autoridad correspondiente.