Protección de datos para psicólogos en México: LFPDPPP y NOM-004

En México, un psicólogo con consulta privada está sujeto a dos marcos normativos que rara vez se explican juntos: la NOM-004-SSA3-2012, que regula el expediente clínico, y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que regula cómo tratas esa información.

La confusión habitual es pensar que la NOM-004 es cosa de hospitales. No lo es: es de observancia obligatoria para los establecimientos de atención médica del Sistema Nacional de Salud, y eso alcanza a los consultorios privados de psicología.

Qué exige la NOM-004 en un consultorio de psicología

• •Integrar un expediente por paciente. Único y confidencial, con la historia clínica, las notas de evolución de cada sesión, los resultados de las evaluaciones psicométricas que apliques y la documentación del consentimiento informado.
• •Conservarlo cinco años como mínimo. Contados desde la fecha del último acto médico o asistencial, no desde la apertura del expediente. Un paciente que regresa reinicia el cómputo.
• •Ampliar el plazo en menores. Hasta que el paciente cumpla la mayoría de edad, y cinco años más a partir de ahí.
• •Garantizar la confidencialidad. El expediente es confidencial y su acceso está limitado. Esto se cruza directamente con el secreto profesional del psicólogo.
• •Documentar el consentimiento informado. No es un trámite: forma parte del expediente y debe poder acreditarse.

Qué exige la LFPDPPP

La ley clasifica los datos de salud como sensibles, y esa etiqueta activa obligaciones reforzadas.

• •Aviso de privacidad. Claro, accesible y previo al tratamiento. Debe identificarte como responsable, decir qué datos recabas, para qué finalidades, y mencionar expresamente que tratas datos personales sensibles.
• •Consentimiento expreso y por escrito. Para datos sensibles la ley exige consentimiento expreso y por escrito del titular, con su firma autógrafa, firma electrónica o cualquier mecanismo de autenticación equivalente. No basta el consentimiento tácito.
• •Medidas de seguridad. Administrativas, técnicas y físicas, proporcionadas al riesgo. Con datos sensibles el estándar exigible es más alto.
• •Derechos ARCO. Acceso, rectificación, cancelación y oposición. Necesitas un canal designado y un procedimiento para responder en los plazos legales.
• •Designar a un responsable del tratamiento. En un consultorio individual serás tú mismo, pero debe estar identificado en el aviso de privacidad como punto de contacto.

Puesta al día en cinco pasos

1. 1Redacta o revisa tu aviso de privacidad. Comprueba que menciona expresamente el tratamiento de datos sensibles y que identifica un medio de contacto para los derechos ARCO.
2. 2Revisa tu formato de consentimiento informado. Debe cubrir tanto lo clínico como el tratamiento de datos sensibles, con consentimiento expreso y por escrito.
3. 3Ordena el expediente por paciente. Historia clínica, notas de evolución, resultados de pruebas y consentimientos, todo bajo un mismo expediente identificable.
4. 4Fija tu calendario de conservación. Cinco años desde el último acto asistencial, con la regla especial de menores marcada aparte para no olvidarla.
5. 5Documenta tus medidas de seguridad. Quién accede, con qué credenciales, cómo se cifran las copias y qué haces ante un incidente. Tenerlo por escrito es parte del cumplimiento.

Preguntas frecuentes

Fuentes

• NOM-004-SSA3-2012, del expediente clínico — resumen y requisitos
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Última revisión: 27 de julio de 2026. Esta página es contenido informativo y no sustituye al asesoramiento jurídico o fiscal profesional.

Seguir leyendo

• Plazos de conservación en 5 países
• Secreto profesional y sus excepciones
• Cuánto cobra un psicólogo en México