Guía legal · MéxicoActualizado el 27 de septiembre de 2026

Protección de datos para psicólogos en México: LFPDPPP 2025 y NOM-004

El expediente clínico psicológico se rige por la NOM-004-SSA3-2012 y los datos que contiene son sensibles bajo la LFPDPPP, que es una ley nueva desde marzo de 2025. Qué exige cada norma, con su artículo, y qué documentos necesitas tener.

Respuesta corta

▪La LFPDPPP vigente es la publicada en el DOF el 20 de marzo de 2025, en vigor desde el día siguiente; abrogó la ley de 2010 y renumeró sus artículos. La autoridad ya no es el INAI, sino la Secretaría Anticorrupción y Buen Gobierno.
▪Los datos de salud mental son datos personales sensibles (LFPDPPP, art. 2, fr. VI) y su tratamiento exige consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación (art. 8).
▪Necesitas un aviso de privacidad que identifique expresamente los datos sensibles que tratas (art. 15, fr. II).
▪Debes designar a una persona que atienda los derechos ARCO (art. 29) y responder en un máximo de 20 días hábiles desde que recibes la solicitud (art. 31).
▪El expediente clínico se conserva un mínimo de 5 años desde la fecha del último acto médico (NOM-004-SSA3-2012, numeral 5.4).
▪La NOM-004 obliga expresamente a los consultorios privados (numeral 2) y tiene una regla propia para los expedientes de atención psicológica (numeral 5.16).

En México, un psicólogo con consulta privada está sujeto a dos marcos normativos que rara vez se explican juntos: la NOM-004-SSA3-2012, que regula el expediente clínico, y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que regula cómo tratas esa información.

La confusión habitual es pensar que la NOM-004 es cosa de hospitales. No lo es: su campo de aplicación incluye a los establecimientos de atención médica de los sectores público, social y privado, «incluidos los consultorios», y prevé expresamente los expedientes de atención psicológica.

Si leíste guías anteriores a 2025

El 20 de marzo de 2025 se publicó en el DOF una nueva LFPDPPP que abrogó la de 2010 (transitorio Segundo del decreto) y entró en vigor al día siguiente. Los artículos cambiaron de número: los datos sensibles se definen ahora en el art. 2, fr. VI (antes art. 3), su consentimiento está en el art. 8 (antes 9), el aviso de privacidad en el art. 15 (antes 16) y las medidas de seguridad en el art. 18 (antes 19). El INAI desapareció y sus funciones en esta materia pasaron a la Secretaría Anticorrupción y Buen Gobierno. Las multas se expresan ahora en Unidades de Medida y Actualización (UMA). Si tu aviso de privacidad cita artículos o remite al INAI, conviene actualizarlo.

Qué exige la NOM-004 en un consultorio de psicología

•Integrar un expediente por paciente. Único y confidencial, con la historia clínica, las notas de evolución de cada sesión, los resultados de las evaluaciones psicométricas que apliques y la documentación del consentimiento. Para la atención psicológica ambulatoria, la historia clínica y las notas se ajustan a la naturaleza del servicio (numeral 5.16).
•Conservarlo cinco años como mínimo. Contados desde la fecha del último acto médico (numeral 5.4), no desde la apertura del expediente. Un paciente que regresa reinicia el cómputo.
•Tratar con cuidado los expedientes de menores. La NOM-004 no fija un plazo especial para menores de edad: el mínimo sigue siendo de cinco años desde el último acto médico. Como el plazo es un mínimo, muchos profesionales conservan el expediente de un menor al menos hasta que alcanza la mayoría de edad; es una decisión prudente, no una exigencia de la norma.
•Garantizar la confidencialidad. Los datos que identifican al paciente no deben divulgarse, y solo se entregan a terceros con solicitud escrita del paciente, su tutor o representante legal, o de un médico autorizado por ellos (numerales 5.5 y 5.5.1). Esto se cruza directamente con el secreto profesional del psicólogo.
•Documentar el consentimiento. La NOM-004 solo impone cartas de consentimiento informado para eventos como hospitalización o cirugía (numeral 10.1.2), pero permite añadir otras (10.1.3). En psicología la vía práctica es otra: la LFPDPPP exige consentimiento por escrito para datos sensibles, así que ese documento tiene que existir y quedar en el expediente.

Qué exige la LFPDPPP de 2025

La ley clasifica los datos de salud como sensibles (art. 2, fr. VI), y esa etiqueta activa obligaciones reforzadas.

•Aviso de privacidad (arts. 14 a 16). Debe estar a disposición del paciente desde que recabas sus datos e incluir, como mínimo, tu identidad y domicilio, los datos que tratas identificando cuáles son sensibles, las finalidades, las opciones para limitar su uso o divulgación, los medios para ejercer los derechos ARCO y cómo comunicarás los cambios (art. 15). Omitir alguno de esos elementos es infracción (art. 58, fr. V).
•Consentimiento expreso y por escrito (art. 8). Para datos sensibles la ley exige consentimiento expreso y por escrito del titular, con su firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que se establezca. El consentimiento tácito, que es la regla general (art. 7), aquí no basta.
•Medidas de seguridad (art. 18). Administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción o acceso no autorizado, teniendo en cuenta el riesgo y la sensibilidad de los datos. Las vulneraciones que afecten de forma significativa al paciente se le deben informar de inmediato (art. 19), y todo el que intervenga en el tratamiento guarda confidencialidad incluso después de terminar la relación (art. 20).
•Derechos ARCO (arts. 21 a 34). Acceso, rectificación, cancelación y oposición. Tienes 20 días hábiles desde que recibes la solicitud para comunicar tu respuesta y 15 más para hacerla efectiva si procede, ampliables una sola vez por un periodo igual si está justificado (art. 31). El ejercicio es gratuito salvo costes de reproducción o envío (art. 34).
•Designar a quien atiende las solicitudes (art. 29). La ley pide designar a una persona o departamento de datos personales que dé trámite a las solicitudes. En un consultorio individual serás tú mismo, y el medio de contacto debe figurar en el aviso de privacidad.
•Tu software o tu nube son «persona encargada». Quien trata datos por tu cuenta —un proveedor de software, un servicio de almacenamiento— es persona encargada (art. 2, fr. XII), y comunicarle datos no es una transferencia (art. 2, fr. XX). Las transferencias a terceros sí requieren comunicarles tu aviso de privacidad (art. 35), salvo supuestos como la prestación de asistencia sanitaria (art. 36, fr. II).

Cancelación de datos vs. conservación del expediente

Si un paciente ejerce su derecho de cancelación, eso no elimina tu obligación de conservar el expediente clínico durante el plazo de la NOM-004. La propia LFPDPPP lo prevé: no estás obligado a cancelar datos que deban tratarse por disposición legal ni los tratados para el diagnóstico o la gestión de servicios de salud por un profesional sujeto a secreto (art. 25, fr. II y VII). Lo correcto es explicárselo al paciente, atender la solicitud en lo que sí procede y dejar constancia documental de la respuesta.

Puesta al día en cinco pasos

1Redacta o revisa tu aviso de privacidad. Comprueba que contiene los seis elementos del art. 15, que identifica los datos sensibles y que ya no cita artículos de la ley de 2010 ni remite al INAI.
2Revisa tu formato de consentimiento. Debe cubrir tanto lo clínico como el tratamiento de datos sensibles, con consentimiento expreso y por escrito y firma autógrafa o electrónica (art. 8).
3Ordena el expediente por paciente. Historia clínica, notas de evolución, resultados de pruebas y consentimientos, todo bajo un mismo expediente identificable. Es justo lo que un software para psicólogos resuelve por defecto y lo que una carpeta por carpeta hace casi imposible de auditar.
4Fija tu calendario de conservación. Cinco años desde el último acto médico, como mínimo. Si decides conservar más tiempo los expedientes de menores, déjalo escrito como criterio propio.
5Documenta tus medidas de seguridad. Quién accede, con qué credenciales, cómo se cifran las copias y qué haces ante una vulneración, incluido cómo avisarías al paciente (art. 19). Tenerlo por escrito es parte del cumplimiento.

Preguntas frecuentes

¿Cuánto tiempo debe conservar un psicólogo el expediente clínico en México?+

Un mínimo de cinco años contados a partir de la fecha del último acto médico, conforme al numeral 5.4 de la NOM-004-SSA3-2012. La norma no establece un plazo distinto para menores de edad; conservar más tiempo esos expedientes es una decisión prudente del profesional, no una obligación de la NOM-004.

¿La NOM-004 aplica a un consultorio privado de psicología?+

Sí. Según su numeral 2, es de observancia obligatoria para el personal de salud y los establecimientos de atención médica de los sectores público, social y privado, incluidos los consultorios. El numeral 5.16 se refiere expresamente a los expedientes de atención psicológica: la historia clínica y las notas de evolución se ajustan a la naturaleza del servicio.

¿Los datos de salud mental son datos sensibles en México?+

Sí. El artículo 2, fracción VI, de la LFPDPPP de 2025 considera sensibles los datos que afecten a la esfera más íntima del titular o cuyo uso indebido pueda originar discriminación o riesgo grave, y menciona expresamente el estado de salud presente o futuro. Eso obliga a consentimiento expreso y por escrito (art. 8), a identificarlos en el aviso de privacidad (art. 15) y a medidas de seguridad acordes a su sensibilidad (art. 18).

¿Qué cambió con la nueva LFPDPPP de 2025?+

La ley publicada en el DOF el 20 de marzo de 2025 sustituyó a la de 2010 y renumeró sus artículos. La autoridad pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno, las multas se fijan en UMA (de 100 a 320,000 UMA según la infracción, y hasta el doble si afectan datos sensibles, art. 59) y el Ejecutivo debía adaptar el reglamento en 90 días. Las obligaciones básicas para un consultorio —aviso de privacidad, consentimiento escrito para datos sensibles, seguridad y derechos ARCO— se mantienen.

¿Qué es el aviso de privacidad y necesito uno?+

Es el documento por el que informas al titular de qué datos tratas, con qué finalidades y cómo puede ejercer sus derechos ARCO (arts. 14 y 15 de la LFPDPPP). Sí lo necesitas: debe estar a su disposición desde que recabas sus datos y, al tratar datos sensibles, debe identificarlos de forma expresa. Omitir alguno de sus elementos es una infracción sancionable (art. 58, fr. V).

¿Puedo llevar el expediente clínico en formato digital?+

Sí. La NOM-004 permite integrar el expediente con medios electrónicos (numeral 5.12) y admite la firma electrónica en las notas (numeral 5.10). Lo importante es que puedas recuperar y leer el expediente completo durante los cinco años, y que las medidas de seguridad del art. 18 de la LFPDPPP sean proporcionadas al carácter sensible de los datos.

Fuentes

Última revisión: 27 de septiembre de 2026. Esta página es contenido informativo y no sustituye al asesoramiento jurídico o fiscal profesional.

Seguir leyendo

Tu historia clínica, ordenada y exportable

Freud guarda la documentación de tus pacientes en un solo sitio y te permite exportarla cuando la necesites. 100% gratis, sin límite de pacientes.

Empezar gratis