Cómo proteger a tus pacientes y a tu consultorio
Cuando un paciente te escribe por WhatsApp para preguntar por un procedimiento, ya te entregó un dato que la ley mexicana protege con más rigor que sus datos financieros: su estado de salud. Desde ese primer mensaje, tu marketing empieza a tocarlo. El pixel que registró su visita a la página del tratamiento, la agencia que revisa tus conversaciones y el testimonio que mañana quieres publicar manejan, de una forma u otra, información sensible.
Este artículo explica qué dice la ley en México y California sobre esos datos, qué documentos te protegen y qué riesgos aparecen cuando tu marketing lo maneja alguien que no conoce el sector salud. No trata de cómo diseñar formularios ni de captar prospectos, eso es otro tema.
Por qué el dato de salud pesa distinto
En México, la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) entró en vigor el 21 de marzo de 2025 y sustituyó a la de 2010. Considera sensibles los datos que revelan el estado de salud presente o futuro, además de la información genética, el origen étnico o la preferencia sexual. Para tratarlos necesitas el consentimiento expreso y por escrito del paciente (firma autógrafa, firma electrónica u otro mecanismo de autenticación), y las multas pueden duplicarse cuando el dato es sensible. La autoridad ya no es el INAI: hoy vigila el cumplimiento la Secretaría Anticorrupción y Buen Gobierno.
En California, la CPRA (la reforma de la CCPA) clasifica la información de salud como "información personal sensible" y da al consumidor el derecho de limitar su uso. Además existen dos leyes que aparecen en las demandas contra sitios de salud: la CMIA (Confidentiality of Medical Information Act), que prohíbe divulgar información médica sin autorización, y la CIPA (California Invasion of Privacy Act), que sanciona la interceptación de comunicaciones sin consentimiento.
Un concepto ordena todo lo demás. La ley mexicana distingue entre el responsable (tú, quien decide cómo se usan los datos) y el encargado (quien los trata por tu cuenta, como una agencia o una plataforma). Delegar tu marketing no te quita la responsabilidad.
Qué datos de pacientes aparecen en tu marketing y bajo qué condiciones se pueden usar
La regla práctica: los datos agregados o anónimos circulan con libertad; los que identifican a un paciente junto con su condición o tratamiento exigen consentimiento específico y control estricto.
| Dato | Condición para usarlo | Cómo hacerlo de forma segura |
|---|---|---|
| Testimonios de pacientes | Autorización expresa y por escrito, separada del consentimiento del tratamiento | Formato de autorización con alcance claro (dónde se publicará y por cuánto tiempo) y posibilidad de retirarlo |
| Fotos y videos de antes y después | Consentimiento específico por escrito: haber aceptado el procedimiento no es haber aceptado aparecer en un anuncio | Autorización independiente; sin rasgos identificables si el paciente no lo pidió |
| Listas de pacientes para audiencias personalizadas | Prácticamente nunca justificable: es transferir datos de salud a una plataforma publicitaria | Usar intención de búsqueda en lugar de listas |
| Chats de WhatsApp | El paciente los compartió contigo, no con terceros | Analizar patrones de preguntas, sin identidades ni capturas |
| Grabaciones de llamadas | Aviso previo y consentimiento | Rastreo que mida origen y duración, no audio |
| Expediente clínico | Confidencial por norma (NOM-004-SSA3-2012); el marketing no lo necesita | Mantenerlo fuera de cualquier herramienta de marketing |
| Reseñas públicas | El paciente decidió publicarlas | Responder sin confirmar que es paciente ni mencionar su tratamiento |
Para hacer marketing de búsqueda casi nunca se necesita saber quién es el paciente. Basta con saber qué canal lo trajo y si agendó, porque la materia prima es la intención de quien ya está buscando, como explicamos en nuestra página de SEO para médicos. Por eso en Google Ads para médicos no hace falta subir listas de pacientes.
El contenido visual es donde más se cruza esta línea. En cirugía plástica y en odontología estética, un antes y después revela información de salud, así que necesita autorización expresa y por escrito.
Cómo protegerte: aviso de privacidad, términos y condiciones, y contratos
Aviso de privacidad. Con la ley de 2025, el aviso integral debe detallar qué datos personales tratas, identificar cuáles son sensibles, distinguir las finalidades que requieren consentimiento de las que no, e incluir el mecanismo para revocarlo. El aviso simplificado debe mencionar de forma expresa los datos sensibles, los medios para limitar su uso y dónde consultar el aviso integral. Si el tuyo es anterior a marzo de 2025 o menciona al INAI, actualízalo. Un ejemplo de cómo se publica está en nuestra política de privacidad.
Términos y condiciones. Delimitan qué es tu sitio y qué no. Un buen texto aclara que el contenido es informativo y no sustituye una consulta, que los resultados varían por paciente, quién es el titular de los contenidos y bajo qué legislación se resuelven las controversias. Si atiendes pacientes de Estados Unidos, esto último importa. Puedes ver un ejemplo en nuestros términos de uso.
Consentimientos específicos. Un consentimiento para el tratamiento médico no cubre usar la imagen o el caso del paciente en publicidad. Cada uso necesita su propia autorización, redactada con claridad y firmada.
Contratos con quien trata datos por ti. Aplica a tu agencia, pero también a plataformas de agenda, CRM o mensajería. Debe incluir al menos:
- Confidencialidad sobre toda información a la que tengan acceso.
- Las finalidades permitidas, y la prohibición de usar datos para otros clientes o proyectos.
- Que no puedan subcontratar ni usar herramientas de terceros con datos de pacientes sin tu autorización.
- Que las cuentas publicitarias, el dominio y los datos son tuyos, y se te devuelven al terminar la relación.
- La obligación de avisarte de inmediato si ocurre un incidente de seguridad.
- La eliminación de los datos al terminar el servicio.
Publicidad sanitaria. En México, la publicidad de servicios de salud está regulada por la Ley General de Salud (artículos 300 a 312) y suele requerir un aviso de publicidad ante COFEPRIS. No es un tema de datos, pero es parte del mismo cumplimiento, y lo tocamos al explicar por qué tus anuncios de marketing digital no funcionan.
Pixeles y remarketing: el riesgo que casi nadie revisa
El pixel de Meta, Google Analytics y las etiquetas de remarketing envían a terceros información sobre lo que hace cada visitante en tu sitio. En una página como "cirugía de columna" o "tratamiento de periodoncia", ese dato puede revelar un interés médico.
En California esto ya es litigio activo, y los tribunales no coinciden:
- En julio de 2026, un tribunal de apelaciones de California consideró procedente certificar una demanda colectiva contra Adventist Health System/West por usar Meta Pixel y Google Analytics en sus sitios, con reclamos bajo CIPA y CMIA. Todavía es una cuestión de fondo si hubo violación, pero el caso sigue adelante.
- En sentido contrario, el Tercer Circuito confirmó el rechazo de una demanda contra Quest Diagnostics: consideró que no se había divulgado "información médica" sustantiva, y que saber que alguien fue paciente o entró a su portal no basta.
- Un tribunal federal en California también resolvió que los datos de pixeles que solo reflejan visitas a páginas públicas no constituyen información médica protegida.
Esa divergencia es la razón para no apostar. Las prácticas que reducen el riesgo son concretas:
- No incluyas diagnósticos ni procedimientos en URLs ni en nombres de eventos de seguimiento.
- Describe en tu aviso de privacidad qué pixeles y cookies usas y para qué.
- Activa las etiquetas solo después de que el visitante acepte las cookies.
- Evita remarketing sobre páginas de condiciones especialmente sensibles.
- Nunca coloques pixeles de publicidad dentro de un portal de pacientes.
La estructura técnica del sitio es parte de la solución; la revisamos en nuestra página de sitios web para médicos.
California: qué aplica a tu clínica y qué no
La CCPA/CPRA aplica a empresas con fines de lucro que cumplan al menos uno de tres umbrales: más de 25 millones de dólares de ingresos brutos anuales, comprar, vender o compartir información de 100,000 o más consumidores u hogares de California al año, u obtener 50% o más de sus ingresos de vender o compartir esa información. Un consultorio en Tijuana rara vez llega a esas cifras, y la información regulada por HIPAA queda fuera de la CCPA.
Pero el tema no se cierra ahí. Las demandas por pixeles se apoyan en la CMIA, la CIPA y el derecho constitucional a la privacidad, que no dependen de esos umbrales. Si un tribunal de California tendría jurisdicción sobre una clínica en Tijuana es una pregunta para un abogado, y el riesgo no es cero cuando tu mercado es el paciente californiano. Tampoco asumas que HIPAA te es ajeno: normalmente aplica a proveedores y aseguradoras de Estados Unidos, así que si trabajas con ellos, confírmalo con un especialista.
Si tu estrategia incluye pacientes de California, vale la pena leer cómo atraer pacientes de Estados Unidos a un consultorio en Tijuana y qué implica el turismo médico para tu comunicación y tus documentos.
Riesgos de trabajar con una agencia que no conoce el sector salud
Una agencia generalista aplica a tu clínica el mismo manual que a una tienda de ropa. En salud, eso se traduce en errores concretos:
- Pide datos "porque así lo hace con todos": listas de clientes, chats, accesos totales. No distingue entre un cliente de ropa y un paciente.
- Maneja datos por canales improvisados: grupos de WhatsApp, hojas de cálculo compartidas sin control, cuentas personales de Google Drive, correos sin cifrar.
- Pega información de pacientes en herramientas de inteligencia artificial para redactar respuestas o analizar conversaciones, sin saber qué hace cada herramienta con esos datos.
- Instala pixeles en todo el sitio sin revisar qué páginas revelan un interés médico ni si existe consentimiento de cookies.
- Publica anuncios sin considerar la normativa sanitaria, lo que te expone a sanciones.
- No tiene contrato ni acuerdo de confidencialidad, o los tiene en blanco, sin cláusulas sobre datos.
- Subcontrata con freelancers o equipos de otros países sin avisarte.
- Retiene tus cuentas y accesos, y cambiar de proveedor se vuelve un problema. Ya hablamos de cuándo conviene cambiar de agencia.
Los directorios también son parte de esta conversación. Cuando inviertes en Doctoralia o Top Doctors, los datos de quien te contacta pasan por el aviso de privacidad de esa plataforma y no por el tuyo, otra razón para entender qué información compartes y dónde.
Revisión rápida de tu manejo de datos
- ¿Tu aviso de privacidad es posterior a marzo de 2025 y menciona los datos sensibles que tratas?
- ¿Tienes autorización escrita y específica para cada testimonio, foto o video de paciente que publicas?
- ¿Sabes qué pixeles y cookies hay en tu sitio y en qué páginas se activan?
- ¿Hay contrato con cláusulas de confidencialidad, subcontratación y eliminación de datos con cada proveedor que toca información de pacientes?
- ¿Las cuentas publicitarias, el dominio y los accesos están a tu nombre?
- ¿Algún proveedor usa herramientas de inteligencia artificial con información de tus pacientes?
- ¿Quién tramita el aviso de publicidad ante COFEPRIS y cuándo se renueva?
- ¿Qué pasa con tus datos y cuentas si terminas la relación con tu agencia?
Un proveedor especializado responde esto sin titubear. Si el tuyo no sabe contestar, ya obtuviste tu respuesta.
Este artículo es información general y no constituye asesoría legal. Las leyes cambian y su aplicación depende de cada caso; consulta con un abogado especializado en protección de datos y regulación sanitaria antes de tomar decisiones.
En Activo Medical trabajamos con médicos y clínicas en Tijuana y Guadalajara con campañas de búsqueda que no necesitan los datos de tus pacientes para funcionar. Si quieres revisar cómo se maneja la información en tu marketing actual, escríbenos, o explora más contenido en nuestro blog.