Años de estudio, formación especializada, experiencia clínica y pacientes que recomiendan tu trabajo. Construir una práctica médica requiere mucho más que abrir un consultorio: implica desarrollar una reputación, establecer relaciones de confianza y asumir una responsabilidad constante frente a quienes ponen su salud en tus manos.

Sin embargo, el crecimiento de una práctica profesional también trae consigo nuevas responsabilidades. Agendar consultas por WhatsApp, integrar expedientes clínicos, emitir recetas, publicar fotografías de resultados o contratar a una persona para atender la recepción son actividades que pueden parecer parte de la operación cotidiana, pero tienen implicaciones jurídicas propias.

Esto cobra especial relevancia en una consulta de cirugía plástica, estética y reconstructiva, donde, además de la atención médica, pueden existir procedimientos quirúrgicos, fotografías clínicas, publicidad de servicios y decisiones relacionadas con la imagen personal de los pacientes.

La buena noticia es que muchas de estas situaciones pueden atenderse mediante documentos adecuados y procedimientos claros. No se trata de llenar el consultorio de papeles, sino de identificar qué debe documentarse, qué información debe protegerse y qué acuerdos conviene establecer desde el principio.

Etapa 1. Antes de recibir al paciente: protege sus datos desde el primer contacto

La relación con un paciente puede comenzar antes de que llegue al consultorio. Una persona encuentra el perfil del médico en redes sociales, solicita información por WhatsApp, comparte su nombre y teléfono y agenda una valoración.

En ese momento ya existe un tratamiento de datos personales.

El aviso de privacidad no es solamente para el expediente clínico

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en una nueva versión el 20 de marzo de 2025, establece obligaciones para quienes recaban y utilizan información personal. Los datos relativos al estado de salud se consideran sensibles y requieren especial protección.

Por ello, un consultorio no debería limitarse a tener un aviso de privacidad genérico en su página web. Debe analizar qué información obtiene, para qué la utiliza, quién puede consultarla y cómo la protege.

Por ejemplo, un médico puede necesitar avisos o mecanismos informativos adecuados para diferentes momentos:

• Solicitud de una cita: nombre, teléfono, correo electrónico y datos necesarios para organizar la atención.
• Valoración médica: antecedentes, síntomas, información sobre la salud y otros datos necesarios para la atención.
• Seguimiento del paciente: comunicaciones sobre citas, indicaciones y evolución clínica.
• Difusión de servicios: información adicional cuando se pretende utilizar datos personales con fines promocionales.

No necesariamente se requiere un documento completamente independiente para cada actividad. Lo importante es que el aviso de privacidad corresponda al tratamiento real de los datos y que las finalidades estén claramente identificadas.

El consultorio también debe revisar quién es el responsable del tratamiento, qué medios ofrece para ejercer los derechos de acceso, rectificación, cancelación y oposición —conocidos como derechos ARCO— y qué medidas de seguridad utiliza.

Puedes consultar la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación.

¿Qué ocurre cuando las citas se agendan por WhatsApp?

Es común que la recepción solicite el nombre del paciente, su teléfono y el motivo de la consulta. En especialidades relacionadas con procedimientos estéticos, algunas personas incluso envían fotografías antes de acudir al consultorio.

La facilidad de esta comunicación no elimina las obligaciones de privacidad. Por el contrario, conviene definir qué información puede solicitarse por ese medio, quién tiene acceso a las conversaciones y dónde se conservarán los datos que deban incorporarse al expediente clínico.

Una fotografía enviada para solicitar una valoración no debe entenderse automáticamente como autorización para publicarla en redes sociales. Tampoco debe suponerse que el consentimiento para recibir atención médica equivale a aceptar cualquier uso posterior de la información.

La protección de datos comienza cuando se obtiene la información, no cuando se integra formalmente el expediente.

Etapa 2. Durante la consulta: el expediente clínico debe documentar la atención

El expediente clínico es mucho más que una carpeta para guardar estudios o anotar los datos generales de un paciente. Permite documentar la atención, dar continuidad al tratamiento y dejar constancia de las decisiones médicas relevantes.

La NOM-004-SSA3-2012, del expediente clínico, establece disposiciones para su integración y manejo, incluidas las relativas a la confidencialidad de la información.

En una consulta de cirugía plástica, estética y reconstructiva, la documentación puede incluir antecedentes médicos, valoración, diagnóstico cuando corresponda, indicaciones, riesgos explicados, evolución y demás elementos exigibles según el tipo de atención o procedimiento.

No se trata de utilizar siempre el mismo formato, sino de asegurarse de que los registros correspondan a lo que realmente ocurrió y cumplan con las disposiciones aplicables.

El consentimiento informado no sustituye al expediente clínico

Cuando se plantea un procedimiento, es importante que el paciente reciba información comprensible sobre sus características, beneficios esperados, riesgos, alternativas y cuidados posteriores, conforme a las obligaciones aplicables.

El consentimiento informado documenta la decisión del paciente después de recibir la información pertinente. No sustituye la valoración médica, las notas clínicas ni los demás registros que correspondan.

Tampoco debe convertirse en una autorización genérica que pretenda cubrir cualquier eventualidad o eliminar las responsabilidades profesionales.

En una intervención quirúrgica, la documentación debe responder a las características concretas del procedimiento y a los requisitos sanitarios aplicables. Además, el establecimiento donde se realiza debe reunir las condiciones que legalmente correspondan.

COFEPRIS ha publicado criterios y documentación específica para establecimientos en los que se practican procedimientos quirúrgicos con fines estéticos. Puedes consultar su comunicado sobre la actualización de la alta directiva sanitaria.

Etapa 3. Al emitir una receta: la documentación también forma parte de la atención

Una receta médica no debería ser un papel en el que únicamente se anota el nombre de un medicamento. Es un documento que debe permitir identificar al profesional que prescribe y comunicar de manera clara las indicaciones correspondientes.

Por eso, el consultorio debe utilizar formatos adecuados a su práctica y revisar que las recetas contengan los datos y elementos exigibles para el tipo de medicamento y la prescripción de que se trate.

Entre otros aspectos, debe verificarse la identificación del profesional, su cédula, los datos del paciente que correspondan, el medicamento, la presentación, la dosis y las instrucciones de uso. Los requisitos específicos pueden variar según la clase de medicamento y las disposiciones sanitarias aplicables.

Esto resulta especialmente importante cuando se prescriben medicamentos sujetos a controles particulares. No basta con copiar un formato utilizado para cualquier otra receta.

También conviene mantener procedimientos para conservar los registros correspondientes, evitar errores de identificación y proteger la información que se incorpora a los documentos.

Una receta bien estructurada no sustituye el criterio médico, pero ayuda a comunicar correctamente la prescripción y forma parte de una atención documentada.

Etapa 4. Al compartir resultados en redes sociales: una cosa es atender y otra publicar

Para un médico cuya práctica depende, en parte, de mostrar su trabajo, las redes sociales pueden ser una herramienta relevante de comunicación. Las fotografías de resultados, los testimonios y las explicaciones de procedimientos permiten que las personas conozcan los servicios ofrecidos.

Pero aquí aparece una distinción esencial: el permiso para realizar un procedimiento médico no es, por sí mismo, permiso para divulgar la imagen del paciente.

Las fotografías de antes y después pueden revelar información de salud y permitir identificar a una persona, incluso cuando no se muestra su rostro. En consecuencia, deben analizarse tanto las obligaciones de confidencialidad del expediente clínico como las relativas a la protección de datos personales.

La NOM-004-SSA3-2012 contempla la autorización escrita cuando se divulgan datos del expediente clínico o fotografías que permitan identificar al paciente, en los supuestos que regula.

¿Cómo debería documentarse esa autorización?

Cuando se pretenda utilizar fotografías, videos o testimonios con fines publicitarios, es recomendable establecer una autorización específica que permita comprender:

• Qué imágenes, videos o testimonios se utilizarán.
• Con qué finalidad se publicarán.
• En qué medios podrán aparecer, como Instagram, Facebook, sitio web o materiales publicitarios.
• Si se utilizarán el nombre, la voz u otros elementos identificables.
• Cómo se atenderán las solicitudes relacionadas con el consentimiento y el uso futuro del material, conforme al marco jurídico aplicable.

La autorización debe ser clara y diferenciada de los documentos necesarios para la atención médica. El paciente debe poder comprender que aceptar un tratamiento y autorizar la difusión de su imagen son decisiones distintas.

Además, el médico debe cuidar que las publicaciones no induzcan a error, no prometan resultados garantizados ni presenten como universales resultados que dependen de las características de cada persona.

En esta especialidad también es importante verificar que las denominaciones profesionales, las certificaciones y la publicidad correspondan a las credenciales y servicios que efectivamente se pueden acreditar.

La imagen de un paciente puede ser parte de la comunicación de una práctica médica, pero su uso requiere una decisión informada y una gestión responsable.

Etapa 5. Al contratar a una recepcionista o asistente: la confianza necesita reglas claras

Una recepcionista puede tener acceso a nombres, teléfonos, horarios, pagos, conversaciones y, dependiendo de sus funciones, información relacionada con la atención de los pacientes.

Aunque no sea quien realiza la consulta, su trabajo puede involucrar información confidencial. Por ello, es importante establecer desde el inicio las condiciones de su relación laboral y los límites de acceso a los datos del consultorio.

El contrato laboral debe corresponder a las funciones reales

Si existe una relación de trabajo subordinado, deben observarse las obligaciones laborales aplicables. El contrato debe reflejar las condiciones reales del empleo, las funciones, la jornada, la remuneración y los demás aspectos que correspondan.

No es suficiente utilizar un documento genérico que describa a la persona como prestadora de servicios si, en los hechos, trabaja bajo subordinación.

También es recomendable definir por escrito las responsabilidades relacionadas con la atención telefónica, la gestión de citas, el uso de sistemas, la recepción de documentos y el manejo de información de los pacientes.

¿Es necesario un acuerdo de confidencialidad?

Puede ser conveniente contar con cláusulas de confidencialidad y reglas internas que expliquen qué información puede consultarse, utilizarse o compartirse, así como las medidas que deben observarse para protegerla.

Por ejemplo, la persona encargada de la recepción no debería enviar fotografías clínicas a su teléfono personal, compartir conversaciones del consultorio con terceros ni consultar expedientes sin una razón vinculada con sus funciones.

Las obligaciones de confidencialidad deben acompañarse de medidas prácticas: accesos individuales, contraseñas seguras, resguardo de documentos y procedimientos para reportar incidentes.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares contempla la obligación de establecer controles para que quienes intervienen en el tratamiento de datos guarden confidencialidad, incluso después de que termine su relación con el responsable.

Por eso, un acuerdo escrito es útil, pero no reemplaza la capacitación ni los controles operativos. La protección de la información depende de ambas cosas.

Etapa 6. Antes de que el consultorio crezca: revisa la estructura jurídica completa

Con el tiempo, una práctica médica puede incorporar nuevos servicios, colaboradores, equipos, instalaciones o procedimientos. Cada cambio puede traer obligaciones adicionales.

Por ejemplo, no es lo mismo atender consultas en un consultorio que realizar intervenciones quirúrgicas en una unidad médica. Las autorizaciones, la infraestructura, el equipamiento y las condiciones sanitarias deben revisarse según las actividades efectivamente realizadas.

En cirugía plástica, estética y reconstructiva, la Ley General de Salud contempla requisitos específicos sobre las personas que pueden practicar determinados procedimientos y sobre los establecimientos en que se realizan. Por eso, antes de anunciar o incorporar un nuevo servicio, conviene verificar que las credenciales profesionales y las condiciones del establecimiento sean las correspondientes.

También es recomendable revisar periódicamente los documentos del consultorio: avisos de privacidad, formatos clínicos, recetas, consentimientos informados, contratos laborales y autorizaciones para el uso de imágenes.

La finalidad no es acumular documentos que nadie consulta. Es mantener una estructura coherente con la práctica médica, actualizarla cuando cambien los servicios y asegurarse de que las personas que colaboran conozcan los procedimientos que deben seguir.

Conclusión: tu preparación médica merece una estructura jurídica bien construida

Detrás de un consultorio hay años de preparación, decisiones profesionales y una reputación que se construye paciente a paciente. Proteger esa trayectoria también significa cuidar la información que se recibe, documentar adecuadamente la atención y establecer acuerdos claros con quienes participan en la operación.

El aviso de privacidad, el expediente clínico, las recetas, las autorizaciones para publicar fotografías y los contratos con el personal no son piezas aisladas. Cada uno cumple una función distinta dentro de una misma estructura.

El primer paso es identificar qué actividades realiza el consultorio y qué obligaciones corresponden a cada una. Después, hay que utilizar documentos adecuados, establecer procedimientos claros y revisar periódicamente que todo siga correspondiendo a la realidad.

Una práctica médica bien organizada no depende únicamente de la confianza que inspira el profesional. También se apoya en la forma en que administra sus responsabilidades.

La información contenida en este artículo es de carácter informativo y no constituye asesoría jurídica formal.