Aviso de privacidad para consultorio de psicología: qué exige la ley de 2025

Abre tu aviso de privacidad y busca el número 9. Si dice que el artículo 9 de la ley federal de datos personales exige consentimiento expreso y por escrito para datos sensibles, fue redactado contra una ley que dejó de existir el 21 de marzo de 2025. Esa regla hoy vive en el artículo 8, y el artículo 9 vigente dice casi lo contrario: enumera los supuestos en los que no estás obligado a recabar consentimiento. La reprueban casi todas las plantillas. Lo que sigue es documentación y gestión de la práctica, no asesoría jurídica.

La prueba de treinta segundos: seis artículos corridos

La ley federal de protección de datos personales vigente se publicó en el DOF el 20 de marzo de 2025 (última reforma: 14 de noviembre de 2025) y abrogó la de 2010, que la Cámara de Diputados archivó con el sello «Ley Abrogada DOF 20-03-2025». Lo relevante no es que cambiara —eso ya lo dijeron todos— sino dónde: los seis artículos de los que depende un aviso se recorrieron un número.

Tema	Ley de 2010 (abrogada)	Ley vigente
Regla general de consentimiento	art. 8	art. 7
Datos sensibles: expreso y por escrito	art. 9	art. 8
Deber de informar mediante el aviso	art. 15	art. 14
Contenido obligatorio del aviso	art. 16	art. 15
Cómo se pone a disposición el aviso	art. 17	art. 16
Plazo de respuesta a una solicitud ARCO	art. 32	art. 31

El segundo error es más visible: cualquier aviso que todavía nombre al INAI es hoy incorrecto. El INAI se extinguió con la misma reforma, y como el artículo 15, fracción V, exige mecanismos ARCO reales, remitir a un organismo inexistente incumple el requisito.

Tres documentos, no uno

Esto te aplica: la ley obliga a toda «persona física o moral de carácter privado» que trate datos personales, sin umbral de tamaño (artículo 2, fracción XVI). Y casi cualquier plantilla fusiona tres instrumentos distintos.

El aviso de privacidad es un instrumento de protección de datos (artículos 14 a 16). El artículo 2, fracción I, lo define como el «documento a disposición de la persona titular de la información […] a partir del momento en el cual se recaben sus datos personales». Es informativo: divulga, no autoriza, y en principio nadie lo firma.

El consentimiento expreso y por escrito para datos sensibles es el artículo 8, y este sí autoriza: lleva firma autógrafa, firma electrónica o mecanismo de autenticación equivalente. Es lo que legitima que trates la historia clínica; el aviso no.

El consentimiento informado a la terapia es el instrumento ético y sanitario, con base en la Ley General de Salud: derecho a «decidir libremente sobre la aplicación de los procedimientos diagnósticos y terapéuticos ofrecidos» (artículo 51 Bis 2), previa información suficiente, clara, oportuna y veraz (artículo 51 Bis 1). Si usas la carta formal de la NOM-004, su numeral 10.1.1 fija otro contenido mínimo, aunque la psicoterapia ambulatoria no está en la lista de eventos que la obligan (numeral 10.1.2). Lo desarrolla la guía del expediente clínico según la NOM-004.

La trampa: muchas plantillas funden los tres en una hoja que el paciente firma al llegar. Es frágil. El aviso debe estar disponible desde que recabas los datos, firme o no el paciente, y el consentimiento del artículo 8 debe ser demostrable.

Qué debe contener tu aviso, fracción por fracción

El artículo 15 fija el contenido mínimo, traducido a tu consultorio:

Identidad y domicilio del responsable (fr. I).
Los datos que tratas, «identificando aquéllos que son sensibles» (fr. II). No basta enunciar categorías: hay que marcarlas. Es exigencia nueva; la ley abrogada solo pedía señalar que los había.
Las finalidades, «distinguiendo aquéllas que requieren el consentimiento de la persona titular» (fr. III). También nueva. Separa lo necesario para atender —expediente, seguimiento, facturación— de lo accesorio, como los recordatorios comerciales.
Opciones y medios para limitar el uso o divulgación de los datos (fr. IV).
Los mecanismos, medios y procedimientos para ejercer los derechos ARCO (fr. V). Un correo o un formato concreto, no una frase genérica: aquí sobrevive el INAI en los documentos viejos.
Cómo comunicarás los cambios al aviso (fr. VI).

El aviso es además el lugar de dos reglas que viven en otros artículos: el mecanismo para revocar el consentimiento, que el artículo 7 manda establecer «en el aviso de privacidad», y el nombre de quien dará trámite a las solicitudes (artículo 29).

Simplificado o integral: lo decide el canal

El artículo 16 lo resuelve, y el criterio no es la extensión sino el canal. En persona y con formatos impresos, el aviso «deberá ser dado a conocer en ese momento, salvo que se hubiera facilitado el aviso con anterioridad». Por medio «electrónico, óptico, sonoro, visual, o a través de cualquier otra tecnología» —tu formulario de agenda, WhatsApp, la ficha de admisión enviada por correo— «deberá ser proporcionado en su modalidad simplificada»: las fracciones I a IV más «el sitio donde se podrá consultar el aviso de privacidad integral». Ni esa versión corta puede omitir qué datos son sensibles. Un consultorio que agenda en línea y hace la entrevista inicial por videollamada necesita las dos. Juntas, las fracciones II y III:

«Datos sensibles que trato: tu estado de salud mental presente y futuro, incluidos motivo de consulta, antecedentes, resultados de instrumentos y notas de sesión. Finalidad que requiere tu consentimiento expreso y por escrito: integrar y conservar tu expediente clínico para darte atención psicológica y continuidad al tratamiento.»

Es un ejemplo ilustrativo, no una plantilla: tu aviso debe describir tu práctica real.

Consentimiento para datos sensibles: por escrito y con firma

Prácticamente todo lo que registras es dato sensible: el artículo 2, fracción VI, incluye los que revelen el «estado de salud presente o futuro» — historia clínica, notas, audios. Para tratarlos, el artículo 8 no deja margen: el responsable «deberá obtener el consentimiento expreso y por escrito […] a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación». Si grabas audio de sesión o usas una herramienta que lo procese, ese consentimiento debe ser específico, documentado y revocable, nunca un supuesto por defecto; cómo redactarlo y documentarlo está en la guía de consentimiento informado. Y la excepción sanitaria del artículo 9, fracción VI, no te libera: aplica solo «mientras la persona titular no esté en condiciones de otorgar el consentimiento»; distinto es lo que el Estado puede pedirte sobre tus pacientes.

En julio de 2026 la Secretaría Anticorrupción y Buen Gobierno multó a la Federación Mexicana de Futbol con 42 millones 849 mil 95 pesos por dos conductas: no señalar en su aviso que los datos biométricos que recababa eran sensibles, y aceptar «el marcado de una casilla en un sitio web, sin recabar firma autógrafa ni firma electrónica». No es precedente clínico, pero sí la analogía exacta de los dos atajos de consultorio. Omitir cualquier elemento del artículo 15 está tipificado (artículo 58, fracción V) y el artículo 59, fracción II, lo castiga con multa de 100 a 160,000 UMA —las de 320,000 quedan para las conductas más graves de las fracciones VIII a XVIII—; su fracción IV añade que tratándose de datos sensibles las sanciones «podrán incrementarse hasta por dos veces». Otros errores de documentación clínica también salen caros.

Derechos ARCO: qué pasa cuando un paciente te escribe

Son cuatro derechos independientes: acceso, rectificación, cancelación y oposición por causa legítima (artículos 22, 23, 24 y 26). La solicitud debe traer un medio para notificaciones, acreditación de identidad o representación, la descripción clara de los datos —salvo en acceso— y qué derecho se ejerce (artículo 28).

Los plazos son los números más valiosos de este marco, con un detalle que casi nadie precisa: el artículo 2, fracción VIII, define «Días: Días hábiles». Eso casi duplica el calendario real.

Etapa	Plazo	Artículo
Comunicar tu determinación	20 días hábiles desde la solicitud	art. 31
Hacerla efectiva si procede	15 días hábiles desde tu respuesta	art. 31
Ampliar cualquiera de los dos	una vez, por un periodo igual, si lo justifican las circunstancias	art. 31
El paciente acude a la Secretaría	15 días hábiles desde tu respuesta, o desde que venció tu plazo	art. 40

El ejercicio «es gratuito, solo podrán realizarse cobros para recuperar los costos de reproducción, copias o envío» (artículo 34). Puedes negarte, pero solo por las cinco causas del artículo 33 y siempre informando el motivo, en plazo y por el mismo medio. Si una guía te habla de portabilidad o de un plazo de un mes, describe el reglamento europeo, no la ley mexicana.

«Quiero que borres mi expediente»

El artículo 25, fracción VII, exime de cancelar los datos tratados «para la prevención o para el diagnóstico médico o la gestión de servicios de salud», siempre que los trate un profesional de la salud sujeto a un deber de secreto; la fracción II añade los que «deban ser tratados por disposición legal», y ahí entra el mínimo de 5 años del numeral 5.4 de la NOM-004.

Dos cautelas. La excepción te exime de cancelar, no de responder: el artículo 33 sigue exigiendo respuesta fundada y en plazo. Y cuando procede no es borrado inmediato: el artículo 24 abre «un periodo de bloqueo tras el cual se procederá a la supresión del dato». El acceso sigue en pie, y suele aparecer tras un alta terapéutica conflictiva.

A dónde va la queja hoy (no es donde crees)

No al INAI, que ya no existe, ni a Transparencia para el Pueblo —ese es el error más común hoy—: heredó del INAI las funciones de transparencia y acceso a la información pública y es un órgano desconcentrado distinto, mientras que la protección de datos en el sector privado se quedó dentro de la Secretaría. La cadena, según el encabezado de su formato oficial del sector privado de 2026, baja así:

Secretaría Anticorrupción y Buen Gobierno → Subsecretaría de Buen Gobierno → Unidad de Protección de Datos Personales → Dirección General de Datos Personales en el Sector Privado.

Sus atribuciones están en los artículos 2 y 30-F del Reglamento Interior de la Secretaría.

Una ausencia que conviene declarar: el reglamento no existe

La ley delega repetidamente a «el Reglamento» —las medidas compensatorias del artículo 17, la acreditación de identidad del artículo 41— y no se ha expedido. El de 2011 sigue catalogado como vigente porque nadie lo derogó —el Transitorio Segundo abroga cuatro leyes y un acuerdo, ninguno de ellos el reglamento—, pero desarrolla la ley de 2010: quedó huérfano. Por eso aquí no verás citado ningún reglamento; mientras tanto, documenta cómo verificas la identidad de quien te escribe.

Tus demás obligaciones como responsable —seguridad, aviso de vulneraciones, confidencialidad que subsiste tras terminar la relación y responsabilidad que no se exporta al contratar a un tercero (artículos 18, 19, 20 y 13)— están en la guía sobre usar IA con información de pacientes.

Tres documentos ordenados, un expediente ordenado

El aviso de privacidad es tuyo y de nadie más: ninguna herramienta puede escribirlo por ti, y qué dicen tus consentimientos —y si bastan para el artículo 8— también lo decides tú. Lo que sí puede ordenarse es dónde viven: que cada consentimiento firmado quede archivado con el resto del expediente, y no suelto donde nadie lo encuentra cuando llega una solicitud de acceso. En gesell.ai los consentimientos informados se firman digitalmente y quedan archivados en el expediente de cada paciente, junto con la historia clínica, el plan de tratamiento y las notas de sesión. Haznos, eso sí, las preguntas que le harías a cualquier proveedor antes de confiarle datos sensibles.