Cuando una empresa opera un servicio médico, acumula la categoría de información más protegida que existe en la legislación mexicana. No es una exageración retórica: los datos de salud son datos personales sensibles, y la ley los trata distinto que a un domicilio o un número de teléfono.
Este artículo explica qué cambió con la ley vigente desde 2025, dónde se concentra el riesgo real en una operación grande, y por qué el punto crítico casi nunca es un hackeo sino algo mucho más cotidiano: quién puede ver qué.
Qué cambió en 2025
En marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que entró en vigor al día siguiente de su publicación. Dos cambios importan para cualquier empresa que maneje información médica de su gente.
El primero es de autoridad. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales se extinguió, y sus atribuciones las asumió la Secretaría Anticorrupción y Buen Gobierno. Cambió el interlocutor y cambió la lógica institucional de la vigilancia.
El segundo es de exposición. La ley contempla multas que van de 100 a 160,000 UMA para ciertas infracciones y de 200 a 320,000 UMA para las más graves, con una multa adicional en caso de reincidencia. Cuando la infracción recae sobre datos sensibles, esos montos pueden incrementarse hasta por dos veces.
Nota: las multas se expresan en Unidades de Medida y Actualización, no en pesos. El valor de la UMA se actualiza cada año, así que el monto en pesos de una misma sanción cambia con el tiempo. Con la UMA vigente en 2026, el tope de 320,000 UMA duplicado por dato sensible se ubica por encima de los 75 millones de pesos.
Por qué los datos de salud son la categoría más expuesta
Los datos sensibles son aquellos cuyo uso indebido puede derivar en discriminación. La salud entra de lleno en esa definición, y de ahí se desprenden dos consecuencias prácticas:
- El monto de la sanción aplicable puede incrementarse hasta por dos veces frente al de un dato personal ordinario.
- El estándar de cuidado que se espera de la empresa es más alto, tanto en consentimiento como en control de accesos y en seguridad.
Dónde está el riesgo real en una operación grande
La imagen mental habitual del riesgo de datos es un ataque informático. En la práctica, en empresas con servicio médico interno, el problema suele ser mucho más mundano y por eso mismo más difícil de detectar.
- Expedientes clínicos en hojas de cálculo o carpetas compartidas, sin control de quién entra.
- Resultados de exámenes médicos que llegan por correo electrónico y quedan en bandejas de entrada durante años.
- Personal de Recursos Humanos con acceso al detalle clínico, no solo al estatus administrativo.
- Archivos históricos de plantas o filiales que nadie ha revisado desde hace años.
- Ausencia de bitácora: no poder demostrar quién consultó qué expediente y cuándo.
El problema específico del acceso de Recursos Humanos
Este merece un apartado propio porque es el que más consecuencias tiene y el que menos se discute.
El Reglamento Federal de Seguridad y Salud en el Trabajo es explícito sobre qué se reporta al patrón: aptitud laboral, no diagnóstico, "con pleno respeto a la confidencialidad que obliga la ética médica" (art. 50). Si el área que toma decisiones laborales tiene acceso al diagnóstico médico de un colaborador en vez de solo a su aptitud, cualquier decisión posterior sobre esa persona queda expuesta a ser cuestionada. No hace falta demostrar que el diagnóstico influyó en la decisión: basta con demostrar que el acceso existía. El acceso mismo se convierte en la evidencia.
Por eso la separación de accesos no es una función técnica más de un sistema. Es el control que protege a la empresa, y también a la persona.
Tabla 1
Quién necesita ver qué en un expediente clínico ocupacional
| Rol | Qué necesita ver para hacer su trabajo | Qué no debería ver |
|---|---|---|
| Médico del servicio | El expediente clínico completo de quien atiende | Información de colaboradores que no son sus pacientes |
| Recursos Humanos | Estatus administrativo: si el examen se realizó, aptitud, vigencia, incapacidades | Diagnósticos, notas clínicas y resultados detallados |
| Dirección | Información agregada y anónima de la población | Cualquier dato que permita identificar a una persona |
En una revisión, la pregunta no será solo si alguien vio algo indebido. Será si tu sistema podía impedirlo y si puedes demostrarlo.
Qué revisar en tu empresa
Una autoevaluación honesta empieza por preguntas incómodas y concretas, no por un diagnóstico general:
Atención: si la respuesta a "¿quién puede abrir el expediente clínico de un colaborador?" incluye a alguien fuera del personal médico, ahí tienes el hallazgo más urgente de tu operación.
Aspectos que suelen pasarse por alto
- La trazabilidad. No basta con restringir accesos; hay que poder demostrar con registro quién consultó qué y cuándo.
- Los proveedores externos. Laboratorios y clínicas subcontratadas también manejan esos datos, y la responsabilidad no se transfiere por completo con el contrato.
- El aviso de privacidad. Debe ser específico para el tratamiento de datos de salud de la plantilla, no un texto genérico reutilizado del sitio web.
El punto de fondo es simple: los expedientes médicos de tus colaboradores ya existen y ya son responsabilidad de la empresa. La decisión que sí está en tus manos es en qué sistema viven y quién puede abrirlos.
Fuentes consultadas
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025
- Reglamento Federal de Seguridad y Salud en el Trabajo, artículo 50