Servicio médico en la empresa: qué obliga la ley en México

Si tu empresa opera un consultorio, una enfermería o un servicio médico interno, ya está generando expedientes clínicos. Y en el momento en que existen esos expedientes, la operación deja de ser un asunto exclusivo de Recursos Humanos: entran en juego cuatro autoridades distintas, cada una con su propia lógica de inspección y sanción.

Esta guía explica qué obliga la ley según el tamaño de tu plantilla, y qué obligaciones se activan sobre la información médica que ese servicio produce. Está escrita para direcciones de Recursos Humanos, áreas de cumplimiento y responsables de salud ocupacional en operaciones grandes.

Qué exige la Ley Federal del Trabajo según el tamaño de tu empresa

El artículo 504 de la Ley Federal del Trabajo establece obligaciones especiales para los patrones en materia de atención médica, y esas obligaciones escalan con el número de trabajadores. No es una recomendación ni una buena práctica: es una obligación legal directa.

Conviene leerla con cuidado, porque el umbral que aplica a tu empresa cambia por completo la infraestructura que debes sostener.

Las obligaciones del artículo 504

El artículo enumera varias obligaciones especiales del patrón. Estas son las que definen la infraestructura médica:

• Cualquier centro de trabajo: mantener los medicamentos y el material de curación necesarios para prestar oportunamente los primeros auxilios, y adiestrar personal para que los preste.
• Más de 100 trabajadores: establecer una enfermería para la atención médica y quirúrgica de urgencia, atendida por personal competente bajo la dirección de un médico cirujano, con obligación de trasladar al trabajador cuando el médico juzgue que ahí no puede prestarse la atención debida.
• Más de 300 trabajadores: instalar un hospital, con el personal médico y auxiliar necesario.
• Alternativa a instalar el hospital: previo acuerdo con los trabajadores, contratar el servicio con un sanatorio u hospital cercano que permita el traslado rápido y cómodo de los trabajadores.
• En todos los casos: dar aviso escrito o electrónico a la Secretaría del Trabajo, al Inspector del Trabajo y al Tribunal, dentro de las 72 horas siguientes a cualquier accidente de trabajo, y de inmediato en caso de fallecimiento.

Esta última alternativa es la que en la práctica usa casi toda empresa mexicana de más de 300 trabajadores: nadie construye un hospital propio. Pero la ley pone dos condiciones a esa salida que casi nunca se documentan: el acuerdo con los trabajadores tiene que existir por escrito, y el hospital contratado tiene que quedar lo bastante cerca como para un traslado rápido. Una empresa que se apoya en esta alternativa sin acreditar esos dos puntos no completó la vía sustitutiva, aunque crea que ya resolvió el tema.

Lo que casi nadie considera: ese servicio médico genera expedientes clínicos

Aquí está el punto que suele pasarse por alto. La conversación normalmente se detiene en cumplir con la infraestructura: contratar al médico, montar el consultorio, tener el material. Pero la obligación no termina ahí, porque un servicio médico en operación produce información clínica de personas identificables, todos los días.

La secuencia es siempre la misma:

1. La empresa está obligada a operar un servicio médico por su número de trabajadores.
2. Ese servicio realiza los exámenes médicos que la normativa exige según el riesgo del puesto, además de consultas e incidentes.
3. Cada una de esas atenciones genera un expediente clínico con datos de salud identificables.
4. Esos expedientes quedan bajo responsabilidad de la empresa, junto con el sistema donde se almacenan.

Las cuatro autoridades que regulan esa información

Un mismo expediente responde ante cuatro marcos normativos distintos, con autoridades distintas:

Quien certifica los sistemas conforme a la NOM-024 es la Dirección General de Información en Salud (DGIS) de la Secretaría de Salud, que publica la lista de sistemas certificados. La certificación tiene vigencia de dos años, y el universo nacional de sistemas certificados es de apenas unas veinte plataformas.

El trámite que casi ninguna empresa presentó: el aviso ante COFEPRIS

Un consultorio o una enfermería dentro de una empresa califica como establecimiento para la atención médica bajo el Reglamento de la Ley General de Salud en Materia de Prestación de Servicios de Atención Médica, que define expresamente el consultorio incluyendo los de carácter social y privado. Eso activa dos obligaciones concretas: presentar el Aviso de Funcionamiento y el Aviso de Responsable Sanitario ante COFEPRIS (trámite COFEPRIS-05-036) al menos 30 días antes de iniciar operaciones, y contar con un responsable sanitario con título profesional registrado.

No existe ninguna excepción para servicios médicos de empresa: la Ley General de Salud y su Reglamento no distinguen entre un consultorio abierto al público y uno interno de una compañía. Es, además, un trámite gratuito y sin vigencia, que cualquier área de cumplimiento puede verificar hoy mismo.

Ese último punto de la tabla, el de protección de datos, merece atención especial. Desde marzo de 2025 está vigente una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que extinguió al INAI y trasladó sus atribuciones a la Secretaría Anticorrupción y Buen Gobierno. La ley contempla multas que van de 100 a 160,000 UMA para ciertas infracciones y de 200 a 320,000 UMA para las más graves, con una multa adicional en caso de reincidencia. Cuando la infracción recae sobre datos sensibles, esos montos pueden incrementarse hasta por dos veces. Los datos de salud son, por definición, datos sensibles, y con la UMA vigente en 2026 el tope aplicable se ubica por encima de los 75 millones de pesos.

La empresa no solo es responsable de que exista el servicio médico. Es responsable del expediente que ese servicio produce y del sistema donde vive.

Qué hacer si tu empresa ya opera un servicio médico

Si ya tienes enfermería o consultorio en operación, la pregunta útil no es si cumples con el artículo 504, porque probablemente sí. La pregunta es qué pasa con los expedientes que ese servicio lleva generando desde hace años.

Aspectos que suelen pasarse por alto

En operaciones grandes, estos tres puntos son los que aparecen cuando alguien revisa a fondo:

• Quién puede ver el detalle clínico. El Reglamento Federal de Seguridad y Salud en el Trabajo es explícito: los médicos del servicio deben comunicar al patrón la aptitud laboral del trabajador, no el diagnóstico, "con pleno respeto a la confidencialidad que obliga la ética médica" (art. 50). Si Recursos Humanos tiene acceso al diagnóstico de un colaborador en vez de solo a su aptitud, cualquier decisión laboral posterior sobre esa persona queda expuesta a ser impugnada. El acceso mismo se vuelve evidencia.
• Dónde viven los expedientes históricos. Los archivos de plantas antiguas, los respaldos locales y los expedientes en papel también son responsabilidad de la empresa.
• Si el sistema actual está certificado. La lista de sistemas certificados conforme a la NOM-024 es pública y se puede consultar. Si el sistema que usas no aparece ahí, esa es una respuesta.

La obligación de tener servicio médico es el punto de partida, no el final. Lo que define el riesgo real de tu empresa es cómo se gestiona la información clínica que ese servicio produce todos los días.