Aviso de privacidad para psicólogos: qué debe incluir
Qué pide la ley de protección de datos personales vigente desde marzo de 2025 a un psicólogo en consulta privada, y cómo entregar el aviso.
En breve
- Si atiendes consultantes por tu cuenta, eres el responsable del tratamiento de sus datos personales y debes ponerles a disposición un aviso de privacidad.
- La ley vigente es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025; la autoridad en la materia es la Secretaría Anticorrupción y Buen Gobierno.
- Los datos de salud son datos personales sensibles: para tratarlos necesitas el consentimiento expreso y por escrito del consultante (artículo 8), salvo las excepciones del artículo 9.
- El aviso debe decir, como mínimo: quién eres y tu domicilio, qué datos tratas (señalando los sensibles), para qué, cómo se puede limitar su uso, cómo ejercer los derechos ARCO y cómo avisarás de cambios (artículo 15).
- La plataforma donde guardas tus expedientes actúa como encargada: trata los datos por tu cuenta, no para fines propios.
Información general; no sustituye asesoría legal. Un aviso de privacidad es un documento legal: revisa el tuyo con un abogado.
La ley vigente y la autoridad
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación un decreto que expidió una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que sustituyó a la de 2010. Con ella, las funciones que tenía el INAI en materia de datos personales en posesión de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno.
Un aviso redactado antes de esa fecha suele citar una ley abrogada y una autoridad que ya no es la competente: revísalo.
Responsable y encargado: quién es quién
La ley distingue a quien decide sobre los datos de quien solo los trata por cuenta de otro. La persona encargada es quien trata datos personales por cuenta del responsable (artículo 2). Comunicar datos al encargado no es una transferencia: la ley define la transferencia como la comunicación de datos a una persona distinta del titular, del responsable o del encargado.
| Figura | En un consultorio de psicología |
|---|---|
| Titular | El consultante (o quien lo representa, si es menor de edad). |
| Responsable | Tú, como psicólogo, o la clínica que te contrata. |
| Encargado | La plataforma de expediente o agenda que usas, que trata los datos por tu cuenta y según tus instrucciones. |
| Tercero (transferencia) | Por ejemplo, una aseguradora o una autoridad, cuando les comunicas datos. |
Conviene que la relación con tu encargado conste por escrito: medidas de seguridad, proveedores que intervienen y qué pasa con los datos al terminar el servicio.
Datos sensibles y consentimiento expreso
La ley considera sensibles los datos que afectan la esfera más íntima de la persona o cuyo uso indebido puede dar origen a discriminación o conllevar un riesgo grave, y entre ellos menciona el estado de salud. El motivo de consulta, la historia clínica, los diagnósticos y las notas de sesión entran en esa categoría.
El artículo 8 pide que, para tratar datos sensibles, el responsable obtenga el consentimiento expreso y por escrito del titular, mediante su firma autógrafa, su firma electrónica o el mecanismo de autenticación que se establezca. En la práctica: entrega el aviso al inicio, antes o al recabar los datos, y conserva la constancia de que lo aceptó. Con menores de edad, recaba el consentimiento de quien ejerce la patria potestad o la tutela.
Qué debe incluir tu aviso de privacidad
El artículo 15 enumera el contenido mínimo. Así se traduce a un consultorio:
- Identidad y domicilio del responsable: tu nombre (o el de la clínica), domicilio y medio de contacto.
- Datos que tratas, identificando los sensibles: identificación y contacto, datos del tutor si aplica, y los datos de salud mental.
- Finalidades, distinguiendo las que requieren consentimiento: atención psicológica y expediente; y, si aplica, facturación, supervisión clínica o investigación con datos anonimizados.
- Opciones y medios para limitar el uso o la divulgación de los datos.
- Mecanismos y procedimientos para ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición).
- Procedimiento y medio para comunicar cambios al aviso.
Lo que conviene precisar en psicología
- Transferencias: a quién comunicas datos (aseguradoras, autoridades cuando la ley lo exige) y para qué. A los terceros que reciben datos se les comunica el aviso de privacidad (artículo 35).
- Plataformas tecnológicas: qué herramienta guarda los expedientes y dónde.
- Conservación: el expediente clínico se conserva un mínimo de cinco años desde el último acto (NOM-004, numeral 5.4); explica cómo se concilia con una solicitud de cancelación.
- Confidencialidad y sus límites: los casos en que podrías tener que comunicar información, que suelen detallarse también en el consentimiento informado.
Cuándo y cómo entregarlo
El artículo 16 permite poner el aviso a disposición en formatos impresos, digitales, visuales, sonoros o de otra tecnología:
- Si recabas los datos en persona, en papel, el aviso se da a conocer en ese momento, salvo que ya se hubiera entregado antes.
- Si los recabas por medios electrónicos, se da el aviso en su modalidad simplificada, con al menos los cuatro primeros elementos del artículo 15, y se indica dónde consultar el aviso integral.
Cuando cambies el aviso (otra finalidad, otra herramienta, otro domicilio), comunícalo por el medio que el propio aviso señala y, si quieres tratar los datos para una finalidad distinta de las del aviso, vuelve a recabar el consentimiento (artículo 11).
Derechos ARCO: plazos de respuesta
El consultante puede pedir acceso a sus datos, su rectificación, su cancelación u oponerse a su tratamiento. Según el artículo 31, tienes un plazo máximo de veinte días desde que recibes la solicitud para comunicar tu respuesta y, si procede, quince días más para hacerla efectiva; ambos plazos pueden ampliarse una sola vez por un periodo igual si las circunstancias lo justifican. La ley define los días como hábiles. Antes de entregar datos, verifica la identidad del titular o de su representante.
Una solicitud de cancelación no obliga a destruir el expediente antes del plazo de conservación de la NOM-004; ese conflicto se resuelve con un abogado, por ejemplo bloqueando los datos hasta que termine el plazo.
Lista para revisar tu aviso
| Revisa que tu aviso… | Fundamento |
|---|---|
| Cita la ley publicada el 20 de marzo de 2025 y no a la de 2010 ni al INAI como autoridad. | Decreto DOF 20-mar-2025 |
| Dice quién eres y tu domicilio. | Art. 15, fr. I |
| Enumera los datos e identifica los sensibles (salud). | Art. 15, fr. II |
| Separa las finalidades y señala cuáles requieren consentimiento. | Art. 15, fr. III |
| Ofrece una forma de limitar el uso o la divulgación. | Art. 15, fr. IV |
| Explica cómo ejercer los derechos ARCO y a qué medio dirigirse. | Art. 15, fr. V |
| Indica cómo avisarás de cambios. | Art. 15, fr. VI |
| Va acompañado de un consentimiento expreso y por escrito para los datos de salud, y conservas la constancia. | Art. 8 |
Cómo te ayuda Sesiona
En Sesiona tú eres el responsable y Sesiona el encargado: la relación está en los términos de uso y los proveedores que intervienen se listan en el aviso de privacidad de Sesiona.
- Aviso de privacidad digital por consultante: generas un aviso a partir de tus datos profesionales, eligiendo finalidades y transferencias, o publicas tu propio texto o PDF.
- Lectura y aceptación en la app del consultante (mi.sesiona.mx), con registro de la fecha y la versión aceptada. Si publicas una versión nueva, se le pide aceptarla otra vez, y tú ves quién la aceptó y quién la tiene pendiente.
- Consentimiento para datos de salud antes de que el consultante conecte su app.
- Impresión del aviso con acuse de recibo para recabar la firma autógrafa.
Si tienes dudas sobre si la aceptación dentro de la app basta como consentimiento por escrito en tu caso, el acuse impreso y firmado es la opción más conservadora. Puedes empezar con el plan Gratuito ($0) o con 30 días de prueba del plan Consultorio sin tarjeta; después, Consultorio cuesta $299 al mes, IVA incluido.
Preguntas frecuentes
¿Un psicólogo independiente necesita aviso de privacidad?
Sí. Si recabas y tratas datos personales de tus consultantes en tu práctica privada, eres el responsable de ese tratamiento y debes ponerles a disposición un aviso de privacidad con el contenido mínimo del artículo 15 de la ley.
¿Qué consentimiento necesito para los datos de salud?
Los datos de salud son sensibles. El artículo 8 de la ley pide el consentimiento expreso y por escrito del titular, mediante su firma autógrafa, su firma electrónica o el mecanismo de autenticación que se establezca, salvo las excepciones del artículo 9. Conserva la constancia.
¿Qué pasa si mi aviso todavía menciona al INAI?
Está desactualizado. La ley publicada el 20 de marzo de 2025 sustituyó a la de 2010, y las funciones del INAI en datos personales en posesión de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno. Actualiza el fundamento y la autoridad.
¿En cuánto tiempo debo responder una solicitud de derechos ARCO?
Tienes hasta veinte días desde que la recibes para comunicar tu respuesta y, si procede, quince días más para hacerla efectiva. Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando se justifique.
Fuentes
- Decreto por el que se expiden la Ley General de Transparencia y Acceso a la Información Pública; la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares… Diario Oficial de la Federación, 20 de marzo de 2025: dof.gob.mx/nota_detalle.php?codigo=5752569&fecha=20/03/2025
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (texto), Orden Jurídico Nacional: ordenjuridico.gob.mx/Documentos/Federal/html/wo125102.html
- NORMA Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico, numeral 5.4. Diario Oficial de la Federación, 15 de octubre de 2012: dof.gob.mx/nota_detalle.php?codigo=5272787&fecha=15/10/2012
Actualizado: 16 de octubre de 2026