Aviso de privacidad y WhatsApp: lo que todo consultorio debe resolver
Tu consultorio ya atiende por WhatsApp. Ahí llegan nombres, teléfonos, fechas de nacimiento, síntomas, fotos de recetas y, a veces, resultados de laboratorio. Todo eso son datos personales, y una parte son datos sensibles. Si además usas un asistente con IA para contestar y agendar, la pregunta es inevitable: ¿qué debe decir tu aviso de privacidad sobre WhatsApp y cómo cuidas los datos de pacientes en WhatsApp sin complicarte la operación?
Esta guía es práctica: qué cambió con la nueva ley de 2025, qué incluir en el aviso, cómo pedir consentimiento por chat, qué datos no deberían quedarse en la conversación y cómo configurar un asistente para que pida solo lo necesario. No es asesoría legal. Cada consultorio debe revisar su aviso con un abogado; aquí te damos el mapa para esa conversación. Si buscas cómo funciona NextReply en tu giro, revisa consultorios médicos.
La ley que aplica: la nueva LFPDPPP de 2025
En México, los datos personales que manejan empresas y profesionales privados están regulados por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva versión de esa ley, que sustituyó a la de 2010. Uno de los cambios más visibles es institucional: el INAI desapareció y sus funciones en esta materia pasaron a la Secretaría Anticorrupción y Buen Gobierno.
Lo que no cambió en lo esencial es la lógica para un consultorio:
- Necesitas un aviso de privacidad que informe qué datos recabas y para qué.
- Los datos de salud son datos sensibles y requieren consentimiento expreso.
- Los pacientes tienen derechos de acceso, rectificación, cancelación y oposición (los derechos ARCO).
- Debes aplicar medidas de seguridad proporcionales al riesgo.
Además, si eres profesional de la salud, el expediente clínico tiene sus propias reglas (la NOM-004-SSA3-2012). WhatsApp no sustituye al expediente: lo clínico debe quedar en el expediente, no en un chat.
Qué debe decir tu aviso de privacidad sobre WhatsApp
El aviso de privacidad de tu consultorio debe cubrir el canal por el que recibes datos. Si atiendes por WhatsApp con ayuda de IA, revisa con tu abogado que el aviso incluya al menos:
- Identidad y domicilio del responsable (tú o tu consultorio).
- Qué datos recabas por WhatsApp: nombre, teléfono, motivo de consulta, y si recabas datos de salud, señalarlo como dato sensible.
- Finalidades: agendar y confirmar citas, enviar recordatorios, responder dudas administrativas. Separa las finalidades necesarias de las secundarias (por ejemplo, promociones).
- Uso de proveedores tecnológicos: que te apoyas en la plataforma de WhatsApp de Meta y en un proveedor de software de atención y agenda para procesar los mensajes.
- Transferencias, si las hay, y en qué casos.
- Cómo ejercer derechos ARCO y cómo revocar el consentimiento.
- Cómo limitar el uso de los datos, por ejemplo, darse de baja de recordatorios o promociones.
- Cómo te enteras de cambios al aviso.
Ten una versión completa en tu sitio web y una versión breve que puedas compartir en el chat con un enlace a la completa.
Cómo pedir consentimiento por WhatsApp sin espantar al paciente
El primer mensaje de un paciente casi siempre es simple: "¿tiene cita para el jueves?". No hace falta responder con tres párrafos legales. Una práctica razonable es esta:
- Primer contacto: el asistente responde la pregunta y, en el mismo mensaje o justo antes de pedir datos, comparte una línea breve: "Al compartir tus datos aceptas nuestro aviso de privacidad: [enlace]".
- Antes de cualquier dato sensible: si de verdad necesitas el motivo de consulta, pide consentimiento expreso: "Para preparar tu cita necesitamos saber el motivo de consulta. Es información de salud y la tratamos conforme a nuestro aviso. ¿Estás de acuerdo?". Guarda la respuesta.
- Para recordatorios y promociones: pide permiso por separado. El recordatorio de cita es una finalidad distinta a una promoción de blanqueamiento.
Valida con tu abogado si para tu tipo de tratamiento el consentimiento por chat es suficiente o si necesitas un mecanismo adicional; la ley pide que el consentimiento para datos sensibles sea expreso y que puedas demostrarlo.
Datos que no deberían quedarse en el chat
El principio más útil es el de minimización: pide solo lo que necesitas para la finalidad. Para agendar una cita normalmente basta con nombre, teléfono (que ya tienes) y tipo de consulta. Estas son cosas que conviene no pedir ni guardar en WhatsApp:
- Historias clínicas completas o descripciones detalladas de síntomas.
- Resultados de laboratorio o estudios de imagen, salvo que tu protocolo lo prevea y los traslades al expediente.
- Identificaciones oficiales o CURP para una cita de primera vez.
- Números de tarjeta o datos bancarios.
- Información de terceros (familiares) que no sea indispensable.
Si el paciente manda algo de esto por iniciativa propia, tu equipo debe saber qué hacer: trasladarlo al expediente si corresponde y no reenviarlo por otros chats.
Cómo configurar un asistente con IA para pedir lo mínimo
Un asistente con IA ayuda a cumplir, porque hace siempre lo mismo. En NextReply puedes:
- Configurar que el asistente pida solo nombre y tipo de consulta para agendar.
- Incluir el enlace a tu aviso de privacidad en la respuesta inicial o en tus preguntas frecuentes.
- Definir que cualquier mensaje con contenido clínico pase a una persona de tu equipo en lugar de que la IA lo procese.
- Indicar que la IA no da diagnósticos ni indicaciones médicas.
- Limitar quién del equipo ve el historial de conversaciones.
Revisa las opciones en funciones y el flujo completo en cómo funciona. Nuestra propia política de privacidad explica cómo tratamos los datos como proveedor.
- Petición poco habitual: Queja, devolución o caso especial
- Recepcionista con IA: Sabe cuándo parar
- Responde con tus preguntas frecuentes: Servicios, horarios y precios / Pasa la conversación: Tu equipo recibe un aviso
- Tu equipo responde: El mismo chat, con todo el historial
Recordatorios de cita y datos sensibles
Un recordatorio puede revelar información de salud sin querer. "Te recordamos tu cita de control prenatal" o "tu sesión de psicología" dicen mucho si otra persona ve la notificación. Usa recordatorios neutros: "Te recordamos tu cita mañana a las 10:00 en el consultorio de la Dra. Ramírez. Responde 1 para confirmar o 2 para cambiar". Recuerda también que los recordatorios que el consultorio inicia, ya sea a mano o con una herramienta, usan plantillas aprobadas por Meta y tienen una tarifa por mensaje. En NextReply, los recordatorios automáticos llegan pronto; hoy la IA confirma la cita por escrito en el mismo chat.
- Cita agendada: Guardada en el calendario
- Recordatorio (próximamente): Pendiente de aprobación de Meta
- El cliente confirma / Pide reagendar
- Agenda siempre al día: Los horarios liberados vuelven a estar disponibles
Cuando un paciente pide sus datos o que los borren
Tarde o temprano un paciente va a escribir por WhatsApp: "Quiero que borren mis datos" o "¿qué información tienen de mí?". Es el ejercicio de sus derechos ARCO y conviene tener el proceso listo antes de que pase:
- El asistente reconoce la solicitud y la pasa a la persona responsable, sin intentar resolverla por su cuenta.
- La persona responsable confirma la identidad del paciente por el medio que indique tu aviso.
- Se revisa qué datos existen: en el chat, en la agenda, en el expediente y en cualquier hoja o CRM conectado.
- Se responde dentro del plazo legal. Ojo: el expediente clínico tiene plazos de conservación propios, así que cancelar no siempre significa borrar todo de inmediato; tu abogado te dirá cómo responder en ese caso.
Documenta cada solicitud. Si algún día la autoridad pregunta, poder mostrar cuándo llegó, quién la atendió y qué se contestó vale más que cualquier política bonita.
Reglas para tu equipo
La mayor parte de los problemas de privacidad no vienen de la tecnología, sino de hábitos: capturas de pantalla reenviadas, celulares personales sin bloqueo, chats que nadie borra. Define por escrito unas reglas mínimas:
- Solo el personal autorizado responde y ve conversaciones.
- Nada de reenviar fotos o datos de pacientes a grupos personales.
- Celulares del consultorio con bloqueo y sin respaldo en cuentas personales.
- Un responsable para atender solicitudes ARCO en los plazos de ley.
- Revisión periódica de qué se guarda y cuánto tiempo.
Atención fuera de horario sin riesgos
Muchos pacientes escriben de noche. Un asistente puede agendar a esa hora, pero debe estar configurado para detectar urgencias y responder que acudan a un servicio de urgencias, sin intentar orientar clínicamente. Lo detallamos en atención fuera de horario. Si también atiendes por Instagram o Messenger, aplican las mismas reglas de privacidad (en NextReply esos canales llegan pronto); más en canales.
Lista rápida para tu consultorio
- Aviso de privacidad actualizado a la ley de 2025, que mencione WhatsApp y a tus proveedores.
- Enlace al aviso en el primer mensaje o en el perfil de WhatsApp Business.
- Consentimiento expreso antes de cualquier dato de salud.
- Asistente configurado para pedir lo mínimo y pasar lo clínico a una persona.
- Recordatorios neutros, solo a quien aceptó.
- Reglas internas por escrito y un responsable de derechos ARCO.
NextReply cuesta desde US$29 al mes, en dólares estadounidenses, con 7 días de prueba gratis en cualquier plan; empieza tu prueba gratis de 7 días cuando tengas listo tu aviso. Ver precios, otros giros en sectores, más guías en el blog o vuelve al inicio.