México · Confianza
El marco cambió dos veces en catorce meses
México estrenó ley de datos personales en marzo de 2025, cambió de autoridad en mayo, y en enero de 2026 metió la salud digital a la Ley General de Salud. Si vas a dejar entrar un sistema a hablar con tus pacientes, esto es lo que tiene que saber — y aquí está lo que hacemos con cada dato, con la fuente al lado.
Lo que cambió, en orden
Cuatro fechas que tu dirección médica y tu área legal ya deberían tener en la pared.
20 mar 2025
Vigente
Nueva Ley Federal de Protección de Datos Personales
Se publica en el DOF una ley nueva que abroga la de 2010. Entra en vigor al día siguiente. Los datos de salud siguen siendo sensibles y siguen exigiendo consentimiento expreso y por escrito.
9 may 2025
Cambio de autoridad
El INAI deja de operar
La autoridad que vigila el tratamiento de datos por particulares pasa a la Secretaría Anticorrupción y Buen Gobierno. Si un proveedor todavía te habla del INAI, su documentación tiene más de un año de atraso.
15 ene 2026
Lo más nuevo
Salud Digital entra a la Ley General de Salud
Un capítulo VI Bis convierte telesalud, telemedicina y expediente clínico electrónico en materia de salubridad general. Deja de ser opcional: pasa a ser parte del marco obligatorio del Sistema Nacional de Salud.
En curso
Lo que viene
NOM-024 se actualiza y aparece la Plataforma Nacional de Salud Digital
La misma reforma da 180 días a la Secretaría de Salud para actualizar la NOM-024 y emitir los lineamientos de la plataforma nacional, y hasta 3 años a las instituciones para adoptar expediente y receta electrónicos.
El recorrido
Qué pasa con el dato del paciente, paso por paso
Cinco etapas. En cada una: qué se captura, dónde queda y cuál es la regla que no se rompe.
| # | Etapa | Qué dato | La regla |
|---|---|---|---|
| 01 | Entra Llamada, WhatsApp, SMS o correo | Nombre, teléfono, motivo de contacto y lo que la persona diga | El agente se identifica como asistente de tu institución antes de pedir el primer dato |
| 02 | Se procesa El modelo entiende y decide | El texto de la conversación, no el expediente completo | Nada de esto entrena modelos de terceros ni se vende |
| 03 | Se guarda Base dedicada por institución | Transcripción, resumen, resultado y los campos que tú definiste | Sin base compartida entre clientes; acceso por rol dentro de tu equipo |
| 04 | Se escribe Sobre el sistema que ya usas | La cita, la confirmación, la nota administrativa | No creamos un expediente paralelo — la NOM-024 pide sistemas interoperables, no otro silo |
| 05 | Sale Cuando lo pides tú o lo pide el titular | Exportación completa, o eliminación | Los derechos ARCO se ejercen ante tu institución; nosotros ejecutamos lo que resuelvas |
Los cinco compromisos
Se dirá asistente virtual de la clínica, siempre.
Ningún paciente hablará con un sistema que finja ser humano. La identidad se declara antes de pedir el primer dato.
En voz, WhatsApp, correo y SMS, con el nombre de tu institución. No es cortesía: es la única forma de que el consentimiento que se registra después valga algo.
Los datos de salud se tratarán como sensibles.
El estado de salud presente o futuro es dato sensible por definición legal (art. 2, fr. VI), y el art. 8 exige consentimiento expreso y por escrito para tratarlo.
Y conviene decirlo con precisión: eso no es una novedad de 2025 — la ley de 2010 ya lo pedía casi con las mismas palabras. Lo que cambió fue quién vigila y cuánto cuesta equivocarse.
El expediente se respetará donde ya vive.
La NOM-024-SSA3 exige que los sistemas de registro electrónico para la salud intercambien información entre instituciones.
Arbol no te obliga a migrar el historial ni levanta un expediente aparte. Consulta y registra sobre tu sistema, y lo que escribe queda trazado con su origen, su hora y su responsable. Con la reforma de enero de 2026 esto dejó de ser buena práctica y empezó a ser requisito.
No habrá consejo clínico automatizado.
Ante un síntoma de alarma se corta el flujo, se escala a tu equipo y queda el contexto completo.
El límite es de producto, no de marketing: el agente agenda, confirma e informa; no diagnostica ni indica tratamiento. Tampoco inventa un precio, un cupo o una cobertura que no tenga cargados.
Cada contacto dejará rastro exportable.
Grabación, transcripción cuando aplica y resumen. Listo para tu dirección médica, una auditoría interna o tu área legal.
Los datos son de tu institución y de tus pacientes. Se exportan completos cuando lo pidas — también el día que decidas irte.
Cuánto cuesta equivocarse
La multa la paga el responsable del tratamiento
Es decir: tu institución. El proveedor es el encargado, pero quien responde ante la autoridad eres tú — por eso conviene saber con qué se está midiendo.
- Rango base de multa
- 100 – 320,000 UMA
- Si el dato es sensible (salud)
- Se duplica
- Valor diario de la UMA
- $113.14 MXN
- Autoridad que sanciona
- Secretaría Anticorrupción
y Buen Gobierno
No es teórico
En julio de 2026 la autoridad multó a la Federación Mexicana de Fútbol con más de 42 millones de pesos por su Fan ID: había tratado fotografías faciales —dato biométrico sensible— usando una casilla en un sitio web como si fuera consentimiento. No hay, que sepamos, un caso público equivalente en el sector salud; lo que sí hay es el criterio: una casilla no es consentimiento expreso.
Los límites
Lo que Arbol nunca va a hacer
Una lista corta y sin adjetivos. Si alguna de estas líneas te importa lo suficiente como para ponerla en el contrato, ponla.
Vender o ceder datos de pacientes a terceros.
Entrenar modelos de terceros con tus conversaciones.
Mezclar los datos de tu institución con los de otro cliente.
Dar un diagnóstico, cambiar una indicación o interpretar un resultado.
Afirmar una cobertura, un precio o un cupo que no esté cargado por ti.
Seguir hablando cuando el paciente pide una persona.
Documentación transversal: Trust Center · Aviso de privacidad · Ficha técnica
Fuentes
Verifícalo tú, no nos creas
Nueva LFPDPPP — texto vigente
Orden Jurídico Nacional · SEGOB
Decreto de publicación en el DOF (20 mar 2025)
Diario Oficial de la Federación
La Secretaría Anticorrupción y Buen Gobierno asume protección de datos
Gobierno de México
Reforma a la Ley General de Salud — capítulo de Salud Digital
ConsultorSalud México
NOM-024-SSA3-2012 — ficha de la norma
Secretaría de Economía
NOM-004-SSA3-2012 — expediente clínico
CNDH
Valor de la UMA 2025
INEGI
Esta página es información general sobre el marco aplicable, no asesoría legal. El reglamento de la nueva ley y la actualización de la NOM-024 seguían en proceso al momento de escribirla; tu área jurídica debe validar el caso concreto de tu institución.
México · revisión con tu área legal
Que lo revise quien firma
Media hora con quien tenga que firmar. Sin comercial de por medio si no lo quieres: dónde vive el dato, quién lo toca y qué se firma.
Sin compromiso · te llevas el modelo de datos por escrito
Antes
Te mandamos el material
Modelo de datos, subencargados y borrador de convenio, para que tu área jurídica llegue con las preguntas listas.
En la sesión
Preguntas incómodas
Dónde se almacena, cuánto se retiene, qué pasa si un titular ejerce ARCO y qué pasa el día que te quieras ir.
Después
Ajustes por escrito
Retención, roles y alcance quedan configurados como los pidió tu institución, no como vienen por defecto.