Discreción en pruebas de ITS: privacidad y resultados

Sí, tu prueba de ITS está protegida: la ley mexicana considera tu estado de salud un dato sensible, el expediente clínico es confidencial y el personal de salud está sujeto al secreto profesional. Pero esa protección tiene límites que conviene conocer, y ninguna clínica, pública o privada, puede prometer que absolutamente nadie, nunca, se enterará de nada. Aquí te explicamos qué dice cada norma, cómo ejercer tus derechos y qué preguntar antes de hacerte una prueba.

¿Qué significa realmente «discreción» en una prueba de ITS?

Cuando alguien pregunta si una clínica es discreta, suele querer saber tres cosas distintas: si el personal guardará silencio, si su resultado puede llegar a otras personas y si sus datos están seguros. Cada una está regulada por una norma distinta, y entender cuál es cuál evita tanto el miedo excesivo como la confianza ciega.

Tu expediente clínico: de quién es y quién puede verlo

El expediente clínico es el conjunto de documentos donde el médico registra tu atención, incluidos tus resultados. La NOM-004-SSA3-2012 dice que el expediente es propiedad de la institución o del prestador que lo genera, y que tú, como fuente de la información y beneficiaria de la atención, tienes derechos sobre ella para proteger tu salud y la confidencialidad de tus datos.

Sobre quién puede ver qué, la norma es específica. Los datos que te identifican no deben divulgarse. Lo que tú o terceros aportan al expediente es confidencial y está bajo secreto profesional. Solo se entrega a terceros si hay una solicitud por escrito de la persona, de su tutor o representante legal, o de un médico que la propia persona haya autorizado. Quien tiene derecho a un resumen clínico lo pide por escrito. Y el personal debe manejar la información con discreción.

Hay una excepción que conviene decir con claridad: la propia NOM-004 señala que las autoridades judiciales, ministeriales y administrativas pueden solicitar el expediente. Que exista esa vía legal no significa que ocurra, y exige un trámite formal, pero es parte de lo que ninguna clínica puede garantizar que no pase.

Tus datos de salud son datos sensibles: consentimiento y aviso de privacidad

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025 y vigente desde el día siguiente, abrogó la de 2010. Regula a las personas y empresas privadas, como las clínicas privadas. Define como datos sensibles los que afectan la esfera más íntima de la persona o cuyo mal uso puede causar discriminación, y entre los ejemplos incluye el estado de salud presente o futuro. Para tratar datos sensibles exige consentimiento expreso y por escrito.

La ley también obliga al responsable a entregarte un aviso de privacidad, el documento que explica para qué se usarán tus datos. Según el texto legal, debe incluir al menos quién es el responsable y dónde está, qué datos se tratan, para qué fines, cómo limitar su uso y cómo ejercer tus derechos. Si una clínica no te lo da o no puedes entenderlo, pregúntalo antes de firmar. Y si tu consentimiento está en una hoja que solo dice «acepto» sin explicar nada, pide que te lo expliquen.

Un matiz importante: esta ley rige a los particulares. Los servicios públicos, como las Clínicas Condesa o los centros de salud, se rigen por otra ley que se expidió en el mismo decreto: la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. La idea de fondo es la misma, pero conviene saber cuál aplica según dónde te atiendas.

Derechos ARCO: cómo recuperar el control de tus datos

ARCO son las siglas de cuatro derechos que la ley te reconoce sobre tus datos personales. Se ejercen ante quien los tiene, que la ley llama responsable. No necesitas explicar por qué los pides, salvo en la oposición, donde se pide una causa legítima.

Algunos datos prácticos del texto de la ley. El responsable tiene un máximo de 20 días hábiles para decirte su determinación y, si procede, 15 días más para hacerla efectiva. Ambos plazos se pueden ampliar una sola vez. Ejercer estos derechos es gratuito: solo pueden cobrarte costos de reproducción, copias o envío. La solicitud lleva tu nombre y un medio para contactarte, documentos que acrediten quién eres, una descripción clara de qué pides y cualquier dato que ayude a localizarlo.

Sobre la cancelación hay un límite que conviene entender. La ley indica que el responsable no está obligado a cancelar cuando los datos deban tratarse por disposición legal. Como la NOM-004 fija una conservación mínima de 5 años para el expediente, lo habitual es que un expediente clínico no se borre antes de ese plazo, aunque sí puedes pedir otras medidas, como limitar su uso. Confirma con la clínica qué procede en tu caso.

En servicios públicos, el procedimiento va por otra vía. Las Clínicas Condesa, por ejemplo, indican en su política de privacidad que los derechos ARCO se ejercen ante la Unidad de Transparencia de los Servicios de Salud Pública de la Ciudad de México, también por la Plataforma Nacional de Transparencia. Y desde la ley de 2025, la autoridad en materia de datos de particulares es la Secretaría Anticorrupción y Buen Gobierno, y no el INAI.

Cómo se entregan los resultados y a quién pueden llegar

Para VIH hay una regla específica. La NOM-010-SSA-2023 dice que el proceso de la prueba debe ser confidencial y privado, que el personal debe guardar la confidencialidad en todo momento, que los resultados se entregan personalmente y que solo pueden darse a terceros con autorización expresa de la persona. También exige consentimiento informado por escrito antes de la prueba, y que nadie pueda obligarte a hacértela.

Para otras ITS no hay una norma idéntica que mencionar con el mismo detalle, pero aplican las reglas generales anteriores: expediente confidencial, datos sensibles y entrega a terceros solo con solicitud por escrito. Si lo que te preocupa es una persona concreta, puedes preguntar de forma directa: ¿puede mi pareja, mi familia o mi empleador pedir mi resultado? La respuesta correcta es que no, salvo que tú lo autorices o que una autoridad lo requiera por la vía formal.

Lo que ninguna clínica puede garantizar

Decirte esto con claridad es parte de ser discreta de verdad. Estos son los límites reales:

• Avisos obligatorios a la autoridad sanitaria: la NOM-017-SSA2-2012, de vigilancia epidemiológica, obliga a quien diagnostica a notificar a la instancia de salud los padecimientos que incluye. Su lista abarca VIH, sífilis, gonococia, herpes genital, tricomoniasis y hepatitis virales B y C. Es un reporte epidemiológico a la autoridad de salud; la norma no habla de avisar a tu pareja, tu familia o tu trabajo.
• Requerimientos de autoridades: la NOM-004 permite que autoridades judiciales, ministeriales y administrativas soliciten el expediente por la vía formal.
• Tu propio entorno: si recibes mensajes en un teléfono compartido, si el correo está abierto en otra pantalla o si alguien te acompaña a la consulta, la clínica no controla eso.
• Una seguridad digital absoluta: la NOM-024-SSA3-2012 exige confidencialidad, controles de acceso por roles, autenticación y registros de quién consultó qué, pero ningún sistema puede prometer riesgo cero.

Lo que sí puede y debe hacer una clínica es explicarte esos límites sin que se lo pidas, limitar quién accede a tu expediente y pedirte tu autorización para cualquier uso fuera de tu atención. Si una clínica te promete que nadie sabrá nada, en cualquier circunstancia, desconfía: está prometiendo algo que no puede cumplir.

Un ejemplo cotidiano: si nos escribes por WhatsApp para pedir orientación, esa conversación queda en el historial de tu teléfono, igual que en cualquier otra aplicación de mensajes. No es un fallo de nadie; es la naturaleza del canal. Por eso conviene decidir qué escribes, borrar la conversación si quieres, y dejar la parte clínica para la consulta, donde sí se aplica el secreto profesional y el expediente que describe la norma.

Qué puedes hacer tú para cuidar tu privacidad

• Pregunta antes qué canal usa la clínica para avisarte y pide que no te envíen resultados por mensaje si tu teléfono lo ve alguien más.
• Pide que el resultado se entregue en persona, con el médico, en lugar de enviarlo por correo.
• Decide qué datos compartes en un primer mensaje: para orientarte basta con lo que quieras contar, no necesitas enviar fotos de documentos ni tu resultado.
• Si usas un seguro, pregunta qué información saldría de la clínica y cómo se usaría. Cada póliza es distinta y es mejor saberlo antes.
• Guarda una copia de tu resultado en un lugar que controles y, si prefieres, solicita tu resumen clínico por escrito, que es tu derecho según la NOM-004.

Qué preguntar a cualquier clínica antes de hacerte la prueba

• ¿Me van a dar un aviso de privacidad? ¿Dónde puedo leerlo antes de firmar?
• ¿Quién tiene acceso a mi expediente y mis resultados dentro de la clínica?
• ¿Cómo y quién me entrega el resultado? ¿Puedo elegir que sea en persona?
• ¿Qué datos mínimos necesitan de mí y para qué se usan?
• ¿Cuánto tiempo guardan mi expediente y cómo puedo ejercer mis derechos ARCO?
• ¿Qué avisos están obligados a hacer a la autoridad de salud?

Si crees que tus datos se manejaron mal

Primero, ejerce tu derecho de acceso para saber qué datos tiene el responsable y cómo los usó, y pide por escrito la corrección o la limitación que corresponda. Si es un servicio público, usa la vía de la Unidad de Transparencia que indique su aviso. Si es una clínica privada y no responde o responde de forma insuficiente, la autoridad en la materia es la Secretaría Anticorrupción y Buen Gobierno. Guardar copias de tus solicitudes y de las respuestas te ayudará.

Esta misma lógica de confidencialidad aplica a otros servicios de salud sexual y reproductiva. Si te interesa cómo funciona en otra consulta de la clínica, tenemos un artículo dedicado.

Lo esencial

• Tu estado de salud es un dato sensible y tu expediente es confidencial, con secreto profesional.
• A terceros solo pueden darles tu información con tu autorización por escrito; en VIH se exige autorización expresa.
• Tienes derechos ARCO: acceder, rectificar, cancelar y oponerte. Ejercerlos es gratuito y el responsable tiene 20 días hábiles para responder.
• Hay límites reales: avisos epidemiológicos obligatorios, requerimientos de autoridades y lo que pasa en tu propio teléfono.
• Pregunta por el aviso de privacidad, quién ve tu expediente y cómo recibirás el resultado.

Este artículo describe el marco general y no sustituye asesoría legal ni una consulta médica. Si tienes dudas sobre tu caso, acude con un médico o escríbenos por WhatsApp: lo específico de tu situación se resuelve en consulta.