Derechos ARCO en el consultorio: cómo responder

Los derechos ARCO en el consultorio privado permiten al paciente solicitar acceso, rectificación, cancelación u oposición al tratamiento de sus datos personales. Si tú eres responsable de esos datos, debes tramitar la solicitud y comunicar una decisión. Tener un aviso de privacidad impreso no resuelve por sí solo esa tarea.

Imagina el correo que llega al cerrar la consulta: “Quiero que corrijan mis datos y me manden lo que tienen de mí”. Hay dos peticiones. Conviene identificarlas desde el inicio para que la respuesta no atienda solo la más fácil.

¿Qué abarcan los derechos ARCO en el consultorio?

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares regula este ejercicio frente a responsables privados. Es el marco que debes revisar si atiendes en un consultorio particular; los hospitales públicos tienen otro régimen.

Cada derecho responde a una petición diferente:

La solicitud no tiene que llegar redactada como una demanda. La ley permite describir el derecho que se pretende ejercer o lo que pide la persona. Lee la petición completa antes de responder con un formato.

Recibe la solicitud y verifica quién la presenta

El artículo 28 pide el nombre del titular y un domicilio u otro medio para recibir notificaciones, documentos que acrediten su identidad y, cuando corresponda, la representación. También pide describir los datos involucrados, salvo en el derecho de acceso, explicar qué se solicita y aportar elementos que ayuden a localizar la información.

En una rectificación, la persona debe indicar qué quiere modificar y aportar documentación que sustente su petición. No confundas esa comprobación con pedir nuevamente toda su historia clínica. Revisa lo necesario para atender el cambio concreto.

Un familiar que acompaña siempre al paciente no queda acreditado por esa costumbre.

Antes de entregar información, verifica la identidad del titular o la representación correspondiente. Si la solicitud llega incompleta o existe una duda de representación, revisa el procedimiento aplicable con quien te asesora en protección de datos. Evita improvisar requisitos que el paciente no conoce o dejar el correo sin contestar mientras decides qué hacer.

Son dos plazos: respuesta y cumplimiento

El artículo 31 establece un máximo de 20 días hábiles desde que recibes la solicitud para comunicar la determinación. Si procede, debes hacerla efectiva dentro de los 15 días hábiles siguientes a la comunicación de la respuesta. La ley define los días como hábiles y permite ampliar esos plazos una sola vez por un periodo igual cuando las circunstancias lo justifiquen.

No tomes la ampliación como tiempo extra automático. Separa en tu registro la fecha de recepción, la fecha límite de respuesta y, después, la de cumplimiento. Un mensaje que dice “ya estamos revisando” tampoco equivale a comunicar la determinación.

El ejercicio es gratuito. La ley contempla cobros limitados para reproducción, copias o envío y reglas para solicitudes reiteradas; no lo conviertas en una consulta médica de pago. Si vas a cobrar un costo permitido, revisa el supuesto legal y explica a qué corresponde.

¿Puedes borrar el expediente cuando lo piden?

La cancelación requiere una revisión propia. El artículo 24 contempla un periodo de bloqueo antes de suprimir los datos, y el 25 establece casos en los que el responsable no está obligado a cancelarlos, por ejemplo, cuando deben tratarse por disposición legal. También incluye determinados tratamientos médicos sujetos al deber de secreto.

Además, la NOM-004-SSA3-2012 exige conservar el expediente al menos cinco años desde el último acto médico. Por eso, una petición de cancelación no autoriza a borrar de inmediato toda la historia. Revisa el plazo de conservación del expediente clínico y las demás obligaciones que correspondan.

Eso tampoco justifica una negativa genérica. Si solo una parte de la petición resulta improcedente, analiza el resto. El artículo 33 exige comunicar el motivo de la decisión y admite respuestas parciales. Distingue qué datos o tratamientos puedes atender y cuáles tienen un impedimento; documenta la razón específica.

Pon una persona y un contacto al frente

La ley exige designar a una persona o departamento para tramitar estas solicitudes. En un consultorio pequeño, resuelve quién revisa el correo, quién localiza la información y quién comunica la respuesta. Si alguien se ausenta, la solicitud no debería quedarse olvidada en su bandeja.

En Amélie, Ajustes → Privacidad incluye el campo Correo para solicitudes de privacidad (ARCO), junto con los datos del consultorio y el acceso al aviso para imprimir. Ese contacto debe coincidir con el que entregas al paciente en tu aviso de privacidad.

Imagen ilustrativa.

Un correo publicado necesita alguien que lo atienda. Lleva un control de las solicitudes, sus respuestas y la entrega o modificación que corresponda; configurar el contacto no sustituye ese trabajo. Cuando debas preparar archivos, revisa el contenido antes de enviarlo y confirma el destinatario. La exportación del expediente puede ayudarte a organizar documentos, pero el alcance de una solicitud de acceso se determina por lo que pide el titular y las reglas aplicables.

Antes de terminar la semana, toma tu aviso y comprueba que el correo de contacto siga en uso. Deja por escrito quién recibe una solicitud ARCO y cómo registra las dos fechas límite. Esa asignación concreta es lo que permite atender el siguiente correo sin empezar la discusión desde cero.