Telemedicina en México: lo que tu plataforma no puede ignorar antes de conectar al primer paciente con el primer médico

El error de emprender una plataforma de telemedicina como si fuera una app de servicios generales

Una plataforma de telemedicina no es una aplicación de delivery. No es un marketplace de servicios. No es un directorio médico con videollamada integrada. Es un establecimiento de salud digital que opera bajo el mismo marco jurídico que una clínica física, con obligaciones adicionales derivadas del entorno digital, el manejo de datos sensibles y la intermediación entre actores cuya relación tiene consecuencias directas sobre la vida y la salud de las personas.

Esta distinción no es semántica. Tiene consecuencias jurídicas concretas desde el primer día de operación. La telemedicina es reconocida como servicio de salud en México desde enero de 2026, lo que consolida un marco regulatorio que ya venía construyéndose con la NOM-004 y la NOM-024, pero que ahora tiene anclaje expreso en la legislación. Quienes emprendieron sin conocer ese marco lo están descubriendo cuando la autoridad actúa — no antes.

El emprendedor que lanza una plataforma de telemedicina asume, desde el momento en que conecta al primer médico con el primer paciente, una cadena de responsabilidades que no se disuelve con términos y condiciones redactados por un abogado generalista, ni con cláusulas que transfieren toda la responsabilidad al médico. La ley mexicana es clara en un punto que muchos fundadores descubren tarde: la plataforma no es un intermediario neutro.

«Entre la facilidad de instalar una plataforma de videollamadas y la legalidad real de una consulta virtual hay una distancia importante, y cruzarla sin preparación puede exponer al médico a sanciones administrativas, responsabilidad civil o incluso responsabilidad penal.» — Medesk, Requisitos legales para telemedicina en México, 2026

Las NOMs que definen lo que tu plataforma debe cumplir desde el día uno

El marco normativo técnico de la telemedicina en México descansa sobre dos Normas Oficiales Mexicanas cuyo cumplimiento es obligatorio para cualquier plataforma o software que genere, almacene, transmita o procese información clínica de pacientes:

Un proveedor de telemedicina que no acredite el cumplimiento de ambas normas transfiere el riesgo a la empresa contratante. Ante cualquier queja laboral o auditoría, la CONAMED revisará esos expedientes como evidencia primaria. Lo que esto significa en términos prácticos: la tecnología de la plataforma no es un detalle de ingeniería. Es evidencia jurídica en cualquier procedimiento que involucre a un paciente.

El mapa de actores y la trazabilidad de datos que la ley exige

Una plataforma de telemedicina no opera con dos actores. Opera con una red de actores cuya relación con los datos del paciente debe estar definida, documentada y trazada desde el momento en que el paciente acepta los términos de uso. La ausencia de trazabilidad no es un problema técnico: es una falla jurídica que puede ser determinante en cualquier procedimiento ante CONAMED, el INAI o los tribunales civiles.

Los sistemas deben resguardar adecuadamente los datos sensibles de los pacientes, permitir identificar quién y cuándo accede o modifica la información, y utilizar los catálogos y formatos oficiales establecidos por el Sistema Nacional de Salud. Sin esta trazabilidad, la plataforma no puede demostrar diligencia ante ninguna autoridad.

Datos sensibles de salud: la categoría con mayor protección legal en México

Los datos de salud son la categoría de dato personal con mayor nivel de protección bajo el marco jurídico mexicano. La LFPDPPP los clasifica como datos personales sensibles, lo que activa un régimen de obligaciones reforzado que va mucho más allá de tener un aviso de privacidad en el sitio web.

Para una plataforma de telemedicina, las implicaciones concretas incluyen:

• Consentimiento expreso y diferenciado del paciente para cada finalidad de tratamiento de sus datos de salud, antes de iniciar cualquier consulta o registro. El consentimiento tácito no es suficiente para datos sensibles.
• Cifrado en tránsito y en reposo de toda la información clínica. Los datos de salud deben ser tratados con consentimiento expreso del paciente, cifrado en tránsito y en reposo, y derechos ARCO garantizados.
• Principio de proporcionalidad: solo pueden recabarse los datos estrictamente necesarios para prestar el servicio. La LFPDPPP establece que no se deben solicitar datos «por si acaso» o con fines futuros no especificados, y recopilar datos en exceso incrementa el riesgo de exposición en caso de una brecha de seguridad.
• Derechos ARCO operativos: la plataforma debe contar con procedimientos reales para atender solicitudes de Acceso, Rectificación, Cancelación y Oposición en un plazo no mayor a 20 días hábiles.
• Medidas de seguridad verificables: administrativas, técnicas y físicas. En 2025, las sanciones en el sector salud representaron uno de los mayores montos acumulados por violaciones a la protección de datos personales en México.
• Gestión de brechas: protocolo documentado de detección, contención, notificación al INAI y comunicación al paciente afectado ante cualquier incidente de seguridad.

La publicidad de los médicos en tu plataforma también es tu responsabilidad

Aquí está uno de los puntos ciegos más frecuentes en el emprendimiento de telemedicina: los perfiles de los médicos en la plataforma — su especialidad, sus servicios, sus resultados, sus credenciales comunicadas al paciente — son publicidad de servicios de salud en el sentido del artículo 79 del RLGSMP.

Y esa publicidad requiere permiso previo de COFEPRIS.

El Art. 421 de la Ley General de Salud establece multas de hasta 16,000 veces la UMA. Con la UMA 2026 en $117.31 diarios, la multa máxima asciende a $1,876,960 MXN. En casos de reincidencia o riesgo grave, COFEPRIS puede adicionalmente ordenar la clausura temporal o definitiva del establecimiento.

Responsabilidad solidaria: por qué la plataforma no puede desentenderse de lo que ocurre en ella

La responsabilidad solidaria en el contexto de una plataforma de telemedicina no es una construcción jurídica abstracta. Es la consecuencia práctica de un principio que recorre todo el derecho sanitario mexicano: quien facilita, aloja, promueve o se beneficia de la prestación de servicios de salud comparte la responsabilidad por los daños que de esa prestación se deriven.

«La teleconsulta médica no sustituye la responsabilidad de quien crea las condiciones para que ocurra. La plataforma que conecta, que aloja el expediente, que permite la publicidad y que recibe el pago por la consulta no es un canal neutro ante la ley.» — Miguel Ortiz, IMPMS A.C.

Cuando el paciente es vulnerado: los frentes jurídicos que se abren simultáneamente

Una de las características más importantes del marco regulatorio de la telemedicina en México es que un solo incidente puede activar procedimientos ante múltiples autoridades de forma simultánea, cada una con competencias independientes, plazos propios y consecuencias autónomas.

• 1
  CONAMED — Arbitraje médico
  La Comisión Nacional de Arbitraje Médico tiene competencia para resolver controversias entre pacientes y prestadores de servicios de salud, incluidas las plataformas de telemedicina. Una queja ante CONAMED puede derivar en laudo arbitral con consecuencias económicas y en la emisión de recomendaciones que afectan la operación del establecimiento. El expediente clínico es la evidencia primaria de cualquier procedimiento.
• 2
  INAI — Violación de datos personales
  El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales tiene facultades para investigar, sancionar y ordenar medidas correctivas ante brechas de seguridad, uso indebido de datos sensibles o incumplimiento de la LFPDPPP. El manejo incorrecto de datos médicos puede derivar en responsabilidades legales independientes del ámbito sanitario, bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
• 3
  COFEPRIS — Publicidad irregular y operación sin cumplimiento
  La Comisión puede actuar sobre la plataforma por publicidad de servicios de salud sin permiso, por operar sin aviso de funcionamiento o sin responsable sanitario designado, y por incumplimiento del RLGSMP en cualquier material que difunda sobre los médicos que aloja.
• 4
  Responsabilidad civil — Daños al paciente
  La telemedicina puede generar responsabilidad civil por daños al paciente y responsabilidad penal en casos de divulgación indebida de información médica, que se considera dato sensible bajo la ley mexicana según lo establecido en la Constitución Política. Una atención médica incorrecta facilitada por la plataforma puede generar demanda civil contra la plataforma misma.
• 5
  PROFECO — Publicidad engañosa al consumidor-paciente
  Cuando los mensajes publicitarios de la plataforma o de los médicos alojados en ella generan expectativas que no pueden cumplirse — resultados garantizados, tiempos de respuesta imposibles, calificaciones no verificadas — PROFECO puede actuar por prácticas comerciales desleales hacia el consumidor.
• 6
  Responsabilidad penal — Divulgación de información médica
  La revelación de datos de salud de un paciente sin su consentimiento, el acceso no autorizado a expedientes clínicos y la falsificación de documentos médicos son conductas que pueden generar responsabilidad penal independientemente de las sanciones administrativas. La plataforma que no tiene controles de acceso adecuados facilita estas conductas y puede ser señalada en el procedimiento.

Capacidad jurídica instalada: lo que tu plataforma debe tener antes de operar

La capacidad jurídica instalada de una plataforma de telemedicina no es un conjunto de documentos que se obtienen una vez y se archivan. Es una estructura operativa viva que debe estar activa, actualizada y demostrable en cualquier momento en que una autoridad la requiera.

Estructura mínima de cumplimiento antes del lanzamiento

• Aviso de funcionamiento ante COFEPRIS como establecimiento de salud digital, con el giro correspondiente y los datos del responsable sanitario designado.
• Responsable sanitario con título y cédula profesional vigente, documentado en aviso separado ante COFEPRIS. Este profesional asume la responsabilidad técnica y legal del servicio.
• Sistema de expediente clínico electrónico conforme a NOM-004 y NOM-024, con trazabilidad completa, firma electrónica y conservación inalterable.
• Aviso de privacidad específico para datos sensibles de salud, con consentimiento diferenciado para cada finalidad de tratamiento.
• Contratos con médicos que delimiten claramente las responsabilidades de cada parte, incluyendo cláusulas sobre cumplimiento de NOM-004, confidencialidad y prohibición de publicidad no autorizada a través de la plataforma.
• Permiso de publicidad de COFEPRIS para los materiales con los que la plataforma promueve sus servicios y los de los médicos que aloja.
• Protocolo de gestión de brechas de datos documentado, incluyendo tiempos de detección, contención, notificación al INAI y comunicación al paciente.
• Mecanismo operativo de derechos ARCO con capacidad real de respuesta en 20 días hábiles.
• Verificación de credenciales médicas: la plataforma tiene la obligación de verificar que los médicos que aloja cuenten con cédula profesional vigente y, cuando aplique, cédula de especialidad.
• Plan de contingencia y continuidad, documentado conforme a lo que COFEPRIS puede solicitar para plataformas digitales de salud.

Preguntas que todo emprendedor de telemedicina debería responder antes de lanzar

Executive Summary — Telemedicine Platforms in Mexico: Legal Risks, Sensitive Data and Solidary Liability

Main issue: Launching a telemedicine platform in Mexico is not equivalent to launching a general services app. A telemedicine platform is a digital healthcare establishment subject to the same legal framework as a physical clinic, with additional obligations derived from the digital environment, the handling of sensitive health data, and intermediation between actors whose relationship directly affects the life and health of patients.

Key regulatory obligations: NOM-004-SSA3-2012 (clinical record), NOM-024-SSA3-2012 (electronic health information systems), LFPDPPP (sensitive personal data), RLGSMP Art. 79 (advertising permit for health services), COFEPRIS operating notice, designated sanitary manager with valid professional license, and CONAMED-compliant clinical documentation.

Solidary liability: The platform is not a neutral intermediary. It shares legal responsibility for data breaches (INAI), unauthorized medical advertising (COFEPRIS), patient harm (CONAMED and civil courts), and misleading commercial practices (PROFECO). A single incident can activate simultaneous proceedings before all four authorities.

When a patient is harmed: The platform can face CONAMED arbitration, INAI sanctions for data mishandling, COFEPRIS proceedings for unlicensed advertising, civil liability for patient damages, PROFECO action for misleading advertising, and criminal liability for unauthorized disclosure of medical information — all independently and simultaneously.

Published by: Instituto Mexicano de Publicidad Médica y Sanitaria A.C. · By Miguel Ortiz, Founding President · AI-assisted content.
Contact: www.publicidadsanitaria.com | www.abogadosanitario.com.mx