WhatsApp con pacientes: todos lo usamos, casi nadie lo usa legalmente

Hagamos la prueba: abre tu WhatsApp y busca la palabra "radiografía". O "resultados". O "receta". Si eres médico en México, ahí está: años de información clínica de tus pacientes, fluyendo por el mismo canal donde te llegan los memes del grupo familiar. Todos lo hacemos. El paciente lo pide, es inmediato, funciona.

El problema no es usarlo. El problema es que casi nadie lo usa cumpliendo la ley, y la brecha entre "todos lo hacen" y "es legal como lo hacen" es más grande de lo que parece.

Qué pasa de verdad cuando mandas un resultado por WhatsApp

Vale la pena entender la tubería, porque la intuición engaña. "WhatsApp está cifrado de extremo a extremo" es cierto, para el mensaje en tránsito entre tu teléfono y el del paciente. Pero el trayecto completo tiene más estaciones:

• El contenido queda en dos teléfonos que no controlas al 100%. El del paciente, obviamente. Pero también el tuyo: si tu teléfono personal es el del consultorio, el expediente informal de tus pacientes vive junto a tus fotos y tus otros chats, protegido solo por el PIN de tu pantalla.
• Los respaldos son el eslabón débil. Los respaldos de chats en la nube (Google Drive, iCloud) no están cifrados de extremo a extremo salvo que actives esa opción explícitamente, y casi nadie la activa. Ese estudio que mandaste "cifrado" puede estar, esta noche, en un respaldo legible.
• Si usas WhatsApp Web o envíos desde sistemas, hay superficies adicionales: el contenido puede pasar por el historial del navegador en texto claro, y llega al proveedor del canal como parte de la petición. Lo sé con precisión porque al construir el botón de WhatsApp de mi propio software tuve que mapear ese trayecto y registrarlo como riesgo formal, con clave y todo, en mi sistema de gestión de seguridad.
• Meta es un tercero, con sus propias políticas. Lo que entra a su plataforma queda sujeto a sus términos, no a los tuyos. Tu deber de secreto médico no viaja adjunto al mensaje.

El cifrado protege el mensaje en el camino. No protege lo que pasa en las orillas, y las orillas son donde vives tú.

Lo que la ley te pide (y casi nadie cumple)

La pregunta directa, ¿es legal enviar información de pacientes por WhatsApp?, tiene respuesta directa: sí, puede serlo. Pero con condiciones que el uso de todos los días se salta alegremente.

Los datos de salud son datos personales sensibles bajo la LFPDPPP, la categoría con la protección más alta que existe. Y tú, como médico con consultorio, eres el responsable de su tratamiento. Eso se traduce en tres obligaciones concretas que el uso casual de WhatsApp se salta:

1. Tu aviso de privacidad debe decir que usas ese canal. Si tu aviso, el que la ley te obliga a tener como consultorio, no menciona que envías información clínica por WhatsApp ni que Meta es un destinatario de esas comunicaciones, cada envío ocurre fuera de lo que declaraste. Y un aviso que no refleja la realidad es casi peor que no tener aviso.
2. El paciente debe haber consentido recibir su información por ahí. No basta con que él te haya escrito primero. El consentimiento para tratar datos sensibles es expreso, y la versión defendible es que quede constancia: una casilla en tu formato de consentimiento, una línea firmada, algo que mañana puedas mostrar.
3. Minimización: manda lo necesario, no el expediente. Un resumen o el resultado concreto que el paciente necesita, no la historia clínica completa "para que la tenga". Cada dato de más que viaja es superficie de riesgo que asumiste sin necesidad.

Las reglas prácticas: usarlo bien, no dejar de usarlo

Nadie va a dejar WhatsApp, ni tiene sentido pedirlo, es el canal donde están los pacientes. Lo honesto es acotar el riesgo:

• Actualiza tu aviso de privacidad hoy. Una sección que nombre el canal, lo que envías por él y a Meta como destinatario. Es la corrección más barata de toda esta lista y la que más te protege.
• Documenta el consentimiento. Agrégalo a tu formato de primera consulta: "autorizo recibir información sobre mi atención por WhatsApp al número que proporcioné". Una línea. Fírmala una vez, te sirve siempre.
• Verifica el número antes del primer envío clínico. El error más tonto y más caro: el resultado de laboratorio que llegó al número equivocado. Un mensaje de confirmación primero ("¿es usted, Sr. García?") cuesta diez segundos.
• Manda resúmenes, no expedientes. Y lo delicado, diagnósticos difíciles, salud mental, cualquier cosa que el paciente no querría que viera quien tome su teléfono, mejor en consulta, no en un chat.
• Activa el cifrado de los respaldos en tu WhatsApp (Ajustes → Chats → Respaldo → cifrado de extremo a extremo), y sugiérele al paciente hacer lo mismo cuando le mandes algo importante.
• Nunca información clínica en grupos. Ni "solo somos los colegas". Interconsulta con datos identificables por grupo de WhatsApp es una fuga con testigos.

Con las cartas sobre la mesa

TraumaCore envía resúmenes clínicos por WhatsApp, es una de sus funciones. La diferencia es que ese trayecto está tratado como lo que es: el envío requiere una acción deliberada del médico, la superficie técnica del canal está documentada como riesgo formal en el sistema de gestión de seguridad del producto, y el aviso de privacidad publicado declara a Meta como destinatario, por escrito. No porque sea bonito, porque es exactamente lo que este artículo dice que la ley pide, y no podía escribirlo sin cumplirlo primero.

Más del blog: ¿Sigue siendo obligatorio el expediente en papel? · Cómo elegir un expediente clínico electrónico