Confidencial no es Anónimo: Cómo Debes Proteger los Datos de Salud Mental de la NOM-035

Introducción

“Las encuestas de la NOM-035 son anónimas, así que no hay problema.” Es una de las frases que más repiten los dueños de negocio y los proveedores que les venden un cuestionario en línea. Y es falsa. No solo es falsa: si tu empresa cree que aplicó un cuestionario anónimo, probablemente incumplió la norma sin saberlo, y además abrió un segundo frente de riesgo legal que no tiene nada que ver con la STPS.

La NOM-035 no exige anonimato. Exige confidencialidad. Suena parecido, pero son dos cosas distintas, y confundirlas te puede costar dos multas separadas: una por la propia NOM-035 y otra, más alta, por el mal manejo de datos personales sensibles.

En este artículo te explicamos qué obliga la norma en realidad, por qué necesita saber quién contestó cada cuestionario, y qué tienes que hacer para proteger esa información conforme a la ley.

¿Qué exige la NOM-035 sobre el manejo de los resultados?

El numeral 5.8 de la NOM-035-STPS-2018 obliga al patrón a contar con mecanismos para garantizar la confidencialidad de la información y de la identidad de los trabajadores que responden los cuestionarios de factores de riesgo psicosocial. Confidencial, no anónimo. La diferencia no es un tecnicismo: cambia por completo cómo debes manejar la información.

Confidencial significa que la identidad de quien respondió sí se conoce, pero solo pueden acceder a ella las personas autorizadas y con una razón legítima para hacerlo. Anónimo significa que nadie —ni siquiera la empresa— puede saber quién dio cada respuesta. La NOM-035 pide lo primero, nunca lo segundo.

Confidencial y anónimo no son lo mismo (y la ley los distingue)

Piénsalo con un ejemplo simple: un médico conoce tu diagnóstico y tu nombre —eso es confidencialidad—; un buzón de quejas al que nadie puede rastrear el remitente es anonimato. La NOM-035 funciona como el primer caso, no como el segundo.

• Anónimo: se omite la identidad de quien responde, ya sea porque no se conoce o porque se oculta a propósito.
• Confidencial: la identidad se conoce con claridad, y se protege frente a cualquiera que no tenga necesidad legítima de acceder a ella.

Un cuestionario verdaderamente anónimo, de hecho, sería incompatible con la norma. Y ese es el punto que casi nadie explica cuando vende “cuestionarios anónimos” como si fuera una ventaja.

¿Por qué la NOM-035 necesita saber quién contestó?

Porque la norma no se conforma con un promedio general de “cómo está el ambiente laboral”: te obliga a actuar sobre personas concretas. El numeral 5.5 exige identificar a los trabajadores que vivieron un Acontecimiento Traumático Severo para canalizarlos a atención médica o psicológica. El numeral 5.6 exige lo mismo para quienes fueron expuestos a violencia laboral: exámenes médicos y evaluaciones psicológicas específicas.

Ninguna de las dos obligaciones es posible si el cuestionario es anónimo. No puedes canalizar a “alguien” del área de cocina: tienes que saber exactamente a quién, para que reciba la atención que la ley le exige a tu empresa que le ofrezcas. Por eso la norma elige confidencialidad —identidad conocida, pero protegida— en lugar de anonimato.

Si no tienes claro cuáles son tus demás obligaciones según el tamaño de tu centro de trabajo, lo cubrimos a fondo en nuestra guía “¿Qué es la NOM-035? La Guía Completa para Entender la Norma en 2026”.

Los resultados son datos personales sensibles, no un simple formulario

Aquí es donde el riesgo deja de ser solo de la NOM-035. Las respuestas de tus trabajadores —ansiedad, síntomas de estrés postraumático, señales de depresión, situaciones de acoso— son datos relativos a la salud conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Esa ley los clasifica como datos personales sensibles: la categoría de datos que exige el nivel más alto de cuidado, junto con datos como el origen racial, las creencias religiosas o la preferencia sexual.

Eso significa que, además de cumplir la NOM-035, tu empresa tiene que cumplir la LFPDPPP al recabar esta información:

• Contar con un Aviso de Privacidad que informe con claridad qué datos se recaban, para qué se usan y quién los maneja —redactado para datos sensibles, no genérico.
• Limitar el acceso a la identidad y a los resultados individuales solo a quien tenga una razón legítima para verlos (el responsable de la evaluación, y quien deba canalizar al trabajador).
• Aplicar medidas de seguridad —físicas, técnicas y administrativas— proporcionales a lo sensible del dato.
• Conservar la información solo el tiempo necesario y eliminarla o anonimizarla cuando ya no se justifique conservarla identificable.

Un detalle que muchas plataformas de cuestionarios en línea no aclaran: la NOM-035 te obliga a recabar el dato (es una obligación legal), pero eso no te exime de la LFPDPPP. Son dos leyes distintas, con dos autoridades distintas, y las dos aplican al mismo tiempo.

¿Quién debe tener acceso a los resultados identificables?

La regla práctica es “necesidad de saber”, no “quien quiera revisar el Excel”. En la mayoría de las empresas, deben poder ver la identidad y el resultado individual únicamente:

• La persona responsable de aplicar y analizar la evaluación (interna o el consultor externo).
• Quien deba canalizar formalmente a un trabajador identificado como caso positivo.

Todos los demás —gerentes de área, dirección, comité de convivencia laboral— deben recibir la información agregada: niveles de riesgo por dominio, por puesto o por área, sin nombres. Esa es, precisamente, la información que sí se difunde conforme al numeral 5.7: los resultados generales, no el detalle identificable de cada trabajador.

El mito que más expone a las empresas: “compré un cuestionario anónimo, ya cumplí”

Es un error costoso y cada vez más común, porque hay proveedores que promocionan sus plataformas justo con esa palabra —”anónimo”— como si fuera garantía de cumplimiento. Es al revés: si el cuestionario es realmente anónimo, tu empresa no puede cumplir con el numeral 5.5 ni con el 5.6, porque no hay forma de canalizar a nadie sin saber quién es.

Lo que sí debes exigirle a cualquier proveedor o consultor es que el sistema sea confidencial: que identifique a cada respondiente internamente, que restrinja quién puede consultar esa identidad, y que entregue los resultados agregados a quien no necesite ver el detalle. Si un proveedor te asegura anonimato total como ventaja, en realidad te está vendiendo un cuestionario que no te sirve para cumplir la norma.

El riesgo legal es doble, y son dos multas independientes

Si manejas mal esta información, no te expones a una multa, sino a dos, de dos leyes distintas y de dos autoridades distintas:

1. NOM-035 (STPS): de 250 a 5,000 Unidades de Medida y Actualización (UMA) por trabajador. Con la UMA vigente en 2026 ($117.31 pesos diarios), esto equivale a un rango de $29,327.50 a $586,550 MXN por trabajador.
2. LFPDPPP (autoridad de protección de datos): las infracciones al manejo de datos personales, conforme al artículo 64 de la ley, van de 100 a 320,000 UMA —de $11,731 a $37,539,200 MXN—, y ese monto se puede duplicar cuando la infracción involucra datos personales sensibles, como los de salud mental que recaba tu NOM-035. Es decir, hasta $75,078,400 MXN en el escenario más grave.

Estas dos sanciones no se excluyen entre sí ni provienen de la misma revisión: la primera la vigila la STPS; la segunda, la autoridad nacional de protección de datos (hoy la Secretaría Anticorrupción y Buen Gobierno, tras la desaparición del INAI). Una filtración de resultados —por ejemplo, que un archivo con nombres y diagnósticos circule por correo sin control— puede activar ambos expedientes de riesgo al mismo tiempo.

Confidencial vs. Anónimo — comparación rápida

Etiqueta de la cabecera	Confidencial (lo que pide la NOM-035)	Anónimo (lo que NO debes usar)
¿Se conoce la identidad?	Sí, pero protegida y de acceso restringido	No, ni siquiera la empresa la conoce
¿Permite canalizar a un caso positivo?	Sí (numerales 5.5 y 5.6)	No es posible
¿Cumple la NOM-035?	Sí, es lo que exige el numeral 5.8	No, es incompatible con la norma
¿Qué se difunde a la empresa?	Resultados agregados, sin nombres	No aplica
¿Qué protege la LFPDPPP?	La identidad y el dato de salud del trabajador	No aplica (no hay identidad que proteger)

Cómo manejar la confidencialidad correctamente, paso a paso

1. Redacta y entrega un Aviso de Privacidad específico para datos de salud, antes de aplicar cualquier cuestionario, explicando qué se recaba, para qué y quién lo maneja.
2. Define por escrito quién tiene acceso a la identidad y a los resultados individuales, y limita esa lista al mínimo necesario.
3. Exige que la plataforma o el sistema que uses sea confidencial, no anónimo, y que permita identificar casos positivos para canalizarlos.
4. Entrega a gerencia y comité solo información agregada (por área, por dominio, por nivel de riesgo), nunca el detalle individual.
5. Asegura el resguardo físico y digital de la información: acceso con contraseña, archivos no compartidos por correo abierto, control de quién descarga qué.
6. Documenta el proceso completo: quién aplicó, quién tuvo acceso, cómo se canalizaron los casos positivos y por cuánto tiempo se conservará la información.

Si además de la confidencialidad de la NOM-035 tienes pendiente revisar cómo se está aplicando en tu empresa por tamaño de centro de trabajo, lo explicamos en nuestra guía “Guías I, II y III de la NOM-035: ¿Cuál Aplica a tu Empresa?”.

Preguntas Frecuentes sobre la confidencialidad en la NOM-035

¿La NOM-035 exige que los cuestionarios sean anónimos?
No. Exige confidencialidad (numeral 5.8): la identidad de quien responde se conoce, pero su acceso está restringido solo a personal autorizado.

¿Por qué la norma necesita saber quién contestó cada cuestionario?
Porque exige canalizar formalmente a los trabajadores identificados como casos positivos de Acontecimientos Traumáticos Severos (numeral 5.5) o de violencia laboral (numeral 5.6), y eso es imposible sin conocer su identidad.

¿Los resultados de la NOM-035 son datos sensibles conforme a la ley?
Sí. Al tratarse de información relacionada con la salud física y mental, la LFPDPPP los clasifica como datos personales sensibles, con el nivel más alto de protección exigido por la ley.

¿Qué pasa si un proveedor me ofrece un cuestionario “100% anónimo”?
Es una señal de alerta: si es realmente anónimo, tu empresa no podrá cumplir con la obligación de canalizar a los casos positivos, y quedará expuesta ante una inspección de la STPS aunque haya aplicado el cuestionario.

¿Qué autoridad vigila el manejo de estos datos personales?
La protección de datos personales en México corresponde hoy a la Secretaría Anticorrupción y Buen Gobierno, tras la desaparición del INAI. Es una autoridad distinta de la STPS, y sus sanciones son independientes de las de la NOM-035.

Confundir confidencialidad con anonimato no es un detalle menor: puede dejarte incumplido ante la STPS y, al mismo tiempo, expuesto ante la autoridad de protección de datos por el manejo de información de salud mental de tu propio equipo. En Torres & Valle somos Agente Capacitador Externo registrado ante la STPS: implementamos tu NOM-035 con el manejo de datos correcto desde el primer cuestionario, con Aviso de Privacidad, control de acceso y la carpeta de evidencias lista para cualquier inspección.

Escríbenos “DIAGNÓSTICO” por WhatsApp al 81 3700 3496 y revisamos, sin costo, cómo estás manejando hoy la confidencialidad de tus resultados y qué te falta para blindarte por los dos frentes.