El expediente clínico electrónico en México: marco normativo y requisitos técnicos
La digitalización de los registros médicos es una realidad en expansión dentro del sistema de salud mexicano. Sin embargo, la pregunta de si un profesional o establecimiento puede llevar el expediente clínico en formato electrónico no admite una respuesta simple: la respuesta es sí, pero condicionada al cumplimiento estricto de un marco normativo específico. Operar al margen de este marco expone al prestador de servicios de salud a sanciones sanitarias, responsabilidad civil y, en ciertos supuestos, penal.
La norma rectora: NOM-004-SSA3-2012
La Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico, es el instrumento regulatorio de observancia obligatoria para todos los establecimientos de atención médica del sector público y privado. Esta norma define el expediente clínico como el conjunto de documentos escritos, gráficos, imagenológicos, electrónicos, magnéticos, electromagnéticos, ópticos, magneto-ópticos y de cualquier otra índole, en los cuales el personal de salud registra datos, observaciones, valoraciones e intervenciones relacionadas con la atención de un paciente.
El texto normativo reconoce expresamente los formatos electrónicos como soporte válido para el expediente clínico, siempre que se preserve su integridad, autenticidad, confidencialidad, disponibilidad y trazabilidad. Estas cinco propiedades no son opcionales: constituyen los ejes sobre los cuales gira todo el sistema de gestión del expediente electrónico.
La norma complementaria: NOM-024-SSA3-2012
Cuando el soporte elegido es electrónico, entra en juego la NOM-024-SSA3-2012, Que establece los objetivos funcionales y las características que deberán observar los productos de Sistemas de Expediente Clínico Electrónico para garantizar la interoperabilidad, procesamiento, interpretación, confidencialidad, seguridad y uso de estándares y catálogos de la información de los registros electrónicos en salud. Su aplicación es complementaria y no sustitutiva de la NOM-004.
Esta norma establece requerimientos técnicos para los Sistemas de Expediente Clínico Electrónico (SECE), que son las plataformas de software diseñadas para crear, almacenar, gestionar y transmitir expedientes en formato digital. Entre los requerimientos destacan: uso de catálogos estandarizados (como CIE-10 para diagnósticos), mecanismos de firma electrónica avanzada (FEA) para autenticación de autoría, bitácoras de auditoría que registren cada acceso o modificación, y capacidad de interoperabilidad semántica con otros sistemas del sector salud.
Requisitos operativos que debe cumplir el SECE
Para que un establecimiento opere legalmente con expediente clínico electrónico, el sistema elegido debe cubrir, entre otros, los siguientes aspectos:
- Firma electrónica avanzada: cada entrada clínica debe ser autenticada mediante FEA, equivalente funcional de la firma autógrafa conforme a la Ley de Firma Electrónica Avanzada vigente. Esto garantiza la no repudiación, es decir, que el firmante no pueda negar la autoría del registro.
- Control de acceso basado en roles: solo el personal autorizado puede consultar, crear o modificar registros; la trazabilidad de cada acción queda registrada en bitácoras inalterables.
- Integridad del documento: el sistema debe implementar mecanismos criptográficos (típicamente funciones hash) que detecten cualquier alteración posterior a la firma del registro.
- Respaldo y disponibilidad: deben existir procedimientos documentados de respaldo periódico y planes de recuperación ante desastres que garanticen la disponibilidad del expediente cuando sea requerido.
- Conservación de plazos mínimos: la NOM-004-SSA3-2012 establece plazos mínimos de conservación del expediente; el sistema electrónico debe garantizar la legibilidad y accesibilidad durante todo ese período, independientemente de cambios tecnológicos.
- Interoperabilidad: el SECE debe ser capaz de exportar información en formatos compatibles con otros sistemas del sector, facilitando la continuidad asistencial y las acciones de vigilancia epidemiológica.
Protección de datos personales sensibles
Los datos contenidos en el expediente clínico son datos personales sensibles en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Esta categoría merece una protección especial porque su tratamiento indebido puede generar discriminación o afectación grave al titular. El responsable del tratamiento —que en este contexto es el establecimiento de salud o el profesional independiente— debe contar con un Aviso de Privacidad que informe al paciente sobre la finalidad del tratamiento, las transferencias previstas y los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) que le asisten.
En entornos cloud o en la nube, la contratación de un proveedor tecnológico externo implica una transferencia de datos o, en su caso, una relación de encargado del tratamiento, figura que debe estar regulada contractualmente con cláusulas de confidencialidad y seguridad alineadas a la LFPDPPP y su Reglamento.
Papel de COFEPRIS y verificación sanitaria
La Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS), hoy integrada a la Agencia de Regulación Sanitaria (ANASABIE) conforme a la reforma orgánica reciente, emite criterios y guías para la verificación del cumplimiento normativo en establecimientos de salud. Durante una visita de verificación sanitaria, los inspectores pueden requerir el acceso al expediente clínico —en cualquier formato— y comprobar que cumple los requisitos de la NOM-004. La incapacidad de demostrar el cumplimiento en formato electrónico no exime de responsabilidad; al contrario, puede agravar la infracción si el sistema adoptado carece de los controles requeridos.
Consideraciones prácticas para la transición al expediente electrónico
La decisión de migrar al expediente clínico electrónico debe ir acompañada de un proceso estructurado. Algunos pasos esenciales son:
- Verificar que el SECE elegido esté diseñado conforme a los requerimientos de la NOM-024-SSA3-2012 y, de preferencia, cuente con documentación técnica que acredite su conformidad.
- Capacitar al personal en el uso del sistema y en las responsabilidades legales derivadas del manejo de datos sensibles.
- Actualizar o emitir el Aviso de Privacidad del establecimiento para reflejar el tratamiento electrónico de los datos.
- Definir una política interna de seguridad de la información que incluya control de accesos, gestión de contraseñas, cifrado en tránsito y en reposo, y procedimientos ante incidentes de seguridad.
- Establecer un protocolo de respaldo conforme a los plazos de conservación normativos y verificar periódicamente la integridad de los respaldos.
- En caso de contratar un proveedor cloud, revisar que los servidores operen dentro del marco jurídico mexicano o que existan garantías equivalentes para la protección de los datos.
- Documentar el proceso de transición, incluyendo la política de coexistencia temporal entre expedientes físicos y electrónicos durante la migración.
Glosario
- Expediente Clínico Electrónico (ECE): conjunto de registros médicos de un paciente generados, almacenados y gestionados en formato digital, con validez legal equivalente al expediente en papel cuando cumple los requisitos normativos aplicables.
- Firma Electrónica Avanzada (FEA): mecanismo criptográfico que vincula de forma unívoca un registro digital con su autor, garantizando autenticidad, integridad y no repudiación. Tiene el mismo valor jurídico que la firma autógrafa.
- Interoperabilidad semántica: capacidad de dos o más sistemas de información para intercambiar datos y que el sistema receptor pueda interpretar correctamente su significado, usando catálogos y estándares comunes.
- Datos personales sensibles: categoría de datos que, por su naturaleza, pueden afectar la esfera más íntima del titular o cuya divulgación puede generar discriminación; incluyen datos de salud, origen étnico, creencias religiosas, entre otros.
- Derechos ARCO: derechos del titular de datos personales a Acceder a ellos, Rectificarlos cuando sean inexactos, Cancelarlos cuando resulten excesivos o innecesarios, y Oponerse a su tratamiento para finalidades específicas.
- Bitácora de auditoría: registro cronológico e inalterable de todas las operaciones realizadas sobre un expediente electrónico (accesos, modificaciones, impresiones), utilizado para verificar la trazabilidad y detectar accesos no autorizados.
- No repudiación: propiedad que impide que el autor de un registro firmado electrónicamente niegue su autoría, al existir evidencia técnica criptográfica que lo vincula al acto.
- Encargado del tratamiento: figura jurídica de la LFPDPPP que designa a la persona física o moral que, por instrucción del responsable y sin asumir facultades de decisión, trata datos personales en su nombre (por ejemplo, un proveedor de servicios cloud).
Referencias
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación.
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación.
- Congreso de la Unión. (2009, última reforma aplicable). Ley General de Salud. México: Cámara de Diputados.
- Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Diario Oficial de la Federación.
- Secretaría de Gobernación. (2011). Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación.
- Congreso de la Unión. (2012). Ley de Firma Electrónica Avanzada. Diario Oficial de la Federación.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (s.f.). Guía para implementar un sistema de gestión de seguridad de datos personales. INAI.