Introducción: El consultorio como unidad regulada
El ejercicio de la medicina en México no ocurre en un vacío normativo. Cada consultorio —desde el consultorio dental de práctica individual hasta la clínica de especialidad— constituye una unidad regulada sujeta a un entramado de obligaciones legales, sanitarias y de protección de datos que la mayoría de los prestadores de servicios de salud desconoce o cumple de manera incompleta. El compliance sanitario (conjunto de acciones dirigidas a verificar y mantener el cumplimiento de la normatividad aplicable) no es un lujo administrativo; es una condición de operación legal cuya omisión genera responsabilidad administrativa, civil e incluso penal.
Este artículo identifica los errores de compliance más frecuentes en consultorios mexicanos, los ancla a la normatividad vigente e indica las acciones correctivas prioritarias.
1. Expediente clínico incompleto o mal integrado
La NOM-004-SSA3-2012, norma oficial mexicana que regula el expediente clínico, establece los elementos mínimos que debe contener todo registro de atención médica: historia clínica, notas de evolución, notas de interconsulta, hoja de indicaciones y, cuando aplique, consentimiento informado. El incumplimiento más documentado en auditorías sanitarias es la ausencia o la integración deficiente de alguno de estos elementos.
En la práctica, los errores típicos incluyen:
- Notas de evolución sin fecha, hora o firma con cédula profesional.
- Historia clínica que omite antecedentes heredofamiliares o antecedentes patológicos previos.
- Ausencia del consentimiento informado (documento mediante el cual el paciente, debidamente informado de riesgos y alternativas, autoriza un procedimiento) para cirugías menores, procedimientos invasivos o administración de biológicos.
- Expedientes en papel sin orden cronológico ni foliación, que imposibilitan la trazabilidad de la atención.
- Destrucción o pérdida de expedientes antes del plazo mínimo de conservación que establece la norma.
La NOM-004-SSA3-2012 precisa que el expediente es propiedad del establecimiento pero que el paciente tiene derecho a su consulta y a obtener copia. Negar ese acceso constituye una infracción a la Ley General de Salud en su sección relativa a los derechos de los usuarios de los servicios de salud.
2. Aviso de privacidad inexistente o inaplicable
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a todo responsable que trate datos personales —incluidos los consultorios— a contar con un aviso de privacidad (documento que informa al titular sobre la identidad del responsable, las finalidades del tratamiento y los derechos ARCO que le asisten). Los datos de salud son considerados datos personales sensibles, categoría que impone obligaciones reforzadas: se requiere consentimiento expreso y por escrito para su tratamiento.
Los errores más frecuentes en este rubro son:
- Ausencia total del aviso de privacidad, tanto físico en el consultorio como digital si existe sitio web o app de agenda.
- Avisos genéricos descargados de internet que no identifican correctamente al responsable ni las finalidades reales del consultorio.
- No recabar el consentimiento escrito del paciente antes de tratar sus datos sensibles de salud.
- Compartir expedientes o resultados con terceros (aseguradoras, familiares) sin contar con base legal que lo justifique.
- Ausencia de un mecanismo para que el paciente ejerza sus derechos ARCO (Acceso, Rectificación, Cancelación y Oposición).
3. Incumplimiento en el uso de sistemas de registro electrónico
Cuando el consultorio adopta un expediente clínico electrónico (ECE), entra en el ámbito de aplicación de la NOM-024-SSA3-2012, norma que regula los sistemas de información de registro electrónico para la salud. Esta norma establece requisitos de interoperabilidad, seguridad de la información, identificación unívoca del paciente mediante el CURP, y firma electrónica del profesional.
Los incumplimientos habituales son usar software comercial genérico que no cumple los estándares de la norma, no garantizar la integridad del registro (que el sistema permita editar notas sin dejar rastro de auditoría), y carecer de respaldos periódicos que aseguren la disponibilidad del expediente.
4. Falta de licencia sanitaria y aviso de funcionamiento vigentes
Todo establecimiento para la atención médica requiere, conforme a la Ley General de Salud y a la normatividad de la Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS), contar con el aviso de funcionamiento o la licencia sanitaria correspondiente según la categoría del establecimiento. Operar sin este documento o con un aviso vencido equivale a una operación clandestina desde la perspectiva sanitaria y es causa de clausura.
Un error asociado es no actualizar el aviso cuando cambia el responsable sanitario, el domicilio o los servicios ofertados, pues cada modificación relevante requiere notificación ante la autoridad sanitaria competente.
5. Deficiencias en el manejo de residuos peligrosos biológico-infecciosos
Los RPBI (Residuos Peligrosos Biológico-Infecciosos), categoría que abarca material punzocortante, tejidos, sangre y cultivos microbiológicos, están regulados por la NOM-087-SEMARNAT-SSA1-2002. La gestión incorrecta —mezclar RPBI con residuos municipales, usar contenedores no certificados, carecer de un contrato vigente con empresa recolectora autorizada— es uno de los incumplimientos más sancionados durante verificaciones sanitarias, y con frecuencia también genera responsabilidad ambiental.
6. Publicidad de servicios médicos no verificada ante COFEPRIS
Conforme a la Ley General de Salud y a los lineamientos de COFEPRIS en materia de publicidad sanitaria, toda comunicación comercial que mencione tratamientos, medicamentos o servicios de salud dirigida al público general requiere autorización previa o, en algunos supuestos, aviso. Consultorios que publican en redes sociales resultados de procedimientos estéticos, testimoniales de pacientes o afirmaciones terapéuticas sin este respaldo incurren en publicidad sanitaria no autorizada, infracción que puede derivar en multas y orden de retiro de contenido.
Acciones correctivas prioritarias
- Auditar el expediente clínico contra la lista de verificación de la NOM-004-SSA3-2012 e identificar campos faltantes por expediente.
- Redactar o actualizar el aviso de privacidad con un abogado especialista en protección de datos, asegurando que refleje las finalidades reales del tratamiento de datos sensibles.
- Verificar la vigencia del aviso de funcionamiento o licencia sanitaria y tramitar la actualización si ha habido cambios en los servicios o el responsable sanitario.
- Implementar una plantilla de consentimiento informado específica por tipo de procedimiento, con sección de riesgos, alternativas y declaración del paciente.
- Contratar o renovar el contrato con empresa recolectora de RPBI autorizada y capacitar al personal en segregación en origen.
- Revisar toda publicidad digital (sitio web, redes sociales) con el criterio COFEPRIS antes de publicar nueva campaña.
- Evaluar el software de ECE frente a los requisitos de la NOM-024-SSA3-2012 si se usa expediente electrónico.
Glosario
- Compliance sanitario: Conjunto sistemático de políticas, procedimientos y controles que una organización implementa para identificar, evaluar y garantizar el cumplimiento de la normatividad sanitaria aplicable.
- Expediente clínico: Conjunto de documentos escritos, gráficos e imagenológicos que registran de forma cronológica la atención médica otorgada a un paciente; regulado en México por la NOM-004-SSA3-2012.
- Consentimiento informado: Acto voluntario mediante el cual el paciente, después de recibir información suficiente sobre su diagnóstico, el procedimiento propuesto, sus riesgos y las alternativas, autoriza al profesional de salud a realizarlo.
- Datos personales sensibles: Categoría de datos cuyo tratamiento indebido puede generar discriminación o riesgo grave; incluye datos de salud, origen racial, creencias religiosas y vida sexual, conforme a la LFPDPPP.
- Derechos ARCO: Derechos que la LFPDPPP reconoce al titular de datos personales: Acceso, Rectificación, Cancelación y Oposición al tratamiento de sus datos.
- RPBI: Residuos Peligrosos Biológico-Infecciosos; materiales generados en establecimientos de atención médica que representan riesgo biológico para la salud humana o el ambiente.
- Aviso de funcionamiento: Documento mediante el cual el responsable de un establecimiento de salud notifica a la autoridad sanitaria el inicio de operaciones, conforme a los requisitos establecidos en la Ley General de Salud y su reglamento.
- Interoperabilidad: Capacidad de distintos sistemas de información para intercambiar, interpretar y utilizar datos de manera coherente; requisito técnico de los sistemas de ECE conforme a la NOM-024-SSA3-2012.
Referencias
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación.
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación.
- Secretaría de Medio Ambiente y Recursos Naturales / Secretaría de Salud. (2002). Norma Oficial Mexicana NOM-087-SEMARNAT-SSA1-2002, Protección ambiental — Salud ambiental — Residuos peligrosos biológico-infecciosos. Diario Oficial de la Federación.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación.
- Cámara de Diputados del H. Congreso de la Unión. (vigente a 2026). Ley General de Salud. Diario Oficial de la Federación.
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). (s.f.). Lineamientos en materia de publicidad sanitaria y avisos de funcionamiento. Recuperado de cofepris.gob.mx