Obligaciones del profesional de salud ante el cierre o transmisión del consultorio
Cuando un médico, odontólogo u otro profesional de la salud decide cerrar o enajenar su consultorio, la relación jurídica con sus pacientes no concluye de manera automática. El expediente clínico —conjunto de documentos escritos, gráficos, imagenológicos, electrónicos, magnéticos, electromagnéticos, ópticos, magneto-ópticos y de cualquier otra índole en los que el personal de salud hace los registros, anotaciones, en su caso, constancias y certificaciones correspondientes a la intervención en la atención médica del paciente— continúa siendo un documento de custodia obligatoria conforme a las disposiciones aplicables.
Marco normativo rector
El ordenamiento central en esta materia es la NOM-004-SSA3-2012, Del expediente clínico, norma oficial mexicana que establece los criterios científicos, tecnológicos y administrativos para la integración, uso, manejo, archivo, conservación y disposición final del expediente clínico. Complementan este marco la NOM-024-SSA3-2012, aplicable cuando el establecimiento opera Sistemas de Información de Registro Electrónico para la Salud (SIRES); la Ley General de Salud (LGS) y su reglamentación en materia de prestación de servicios de atención médica; y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que regula el tratamiento de datos personales —categoría que incluye los datos de salud, clasificados como datos personales sensibles.
Plazos mínimos de conservación
La NOM-004-SSA3-2012 fija el plazo mínimo de conservación del expediente clínico en cinco años contados a partir de la última atención prestada al paciente, o bien hasta que el menor de edad alcance la mayoría de edad y cuente con al menos cinco años adicionales de haber concluido su tratamiento, el plazo que resulte mayor. Este plazo es un umbral normativo mínimo; en la práctica, mantener la custodia durante periodos más prolongados resulta conveniente ante posibles responsabilidades civiles, penales o administrativas que prescriban en plazos distintos según el Código Civil Federal y los códigos locales.
El cierre del consultorio no suspende ni interrumpe estos plazos. El responsable sanitario —figura que la LGS define como el profesional de salud que asume ante la autoridad sanitaria la dirección técnica del establecimiento— mantiene la obligación de custodia aun cuando el establecimiento deje de operar.
¿Qué ocurre al cerrar definitivamente?
Cuando el cierre es definitivo, el profesional debe notificarlo ante la COFEPRIS o la autoridad sanitaria estatal competente, según el tipo de licencia sanitaria o aviso de funcionamiento bajo el que operaba el establecimiento. Este trámite no cancela las obligaciones documentales preexistentes. El responsable sanitario queda obligado a:
- Garantizar la custodia física o electrónica de los expedientes durante el plazo mínimo legal, ya sea de forma personal o mediante convenio con un tercero que acredite las condiciones de seguridad y confidencialidad exigidas por la LFPDPPP.
- Documentar la ubicación de los expedientes ante la autoridad sanitaria al momento de presentar el aviso de cierre, a fin de que el seguimiento de los pacientes no quede interrumpido.
- Informar a los pacientes, mediante aviso en el propio consultorio con antelación razonable, sobre el cierre inminente y el destino de sus expedientes, en cumplimiento del deber de información que deriva del consentimiento informado y del principio de transparencia de la LFPDPPP.
- Abstenerse de destruir expedientes antes de que transcurra el plazo de conservación; la destrucción anticipada puede configurar infracción a la NOM-004-SSA3-2012 y, según las circunstancias, responsabilidad penal por daño a la documentación clínica.
¿Qué ocurre al vender o transmitir el consultorio?
La enajenación del establecimiento introduce la figura de la transmisión de expedientes clínicos, que supone un tratamiento de datos personales sensibles. Conforme a la LFPDPPP, dicha transmisión requiere el consentimiento expreso del titular —el paciente— salvo que exista una relación jurídica que lo justifique o una excepción legal aplicable. En consecuencia, el vendedor no puede ceder los expedientes al comprador como un activo más del negocio sin agotar previamente el proceso de legitimación del tratamiento.
En términos prácticos, el mecanismo más utilizado es el aviso de privacidad dirigido a cada paciente, en el que se informa el cambio de responsable del tratamiento y se otorga al titular un plazo para manifestar su oposición. Si el paciente se opone, el expediente debe permanecer bajo custodia del profesional original o ser entregado al propio paciente.
Adicionalmente, el nuevo propietario del consultorio asume la calidad de responsable del tratamiento frente al INAI y ante la Secretaría de Salud, por lo que deberá registrar ante COFEPRIS el cambio de responsable sanitario y actualizar los avisos de funcionamiento correspondientes.
Expediente electrónico: obligaciones adicionales
Cuando el consultorio opera con SIRES conforme a la NOM-024-SSA3-2012, el cierre o transmisión implica obligaciones técnicas adicionales: garantizar la integridad, autenticidad, confidencialidad y disponibilidad de los registros durante la migración o transferencia de plataforma. La norma exige que cualquier sistema de información en salud cuente con mecanismos de trazabilidad —registro de quién accedió, modificó o eliminó información— y que los respaldos sean suficientes para garantizar la recuperación de los datos. El responsable sanitario saliente debe entregar al sucesor la documentación técnica que acredite estos controles.
Lista de acciones prioritarias antes de cerrar o vender
- Presentar ante COFEPRIS o autoridad sanitaria estatal el aviso de cierre o cambio de titular con al menos treinta días de anticipación.
- Inventariar la totalidad de expedientes activos e inactivos, identificando fecha de última atención para calcular el fin del plazo de conservación.
- Redactar y distribuir aviso de privacidad específico para cambio de responsable del tratamiento, conforme a los lineamientos del INAI.
- Establecer un mecanismo seguro de custodia (bóveda documental, servidor cifrado, empresa de gestión documental certificada) que mantenga las condiciones de confidencialidad exigidas.
- En caso de expediente electrónico, ejecutar respaldo en formato estándar interoperable y documentar la cadena de custodia digital.
- Conservar copia del registro de ubicación de expedientes para exhibirla ante cualquier requerimiento judicial o administrativo posterior al cierre.
Consecuencias del incumplimiento
La inobservancia de estas obligaciones puede derivar en sanciones administrativas a cargo de la Secretaría de Salud o las secretarías estatales equivalentes, multas impuestas por el INAI por violación a la LFPDPPP, y responsabilidad civil ante los pacientes cuyos expedientes resulten extraviados, destruidos o divulgados sin consentimiento. En escenarios donde la pérdida del expediente impida acreditar el tratamiento otorgado, el profesional puede enfrentar además acción disciplinaria ante el Consejo de la especialidad correspondiente.
Glosario
- Expediente clínico: Conjunto de documentos de cualquier naturaleza en los que el personal de salud registra la atención médica prestada a un paciente; su integración y custodia están reguladas por la NOM-004-SSA3-2012.
- Responsable sanitario: Profesional de salud que asume ante la autoridad sanitaria la dirección técnica de un establecimiento de atención médica, con responsabilidad sobre el cumplimiento normativo.
- Datos personales sensibles: Categoría de datos cuya divulgación indebida puede generar discriminación o riesgo grave para el titular; incluyen datos sobre estado de salud, origen étnico y vida sexual, entre otros, conforme a la LFPDPPP.
- Aviso de funcionamiento: Declaración unilateral presentada ante COFEPRIS que acredita el inicio o cese de operaciones de un establecimiento de atención médica de baja complejidad.
- SIRES (Sistema de Información de Registro Electrónico para la Salud): Plataforma tecnológica que gestiona el expediente clínico electrónico; su operación está normada por la NOM-024-SSA3-2012.
- Trazabilidad: Capacidad de un sistema de información para registrar y recuperar el historial de accesos, modificaciones y eliminaciones realizados sobre un documento o registro.
- Consentimiento informado: Acuerdo voluntario y explícito del paciente para recibir un procedimiento diagnóstico o terapéutico, otorgado tras recibir información suficiente sobre riesgos, beneficios y alternativas.
- Aviso de privacidad: Documento mediante el cual el responsable del tratamiento de datos personales informa al titular la finalidad, medios y condiciones del uso de su información, conforme a la LFPDPPP.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación. Ciudad de México, México.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación. Ciudad de México, México.
- Congreso de los Estados Unidos Mexicanos. (1984, con reformas vigentes). Ley General de Salud. Diario Oficial de la Federación. Ciudad de México, México.
- Congreso de los Estados Unidos Mexicanos. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. Ciudad de México, México.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (2013). Lineamientos del aviso de privacidad. Diario Oficial de la Federación. Ciudad de México, México.
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). Normatividad aplicable a establecimientos de atención médica. Recuperado de https://www.gob.mx/cofepris