Introducción: Una Pregunta con Respuesta Regulada
En el ámbito de la salud en México, la gestión documental del expediente clínico —conjunto de documentos escritos, gráficos e imagenológicos que registran los datos de atención médica de un paciente— no es una decisión discrecional del prestador de servicios. Existe un marco normativo explícito que establece condiciones, responsabilidades y consecuencias jurídicas en torno a su conservación, incluida la modalidad digital. La pregunta ¿es obligatorio respaldar digitalmente los expedientes? admite una respuesta técnicamente matizada: la obligatoriedad del respaldo digital —copia de seguridad electrónica de la información almacenada en un sistema informático— no es absoluta en todos los contextos, pero sí resulta vinculante cuando la unidad médica opera con sistemas de información electrónicos para la salud (SIES), y constituye una obligación derivada de estándares de continuidad operacional y protección de datos personales.
Marco Normativo Aplicable
La NOM-004-SSA3-2012, Del expediente clínico, es la norma rectora en la materia. Establece que el expediente clínico es propiedad del establecimiento o del prestador de servicios de salud, que el paciente tiene derecho de acceso a la información contenida en él, y que el tiempo mínimo de conservación es de cinco años a partir de la última atención prestada (en el caso de menores, el plazo corre a partir de la mayoría de edad). Esta norma reconoce expresamente la validez del expediente en formato electrónico, siempre que el sistema garantice la integridad, confidencialidad y disponibilidad de la información.
La NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud, complementa la anterior al establecer los requisitos técnicos y funcionales que deben cumplir los SIES utilizados en establecimientos de atención médica. Entre sus disposiciones se encuentran requerimientos de interoperabilidad —capacidad de sistemas heterogéneos para intercambiar y utilizar información— así como mecanismos de auditoría de trazabilidad, que implican, en la práctica, la existencia de registros electrónicos permanentes y respaldados.
La Ley General de Salud establece, en sus disposiciones relativas a los establecimientos de atención médica, la obligación de mantener un expediente por cada paciente atendido. Aunque no especifica el formato, faculta a la Secretaría de Salud para emitir normas oficiales que regulen los requisitos técnicos. Esto le confiere fuerza vinculante a las NOMs antes citadas.
La Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP) es igualmente relevante: los datos de salud son considerados datos sensibles —categoría que requiere medidas de seguridad reforzadas— y su tratamiento obliga al responsable a implementar salvaguardas técnicas, administrativas y físicas para prevenir pérdida, alteración o acceso no autorizado. La ausencia de un respaldo digital robusto puede constituir un incumplimiento de las medidas de seguridad exigidas por esta ley.
Finalmente, COFEPRIS (Comisión Federal para la Protección contra Riesgos Sanitarios) puede verificar el cumplimiento de las NOMs en visitas de inspección. El incumplimiento de la NOM-004 o NOM-024 puede derivar en sanciones administrativas conforme a la Ley General de Salud.
¿Cuándo Resulta Obligatorio el Respaldo Digital?
La obligatoriedad del respaldo digital se activa en dos escenarios concretos:
1. Cuando el establecimiento opera con SIES. Si una unidad médica adoptó un sistema electrónico para gestionar expedientes, la NOM-024-SSA3-2012 exige que ese sistema garantice la disponibilidad continua de la información. Esto implica, por diseño técnico, la existencia de mecanismos de respaldo periódico (backup) que aseguren la recuperación de datos ante fallas de hardware, errores humanos o incidentes de seguridad informática. No implementar respaldos equivale a operar un SIES fuera de la norma.
2. Cuando los datos de salud se tratan como datos personales sensibles. Conforme a la LFPDPPP, el responsable del tratamiento —clínica, hospital, consultorio— debe adoptar medidas de seguridad idóneas. La doctrina de protección de datos y las recomendaciones del INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) consideran los respaldos cifrados como una medida técnica básica e indispensable para acreditar diligencia debida.
Recomendaciones Accionables para el Cumplimiento
- Inventariar los sistemas activos: Identificar si la unidad opera con expediente físico, electrónico o híbrido, para determinar qué normas aplican en su integridad.
- Establecer una política de respaldo documentada: Definir frecuencia (diaria, semanal), tipo (incremental, completo), medio de almacenamiento (local, nube cifrada, unidad externa) y responsable del proceso.
- Cifrar los respaldos: Todo archivo de respaldo que contenga datos de salud debe estar protegido mediante cifrado (encriptación de la información para que solo sea legible con la clave correcta) para cumplir con la LFPDPPP.
- Realizar pruebas de restauración periódicas: Un respaldo no verificado no garantiza disponibilidad; deben ejecutarse simulacros de recuperación al menos trimestralmente.
- Conservar los respaldos durante el plazo normativo: El respaldo debe mantenerse al menos durante los cinco años que exige la NOM-004-SSA3-2012, o el plazo legal aplicable según el tipo de paciente.
- Implementar control de acceso y auditoría: Los SIES deben registrar quién accedió, modificó o eliminó información, conforme a los requerimientos de trazabilidad de la NOM-024.
- Documentar el Aviso de Privacidad: Informar al paciente sobre el tratamiento de sus datos, incluyendo las medidas de seguridad adoptadas, tal como lo requiere la LFPDPPP.
Consecuencias del Incumplimiento
La falta de respaldo adecuado puede derivar en tres tipos de consecuencias: sanitarias (pérdida de información clínica crítica para la continuidad de la atención); regulatorias (sanciones administrativas por incumplimiento de las NOMs, verificables por COFEPRIS); y legales (responsabilidad civil o penal en caso de que la pérdida de datos cause perjuicio al paciente o implique violación a su privacidad conforme a la LFPDPPP).
Conclusión
El respaldo digital de expedientes no es una opción tecnológica optativa: es una obligación normativa para todo establecimiento que opere con sistemas electrónicos de salud, y una obligación derivada de la protección de datos personales sensibles para cualquier responsable del tratamiento. La convergencia entre la NOM-004-SSA3-2012, la NOM-024-SSA3-2012 y la LFPDPPP crea un entorno regulatorio que exige diligencia técnica comprobable. En la práctica, la pregunta no debería ser si respaldar, sino cómo hacerlo de forma que satisfaga los estándares de integridad, confidencialidad y disponibilidad que la normatividad vigente demanda.
Glosario
- Expediente clínico: Conjunto de documentos escritos, gráficos e imagenológicos que integran los datos e informes del paciente relativo a su atención médica en un establecimiento de salud.
- SIES (Sistema de Información Electrónico para la Salud): Plataforma informática que permite capturar, almacenar, procesar y transmitir datos clínicos y administrativos de pacientes en formato digital.
- Respaldo digital (backup): Copia de seguridad de datos almacenados en un sistema informático, destinada a permitir su recuperación en caso de pérdida, corrupción o falla del sistema original.
- Dato sensible: Categoría especial de dato personal que, por su naturaleza íntima, requiere medidas de protección reforzadas; incluye información sobre el estado de salud, origen racial, vida sexual, creencias religiosas o filosóficas.
- Cifrado (encriptación): Proceso criptográfico mediante el cual la información se transforma en un formato ilegible para quienes no posean la clave de descifrado correspondiente.
- Interoperabilidad: Capacidad de dos o más sistemas de información para intercambiar datos y utilizar la información intercambiada de forma eficaz y sin pérdida de significado.
- Trazabilidad: Capacidad de un sistema para registrar y reconstruir de forma verificable el historial de accesos, modificaciones y eliminaciones realizadas sobre un conjunto de datos.
- Responsable del tratamiento: Persona física o moral que decide sobre el tratamiento de datos personales; figura jurídica definida por la LFPDPPP con obligaciones específicas en materia de seguridad y privacidad.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación. Ciudad de México: DOF.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación. Ciudad de México: DOF.
- Cámara de Diputados del H. Congreso de la Unión. (1984, con reformas posteriores). Ley General de Salud. Ciudad de México: DOF.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP). Diario Oficial de la Federación. Ciudad de México: DOF.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (s.f.). Guía para implementar un sistema de gestión de seguridad de datos personales. Recuperado de inai.org.mx
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). Normatividad vigente en materia de establecimientos de atención médica. Recuperado de gob.mx/cofepris