Planteamiento del problema
La digitalización de los procesos clínicos ha colocado al sector salud ante una pregunta de alta relevancia práctica: ¿es jurídica y técnicamente válido sustituir la firma autógrafa en el consentimiento informado (CI) por una firma electrónica? La respuesta no es binaria. Depende del tipo de firma electrónica empleada, del marco regulatorio aplicable al establecimiento de salud y del tipo de acto médico que se documenta. Este artículo analiza el entramado normativo vigente y ofrece criterios accionables para implementar esta práctica de forma segura y legalmente sólida.
El consentimiento informado como acto jurídico-clínico
El consentimiento informado (CI) es el acto mediante el cual el paciente —o su representante legal— manifiesta, de forma libre, voluntaria y documentada, su aceptación para recibir un procedimiento diagnóstico, terapéutico o quirúrgico, tras haber recibido información suficiente sobre sus riesgos, beneficios y alternativas. La NOM-004-SSA3-2012, que regula el expediente clínico, establece que el CI es parte integrante de dicho expediente y debe contener, entre otros elementos, la firma del paciente o de su representante. Su naturaleza es dual: es al mismo tiempo un documento clínico de protección al paciente y un instrumento jurídico de prueba ante controversias legales o procesos ante la Comisión Nacional de Arbitraje Médico (CONAMED).
Marco legal de la firma electrónica en México
La firma electrónica es el conjunto de datos electrónicos que acompañan o están asociados a un mensaje digital y que permiten identificar a su autor, así como garantizar la integridad del contenido. El ordenamiento jurídico mexicano reconoce dos categorías relevantes:
- Firma electrónica simple: cualquier dato en forma electrónica adjunto a un mensaje que permite identificar al firmante de manera básica, sin garantías criptográficas robustas (por ejemplo, una imagen escaneada de la firma o un clic de aceptación en pantalla).
- Firma electrónica avanzada (FIEL / e.firma): firma que utiliza un certificado digital emitido por una autoridad certificadora reconocida, basada en criptografía asimétrica, que garantiza la identidad del firmante, la integridad del documento y el no repudio. En México, la autoridad certificadora raíz es el SAT, y su equivalente en el sector salud es la infraestructura prevista por el IMSS y la Secretaría de Salud para la Historia Clínica Electrónica.
El Código de Comercio, en sus disposiciones relativas a comercio electrónico, reconoce la equivalencia funcional entre el documento electrónico firmado y el documento en papel, siempre que la firma utilizada garantice la autenticidad e integridad. El Código Civil Federal y los códigos civiles estatales no prohíben expresamente el uso de medios electrónicos para perfeccionar actos jurídicos, salvo que una ley especial exija la forma escrita con firma autógrafa.
¿Qué dice la normativa sanitaria específica?
La NOM-004-SSA3-2012 exige que el expediente clínico, incluido el CI, cuente con firma del responsable. Sin embargo, esta norma no especifica que dicha firma deba ser necesariamente autógrafa en papel, lo que abre la puerta a su sustitución por medios electrónicos equivalentes, siempre que se preserven los atributos esenciales: autenticidad, integridad y no repudio.
La NOM-024-SSA3-2012, relativa a los sistemas de información de registro electrónico para la salud (SIRES), establece requisitos técnicos para los expedientes clínicos electrónicos, incluida la obligación de contar con mecanismos de identificación y autenticación de los usuarios que generan o validan documentos. Esta norma es el principal sustento normativo para la digitalización del CI, ya que prevé la existencia de documentos clínicos en formato electrónico con validez jurídica, siempre que el sistema cumpla los estándares de seguridad, trazabilidad y resguardo que ella misma establece.
La Ley General de Salud no prohíbe el uso de firma electrónica en documentos clínicos, pero sí obliga a respetar el derecho del paciente a recibir información y a que su consentimiento sea voluntario y documentado, independientemente del medio empleado para ello.
En materia de datos personales, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) impone al responsable del tratamiento la obligación de implementar medidas de seguridad técnicas, administrativas y físicas proporcionales a la sensibilidad de los datos. Los datos de salud son datos sensibles y requieren el nivel más alto de protección, lo que refuerza la necesidad de utilizar firma electrónica avanzada —no simple— cuando el CI se gestiona en forma digital.
Condiciones para la validez del CI con firma electrónica
Con base en el análisis normativo anterior, la firma electrónica en CI es jurídicamente admisible si se cumplen las siguientes condiciones:
- Emplear firma electrónica avanzada (o mecanismos equivalentes de autenticación fuerte), no una mera firma digitalizada o aceptación sin verificación de identidad robusta.
- Operar dentro de un SIRES certificado conforme a la NOM-024-SSA3-2012, con trazabilidad completa del ciclo de vida del documento.
- Garantizar la integridad del documento: el sistema debe generar un hash criptográfico del CI en el momento de la firma, de modo que cualquier alteración posterior sea detectable.
- Asegurar el no repudio: el certificado digital utilizado debe estar emitido por una autoridad certificadora reconocida y debe poder acreditarse ante una autoridad judicial o arbitral.
- Preservar la voluntariedad del proceso: el paciente debe poder leer el documento en pantalla, formular preguntas y recibir respuesta antes de firmar; el flujo electrónico no debe reducir el CI a un simple clic sin comprensión.
- Resguardar el documento firmado con las mismas garantías de confidencialidad, integridad y disponibilidad exigidas para el expediente clínico en papel, durante el plazo mínimo establecido por la NOM-004-SSA3-2012.
- Informar al paciente sobre el mecanismo de firma utilizado y ofrecerle la posibilidad de obtener una copia del CI firmado en formato accesible, en cumplimiento de la LFPDPPP y de la Ley General de Salud.
- Verificar con COFEPRIS si el procedimiento específico —especialmente ensayos clínicos o procedimientos de alto riesgo— cuenta con lineamientos adicionales sobre la forma del CI, dado que esta autoridad puede emitir avisos o disposiciones técnicas complementarias a las NOM.
Riesgos y limitaciones prácticas
La ausencia de una norma que afirme de manera explícita y sin ambigüedad que el CI electrónico tiene plena equivalencia con el autógrafo en papel genera incertidumbre probatoria. Ante una queja ante CONAMED o una demanda civil o penal, la carga de demostrar la validez del mecanismo de firma recae en el prestador de servicios de salud. Asimismo, los entornos de atención de urgencias o los pacientes con escasa alfabetización digital presentan retos de implementación que deben resolverse con protocolos claros y personal capacitado, no con soluciones puramente tecnológicas.
Glosario
- Consentimiento informado (CI): documento clínico-jurídico mediante el cual el paciente acepta voluntariamente un procedimiento de salud tras recibir información suficiente sobre el mismo.
- Firma electrónica avanzada (FEA / e.firma): firma digital basada en criptografía asimétrica y certificado emitido por autoridad certificadora reconocida, que garantiza autenticidad, integridad y no repudio.
- No repudio: propiedad jurídico-técnica que impide que el firmante niegue haber suscrito un documento, al contar con evidencia criptográfica inalterable de su identidad y consentimiento.
- Integridad del documento: garantía de que el contenido de un archivo electrónico no ha sido modificado desde el momento de su firma, verificable mediante función hash.
- SIRES: Sistema de Información de Registro Electrónico para la Salud; plataforma tecnológica que gestiona el expediente clínico electrónico conforme a la NOM-024-SSA3-2012.
- Expediente clínico: conjunto de documentos escritos, gráficos e imagenológicos o de cualquier otra índole, en los que el personal de salud deberá hacer los registros, anotaciones, en su caso, constancias y certificaciones correspondientes a su intervención en la atención médica del paciente.
- Dato sensible: categoría especial de dato personal que revela información sobre el estado de salud, y que por su alto potencial de discriminación requiere medidas de protección reforzadas conforme a la LFPDPPP.
- Hash criptográfico: función matemática unidireccional que transforma un documento en una cadena de caracteres única; cualquier modificación al documento produce un hash completamente diferente, evidenciando la alteración.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación. Ciudad de México: DOF.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación. Ciudad de México: DOF.
- Cámara de Diputados del H. Congreso de la Unión. (vigente). Ley General de Salud. Ciudad de México: DOF.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Ciudad de México: DOF.
- Cámara de Diputados del H. Congreso de la Unión. (vigente). Código de Comercio (Libro Segundo, Título Segundo, Del comercio electrónico). Ciudad de México: DOF.
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). Normatividad y avisos técnicos aplicables a ensayos clínicos y procedimientos de alto riesgo. Disponible en: gob.mx/cofepris
- Comisión Nacional de Arbitraje Médico (CONAMED). (s.f.). Criterios de valoración del consentimiento informado en procedimientos de arbitraje médico. Ciudad de México: CONAMED.