Consentimiento informado digital: qué exigen México y España a una firma electrónica clínica

No existe un consentimiento informado digital "homologado". Ninguna de las normas que se citan aquí trae una lista de herramientas de firma aprobadas ni un sello que un proveedor pueda comprar. Quien hace firmar consentimientos en pantalla necesita un proceso que encaje en su propia organización: una firma válida, protección para los datos de salud del formulario y un contrato con quien los almacena.

Los textos clínicos son más flexibles de lo que se suele creer. En México, la NOM-004-SSA3-2012 define la carta de consentimiento informado (con el nombre y la firma del paciente o su representante, del médico que informa y de dos testigos) y, para las notas del expediente, admite la firma autógrafa, electrónica o digital según corresponda, con remisión a las disposiciones jurídicas aplicables (punto 5.10). En España, la Ley 41/2002 dispone que el consentimiento es verbal por regla general y se presta por escrito en las intervenciones quirúrgicas, los procedimientos diagnósticos y terapéuticos invasores y los que suponen riesgos notorios (art. 8.2). Ninguna de las dos impone un tipo de firma.

La protección de datos sí pone condiciones. En México, la ley federal de datos personales en posesión de los particulares (LFPDPPP) trata el estado de salud como dato sensible (art. 2, VI) y exige un consentimiento expreso y por escrito, que puede darse con firma autógrafa, firma electrónica o cualquier mecanismo de autenticación (art. 8). En España, el art. 9 del RGPD prohíbe tratar datos de salud salvo excepciones: el consentimiento explícito (apartado 2.a) y la asistencia sanitaria bajo secreto profesional (2.h y 3).

La pregunta se divide en dos:

• ¿Es válida la firma? Es derecho de contratos y de prueba.
• ¿Están protegidos los datos de salud del formulario? Es protección de datos y, en México, también la NOM-024-SSA3-2012 para el sistema que guarda el expediente.

Un proveedor puede ayudar con las dos, pero no puede quitarle la responsabilidad, y quien promete un consentimiento informado digital "que cumple todo" de fábrica vende una etiqueta. Si la ley alcanza a sus formularios depende de su papel, así que empiece por ahí. Nuestra página de firma para el sector salud enumera los documentos que más envían las consultas. El equivalente estadounidense se llama HIPAA y se explica más abajo.

El RGPD y la LFPDPPP no miden el tamaño de nadie: las dos protegen los datos de salud en manos de cualquier responsable. El responsable decide para qué y cómo se tratan los datos: la clínica, el consultorio, el laboratorio. El encargado (en México, la "persona encargada") los trata por cuenta del responsable, y eso incluye un servicio de firma que guarda formularios de pacientes ya firmados.

Hay un matiz de ámbito. En México, la LFPDPPP rige para los particulares; una institución pública de salud responde a la ley general de protección de datos en posesión de sujetos obligados. En España, el RGPD alcanza por igual a hospitales públicos y privados. Y a diferencia del derecho estadounidense, ningún umbral deja a nadie fuera: un gimnasio con cuestionario de salud trata datos de salud igual que un hospital.

Encuentre su fila antes de comparar proveedores. Decide si el contrato con el encargado es obligatorio (casi siempre), qué norma clínica se suma y qué tan exigente debe ser su revisión del proveedor.

En una consulta, un montón de papeles se llama "los formularios". Solo una parte nace de una norma que pida firma.

El consentimiento informado es el que tiene reglas duras, y son distintas a cada lado del Atlántico. En México, la NOM-004 pide la carta con las firmas del paciente, del médico y de dos testigos. En España, la forma escrita se exige solo en los casos del art. 8.2 de la Ley 41/2002; en el resto basta el consentimiento verbal, y la firma es su prueba. El consentimiento para tratar datos de salud es otra cosa: en México debe ser expreso y por escrito (LFPDPPP, art. 8); en España, explícito (RGPD, art. 9.2.a). La tabla muestra de dónde viene cada firma.

Una aclaración que evita confusiones: la NOM-024-SSA3-2012 regula los sistemas de información de registro electrónico para la salud (SIRES), no las herramientas de firma de consentimientos. Obliga a los establecimientos que adoptan un SIRES y a quienes tienen derechos sobre ese sistema (puntos 1.2 y 1.3). Chaindoc no es un SIRES. El consentimiento que se firma en Chaindoc es un documento que va al expediente; la NOM-024 regula el sistema que lo guarda.

Aun así, la norma es un buen modelo de lo que conviene pedir a cualquier sistema que toque datos de salud. Pide identificar y autenticar a los usuarios (punto 6.6.3), autorizar por roles (6.6.4), mantener los datos completos e inalterados (5.9) y poder rastrear los intercambios (5.8). Para el tratamiento de los datos, el art. 32 del RGPD en España y el art. 18 de la LFPDPPP en México piden medidas técnicas y de gestión proporcionales a la sensibilidad de los datos. En España, si los datos se hacen ininteligibles para quien no está autorizado, por ejemplo mediante cifrado, el art. 34.3.a dispensa de avisar a los afectados; el aviso a la AEPD del art. 33 se valora aparte. En México, la LFPDPPP obliga a informar al titular de las vulneraciones que afecten de forma significativa a sus derechos (art. 19).

La identidad del firmante es una decisión de riesgo

Ni el RGPD ni la LFPDPPP dicen cuán seguro debe estar de que el firmante es el paciente. Es una decisión de riesgo, formulario por formulario. Un enlace al correo registrado basta para acusar recibo de un aviso de privacidad. Un consentimiento que autoriza entregar el expediente a un abogado o a un empleador merece más: un código enviado por otra vía o una verificación de identidad. Deje la decisión por escrito.

El registro de auditoría es prueba, no adorno

Cuando un paciente dice que nunca firmó, usted presenta el registro de auditoría: quién envió el formulario, cuándo se abrió y se firmó, y si el archivo cambió después. La NOM-024 define ese registro como un historial cronológico de la actividad de los usuarios (punto 3.42), y el RGPD exige poder demostrar el cumplimiento (art. 5.2). Nuestra guía sobre qué registra la pista de auditoría de una firma electrónica lo repasa campo por campo. Compruebe que puede exportarlo: un registro que solo se lee dentro de la aplicación del proveedor se pierde con el contrato.

Si un servicio de firma guarda formularios de pacientes firmados, es su encargado del tratamiento (art. 4.8 del RGPD) y el art. 28 exige un contrato. En México, la LFPDPPP define a la persona encargada como quien trata datos por cuenta del responsable (art. 2, XII) y obliga al responsable a establecer controles de confidencialidad para todo el que intervenga en el tratamiento (art. 20). Da igual que el servicio solo guarde los archivos y no los lea nunca: lo que cuenta es que trata datos de salud por su cuenta.

La falta de contrato es una infracción del art. 28 que puede costar hasta 10 millones de euros o el 2 % del volumen de negocio mundial (art. 83.4.a del RGPD). El proveedor responde de sus propias obligaciones, pero el contrato ausente sigue siendo un incumplimiento suyo como responsable. Sin contrato, ningún formulario de paciente en línea.

El contenido lo fija el art. 28.3 del RGPD. Entre otras cosas, el encargado debe:

1. 1.
   Tratar los datos solo según sus instrucciones documentadas.
2. 2.
   Obligar a confidencialidad a todas las personas con acceso.
3. 3.
   Aplicar las medidas de seguridad del art. 32.
4. 4.
   Recurrir a otro encargado solo con su autorización y con las mismas obligaciones.
5. 5.
   Ayudarle a atender los derechos de acceso, rectificación y supresión.
6. 6.
   Suprimir o devolver todos los datos al terminar el contrato.
7. 7.
   Aportar pruebas y permitir auditorías, incluidas inspecciones.

Las cláusulas contractuales tipo de la Comisión Europea para responsables y encargados (Decisión de Ejecución (UE) 2021/915) sirven de vara de medir, también para un responsable mexicano que quiera un punto de comparación. Un contrato de dos párrafos que no dice nada de esto no cumple su función.

Estos tres aparecen en casi todas las listas. El 14 de octubre de 2026 leímos lo que cada uno dice en su propio sitio sobre la ley estadounidense HIPAA y su contrato de encargado (Business Associate Agreement, BAA). No es una declaración sobre el RGPD ni sobre la ley mexicana, pero muestra con cuánta claridad publica un proveedor sus condiciones. Los planes cambian; compruébelo de nuevo antes de firmar.

• Adobe Acrobat Sign. Su centro de ayuda dice que no se puede procesar información de salud protegida (PHI) con Acrobat Sign hasta completar el BAA, que la aptitud para HIPAA solo existe con una suscripción enterprise o business y que no todas las cuentas cumplen los requisitos.
• Dropbox Sign. Su centro de ayuda dice que admite el cumplimiento de HIPAA para clientes con un plan anual Standard o Premium que tengan un BAA firmado y alcancen un valor de contrato mínimo.
• El Trust Center de DocuSign incluye HIPAA entre las normativas que DocuSign cumple, junto a 21 CFR Part 11 y Sarbanes-Oxley. Esa página de resumen no nombra ningún plan ni un proceso de BAA; pregunte a su contacto de DocuSign por las condiciones de su plan.

Hay que reconocerlo: Adobe y Dropbox publican las condiciones de su BAA, y eso hace predecible el papeleo. En ambos, el BAA va con planes de pago para empresas; un plan gratuito suele dar la firma sin el contrato. El equivalente europeo del BAA es el contrato de encargado del art. 28 del RGPD. Pídalo por escrito a cada proveedor.

Si una firma de DocuSign resiste en un litigio es otra cuestión, de prueba: ¿Es vinculante una firma de DocuSign?

La validez es la mitad fácil. En actos mercantiles en México, el Código de Comercio no niega efectos jurídicos a la información por estar en un mensaje de datos (art. 89 bis) y da por cumplida la firma con una firma electrónica apropiada para el fin del mensaje (art. 97). La NOM-004 remite a la ley aplicable y no impone un tipo de firma (punto 5.10). En España, el art. 25.1 de eIDAS impide negar efectos a una firma por ser electrónica, y la Ley 6/2020 remite la prueba de los documentos electrónicos al art. 326 de la LEC (art. 3). Enviar formularios a firmar en línea es rutina en las consultas.

Los dos países ponen un suelo de cinco años. En México, la NOM-004 manda conservar el expediente clínico un mínimo de cinco años desde el último acto médico (punto 5.4). En España, el art. 17.1 de la Ley 41/2002 obliga a los centros a conservar la documentación clínica al menos cinco años desde el alta de cada proceso asistencial; son mínimos, y otras normas pueden alargarlos. Sus formularios firmados y su registro de auditoría forman parte del expediente, así que cuente con que tienen que durar lo mismo. Nuestro desglose de los plazos de conservación de documentos en Estados Unidos sirve de comparación para ver cómo se apilan estos relojes.

Lo que más se olvida es la salida. Según el art. 28.3.g del RGPD, el encargado suprime o devuelve los datos al terminar el contrato. Bien para la privacidad, incómodo para usted: los originales firmados y sus registros de auditoría tienen que sobrevivir a la suscripción. Exporte con un calendario y no en la última semana de un contrato que ya canceló. Una exportación trimestral cuesta una tarde; saltársela puede costar un mes muy malo.

Preferimos que nos elija sabiendo los límites a que los descubra en una auditoría. Esto es lo que Chaindoc aporta a un proceso con datos de salud, más o menos en el orden en que pregunta un revisor:

• Certificación. Chaindoc cuenta con ISO 27001 para la gestión de la seguridad de la información e ISO 9001 para la gestión de la calidad. La auditoría ISO 27001 es nuestra única auditoría externa.
• Transporte. Los documentos y los enlaces de firma viajan por TLS.
• Cifrado, sin rodeos. No hay cifrado de extremo a extremo. Nuestros servidores leen los archivos para convertirlos, analizarlos y firmarlos; lo que ciframos son las claves privadas de firma, con AES-256. Si su análisis de riesgos exige un almacenamiento de conocimiento cero, Chaindoc no es esa herramienta.
• Acceso por rol: roles para cada miembro del equipo mantienen los cuestionarios de ingreso en recepción y las facturas en administración.
• Comprobación del firmante. Un paso de verificación de identidad opcional para los formularios que lo necesiten, nunca una parte obligatoria de la firma.
• Orden de firma. Una solicitud normal invita a todos los firmantes a la vez; un orden fijo llega con las rutas de aprobación del plan Business.
• En la cadena de bloques, y solo esto. Al publicar un documento, la huella de esa versión se registra en una cadena de bloques. Cuando cada firmante termina, se registra su prueba. El archivo, su contenido y la identidad de los firmantes quedan fuera de la cadena, y la cadena no guarda quién vio un documento.
• Lo que no es. Chaindoc no es un sistema de expediente clínico electrónico ni lo sustituye: guarda el documento firmado que usted lleva a su expediente.

Lo que no hacemos es decir que Chaindoc "cumple" el RGPD, la NOM-024 o HIPAA. Ninguna herramienta puede hacerlo, y cómo le afectan esas normas depende de su papel. Si es responsable del tratamiento, aclare con nosotros por escrito el contrato de encargado, el aviso de privacidad y los subencargados antes de subir datos de pacientes, como con cualquier proveedor. Un hábito útil en cualquier sitio: nombre los documentos por tipo de formulario, no por paciente.

Ni la NOM-004 ni la Ley 41/2002 valen fuera de sus fronteras. Las reglas de otros países persiguen el mismo fin con otros nombres, y cómo tratan eIDAS y el RGPD las firmas lo explica nuestro artículo sobre eIDAS, RGPD y NIST en la firma digital.

Estados Unidos. HIPAA es una ley federal que solo alcanza a las "covered entities" (planes de salud, centros de intercambio y proveedores que facturan por vía electrónica) y a sus "business associates". No existe certificación para un software; la autoridad competente no certifica productos. El BAA corresponde al contrato de encargado, y la información de salud protegida allí se llama PHI. Las orientaciones del HHS sobre HIPAA y la nube explican por qué incluso un servicio que solo guarda datos cifrados puede ser business associate. Quien busca "hipaa" desde México o España suele querer saber si aplica en su país: no, aquí mandan la LFPDPPP, la NOM-004 y el RGPD.

Brasil. La LGPD trata los datos de salud como sensibles (art. 5, II). El art. 11 permite tratarlos con consentimiento específico y destacado, o para la tutela de la salud por profesionales sanitarios. Límite estricto: las recetas electrónicas de medicamentos de control especial y los certificados médicos necesitan una firma cualificada de ICP-Brasil (Lei 14.063/2020, art. 13).

Francia y Alemania. Aplican el mismo art. 9 del RGPD con reglas propias: Francia exige un alojamiento certificado (HDS) a quien guarda datos de salud para los profesionales que los recogen, y Alemania obliga a entregar al paciente copia de los documentos de información y consentimiento que firma (§ 630e BGB).

Repase esto antes de que su primer paciente reciba un enlace.

1. 1.
   Decida su papel: responsable, encargado o paciente, y qué norma clínica le aplica (NOM-004, Ley 41/2002 o ambas). Anótelo con el motivo.
2. 2.
   Enumere cada formulario que enviará y la norma detrás de su firma, con ayuda de la tabla de arriba.
3. 3.
   Incluya el servicio de firma en su registro de actividades de tratamiento o en su inventario de datos, como cualquier sistema con datos de salud.
4. 4.
   Obtenga el contrato de encargado contrafirmado para el plan exacto que usará. Solo entonces suba datos reales.
5. 5.
   Dé a cada miembro del personal su propia cuenta y el rol más estrecho que funcione.
6. 6.
   Elija una comprobación del firmante por formulario: un enlace por correo para los acuses de recibo, algo más fuerte para consentimientos con cesión de datos.
7. 7.
   Asegúrese de que los pacientes reciban automáticamente copia de lo que firman.
8. 8.
   Programe exportaciones de los formularios firmados y sus registros de auditoría, y consérvelos al menos cinco años, o más si otra norma lo exige.

Estos ocho pasos son lo que significa en la práctica un consentimiento informado digital que aguanta una revisión, sea cual sea el proveedor. Si se salta el paso 4, ninguna promesa comercial lo salvará.