NOM 004 y Ley 41/2002: cuánto conservar el expediente clínico, quién lo consulta y qué hacer ante una brecha

La mayoría de los textos sobre seguridad de datos en salud terminan en el cortafuegos y la formación contra el phishing. Las preguntas que llegan a quien dirige un consultorio son más concretas: ¿cuánto tiempo guardamos este expediente?, ¿quién lo abrió el martes?, ¿hay que avisar de que se perdió un equipo portátil? Y ¿en cuántos días debe recibir el paciente su copia?

Esta guía responde a esas cuatro preguntas para México y España (lo que en México es el expediente clínico, en España es la historia clínica; aquí usamos expediente clínico para los dos). En México, la NOM-004-SSA3-2012 fija qué contiene el expediente clínico, quién puede verlo y cuánto tiempo se conserva; en España lo hace la Ley 41/2002, y el RGPD aporta la seguridad (art. 32) y las brechas (arts. 33 y 34). En adelante la llamamos NOM 004, como la buscan los lectores. Las reglas estadounidenses de HIPAA sirven de comparación, no de modelo.

La trampa: estas reglas acompañan al expediente toda su vida. Un formulario firmado en 2026 puede seguir siendo responsabilidad suya en 2031 y después.

Para firmar formularios de pacientes a distancia hay otra guía: cómo firmar formularios de pacientes en línea. En la página de Chaindoc para salud están los documentos que las clínicas envían con nosotros.

En Estados Unidos, buena parte de la seguridad pasa por un solo reglamento, y las cifras de arriba muestran dónde se pone a prueba: cuatro de cada cinco brechas grandes fueron piratería o incidentes informáticos, casi siempre en un servidor de red. En México y España las exigencias se reparten entre varios textos, pero para expedientes almacenados preguntan lo mismo: ¿quién llega al servidor?, ¿se daría cuenta? y ¿podría restaurarlo?

En México, la NOM 004 trata la seguridad desde la confidencialidad: todo el personal maneja el expediente con discreción (sección 5.7) y a terceros solo se entrega con solicitud escrita del paciente (5.5.1). La LFPDPPP añade, para particulares, medidas de seguridad administrativas, técnicas y físicas atendiendo a la sensibilidad de los datos (art. 18); las instituciones públicas tienen su propio régimen. En España, el artículo 32 del RGPD pide medidas adecuadas al riesgo y el artículo 17.6 de la Ley 41/2002 remite a las medidas técnicas de la normativa de protección de datos. El Esquema Nacional de Seguridad (Real Decreto 311/2022) obliga al sector público y a quien le presta servicios por contrato; un consultorio privado queda fuera salvo que trabaje para la administración.

NOM 004 y seguridad del expediente clínico: requisitos para los datos almacenados

• Acceso limitado a la función (Ley 41/2002, art. 16; NOM 004, 5.7): cada persona entra solo a lo que necesita, con su propio usuario, y el acceso termina el día que se va.
• Cifrado y seudonimización, ejemplos del artículo 32.1.a del RGPD. Si renuncia a ellos, deje por escrito qué protege en su lugar.
• Restauración (32.1.c): recuperar la disponibilidad de los datos con rapidez tras un incidente físico o técnico.
• Un proceso de prueba y evaluación regulares de la eficacia de las medidas (32.1.d).
• Un deber de secreto que alcanza a quien accede a la historia clínica (Ley 41/2002, art. 16.6).

Todo esto se documenta: el artículo 5.2 del RGPD le exige poder demostrar que cumple.

Siendo sinceros, la restauración es la línea que más subestiman los consultorios. Una copia de seguridad de la que nunca ha recuperado nada es una esperanza, no un plan.

Quien busca la conservación del expediente clínico en México o en España encuentra la misma cifra: cinco años. En México la fija la sección 5.4 de la NOM 004: los expedientes se conservan por un periodo mínimo de 5 años, contados a partir de la fecha del último acto médico. En España, el artículo 17.1 de la Ley 41/2002 pide conservar la documentación clínica al menos cinco años desde la fecha del alta de cada proceso asistencial, en condiciones que garanticen su mantenimiento y seguridad, aunque no necesariamente en el soporte original.

Pero es un mínimo, y varias cosas lo alargan. La propia ley española añade que la documentación se conserva también a efectos judiciales (art. 17.2). Algunas comunidades autónomas fijan plazos mayores para parte de la documentación: la Ley 21/2000 de Cataluña, por ejemplo, exige conservar al menos quince años desde el alta ciertos documentos (art. 12). En México, la NOM 004 dice que el expediente es propiedad de la institución o del prestador que lo genera (5.4), y eso no lo libera de custodiarlo bien mientras lo tenga. Un expediente destruido el día en que vence el mínimo no sirve para defenderse si la reclamación llega al año siguiente.

Varios relojes corren a la vez: el mínimo legal, los plazos autonómicos, los procedimientos en curso y lo que le pida su aseguradora de responsabilidad civil. Gana el más largo. Nuestro análisis de cómo ordenar varios plazos en un solo calendario muestra cómo reunirlos.

La conservación es la parte de la seguridad que se olvida, porque el día del error no se rompe nada. Una costumbre que se puede copiar de los hospitales grandes: anotar la fecha de destrucción el día en que se abre el expediente. Lo que dentro de cinco años sería una decisión pasa a ser una línea en una tabla.

Aquí es donde la seguridad se vuelve demostrable. Las normas piden que el acceso quede limitado a lo que cada persona necesita (en España, los profesionales asistenciales acceden por su labor y el personal de administración solo a los datos de su función, art. 16 de la Ley 41/2002) y que quien accede guarde secreto. En México, la LFPDPPP pide controles para que todos los que intervienen en el tratamiento guarden confidencialidad (art. 20). Ninguna enumera los campos de un registro; construirlo le toca a usted. Un registro que nadie mira solo prueba que existe, y el artículo 32.1.d del RGPD pide también comprobar la eficacia de las medidas.

Qué anota un registro de acceso útil

Imagine que un paciente pregunta: «¿Quién miró mi expediente?». Cada entrada necesita:

1. 1.
   La persona, con su propio usuario. Las cuentas compartidas lo hacen imposible.
2. 2.
   El expediente al que accedió.
3. 3.
   Qué hizo: abrir, modificar, exportar, imprimir o borrar.
4. 4.
   Cuándo, al minuto.
5. 5.
   Desde dónde, y si funcionó. Los intentos fallidos suelen ser los interesantes.

La integridad es la otra mitad. La NOM 004 (5.10) exige que cada nota lleve fecha, hora y nombre completo de quien la elabora, con su firma (autógrafa, electrónica o digital), y la Ley 41/2002 (art. 14.3) encarga a las administraciones sanitarias garantizar la autenticidad del contenido y de los cambios. Alemania es más tajante: el § 630f BGB solo permite corregir si siguen visibles el contenido original y la fecha del cambio, también en el expediente electrónico. Es buena regla aunque nadie la imponga. Nuestra guía sobre qué debe anotar un historial de accesos defendible recorre cada campo.

Cuánto tiempo guardar los registros de acceso

Ni el artículo 32 del RGPD ni la Ley 41/2002 dan una cifra para los registros. Nuestra opinión: guárdelos mientras un paciente pueda pedir cuentas o reclamar, porque un registro borrado no dirá quién abrió un expediente. Pero los registros contienen datos personales de sus propios empleados. Fije el plazo por escrito, justifíquelo y después borre.

Cuando la seguridad falla, el RGPD y la LFPDPPP deciden lo que pasa después, y los plazos no se parecen. El punto de partida es la violación de la seguridad de los datos personales: su destrucción, pérdida, alteración o comunicación no autorizada. El equipo portátil olvidado en un taxi, el informe enviado al destinatario equivocado, el ransomware en el servidor del consultorio. Con datos de salud, la valoración rara vez se inclina por «sin riesgo».

España. Se notifica a la AEPD «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella» (art. 33.1 del RGPD), salvo que sea improbable que suponga un riesgo para las personas. Si tarda más, explique los motivos. La notificación describe la violación (categorías y número aproximado de afectados), el punto de contacto, las consecuencias probables y las medidas adoptadas, y puede completarse por fases.

Los pacientes (España). Si el riesgo es alto, debe comunicárselo sin dilación indebida y en lenguaje claro y sencillo (art. 34.1). No hace falta si los datos eran ininteligibles para terceros, por ejemplo por el cifrado, si medidas posteriores eliminaron el alto riesgo o si supondría un esfuerzo desproporcionado; entonces basta una comunicación pública.

México. La LFPDPPP no habla de horas. Su artículo 19 dice que las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento y que afecten de forma significativa los derechos patrimoniales o morales de los titulares deben informarse a estos de forma inmediata, para que puedan tomar medidas en defensa de sus derechos.

Su proveedor. El encargado del tratamiento que detecte una violación se la notifica a usted sin dilación indebida (art. 33.2 del RGPD).

El registro. Documente toda violación, incluso las que no notifique (art. 33.5), con los hechos relacionados: así la autoridad puede comprobar que cumplió el artículo 33. La carga de la prueba es suya; lleve este expediente con el mismo cuidado que los clínicos.

Como referencia, HIPAA deja hasta 60 días, según el resumen de la Breach Notification Rule del HHS. Setenta y dos horas son unas veinte veces menos.

Un paciente que pide su propio expediente también es un asunto de seguridad, pero amable. Usted comprueba quién pregunta, localiza todo y lo entrega sin revelar datos de terceros.

En España, el artículo 18.1 de la Ley 41/2002 reconoce al paciente el derecho de acceso a la historia clínica y a obtener copia de los datos que figuran en ella; los centros regulan el procedimiento. La ley no fija un plazo en días ni el coste de las copias. El artículo 15.3 del RGPD aporta lo que falta: la primera copia es gratuita. También puede pedirla un representante acreditado (18.2), y el derecho no puede ejercerse en perjuicio de la confidencialidad de terceros (18.3).

En México, la NOM 004 pide que el resumen clínico u otras constancias del expediente se soliciten por escrito (5.6) y solo permite entregar el expediente a terceros con solicitud escrita del paciente (5.5.1). Para los datos personales en general, la LFPDPPP da 20 días para responder a una solicitud ARCO, ampliables una vez por un periodo igual (art. 31), y el ejercicio es gratuito: solo pueden cobrarse los costos de reproducción, copias o envío (art. 34). HIPAA concede 30 días; Francia, ocho.

Lo que vuelve indolora una solicitud es saber dónde está cada parte del expediente y poder exportarla sin volver a teclear.

Las unidades compartidas son donde la gestión documental clínica se tuerce sin ruido: un volante escaneado en una carpeta personal, un enlace configurado como «cualquiera con el enlace». Antes de subir datos de salud a una nube, compruebe tres cosas.

Primero, el contrato. En la UE es el de encargado del tratamiento del artículo 28 del RGPD; exigirlo es obligación suya como responsable, y aquí no afirmamos qué ofrecen Google o Dropbox en sus contratos. En México, la LFPDPPP define a la persona encargada como quien trata datos por cuenta del responsable (art. 2) y deja en el responsable las medidas de seguridad (art. 18): pida a su proveedor por escrito qué medidas aplica. Segundo, el secreto: el artículo 16.6 de la Ley 41/2002 y la sección 5.5.1 de la NOM 004 alcanzan a quien vea un expediente, también a un proveedor técnico. Tercero, la configuración: enlaces, permisos y aplicaciones conectadas.

Esto decían las páginas de ayuda de los proveedores el 14 de octubre de 2026. Tratan de HIPAA, no del RGPD ni de la LFPDPPP.

Dropbox. Los administradores de ciertos planes de equipo (Standard, Advanced, Enterprise y Education figuran entre los citados) pueden firmar electrónicamente un business associate agreement (BAA) desde la consola de administración. Vale solo para clientes con sede en Estados Unidos, y las aplicaciones de terceros conectadas a Dropbox no quedan cubiertas.

Google Drive. Los administradores deben revisar y aceptar un BAA en la consola antes de usar información de salud protegida en los servicios de Google; sin él, no deben usarla en Workspace ni en Cloud Identity. Qué servicios cubre el BAA figura en una lista aparte de Google, así que compruebe que Drive esté en ella para su edición. La página habla solo de clientes de Workspace y Cloud Identity.

Justo es decirlo: ambos convierten el contrato en un paso que el administrador da por su cuenta, no en una reunión comercial. El criterio se traslada. Ningún producto es apto por sí mismo; una cuenta lo es cuando el contrato está firmado, los permisos cerrados y las aplicaciones conectadas revisadas. El equivalente del BAA en la UE es el contrato del artículo 28 del RGPD. Pídalo antes de subir nada.

Chaindoc cubre una parte de la seguridad de datos en salud: los documentos que necesitan firma, es decir, consentimientos, formularios de admisión, acuerdos de derivación y contratos de personal y proveedores. No es un expediente clínico electrónico ni un sistema de los que regula la NOM-024-SSA3-2012, y no debería ser el único lugar donde existe un expediente: los documentos firmados van al expediente, no al revés. Qué aporta para los documentos que guarda:

• Certificación. ISO 27001 para la gestión de la seguridad de la información e ISO 9001 para la gestión de la calidad; la auditoría de certificación ISO 27001 es nuestra única auditoría externa.
• Transporte por TLS, y sin cifrado de extremo a extremo. Nuestros servidores leen los archivos para convertirlos, analizarlos y firmarlos; solo las claves privadas de firma están cifradas, con AES-256. Si su análisis de riesgos exige un proveedor que no pueda leer los archivos almacenados, ese no somos nosotros.
• Quién puede abrir qué. Los roles en espacios de trabajo de equipo mantienen los formularios de admisión en recepción y las facturas en administración.
• Un registro de firma por documento, exportable en PDF para su propio archivo.
• En la cadena de bloques, y solo esto. La huella de una versión del documento cuando la publica y la prueba de cada firmante cuando termina. Los archivos, los contenidos, las identidades y las consultas no van a la cadena.
• Verificación de identidad de los firmantes, opcional y nunca un paso obligatorio.

Los archivos viven en la biblioteca propia de Chaindoc, sin conexión con su Drive ni con S3: su calendario de conservación necesita un paso de exportación. Prevéalo ahora, no la última semana de un contrato.

Lo que no haremos: llamar a Chaindoc «conforme al RGPD» ni «conforme a la NOM 004». Lo que la ley le exige a usted depende de su papel y de sus contratos. Antes de subir el primer expediente, pídanos por escrito el contrato de encargado del tratamiento y las condiciones de seguridad que aplica Chaindoc.

Fuera de estos dos países, las mismas preguntas llegan con otros plazos. En Estados Unidos rige HIPAA, con hasta 60 días para notificar. Alemania aplica el mismo artículo 33 del RGPD y guarda el expediente diez años (§ 630f BGB); Francia, veinte años en hospitales y clínicas (art. R1112-7 del Code de la santé publique). En Brasil, la LGPD exige medidas de seguridad (art. 46) y comunicar los incidentes a la ANPD (art. 48), y el prontuário se guarda 20 años. Los mínimos de cada país están en la tabla de arriba.

¿Poco tiempo este trimestre? Gástelo donde apuntan las cifras de 2024.

1. 1.
   Primero, los accesos. Cuatro de cada cinco brechas grandes en los datos de EE. UU. fueron piratería o incidentes informáticos. Un usuario por persona, accesos que terminan el día de la baja y autenticación multifactor donde sus sistemas la ofrezcan.
2. 2.
   Copias de seguridad de las que ya haya restaurado algo, fuera del alcance de un atacante dentro de su red.
3. 3.
   Una revisión de registros con nombre y apellido: quién lee los registros de acceso, cada cuánto y adónde van las notas.
4. 4.
   Un calendario de conservación que liste cada plazo (NOM 004, Ley 41/2002, plazos autonómicos, procedimientos abiertos) y la fecha en que cada expediente puede salir.
5. 5.
   Un expediente de crisis antes de la crisis: la plantilla de valoración del riesgo, un borrador de carta a los pacientes y los pasos de notificación ante la AEPD.
6. 6.
   Un procedimiento de solicitudes de acceso que encuentre todo de un paciente y lo exporte en un formato que pueda abrir.

Nada de esto requiere software nuevo. Requiere a una persona con tiempo y autoridad. Eso es la NOM 004 y la seguridad de datos en el día a día: tareas poco vistosas, hechas a tiempo, por escrito y repetibles cuando pregunta una autoridad o un paciente.