Expediente clínico en consulta privada: qué pide la NOM-004 y qué cambió con la nueva ley de datos

Si das consulta en un consultorio propio o por horas, el expediente clínico es tu responsabilidad, aunque el espacio sea rentado. La norma que lo regula es la NOM-004-SSA3-2012, y desde marzo de 2025 hay además una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Aquí está lo esencial, con la fuente de cada punto.

Quién está obligado y de quién es el expediente

La NOM-004 obliga a todos los prestadores de servicios de atención médica, públicos, sociales o privados, a integrar y conservar un expediente por paciente (numeral 5.1). Y aclara algo que suele confundirse: el expediente es propiedad del prestador o la institución que lo genera; el paciente tiene derechos de titularidad sobre la información, pero no es “dueño” del documento (numeral 5.4).

En la práctica, el paciente no se lleva el expediente original: puede pedir por escrito un resumen clínico u otras constancias (numeral 5.6), además de ejercer sus derechos de acceso como titular de datos personales.

Qué debe contener

Historia clínica (numeral 6.1):

• Ficha de identificación y antecedentes heredofamiliares y personales, incluido el consumo de tabaco, alcohol y otras sustancias.
• Padecimiento actual e interrogatorio por aparatos y sistemas.
• Exploración física con signos vitales, peso y talla.
• Resultados de estudios previos y actuales.
• Diagnósticos o problemas clínicos, pronóstico e indicación terapéutica.

Nota de evolución en cada consulta (numeral 6.2): evolución del cuadro, signos vitales cuando se requieran, resultados relevantes, diagnóstico, pronóstico y tratamiento. Si recetas, anota dosis, vía y periodicidad.

Reglas de forma (numerales 5.10 y 5.11): cada nota lleva fecha, hora, nombre completo y firma (autógrafa, electrónica o digital) de quien la elabora. Se escribe sin abreviaturas, legible y sin tachaduras ni enmendaduras.

Consentimiento informado (numeral 10.1): es obligatorio, entre otros casos, en cirugía mayor, procedimientos con anestesia general o regional y procedimientos diagnósticos o terapéuticos de alto riesgo. Debe incluir el acto autorizado, riesgos y beneficios esperados, firmas del paciente y del médico y de dos testigos.

Si eres odontólogo, la NOM-013-SSA2-2015 va más allá: todo paciente debe tener expediente y carta de consentimiento informado, no solo en los supuestos de alto riesgo.

Cuánto tiempo se guarda

Mínimo 5 años contados desde el último acto médico (NOM-004, numeral 5.4; la NOM-013 lo repite para odontología contando desde la última consulta). Es un mínimo: la norma no ordena destruirlo al cumplirse el plazo.

¿Es obligatorio el expediente electrónico?

No. La NOM-004 permite de manera optativa integrarlo por medios electrónicos (numeral 5.12). Lo que sí ocurre es que, si adoptas un sistema electrónico, entra la NOM-024-SSA3-2012, que pide a esos sistemas, entre otras cosas:

• Confidencialidad de la identidad del paciente e integridad de la información.
• Autenticación de usuarios (como mínimo usuario y contraseña) y permisos por rol.
• Trazabilidad: saber quién registró o cambió qué y cuándo.
• Uso de la CURP como identificador del paciente.
• Posibilidad de firma electrónica avanzada del profesional.

Antes de contratar un software de expediente, vale la pena preguntar al proveedor cómo cumple con estos puntos.

Lo que cambió con la ley de datos personales de 2025

El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la de 2010 y entró en vigor al día siguiente. Puntos que tocan directamente a un consultorio:

• Los datos de salud son datos sensibles (artículo 2). Para tratarlos se necesita, por regla general, consentimiento expreso y por escrito (artículo 8), con excepciones como la atención médica cuando el paciente no puede otorgarlo y quien lo atiende está sujeto a secreto profesional (artículo 9).
• Aviso de privacidad desde que recabas los datos, que identifique cuáles son sensibles y cómo ejercer los derechos de acceso, rectificación, cancelación y oposición (artículos 15 y 16).
• Medidas de seguridad administrativas, técnicas y físicas, aviso al paciente si hay una vulneración relevante y deber de confidencialidad que continúa aunque termine la relación (artículos 18 a 20).
• El paciente puede pedir la cancelación de sus datos, pero no procede cuando la ley obliga a conservarlos, como los 5 años de la NOM-004 (artículo 25).
• La autoridad ya no es el INAI, que desapareció: ahora es la Secretaría Anticorrupción y Buen Gobierno. Las multas con datos sensibles pueden duplicarse (artículo 59).

Si tu aviso de privacidad todavía cita la ley de 2010 o al INAI, conviene actualizarlo.

Lista rápida para revisar tu práctica

1. ¿Cada paciente tiene historia clínica completa y nota por consulta, con fecha, hora y firma?
2. ¿Usas cartas de consentimiento con riesgos y beneficios, y testigos cuando aplica?
3. ¿Guardas los expedientes al menos 5 años desde la última atención, en un lugar con acceso controlado?
4. ¿Tu aviso de privacidad menciona los datos sensibles y la ley vigente de 2025?
5. Si usas software, ¿tiene usuarios individuales, permisos y registro de cambios?

Si estás armando tu consulta privada, revisa también qué necesitas para abrir consulta en CDMX, el aviso de funcionamiento ante COFEPRIS y el manejo de RPBI. Y si buscas dónde atender, conoce nuestros consultorios por hora en CDMX.

Agenda tu recorrido por WhatsApp o reserva tu visita en línea.

Contenido informativo, revisado con los textos oficiales del DOF y de la Cámara de Diputados al 19 de octubre de 2026; no sustituye la asesoría legal. Imagen ilustrativa.