Un paciente termina la consulta y pregunta: “Doctor, ¿me puede entregar todo mi expediente?” En recepción responden que el archivo pertenece al consultorio. El paciente insiste: la información es sobre su salud, así que considera que es suya.
La discusión parece sencilla hasta que hay que decidir qué entregar, en qué formato, dentro de qué plazo y quién conserva el expediente fuente. La confusión aumenta cuando la solicitud llega por WhatsApp, la presenta un familiar o se refiere a una nota que el paciente quiere corregir.
Entonces, ¿el expediente clínico de quién es? La NOM-004 distingue dos elementos: el expediente pertenece a la institución o al prestador independiente que lo genera, mientras que el paciente tiene derechos de titularidad sobre la información que aportó y la relacionada con su atención.
El numeral 5.4 separa la propiedad del expediente de los derechos sobre la información
El numeral 5.4 de la NOM-004-SSA3-2012, Del expediente clínico, establece que los expedientes son propiedad de la institución o del prestador de servicios médicos que los genera cuando este no depende de una institución.
En un consultorio individual, esto normalmente coloca la propiedad documental en el médico que presta el servicio. En una clínica o grupo médico, debes identificar qué persona física o moral actúa como prestador, genera el expediente y tiene asignada su custodia. No basta con asumir que pertenece al profesional que elaboró una nota aislada.
El mismo numeral 5.4 añade la contraparte: el paciente, como aportante de la información y beneficiario de la atención, tiene derechos de titularidad sobre esa información para proteger su salud y la confidencialidad de sus datos.
El prestador custodia el expediente, pero la propiedad documental no borra los derechos del paciente sobre su información.
La diferencia evita dos errores frecuentes. El primero es desprenderse de la carpeta única o eliminar el registro electrónico fuente después de entregar una reproducción. El segundo es negar toda información con el argumento de que “el expediente es del consultorio”.
Para revisar cómo se integra cada tipo de nota, puedes consultar la guía práctica de la NOM-004 para el expediente clínico.
La conservación mínima de cinco años también está en el numeral 5.4
El propio numeral 5.4 dispone que el expediente debe conservarse durante un periodo mínimo de cinco años, contados a partir de la fecha del último acto médico. El punto de partida no es la apertura de la carpeta, la primera consulta ni la fecha de alta administrativa.
Si el paciente regresa y se realiza un nuevo acto médico documentado, la referencia temporal cambia. Por eso conviene que el consultorio pueda identificar con claridad la fecha de la última atención y no dependa de carpetas mezcladas, nombres duplicados o archivos guardados en distintas computadoras.
La obligación de conservar tampoco desaparece porque el paciente cambie de médico o solicite acceso a su información. Puedes entregar copias, documentos electrónicos, resúmenes o constancias según la vía aplicable, pero debes mantener bajo custodia el expediente fuente durante el plazo correspondiente.
En papel, el expediente fuente suele ser la carpeta que integra las notas y documentos conservados por el prestador. En un sistema electrónico no siempre existe un “original” único comparable con una hoja firmada: existe un registro fuente bajo custodia, del cual pueden generarse reproducciones, exportaciones o PDF.
La NOM-004 no obliga por sí sola a entregar siempre una copia íntegra
El numeral 5.6 de la NOM-004 contempla que los profesionales proporcionen información verbal al paciente y a las demás personas legitimadas que señala la norma. Cuando se requiera un resumen clínico u otras constancias del expediente, la solicitud debe presentarse por escrito.
Esto no equivale a una regla automática según la cual toda petición obliga, únicamente por la NOM-004, a entregar una reproducción íntegra e indiscriminada del expediente. Primero debes identificar qué se solicita: una explicación verbal, un resumen clínico, una constancia específica o acceso a datos personales mediante derechos ARCO.
El resumen clínico y la copia del expediente no son lo mismo
Un resumen clínico sintetiza información relevante de la atención conforme a su finalidad. Una constancia acredita un hecho o dato concreto. Una copia o exportación reproduce una parte o la totalidad de los registros seleccionados.
Antes de responder, confirma el alcance con el solicitante. Frases como “quiero mi expediente” pueden referirse a documentos para continuar la atención con otro médico, presentar un informe a una aseguradora o conocer todas las notas conservadas. Aclarar el propósito no elimina el derecho correspondiente, pero ayuda a evitar entregas incompletas o excesivas.
También debes revisar si el expediente contiene datos de terceros que requieran protección. Entregar información clínica no significa divulgar sin filtro teléfonos, identificaciones, referencias familiares u otros datos ajenos a la solicitud.
Los derechos ARCO tienen requisitos y plazos concretos
Además de la NOM-004, un consultorio privado debe considerar la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente. Sus artículos 28 a 35 regulan los derechos de acceso, rectificación, cancelación y oposición, así como el trámite que debe seguir el responsable.
Qué debe contener la solicitud
Conforme al artículo 29, la solicitud debe incluir el nombre del titular y un domicilio u otro medio para comunicar la respuesta; los documentos que acrediten su identidad o, en su caso, la representación legal; una descripción clara y precisa de los datos respecto de los cuales se ejercerá el derecho; y cualquier elemento que facilite su localización.
Si se pide rectificación, el artículo 31 exige indicar las modificaciones solicitadas y aportar la documentación que sustente la petición. Un familiar no se convierte automáticamente en representante por conocer al paciente o acompañarlo a consulta: debe acreditarse la representación que corresponda.
Cuánto tiempo tienes para responder
El artículo 32 dispone que el responsable debe comunicar la determinación adoptada dentro de los veinte días siguientes a la recepción de la solicitud. Si resulta procedente, debe hacerla efectiva dentro de los quince días siguientes a la comunicación de la respuesta.
Ambos plazos pueden ampliarse una sola vez por un periodo igual, siempre que las circunstancias lo justifiquen. Por eso conviene registrar la fecha de recepción, cualquier requerimiento de identificación, la decisión adoptada, la fecha de respuesta y la evidencia de entrega.
Cómo puede darse el acceso
El artículo 33 señala que la obligación de acceso se cumple cuando los datos se ponen a disposición del titular o se reproducen mediante copias simples, documentos electrónicos u otro medio previsto. La modalidad debe ser segura, comprensible y adecuada al volumen y naturaleza de la información.
En un expediente electrónico, la reproducción entregada no sustituye ni elimina el registro fuente. MyDoctorDiary permite generar el PDF del expediente completo y exportar pacientes, mientras el consultorio conserva la información bajo su custodia. Esta función puede facilitar la atención de una solicitud, pero la identidad, legitimación y alcance deben revisarse antes de descargar o enviar archivos.
Cuándo puede negarse total o parcialmente
El artículo 34 contempla causas específicas: que quien solicita no sea el titular o no acredite representación; que los datos no se encuentren en las bases del responsable; que se lesionen derechos de un tercero; que exista un impedimento legal o una resolución de autoridad competente; o que la rectificación, cancelación u oposición ya se haya realizado.
La negativa no debe ser genérica. Tiene que comunicarse dentro del plazo aplicable, expresar su motivo y acompañarse de los elementos que correspondan. Si solo una parte resulta improcedente, analiza si es posible atender el resto sin exponer datos de terceros.
La propiedad no autoriza a negar el acceso ni a alterar notas sin trazabilidad
Que el prestador sea propietario del expediente no le permite borrar una nota para resolver una inconformidad ni sustituir silenciosamente lo documentado. Tampoco significa que toda petición de rectificación obligue a reescribir el criterio clínico asentado durante la atención.
La NOM-004 exige que las notas incluyan fecha, hora, nombre completo y firma de quien las elabora, y que se redacten de forma legible, sin abreviaturas, enmendaduras ni tachaduras. Estas son exigencias documentales de la norma.
La conservación de un historial visible de ediciones en sistemas electrónicos es una medida operativa para proteger el contexto y demostrar qué ocurrió, pero no debe presentarse como una frase textual de la NOM-004. Es importante separar la obligación normativa de la buena práctica tecnológica.
Si necesitas corregir un dato administrativo o agregar una aclaración, evita hacer desaparecer la versión previa. Identifica qué cambió, quién realizó el ajuste y cuándo. En MyDoctorDiary, las ediciones de notas dejan una traza visible con autor y fecha, que también aparece en el PDF.
Para revisar otros problemas de documentación, consulta estos errores comunes en el expediente clínico.
Las solicitudes de autoridades requieren una revisión distinta
El numeral 5.6 de la NOM-004 identifica como autoridades competentes para solicitar expedientes a las autoridades judiciales, los órganos de procuración de justicia y las autoridades administrativas.
Esto no significa que cualquier oficio de una dependencia autorice la entrega total. Antes de responder, valida la identidad de la autoridad, su competencia, las atribuciones invocadas, el fundamento del requerimiento, el expediente o procedimiento relacionado y el alcance exacto de la información solicitada.
Conserva el oficio, la constancia de recepción, la documentación entregada y el medio utilizado. Si el requerimiento es ambiguo o excede lo que parece necesario, conviene obtener asesoría jurídica antes de divulgar datos clínicos.
Pasos para responder una solicitud sin perder control del expediente
- Registra la recepción. Anota fecha, medio, persona solicitante y derecho o documento pedido.
- Verifica identidad y representación. No entregues información clínica únicamente porque el mensaje provenga de un teléfono conocido.
- Define la vía aplicable. Distingue entre información verbal, resumen clínico, constancia, solicitud ARCO o requerimiento de autoridad.
- Delimita el alcance. Identifica fechas, notas, estudios y datos solicitados, además de posibles datos de terceros.
- Controla los plazos. Para derechos ARCO, registra los veinte días para comunicar la determinación y, si procede, los quince días para hacerla efectiva.
- Entrega una reproducción segura. Usa copia, PDF, documento electrónico o el medio aplicable sin desprenderte del expediente fuente.
- Documenta la respuesta. Conserva la decisión, los archivos entregados, la fecha, el destinatario y la evidencia de recepción.
- Mantén trazabilidad. Si corriges o aclaras información, conserva el contexto, autor y fecha del cambio.
