¿El expediente clínico pertenece al médico, al paciente o al establecimiento?

“¿De quién es?” mezcla tres preguntas distintas

Cuando alguien pregunta a quién pertenece el expediente clínico, puede estar hablando de:

• quién conserva el documento o sistema;
• quién es responsable de integrarlo;
• quién tiene derechos sobre los datos.

NOM-004 separa esas ideas.

Propiedad del expediente

El numeral 5.4 de NOM-004 establece que los expedientes clínicos son propiedad de la institución o del prestador de servicios médicos que los genera cuando este no depende de una institución.

Eso no convierte la información clínica del paciente en un activo que pueda utilizarse libremente.

La misma norma reconoce que el paciente, como aportante de información y beneficiario de la atención, tiene derechos de titularidad sobre la información para proteger su salud y la confidencialidad de sus datos.

Por eso es incorrecto resumir la norma como:

“El expediente es del médico, así que los datos son del médico.”

Y también es incompleto decir:

“Todo el expediente es propiedad física del paciente.”

La norma distingue propiedad/custodia del expediente de los derechos del paciente sobre la información.

¿Quién es responsable de integrar el expediente clínico?

NOM-004 §5.1 obliga a los prestadores de servicios de atención médica a integrar y conservar el expediente.

Además, el establecimiento es solidariamente responsable del cumplimiento de esa obligación por parte del personal que presta servicios en él, independientemente de la forma de contratación.

El §5.3 añade que médicos y demás profesionales o personal técnico que intervienen en la atención deben cumplir la norma en forma ética y profesional.

En una práctica con varios médicos, esto significa que “el sistema lo guarda” no sustituye las responsabilidades de quien documenta ni las del establecimiento.

Un paciente sí tiene derechos sobre la información

NOM-004 protege la confidencialidad de los datos personales del expediente.

También establece que los datos proporcionados por el paciente o terceros solo pueden darse a terceros en los supuestos previstos, por ejemplo cuando existe solicitud escrita del paciente, tutor, representante legal o de un médico debidamente autorizado.

Además de NOM-004, en el sector privado aplica el marco vigente de protección de datos personales y los derechos de acceso, rectificación, cancelación y oposición que correspondan.

¿Puede un paciente pedir copia de su expediente clínico?

NOM-004 obliga a proporcionar información verbal al paciente y establece que, cuando se requiera un resumen clínico u otras constancias del expediente, la solicitud debe hacerse por escrito.

Eso no significa que el original deba salir de la custodia del establecimiento.

Una solicitud de acceso o copia debe manejarse según:

• quién la solicita;
• identidad y representación;
• qué información pide;
• si solicita resumen, constancia, documentos o acceso a datos;
• legislación de protección de datos aplicable;
• existencia de información de terceros que requiera tratamiento específico;
• canal de entrega.

No conviene responder “sí, manda todo por correo” ni “no, el paciente no tiene derecho porque el expediente es mío”.

Qué contiene un resumen clínico

NOM-004 define el resumen clínico como un documento elaborado por un médico que registra aspectos relevantes de la atención.

Como mínimo contempla:

• padecimiento actual;
• diagnósticos;
• tratamientos;
• evolución;
• pronóstico;
• estudios de laboratorio y gabinete.

Un resumen clínico no es necesariamente lo mismo que exportar cada archivo que integra el expediente.

Cómo entregar información de forma segura

Un proceso práctico debería:

1. recibir la solicitud por un canal definido;
2. verificar identidad;
3. verificar representación si la pide un tercero;
4. documentar el alcance solicitado;
5. preparar la información correspondiente;
6. revisar que no se agreguen datos de otra persona por error;
7. entregar por un canal seguro;
8. registrar qué se entregó, cuándo y a quién.

Para archivos digitales, evita enlaces públicos permanentes o adjuntos sensibles enviados sin control.

Un portal autenticado, descarga temporal protegida o mecanismo equivalente reduce riesgo frente a un enlace abierto.

Si la solicitud viene de otro médico

Que quien solicita sea médico no elimina el control de acceso.

NOM-004 contempla que datos aportados por el paciente puedan proporcionarse a un médico debidamente autorizado por el paciente, tutor o representante legal.

La relación profesional por sí sola no debe interpretarse como acceso universal a cualquier expediente.

Cómo encaja una exportación del ECE

Un ECE puede facilitar la preparación técnica de información, pero exportar no equivale automáticamente a resolver la legitimidad de la entrega.

VITALINK puede generar salidas del expediente para usuarios autorizados, con alcances de resumen o historia completa y formatos como PDF o JSON. El flujo técnico no sustituye:

• verificar quién solicita;
• definir el alcance;
• cumplir el procedimiento de privacidad;
• conservar evidencia de la entrega cuando corresponda.

El XML técnico tiene requisitos adicionales de establecimiento/CLUES y no debe confundirse con “la copia para el paciente”.

Conservación y entrega son obligaciones compatibles

Entregar información al paciente no significa borrar el expediente del prestador.

NOM-004 exige conservar los documentos por un periodo mínimo de cinco años desde el último acto médico, sin perjuicio de otras obligaciones aplicables.

La práctica correcta puede hacer ambas cosas:

• conservar el expediente bajo custodia;
• atender los derechos y solicitudes legítimas sobre la información.

Regla práctica

Custodia no significa apropiarse de los datos; titularidad del paciente no significa retirar el original clínico del sistema.

Diseña el proceso para preservar ambos lados: continuidad y trazabilidad del expediente, y acceso/confidencialidad de la persona.