¿Qué obligaciones tiene un consultorio privado al usar expediente electrónico?

El software ayuda, pero el consultorio sigue siendo responsable de su operación

Adoptar un ECE puede reducir errores, ordenar procesos y automatizar controles, pero no convierte el cumplimiento en una responsabilidad exclusiva del proveedor. El médico o establecimiento sigue decidiendo quién documenta, quién accede, qué se firma, cómo se conserva la información y qué procesos internos acompañan al sistema.

La forma más útil de entenderlo es separar expediente, sistema, datos personales e intercambio.

1. La NOM-004 sigue gobernando el expediente clínico

La NOM-004 regula la elaboración, integración, uso, manejo, archivo, conservación, confidencialidad y demás criterios del expediente clínico.

También deja claro que el expediente puede integrarse con medios electrónicos. Su numeral 5.12 permite de forma optativa utilizar medios electrónicos, magnéticos, electromagnéticos, ópticos o de otra tecnología, sujetos a las disposiciones aplicables.

Digitalizar, por tanto, no elimina las reglas clínicas del expediente.

2. Las notas necesitan autoría, fecha, hora y firma

La NOM-004 establece que las notas deben identificar al profesional que las elabora e incluir fecha y hora. Su numeral 5.10 contempla firma autógrafa, electrónica o digital según corresponda.

Eso significa que una cuenta compartida entre varias personas es una mala base para un expediente: aunque exista una firma visible, se pierde atribución si el sistema no puede distinguir con seguridad quién realizó la acción.

3. La conservación no desaparece al cambiar de proveedor

La regla general de la NOM-004 es conservar el expediente durante un mínimo de cinco años a partir del último acto médico.

En un ECE esto obliga a pensar también en:

• portabilidad;
• exportación;
• respaldos y restauración;
• acceso después de una baja o cambio de sistema;
• bloqueo de destrucción cuando exista una controversia;
• conservación de autoría e historial.

Un contrato de software no debería ser el único mecanismo que mantiene accesible la historia clínica.

4. Si adoptas un SIRES, la NOM-024 entra en juego

La NOM-024 regula los Sistemas de Información de Registro Electrónico para la Salud. Su alcance incluye establecimientos que adoptan un SIRES y a determinados titulares o comercializadores de esos sistemas.

Entre los controles que contempla están:

• información electrónica estructurada e inalterable;
• identificación;
• autenticación;
• autorización basada en roles;
• trazabilidad;
• seguridad de la información;
• catálogos;
• capacidad de intercambio conforme al alcance aplicable.

El procedimiento de evaluación también contempla verificar que el prestador utilice un SIRES certificado de acuerdo con el alcance que requiere. Por eso cumplimiento técnico y certificación formal no deben mezclarse como si fueran la misma evidencia.

5. Un ECE no sustituye tu gobierno de privacidad

Los datos de salud son datos personales sensibles. El consultorio debe gobernar aviso de privacidad, usuarios, dispositivos, accesos, transferencias y medidas de seguridad según su operación.

Aunque el proveedor tenga buenos controles, el consultorio puede crear riesgo si comparte contraseñas, deja sesiones abiertas, entrega acceso clínico a recepción sin necesidad o exporta expedientes a dispositivos sin protección.

6. CLUES y Cargas SINBA no son una obligación idéntica para todos

GIIS-B015 describe un escenario de intercambio de Consulta Externa. No debe convertirse en 106 o 113 preguntas obligatorias para cualquier médico en cualquier consulta.

Cuando un establecimiento sí debe reportar ese escenario al SIS, entonces importan la versión de GIIS-B015, la CLUES correspondiente, los catálogos y las reglas de la carga.

En VITALINK, dentro del alcance habilitado, la información puede prepararse para Cargas SINBA mediante la exportación GIIS-B015 cuando el establecimiento tiene CLUES verificada y la capacidad de reporte correspondiente.

7. La reforma de salud digital de 2026 no elimina estas distinciones

La reforma de enero de 2026 incorporó expresamente la salud digital a la Ley General de Salud y enumera entre sus finalidades digitalizar información para facilitar acceso e intercambio seguro.

Eso no convierte por sí solo toda obligación anterior en una regla de “papel prohibido desde una fecha”. Las NOM, el tipo de establecimiento, el uso de un SIRES y los escenarios de intercambio siguen teniendo alcances propios.

Cómo preparar una revisión regulatoria del expediente

No esperes a una visita o controversia para descubrir si puedes demostrar lo que haces. Una revisión interna útil toma una muestra de expedientes y comprueba, como mínimo:

• identidad del paciente y del establecimiento;
• historia y notas que correspondan al tipo de atención;
• fecha, hora, autoría y firma aplicable;
• consistencia entre diagnóstico, tratamiento e indicaciones;
• conservación del original cuando existe una corrección;
• evidencia de quién accedió o exportó cuando el evento debe auditarse;
• usuarios activos y permisos reales;
• capacidad de recuperar/exportar la información;
• política de conservación y continuidad;
• estado y alcance de la evidencia NOM-024 del SIRES.

El objetivo no es fabricar un “score de cumplimiento”, sino poder reconstruir con evidencia cómo se documentó, protegió y conservó la atención.

Checklist práctico para un consultorio privado

Antes de trabajar clínicamente con un ECE, comprueba:

• que cada integrante tenga identidad individual;
• que roles y permisos correspondan a su función;
• que las notas conserven autoría, fecha, hora y firma aplicable;
• que las correcciones no destruyan el original;
• que puedas exportar la información;
• que exista una política de conservación y continuidad;
• que los accesos relevantes queden auditados;
• que el proveedor explique con precisión su estado NOM-024;
• que cualquier flujo GIIS/SIS se habilite solo cuando corresponde al establecimiento;
• que tus propios dispositivos y procesos también estén protegidos.

Cómo encaja VITALINK

VITALINK cumple con NOM-024 y con el marco normativo aplicable al expediente clínico; la certificación formal NOM-024 está en proceso.

Eso aporta estructura clínica, seguridad, trazabilidad y portabilidad desde el producto, pero no debe venderse como una garantía de que cualquier consultorio queda automáticamente exento de sus demás obligaciones regulatorias. La posición pública y el estado del proceso se mantienen en la página de cumplimiento.