NOM-004 y NOM-024: qué exige la norma al expediente clínico electrónico
Lo que dicen las normas mexicanas sobre el expediente clínico y los sistemas electrónicos, y las preguntas que conviene hacerle a cualquier proveedor de software médico en Latinoamérica.
Actualizado el 5 de octubre de 2026.
Pasar del papel al expediente electrónico suele plantearse como una decisión de comodidad, pero en varios países de la región es también una cuestión normativa: qué debe contener el expediente, cuánto tiempo se conserva, quién puede verlo y cómo se demuestra quién escribió cada nota. México es el caso más detallado, con dos normas oficiales que sirven de referencia útil incluso fuera de su territorio.
En resumen: en México, la NOM-004-SSA3-2012 regula el contenido, la confidencialidad y la conservación del expediente clínico (mínimo cinco años desde el último acto médico), y la NOM-024-SSA3-2012 fija los requisitos de los sistemas electrónicos que lo registran: seguridad, confidencialidad, trazabilidad e interoperabilidad. En otros países la normativa es distinta, pero las preguntas para evaluar un software son las mismas.
¿Qué regula la NOM-004-SSA3-2012?
La NOM-004-SSA3-2012, Del expediente clínico, publicada en el Diario Oficial de la Federación el 15 de octubre de 2012, es obligatoria para los establecimientos de atención médica de los sectores público, social y privado de México. Entre sus puntos centrales:
- El expediente es único por paciente y su información es confidencial; el establecimiento es responsable de resguardarlo.
- Conservación mínima de cinco años, contados a partir de la fecha del último acto médico.
- Contenido: historia clínica, notas médicas (de evolución, de interconsulta y de referencia, entre otras), reportes de estudios auxiliares y, cuando corresponde, cartas de consentimiento informado.
- Identificación de quien escribe: cada nota debe llevar fecha, hora, nombre completo y firma de quien la elabora; la norma admite la firma autógrafa, electrónica o digital, según el caso.
¿Y la NOM-024-SSA3-2012?
La NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud, publicada el 30 de noviembre de 2012, establece los objetivos funcionales que deben cumplir los sistemas que registran, intercambian y consolidan información de salud en México. En términos prácticos, se centra en cuatro ejes:
| Eje | Qué significa para la clínica |
|---|---|
| Seguridad | Acceso controlado por usuario y por perfil; protección de la información almacenada y en tránsito. |
| Confidencialidad | Solo ve el expediente quien tiene motivo clínico o administrativo para verlo. |
| Trazabilidad | Queda registrado quién consultó o modificó cada dato, y cuándo. |
| Interoperabilidad | Uso de catálogos y estándares que permitan intercambiar información entre sistemas. |
Es la norma que convierte el «expediente en la computadora» en un sistema auditable.
¿Y fuera de México?
Cada país regula el expediente clínico a su manera, con leyes de salud, reglamentos de establecimientos y normas de protección de datos personales distintas. En Honduras y el resto de Centroamérica, el punto de partida es la regulación de la autoridad sanitaria de cada país y su normativa sobre confidencialidad de la información del paciente. Antes de digitalizar, conviene confirmar con la autoridad sanitaria o con asesoría legal local qué exige su jurisdicción, en especial sobre firma de documentos y validez de la receta electrónica frente a las farmacias.
Lo que sí es común a todas las normas es el tipo de garantía que debe dar el sistema, y eso se puede verificar.
Ocho preguntas para evaluar un software de expediente clínico
- ¿Quién puede ver la historia clínica? ¿La recepción ve diagnósticos o solo datos administrativos?
- ¿Queda registro de cada apertura del expediente, no solo de cada cambio? ¿Se puede editar o borrar ese registro?
- ¿Cómo se protegen los archivos adjuntos (laboratorios, imágenes, PDF)? ¿Están cifrados?
- ¿Con qué frecuencia se respalda la información, dónde se guardan las copias y cada cuánto se prueba restaurarlas?
- ¿Qué pasa cuando alguien deja la clínica? ¿En cuánto tiempo pierde el acceso?
- ¿Puedo llevarme todos mis datos si cambio de proveedor, en un formato que pueda abrir?
- ¿Cómo se identifica a quien emite cada documento? ¿La receta lleva el nombre, la especialidad y el número de colegiación del médico?
- ¿Qué afirma el proveedor y qué puede demostrar? Desconfíe de «cumplimiento total» o certificaciones sin documento que las respalde.
Cómo lo resuelve AuraCliniq
AuraCliniq, el software médico y expediente clínico electrónico desarrollado en Honduras por Aura Dev Studio, no se presenta como certificado bajo una norma específica: describe sus controles para que cada clínica los contraste con lo que exige su país.
Administración → Auditoría: quién hizo qué, cuándo y desde qué dirección IP (datos ficticios).
- Bitácora de auditoría inalterable, en todos los planes: registra quién hizo qué, cuándo y desde qué IP, incluida cada apertura de un expediente. Nadie puede editarla ni borrarla.
- La recepción no ve la historia clínica: agenda y cobra, pero el sistema se niega a entregarle consultas, diagnósticos, recetas y archivos.
- Quien deja la clínica pierde el acceso en menos de un minuto al desactivar su usuario.
Lo que ve el rol de Recepción al abrir un expediente (datos ficticios).
- Archivos clínicos cifrados con AES-256, conexión cifrada y aislamiento entre clínicas impuesto por la propia base de datos.
- Respaldos cada noche, cifrados y guardados también en un segundo proveedor, con una restauración completa de prueba cada mes.
Pestaña Archivos del expediente: laboratorios, imágenes y PDF cifrados (datos ficticios).
- Sus datos son suyos: la clínica descarga cuando quiera todos sus datos —pacientes, consultas, citas, pagos, bitácora y adjuntos— en planillas que se abren con Excel.
- Cada documento identifica a quien lo emite: recetas y órdenes con el nombre, la especialidad, el teléfono, el número de colegiación y el correo del médico, y la indicación de quién atendió cada consulta.
Configuración → Seguridad: verificación en dos pasos y descarga de todos los datos (datos ficticios).
Un matiz importante: AuraCliniq permite cargar la imagen de la firma y el sello del médico para los documentos impresos, pero eso no equivale a una firma electrónica avanzada. Si su jurisdicción exige firma electrónica para la receta o el expediente, verifíquelo con la autoridad local. El detalle de los controles está en la página de seguridad y el estado del servicio, en vivo, en estado.auracliniq.com.
Para el lado operativo de la digitalización, revise también el costo del papeleo clínico.
Puntos clave
- La NOM-004-SSA3-2012 fija contenido, confidencialidad y conservación mínima de cinco años del expediente en México.
- La NOM-024-SSA3-2012 exige a los sistemas electrónicos seguridad, confidencialidad, trazabilidad e interoperabilidad.
- Fuera de México la normativa cambia; las preguntas para evaluar un software, no.
- La trazabilidad de cada apertura del expediente y la portabilidad de los datos son las garantías más fáciles de verificar.
- Una firma escaneada no es una firma electrónica avanzada.
Preguntas frecuentes
¿Cuánto tiempo hay que conservar un expediente clínico?
En México, la NOM-004-SSA3-2012 establece un mínimo de cinco años desde el último acto médico. En otros países el plazo es distinto; consulte la regulación de su autoridad sanitaria.
¿El expediente electrónico tiene la misma validez que el de papel?
Depende de la legislación de cada país y, en particular, de cómo se firma cada nota. La NOM-004 admite firma autógrafa, electrónica o digital según el caso; la validez de una firma electrónica depende de las leyes específicas sobre firma electrónica de cada jurisdicción.
¿Qué es la trazabilidad en un expediente clínico electrónico?
Es la capacidad de saber quién consultó, creó o modificó cada dato del expediente, y cuándo. Se logra con una bitácora de auditoría que registra los accesos y que nadie puede alterar.
¿Puedo cambiar de software sin perder los expedientes?
Solo si el proveedor permite exportar todos los datos en un formato abierto. Pregúntelo antes de contratar: es la mejor protección contra quedar atado a un sistema.
¿Quiere revisar estos controles en una demostración real? Agende una demo de AuraCliniq: de 15 a 30 minutos con el fundador, con la plataforma ya montada con el nombre y la especialidad de su clínica. Después de la demo tiene 14 días de prueba con todas las funciones. También puede escribirnos por WhatsApp al +504 3279-7093.
Este artículo es informativo y no constituye asesoría legal. Consulte la normativa vigente de su país.
Fuentes: Secretaría de Salud de México, NOM-004-SSA3-2012, Del expediente clínico, DOF, 15 de octubre de 2012; Secretaría de Salud de México, NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud, DOF, 30 de noviembre de 2012.
