La digitalización de la información médica es una tendencia clara, pero en México no se puede improvisar. La NOM-024-SSA3-2012 establece los objetivos funcionales y funcionalidades que deben observar los productos de sistemas de expediente clínico electrónico, para garantizar la confidencialidad, seguridad y el uso de estándares en el intercambio de información en salud.
Puntos clave
- La NOM-024 regula los sistemas de información de registro electrónico para la salud.
- Exige criterios de seguridad, confidencialidad, integridad y disponibilidad de los datos.
- Promueve el uso de estándares y catálogos para que los sistemas puedan intercambiar información.
- Se complementa con la NOM-004-SSA3-2012 (contenido del expediente) y la normatividad de protección de datos personales.
¿Qué es un sistema de registro electrónico para la salud?
Es un conjunto de componentes que permite registrar, almacenar, consultar y transmitir información de la atención médica de forma electrónica. Puede ser un sistema de un consultorio, de un hospital o de un servicio médico empresarial. La norma define qué debe poder hacer —por ejemplo, identificar a quien registra, controlar accesos y conservar la trazabilidad de cambios— y qué requisitos de seguridad debe cumplir.
Principios que debe cumplir
- Identificación y autenticación de los usuarios y registro de sus acciones.
- Control de acceso por perfiles, de modo que cada quien vea solo lo necesario.
- Integridad: que los registros no se alteren sin dejar huella.
- Disponibilidad: copias de respaldo y continuidad.
- Confidencialidad: protección contra accesos no autorizados.
- Interoperabilidad: uso de catálogos y estándares para compartir información.
Qué implica para una empresa con servicios médicos
Si una empresa o su prestador de servicios médicos utiliza expediente electrónico, debe verificar que el sistema cumpla estos requisitos y que existan procedimientos internos: responsables, perfiles de acceso, respaldo, resguardo y destrucción. No basta con “escanear” archivos: un expediente electrónico es un proceso con controles.
Preguntas antes de digitalizar
- ¿Qué información médica se recabará y para qué fines?
- ¿Quién tendrá acceso y con qué permisos?
- ¿Cómo se protegen los datos durante su almacenamiento y transmisión?
- ¿Cómo se respaldan y por cuánto tiempo se conservan?
- ¿Qué pasa con la información si se cambia de sistema o de proveedor?
Datos personales sensibles
Los datos de salud son datos personales sensibles. Su tratamiento requiere cumplir con la ley federal en materia de protección de datos personales en posesión de particulares: aviso de privacidad, consentimiento y medidas de seguridad. Además, si el software tiene fines de diagnóstico o terapéuticos, podría estar sujeto a regulación sanitaria específica; conviene consultarlo caso por caso.
Perspectiva de GRS Detección
En GRS Detección creemos que digitalizar la salud ocupacional exige método antes que tecnología. La claridad sobre qué datos se recaban, quién los usa y cómo se protegen es la base para cualquier herramienta futura que se construya para las empresas.
Preguntas frecuentes
¿Un sistema de expediente electrónico necesita estar certificado?
La NOM-024 establece requisitos y esquemas de verificación del cumplimiento; conviene confirmar en el texto vigente y con la Secretaría de Salud qué mecanismos aplican a cada caso.
¿Puedo guardar expedientes médicos en una hoja de cálculo?
Es riesgoso: no ofrece control de acceso, trazabilidad ni resguardo adecuados para datos sensibles. Si se usa, debe hacerse con medidas de seguridad estrictas y por un periodo limitado.
Fuentes y referencias
- Diario Oficial de la Federación (DOF)
- Secretaría de Salud
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (Cámara de Diputados)
- COFEPRIS
Contenido informativo. No sustituye la asesoría legal o médica profesional. Las normas pueden actualizarse: confirma la versión vigente en el Diario Oficial de la Federación y en el portal de la STPS.
