Expediente clínico digital vs. papel: qué cambia legal y prácticamente

La pregunta llega casi siempre en el mismo momento: cuando las carpetas ya no caben en el cajón, o cuando empiezas a atender en línea y te das cuenta de que tienes expedientes de gente que nunca ha pisado tu consultorio.

Y suele plantearse mal, como una cuestión de comodidad. No lo es. Papel y digital fallan de maneras distintas, y elegir es elegir contra qué riesgo te proteges.

Lo primero: la norma acepta los dos

La NOM-004-SSA3-2012 admite expresamente que el expediente se lleve en medios "electrónicos, magnéticos, electromagnéticos, ópticos, magneto-ópticos o de cualquier otra tecnología", con tres condiciones: que se garantice la integridad, la confidencialidad y la posibilidad de recuperar la información.

O sea que la discusión no es "¿me dejan?". La discusión es qué tienes que poder demostrar en cada soporte. Y ahí sí hay diferencia.

Lo que la norma pide es igual en los dos: cada documento con nombre del paciente, fecha, hora, y nombre completo y firma de quien lo elabora; conservación mínima de cinco años desde el último acto registrado. El detalle de las secciones está en NOM-004 para consultorio privado de psicología.

Qué se puede demostrar en cada uno

Ésta es la diferencia de fondo, y casi nunca se dice así.

En papel, lo que prueba que una nota es de ese día es tu letra y la tinta. Es débil y es aceptado: nadie va a pedirte un peritaje caligráfico por una nota de evolución. Pero si alguien impugna una nota, tu defensa es el conjunto —el cuaderno completo, con su secuencia— no la nota suelta.

En digital, la nota suelta no prueba nada por sí misma: un archivo se edita y se le cambia la fecha. Lo que prueba es el sistema: que registre autor y momento, que conserve el historial, y que no permita reescribir el pasado sin dejar rastro.

De ahí salen las dos preguntas que hay que hacerle a cualquier herramienta antes de meterle un expediente:

1. ¿Queda registrado quién escribió cada cosa y cuándo?
2. ¿Puede alguien editar una nota vieja sin que se note?

Si la segunda respuesta es "sí", tienes un procesador de textos con carpetas, no un expediente clínico.

Cómo se rompe cada uno

El papel se pierde entero y en silencio

Un incendio, una inundación, una mudanza, un cambio de consultorio, una caja que alguien tiró porque "eran papeles viejos". Y hay una variante más común que todas ésas: el expediente que existe pero no aparece, porque está en la carpeta equivocada o porque su hoja se traspapeló.

El papel tampoco tiene copia. Si sólo hay un original —y por definición lo hay— no hay respaldo posible salvo hacer fotocopias y multiplicar el problema de custodia.

Y la confidencialidad del papel depende de un cajón y una llave. Quien entra a tu consultorio fuera de hora tiene acceso a todo, y no queda registro de que entró.

Lo digital se pierde de golpe o se filtra en masa

Los modos de fallo son otros. Un disco que muere sin respaldo. Una cuenta a la que pierdes acceso. Un proveedor que cierra. Una contraseña reutilizada que alguien encontró en una filtración de otro sitio. Un dispositivo robado con la sesión abierta.

La diferencia importante: cuando lo digital falla mal, falla a lo grande. En papel se pierde un expediente; en digital se pierden todos, o se filtran todos.

A cambio, lo digital deja rastro. Un acceso indebido puede detectarse, acotarse y notificarse. Un cajón forzado en agosto se descubre en octubre, si se descubre.

Lo que mejora de verdad al pasar a digital

No es "la nube". Son cuatro cosas concretas:

1. Encontrar. El día que un juzgado pide el expediente de alguien a quien atendiste hace tres años, en papel es una tarde de cajas. En digital son minutos, y con la certeza de que no queda una hoja suelta en otra carpeta.

2. La estructura no se olvida. Un formato en pantalla con las nueve secciones hace evidente lo que falta. Una hoja en blanco no te dice que no escribiste antecedentes familiares.

3. La fecha deja de ser un acto de voluntad. En papel, poner la hora es algo que te acuerdas de hacer. En un sistema decente, es algo que pasa.

4. Compartir deja de ser copiar. Dar acceso a un dato no obliga a fotocopiar un expediente. Y lo que se comparte se puede acotar y revocar.

Lo que empeora, y hay que mirarlo de frente

1. Dependes de alguien. Ése es el cambio real. En papel dependes de un cajón; en digital, de una empresa que puede subir precios, cambiar de dueño o cerrar.

La única defensa razonable es preguntar antes de entrar: ¿puedo exportar el expediente completo, en un formato legible sin esta herramienta, yo solo, sin pedir permiso y sin ticket? Si la respuesta no es un sí claro, estás guardando cinco años de historia clínica en un sitio del que no puedes salir.

2. La superficie de ataque es más grande. Tu contraseña, tu correo de recuperación, tu teléfono, tu laptop. Cada uno es una puerta. Autenticación en dos pasos y un gestor de contraseñas dejan de ser manías y pasan a ser parte del cumplimiento: la LFPDPPP te pide medidas de seguridad proporcionales a la sensibilidad del dato, y la salud mental es dato sensible.

3. Pasa a haber un encargado. Si un proveedor trata datos por cuenta tuya, eso tiene consecuencias: tienes que saber dónde se alojan, qué hace con ellos y qué pasa si termina la relación. Y tu aviso de privacidad tiene que decirlo.

4. El respaldo deja de ser opcional y pasa a ser tuyo. Que el expediente viva en una herramienta no significa que tengas copia: significa que la tiene otro. Son cosas distintas, y se notan el día que quieres irte o el día que el proveedor tiene un mal mes.

La versión practicable de la regla clásica de respaldos, para un consultorio de una persona: dos copias en sitios distintos, y una de ellas fuera de la herramienta. Una exportación completa cada trimestre, guardada cifrada en un disco que no vive en la misma casa que tu laptop, resuelve a la vez el proveedor que cierra, la cuenta que se bloquea y el equipo que se moja. Cuesta veinte minutos cada tres meses y es lo único que convierte "confío en el proveedor" en una decisión y no en una esperanza.

Y hay que probarla una vez. Un respaldo que nunca se abrió no es un respaldo: es un archivo del que se supone algo.

La transición, si decides hacerla

Tres reglas que ahorran disgustos:

No digitalices todo el archivo histórico de golpe. Digitaliza lo activo —gente en tratamiento o que puede volver— y deja lo cerrado en papel hasta que caduque su conservación. Digitalizar por completitud es semanas de escáner para expedientes que nadie va a pedir.

No destruyas el original a la ligera. Si decides hacerlo, deja constancia de cómo se digitalizó, quién lo hizo y cuándo. Mientras dudes, conserva los dos: ocupan espacio y no cuestan nada más.

Convive un tiempo. Empieza por las notas de evolución de pacientes nuevos. Es el documento más frecuente y el que más se beneficia de la fecha automática. La historia clínica de los que ya llevas puedes pasarla cuando toque revisarla.

Y un caso mixto que conviene prever: los documentos que sí requieren firma autógrafa. Lo habitual es firmarlos en papel, escanearlos y archivar el escaneo junto al resto, dejando el original en una carpeta física pequeña.

Cómo está resuelto en Menteo, y qué falta

Sin adornos.

Lo que hay: expediente con las nueve secciones de la historia clínica; notas de evolución con fecha, hora y autor; documentos clínicos —consentimientos firmados, informes, escaneos— en almacenamiento privado, con su categoría y su fecha; registro de los consentimientos aceptados con su versión; y exportación de todo lo del paciente cuando la pide.

Separación entre notas y paciente: tus notas de sesión son tuyas y el paciente no las ve. Está aplicado en la base de datos, no en la interfaz, que es donde importa que esté.

Lo que no hay, y conviene saberlo antes de decidir:

• No hay firma electrónica avanzada. Lo que hay es autoría y fecha por nota. Para lo que exija firma autógrafa, sigue siendo papel escaneado.
• No hay bitácora de accesos visible para ti. Si quieres poder responder "¿quién abrió este expediente y cuándo?", hoy no lo contesta la interfaz.
• No es un certificado de cumplimiento. No existe tal cosa para la NOM-004. La estructura la pone la herramienta; el contenido y la responsabilidad, tú.

Cómo está montado se ve en la página para psicólogos, y qué entra en cada plan, en precios.

Cómo decidir, en una pregunta

Olvídate de "digital o papel" y contesta ésta:

Si mañana perdieras el acceso a donde están tus expedientes —el cajón, la laptop, la cuenta—, ¿cuánto tardarías en recuperarlos, y de quién dependería?

Si la respuesta en papel es "no se recuperan", ya sabes de qué te estás protegiendo al digitalizar.

Si la respuesta en digital es "depende de que una empresa me conteste", ya sabes qué tienes que resolver antes de mudarte: la exportación, y que funcione, probada una vez.

---

Esto no es asesoría legal. Es una lectura de la norma y de la ley de datos aplicada a la práctica privada. Para una decisión concreta sobre destrucción de originales o sobre tus obligaciones como responsable de datos, consulta a un profesional del derecho.

Fuentes

• Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. DOF, 15 de octubre de 2012.
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), 2010, y su Reglamento, sobre medidas de seguridad y encargados.