Terminas consulta y recepción te avisa: “Doctor, el paciente quiere hoy mismo todo su expediente”. No pidió un resumen ni una nota específica. Quiere “todo”, enviado al correo de su hija.
El problema no se resuelve entregando la carpeta original ni contestando que el expediente pertenece al consultorio. Primero necesitas identificar qué derecho está ejerciendo, verificar quién lo solicita, revisar el contenido y responder dentro de los plazos legales.
El paciente es titular de sus datos personales, mientras tú conservas la propiedad y custodia del expediente. Ambas cosas pueden coexistir: das acceso a la información que corresponda sin desprenderte del original ni incumplir tus deberes de conservación.
El acceso recae sobre los datos del paciente, no automáticamente sobre cada hoja íntegra
La NOM-004-SSA3-2012, en su numeral 5.4, reconoce la titularidad del paciente sobre la información proporcionada para su atención. El mismo numeral atribuye al establecimiento o prestador de servicios la propiedad y custodia del expediente clínico.
También exige conservarlo durante un mínimo de cinco años, contados desde la fecha del último acto médico. Por eso, atender una solicitud no implica entregar originales, borrar la única copia o perder el control documental. Si necesitas revisar su integración, consulta esta guía práctica de la NOM-004 para el expediente clínico.
Por su parte, los artículos 22 a 26 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente reconocen los derechos de acceso, rectificación, cancelación y oposición.
El derecho de acceso permite al titular conocer sus datos personales en posesión del consultorio y las condiciones de su tratamiento. No significa que debas reproducir sin revisión cada documento íntegro del archivo cuando contiene información que no le pertenece, está fuera del alcance solicitado o afecta derechos de terceros.
Dar acceso a los datos del paciente no significa entregar originales, revelar datos ajenos ni destruir el expediente que debes custodiar.
Distingue entre resumen clínico, copia documental y solicitud ARCO
El numeral 5.6 de la NOM-004 permite que el paciente, su representante legal o una autoridad competente soliciten por escrito un resumen clínico u otras constancias del expediente. Un resumen, sin embargo, no sustituye necesariamente una solicitud de acceso a datos personales.
Cuando recibas una petición ambigua, confirma por escrito cuál de estos resultados busca la persona:
- Resumen clínico: síntesis de la atención, diagnósticos, tratamientos, evolución y estado actual.
- Documento determinado: copia de una nota, estudio, receta o constancia específica.
- Acceso ARCO: conocimiento y, en su caso, reproducción de los datos personales del titular que trata el consultorio.
- Copia organizada del expediente: reproducción de las notas, estudios y documentos que correspondan, después de revisar su alcance y la presencia de datos de terceros.
No obligues al paciente a utilizar palabras jurídicas exactas. Si el mensaje dice “quiero saber qué información tienen de mí” o “mándenme todos mis datos”, trátalo como una posible solicitud de acceso y pide únicamente las precisiones necesarias para localizar la información.
Tienes 20 días para determinar y otros 15 para hacer efectivo el acceso
El artículo 30 de la LFPDPPP vigente fija el dato operativo que recepción debe conocer: cuentas con un máximo de 20 días para comunicar al titular la determinación adoptada. Si la solicitud resulta procedente, debes hacer efectivo el derecho dentro de los 15 días siguientes a la comunicación de esa respuesta.
Para efectos de la ley son días hábiles. Ambos periodos pueden ampliarse una sola vez por un lapso igual, siempre que las circunstancias del caso lo justifiquen. La ampliación no debe aplicarse por rutina: documenta la causa y comunícala antes de que venza el plazo original.
El conteo comienza con una solicitud que permita acreditar identidad y comprender el derecho ejercido. Si falta información indispensable, formula el requerimiento correspondiente y conserva evidencia de la fecha en que lo enviaste y de la respuesta recibida.
Qué debe traer la solicitud
Conforme al artículo 28, la petición debe contener, al menos:
- Nombre del titular y un domicilio u otro medio para comunicar la respuesta.
- Documentos que acrediten su identidad y, cuando corresponda, la representación legal.
- Descripción clara y precisa de los datos respecto de los cuales busca ejercer un derecho.
- Elementos que faciliten localizar la información.
En rectificación también deben indicarse las modificaciones solicitadas y aportarse la documentación que las sustente. Ser familiar, acompañante o contacto de emergencia no convierte automáticamente a alguien en representante del paciente.
Acceso no significa entregar la carpeta original
El artículo 31 permite cumplir el acceso poniendo los datos a disposición del titular o expidiendo reproducciones. Según el caso, la modalidad puede ser consulta directa en el consultorio, copias simples, documentos electrónicos u otro medio previsto y acordado.
Estas modalidades no son equivalentes. En una consulta directa permites revisar la información bajo control del consultorio. Una copia simple reproduce determinados documentos. La reproducción electrónica puede consistir en archivos PDF u otro formato utilizable, sin transferir la base de datos ni el soporte original.
El artículo 32 establece que el ejercicio de los derechos ARCO es gratuito. Solo pueden cobrarse gastos justificados de envío o el costo de reproducción en copias u otros formatos. No conviertas la atención de la solicitud en una consulta médica, una cuota administrativa arbitraria o una condición para liquidar adeudos.
Antes de reproducir, informa la modalidad disponible y cualquier gasto justificado. Si el titular elige recibir archivos electrónicos y no existe un costo real de reproducción o envío, no inventes uno. Deja asentado qué archivos se entregaron, mediante qué canal y en qué fecha.
Revisa los datos de terceros caso por caso
Una nota puede mencionar a una pareja, un acompañante o un familiar. Eso no autoriza a testar automáticamente cualquier referencia familiar: los antecedentes heredofamiliares y el relato clínico también pueden constituir datos personales del propio paciente y ser necesarios para entender su atención.
El testado procede cuando la entrega revelaría datos personales de un tercero o afectaría sus derechos, y debe justificarse para el contenido concreto. No debe utilizarse como pretexto para ocultar información clínica del solicitante. Si solo una parte del documento plantea el problema, entrega la parte procedente y explica la restricción aplicada.
Rectificar no es borrar silenciosamente una nota clínica
Si el paciente pide corregir domicilio, teléfono o fecha de nacimiento, la rectificación puede ser directa una vez acreditado el dato correcto. Cuando cuestiona el contenido de una nota, la respuesta requiere más cuidado: una corrección no debería hacer desaparecer sin explicación lo que quedó asentado durante la atención.
La NOM-004 exige que las notas identifiquen a quien las elabora y lleven la firma correspondiente. Conservar evidencia de las modificaciones, quién las realizó y cuándo es además una buena práctica de integridad y trazabilidad; no debe presentarse como una frase literal de la NOM-004 sobre historial de versiones.
MyDoctorDiary registra quién escribió cada nota y conserva su historial de cambios. Esa función ayuda a documentar una rectificación sin sustituir el análisis jurídico ni el criterio profesional sobre la forma adecuada de hacerla.
Cancelar datos exige bloqueo previo y no siempre termina en supresión
La cancelación no significa simplemente “dejar de usar” la información. El artículo 24 de la LFPDPPP dispone que la cancelación da lugar primero a un periodo de bloqueo. Durante ese periodo, los datos se conservan exclusivamente para atender responsabilidades derivadas de su tratamiento; después procede su supresión cuando legalmente corresponda.
Además, el artículo 25 establece excepciones. La cancelación puede no proceder cuando los datos deban tratarse por una disposición legal, sean necesarios para cumplir obligaciones adquiridas, exista una actuación judicial o administrativa pendiente, deban proteger intereses jurídicamente tutelados del titular o sean necesarios para la prevención, diagnóstico o gestión de servicios de salud bajo secreto profesional, entre otros supuestos legales.
En el expediente clínico también debes considerar el periodo mínimo de conservación de la NOM-004. Por ello, una solicitud de cancelación no autoriza a borrar de inmediato notas, estudios o antecedentes cuya conservación siga siendo obligatoria o necesaria. Determina qué datos pueden bloquearse o suprimirse y cuáles deben conservarse, explicando el fundamento para cada parte.
Cuándo puede ser improcedente o parcialmente procedente
El artículo 33 contempla causales para negar el ejercicio de un derecho, entre ellas que el solicitante no sea el titular o no acredite su representación; que los datos no estén en posesión del responsable; que se lesionen derechos de terceros; que exista un impedimento legal o una resolución de autoridad; o que el derecho solicitado ya se haya atendido.
No uses estas causales como formatos automáticos. Si una parte sí puede entregarse, responde con procedencia parcial. La negativa total o parcial debe identificar lo solicitado, señalar qué parte se concede, explicar los hechos y fundamentos de la restricción y acompañar los elementos pertinentes que sostengan la decisión.
Conforme al artículo 34, debes comunicar la respuesta aun cuando concluyas que no tienes los datos o que el derecho no procede. También debes informar al titular que puede controvertirla mediante una solicitud de protección de datos personales ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente conforme a la ley vigente. No cites al extinto INAI como autoridad actual.
Usa un acuse y una respuesta que recepción no tenga que improvisar
Modelo mínimo de acuse
- Fecha y hora de recepción: indica desde cuándo registrarás el trámite.
- Identidad: señala cómo se acreditó al titular o representante, sin anexar copias innecesarias a mensajes informales.
- Derecho ejercido: acceso, rectificación, cancelación u oposición.
- Alcance: datos, periodo, documentos o tratamientos comprendidos.
- Medio de respuesta: correo, domicilio u otro canal señalado por el titular.
- Responsable del trámite: nombre o área designada conforme al artículo 29.
Modelo mínimo de respuesta
- Fecha de la solicitud y fecha de la determinación.
- Identidad acreditada y derecho analizado.
- Determinación: procedente, parcialmente procedente o improcedente.
- Alcance exacto de lo concedido y, si aplica, de lo restringido.
- Fundamento legal y explicación concreta de la decisión.
- Modalidad de acceso: consulta, copias simples, archivos electrónicos u otro medio.
- Gastos justificados de reproducción o envío, si realmente existen.
- Plazo y forma en que se hará efectivo el derecho.
- Nombre de la persona o área responsable.
- Vía para presentar una solicitud de protección de datos personales si el titular desea controvertir la respuesta.
Si trabajas con expediente electrónico, exporta únicamente al paciente correcto y revisa el archivo antes de enviarlo. En MyDoctorDiary puedes generar el expediente en PDF, mientras la bitácora registra lecturas y cambios. La liga de seguridad y normas de MyDoctorDiary explica estos controles sin presentarlos como una certificación oficial.
Ruta accionable para atender la solicitud desde hoy
- Registra la recepción. Anota fecha, medio, solicitante y petición textual.
- Verifica identidad o representación. No entregues datos clínicos basándote únicamente en un teléfono conocido.
- Clasifica la petición. Distingue resumen clínico, copia específica y derecho ARCO.
- Confirma el alcance. Precisa datos, documentos y periodos sin imponer formalismos innecesarios.
- Abre el control de plazo. Considera los 20 días para determinar y, si procede, los 15 días para hacer efectivo el derecho.
- Localiza y revisa. Separa originales, identifica datos de terceros y analiza obligaciones de conservación.
- Emite una respuesta fundada. Explica procedencia total, parcial o negativa y la vía para controvertirla.
- Entrega por una modalidad segura. Documenta archivos, destinatario, canal, fecha y cualquier gasto justificado.
- Conserva evidencia del trámite. Guarda solicitud, acreditación, comunicaciones, respuesta y constancia de entrega.
La respuesta correcta rara vez es “sí, llévese el original” o “no, porque el expediente es mío”. Es un procedimiento documentado: reconocer los datos del paciente, mantener la custodia clínica, proteger a terceros y contestar dentro del plazo que marca la ley.
