Respuesta corta: 5 años como mínimo
El apartado 5.4 de la NOM-004 obliga a conservar el expediente clínico por un periodo mínimo de 5 años, contados a partir de la fecha del último acto médico. Es un mínimo, no un máximo.
La NOM-004-SSA3-2012 dice que los expedientes clínicos, por ser documentos elaborados en interés y beneficio del paciente, deben conservarse por un periodo mínimo de 5 años, contados a partir de la fecha del último acto médico. Aplica igual al papel y al digital. Esta guía es informativa y no sustituye la asesoría legal para tu caso.
Cómo contar el plazo
El reloj no empieza en la primera consulta, sino en la última. Cada nueva visita reinicia la cuenta para todo el expediente.
| Paciente | Primera consulta | Última consulta | Conservar al menos hasta |
|---|---|---|---|
| Paciente A | marzo 2019 | marzo 2019 | marzo 2024 |
| Paciente B | enero 2018 | octubre 2026 | octubre 2031 |
| Paciente C | junio 2022 | febrero 2025 | febrero 2030 |
En la práctica, conviene registrar la fecha de la última atención de cada paciente y revisar los vencimientos una vez al año, no expediente por expediente.
Por qué muchas clínicas guardan más de 5 años
- Reclamaciones y quejas. El expediente es la principal evidencia ante una queja en la CONAMED, una comisión estatal de arbitraje médico o un juicio. Los plazos para reclamar pueden empezar a contar después de la última atención.
- Pacientes menores de edad. Muchas instituciones conservan su expediente al menos hasta que el paciente alcanza la mayoría de edad, más el plazo de la norma.
- Tratamientos largos o crónicos. Ortodoncia, enfermedades crónicas o procedimientos con seguimiento de años.
- Aseguradoras y convenios que fijan sus propios plazos por contrato.
- Documentos fiscales. Facturas y comprobantes siguen las reglas fiscales (en general, 5 años), que son distintas de las del expediente.
Define una política escrita de conservación con tu asesor legal: el plazo, quién la revisa y cómo se documenta la destrucción.
Guardar demasiado también tiene costo
La ley de protección de datos personales pide conservar los datos solo el tiempo necesario para sus finalidades y las obligaciones legales. Guardar “para siempre” sin una razón aumenta el riesgo en caso de robo o filtración. Por eso la política de conservación debe tener un plazo y un procedimiento de cierre, y tu aviso de privacidad debe ser coherente con ella.
Conservar en papel
Archivo bajo llave, con acceso solo para personal autorizado.
Protección contra humedad, fuego y plagas.
Orden que permita encontrar un expediente en minutos.
Registro de préstamos: quién sacó qué expediente y cuándo lo devolvió.
Conservar en digital
Respaldos automáticos y prueba periódica de restauración.
Exportación completa en un formato legible (PDF) por si cambias de sistema.
Usuarios individuales y bitácora de accesos.
Notas firmadas que no se pueden editar.
Un contrato con tu proveedor que diga qué pasa con tus datos si dejas el servicio.
Si vas a digitalizar expedientes antiguos en papel, conserva los originales hasta que tu asesor confirme que la copia digital es suficiente para tu caso. La norma mexicana NOM-151-SCFI-2016 regula la conservación de mensajes de datos y la digitalización de documentos con constancias de un prestador de servicios de certificación.
Qué hacer cuando vence el plazo
- Identifica los expedientes cuyo último acto médico tiene más de 5 años (o el plazo de tu política).
- Revisa excepciones: quejas abiertas, menores de edad, tratamientos en curso, solicitudes de autoridad.
- Destruye de forma segura: trituración del papel; borrado definitivo en digital, incluidos los respaldos.
- Levanta un acta con la lista de expedientes, la fecha, el método y quién lo hizo.
Cómo lo lleva Kensa
En Kensa, el expediente firmado y bloqueado queda sellado con una huella SHA-256, con historial de quién vio o descargó cada documento. Puedes exportarlo completo en PDF con respuestas y firmas, y descargar un paquete de evidencia si un auditor, una aseguradora o un abogado lo pide. Tu clínica define cuánto tiempo se guardan los chats, de 30 días a 10 años. Lee más en seguridad y privacidad.