Si diriges una clínica de salud mental o tienes un consultorio propio, seguramente te has topado con dos siglas: NOM-004 y NOM-024. Se mencionan juntas, pero regulan cosas distintas. La primera dice qué debe contener el expediente clínico y cómo se maneja. La segunda dice qué deben cumplir los sistemas electrónicos donde ese expediente se guarda y se comparte.
En este artículo te explicamos las dos, con lo que aplica específicamente a la atención psicológica, y lo que cambió (y lo que no) con la reforma de salud digital de enero de 2026.
NOM-004: el contenido del expediente
La NOM-004-SSA3-2012, Del expediente clínico, se publicó en el Diario Oficial de la Federación el 15 de octubre de 2012. Es de observancia obligatoria para el personal de salud y los establecimientos de atención médica de los sectores público, social y privado. Su definición de establecimiento incluye expresamente a los consultorios (numeral 4.3).
Un numeral pensado para psicología
La norma está escrita sobre todo para la práctica médica, pero tiene una regla específica para nuestra disciplina. El numeral 5.16 indica que, en los expedientes de atención psicológica de establecimientos ambulatorios no ligados a un hospital, la historia clínica y las notas de evolución se ajustarán a la naturaleza de los servicios prestados. En la práctica, eso significa que no tienes que llenar apartados que no aplican a la psicoterapia (como la exploración física completa), pero sí registrar lo equivalente en tu campo. El propio numeral 6.1.2 menciona la información que corresponde a la materia del psicólogo.
Qué debe tener el expediente
- Datos generales (numeral 5.2): tipo, nombre y domicilio del establecimiento; nombre, sexo, edad y domicilio del paciente.
- Historia clínica (numeral 6.1), adaptada a la atención psicológica: ficha de identificación, antecedentes, padecimiento actual, diagnósticos o problemas clínicos, pronóstico e indicación terapéutica.
- Notas de evolución (numeral 6.2) cada vez que atiendes a la persona: evolución del cuadro, diagnósticos o problemas clínicos, pronóstico y plan de tratamiento.
- Cartas de consentimiento informado, cuando apliquen (numeral 10.1).
- Un solo expediente por paciente dentro del mismo establecimiento, aunque lo atiendan varios profesionales (numeral 5.14).
Y en cada nota: nombre completo, edad y sexo del paciente; fecha, hora, nombre completo y firma de quien la elabora; lenguaje técnico, sin abreviaturas, legible y sin enmendaduras ni tachaduras (numerales 5.9 a 5.11).
Cuánto tiempo se conserva y de quién es
El numeral 5.4 establece que el expediente es propiedad de la institución o del prestador de servicios que lo genera, mientras que el paciente tiene derechos de titularidad sobre la información. Los expedientes deben conservarse por un mínimo de cinco años, contados a partir de la fecha del último acto médico. Cinco años es el piso, no el techo: otras disposiciones o tu propia política pueden pedir más.
Confidencialidad
La norma pide manejar la información del expediente con discreción y confidencialidad por todo el personal del establecimiento (numeral 5.7). Los datos que identifican al paciente solo pueden darse a terceros con solicitud escrita del paciente, su tutor o representante legal, o de un médico autorizado por ellos (numeral 5.5.1), además de los casos en que lo pidan autoridades judiciales, órganos de procuración de justicia o autoridades administrativas. Si el paciente solicita un resumen clínico, la solicitud debe hacerse por escrito (numeral 5.6).
¿Se puede llevar en electrónico?
Sí. El numeral 5.12 permite, de manera optativa, usar medios electrónicos para integrar el expediente, en los términos de las disposiciones aplicables. Y el numeral 5.10 acepta la firma autógrafa, electrónica o digital en las notas. Aquí es donde entra la NOM-024.
NOM-024: los sistemas donde vive el expediente
La NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud, se publicó en el DOF el 30 de noviembre de 2012. A estos sistemas la norma los llama SIRES.
A quién aplica
Según su numeral 1.2, es obligatoria para los establecimientos del Sistema Nacional de Salud que adopten un SIRES, y para quienes tengan los derechos de propiedad, uso, autoría, distribución o comercialización de esos sistemas. Es decir, involucra tanto a la clínica que usa el sistema como a la empresa que lo desarrolla o vende. Si llevas tus expedientes en papel, esta norma no regula tu archivo; la NOM-004 sí.
Qué pide, en lo esencial
- Confidencialidad, integridad y disponibilidad de la información, y medidas de seguridad para evitar usos ilícitos (numerales 5.3 a 5.9).
- Un sistema de gestión de seguridad de la información a cargo del prestador de servicios (numeral 6.6.1).
- Documentos electrónicos estructurados e inalterables, y la posibilidad de firma electrónica avanzada del profesional (numeral 6.6.2).
- Autenticación de todos los usuarios, como mínimo con usuario y contraseña, y se recomiendan factores adicionales (numeral 6.6.3).
- Autorización basada en roles: cada clínica define qué perfil ve qué información (numeral 6.6.4).
- Exportación de la información del paciente y controles sobre sus consentimientos (numeral 6.6.6).
- Interoperabilidad: uso de estándares, catálogos (como la CIE) y la CURP como identificador para el intercambio de información entre prestadores (numerales 6.1 a 6.5).
¿Y la certificación?
El capítulo 7 de la norma describe un procedimiento de evaluación de la conformidad: los sistemas pueden obtener un certificado ante la Dirección General de Información en Salud (DGIS) o ante organismos de certificación acreditados. Algunos proveedores ya anuncian contar con él.
Lo que conviene que tengas claro como clínica: la norma pide que, si usas un SIRES, este cumpla con sus términos (numeral 5.2). Si eso implica que tu clínica deba usar exclusivamente un sistema certificado es una pregunta que vale la pena consultar con tu asesor legal. Mientras tanto, al evaluar un proveedor, pídele que te explique por escrito cómo atiende cada uno de los puntos de la lista anterior y si cuenta con certificado vigente.
Lo que cambió en 2026 (y lo que no)
El 15 de enero de 2026 se publicó en el DOF una reforma a la Ley General de Salud que añadió un capítulo de salud digital (artículos 71 Bis a 71 Octies). Define la salud digital e incluye en ella los registros médicos o de salud electrónicos, y entre sus finalidades está digitalizar la información médica para facilitar su intercambio seguro.
Hemos visto artículos que afirman que, desde esa reforma, el expediente electrónico ya es obligatorio para todos los consultorios. Al revisar el texto publicado en el DOF, encontramos que:
- Las obligaciones de implementación del artículo 71 Quinquies están dirigidas a las instituciones públicas prestadoras de servicios de salud.
- El artículo 71 Quater encarga a la Secretaría de Salud emitir disposiciones para los servicios de salud digital en las instituciones públicas.
- Los artículos transitorios del decreto no fijan un plazo para que los establecimientos privados digitalicen sus expedientes.
- Lo que sí aplica a cualquier servicio de telesalud es el artículo 71 Septies: sistemas seguros que protejan la confidencialidad, mecanismos de consentimiento informado y documentación adecuada de las atenciones a distancia.
La Secretaría de Salud podría emitir nuevas disposiciones o actualizar la NOM-024 en los próximos meses, así que vale la pena revisar el DOF de vez en cuando. Y si tienes dudas sobre tu caso concreto, consulta a un abogado.
La ley de datos personales también aplica
La información del expediente es, además, información personal sensible. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente se publicó el 20 de marzo de 2025 y sustituyó a la de 2010. Para tu clínica, lo más relevante:
- Los datos sobre el estado de salud son sensibles y requieren consentimiento expreso y por escrito (artículos 2 y 8).
- Necesitas un aviso de privacidad con el contenido que marca el artículo 15.
- Debes mantener medidas de seguridad administrativas, técnicas y físicas (artículo 18).
- Las personas pueden ejercer sus derechos de acceso, rectificación, cancelación y oposición (artículo 21 y siguientes).
- La autoridad en la materia ya no es el INAI: la ley designa a la Secretaría Anticorrupción y Buen Gobierno.
Lista de revisión para tu clínica
- Cada paciente tiene un solo expediente, con datos generales, historia clínica y notas de evolución.
- Cada nota lleva fecha, hora, nombre completo y firma de quien la elabora.
- Las correcciones se hacen con aclaraciones fechadas, sin borrar lo anterior.
- Los expedientes se conservan al menos cinco años desde la última atención.
- Cada profesional ve solo lo que necesita según su rol.
- Hay un aviso de privacidad y un consentimiento expreso para datos de salud.
- Tienes una forma clara de atender solicitudes escritas de pacientes y autoridades.
- Si usas un sistema electrónico, sabes cómo atiende los puntos de la NOM-024 y lo tienes documentado.
Cuidar el expediente sin cargarle más trabajo a tu equipo
En SanaMente cada nota se firma con la cédula profesional de quien la elabora, las correcciones se agregan como adendas con fecha, los expedientes se conservan cinco años y la dirección de la clínica ve agendas, carga de trabajo y notas pendientes, no el contenido clínico. Si quieres verlo en tu clínica, el programa piloto está abierto.
Este artículo es informativo y no constituye asesoría legal. Para decisiones de cumplimiento, consulta a un abogado especialista en derecho sanitario.
Fuentes
- Secretaría de Salud. NORMA Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. DOF, 15 de octubre de 2012.
- Secretaría de Salud. NORMA Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. DOF, 30 de noviembre de 2012.
- Diario Oficial de la Federación. Decreto por el que se reforman, adicionan y derogan diversas disposiciones de la Ley General de Salud, 15 de enero de 2026. Capítulo VI Bis, Salud Digital, y artículos transitorios.
- Cámara de Diputados. Ley General de Salud, texto vigente con últimas reformas publicadas el 15 de enero de 2026.
- Cámara de Diputados. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025.