Consentimiento informado con firma electrónica: cuándo sí y dónde la norma sigue pidiendo papel
La respuesta corta
Depende de cuál de los tres documentos que se llaman igual. La NOM-004-SSA3-2012 nunca dice «firma autógrafa» en la carta de consentimiento informado: su numeral 5.10 admite firma autógrafa, electrónica o digital, y el 5.12 permite integrar el expediente por medios electrónicos. Lo que sí exige son cuatro firmas —paciente, médico que informa y dos testigos—, y ahí se cae la mayoría de los flujos digitales. La excepción dura vive fuera de la norma: el artículo 82 del Reglamento de la Ley General de Salud en materia de prestación de servicios de atención médica ordena que la autorización de ingreso hospitalario sea un documento impreso.
No hay un solo consentimiento informado
En una clínica se llaman igual tres documentos con reglas distintas. Uno es la carta de consentimiento informado del expediente clínico, que regula la NOM-004-SSA3-2012. Otro es la autorización de ingreso que se recaba en un hospital, que sale del Reglamento de la Ley General de Salud en materia de prestación de servicios de atención médica, un texto de 1986 cuya última reforma es del 17 de julio de 2018. El tercero es el consentimiento para tratar datos personales de salud, que no es sanitario sino de protección de datos y tiene ley propia desde 2025. Los tres contestan distinto la pregunta de si se pueden firmar con una liga.
Lo que la NOM-004 sí exige
La norma define las cartas de consentimiento informado, en su numeral 4.2, como los documentos escritos, signados por el paciente o su representante legal o familiar más cercano en vínculo, mediante los cuales se acepta un procedimiento médico o quirúrgico una vez que se ha recibido información de los riesgos y beneficios esperados. De ahí para abajo, el contenido mínimo está tasado.
- Numeral 10.1.1. Nombre de la institución y del establecimiento, título del documento, lugar y fecha, acto autorizado, señalamiento de los riesgos y beneficios esperados, y la autorización al personal de salud para atender contingencias y urgencias derivadas del acto.
- Numerales 10.1.1.8, 10.1.1.9 y 10.1.1.10. Nombre completo y firma del paciente —o del familiar más cercano en vínculo que se encuentre presente, del tutor o del representante legal, si su estado de salud no le permite firmar—, del médico que proporciona la información y recaba el consentimiento, y de dos testigos.
- Numeral 10.1.2. Los eventos mínimos que requieren carta: ingreso hospitalario, cirugía mayor, anestesia general o regional, salpingoclasia y vasectomía, donación de órganos y trasplantes, investigación clínica en seres humanos, necropsia hospitalaria, procedimientos diagnósticos y terapéuticos que el médico considere de alto riesgo, y cualquier procedimiento que entrañe mutilación.
- Numeral 10.1.3. El personal de salud puede recabar cartas adicionales a esa lista cuando lo estime pertinente, «sin que, para ello sea obligatorio el empleo de formatos impresos».
Donde se cae un flujo digital no es en la validez de la firma, entonces, sino en la aritmética: son cuatro firmas sobre el mismo documento y dos de ellas son de testigos. Una liga que sólo firma el paciente produce un documento que la norma no reconoce como carta de consentimiento informado, por muy fiable que sea la firma. Si el software de la clínica manda cuatro archivos sueltos, tampoco: lo que se firma es un documento, no un trámite. La diferencia entre firma simple y avanzada es secundaria aquí; el 5.10 admite las dos.
El renglón que casi nadie cita: «el documento deberá ser impreso»
El artículo 80 del Reglamento ordena que en todo hospital, y siempre que el estado del usuario lo permita, se recabe a su ingreso la autorización escrita y firmada para practicarle los procedimientos médico-quirúrgicos necesarios, «debiendo informarle claramente el tipo de documento que se le presenta para su firma». El 81 resuelve la urgencia y la incapacidad: firma el familiar más cercano en vínculo que le acompañe, el tutor o el representante legal, y si no hay nadie, dos médicos autorizados del hospital deciden y dejan constancia por escrito en el expediente.
Qué debe contener, según el artículo 82
El artículo 82 lista lo que debe contener ese documento —institución, establecimiento, título, lugar y fecha, nombre y firma de quien otorga la autorización, nombre y firma de los testigos, y el procedimiento a aplicar con su explicación— y cierra con un párrafo que no aparece en ninguna guía de proveedor: «El documento deberá ser impreso, redactado en forma clara, sin abreviaturas, enmendaduras o tachaduras». Y el 83 sube el requisito cuando se trata de una amputación, mutilación o extirpación orgánica que produzca modificación física permanente: ahí el documento debe suscribirse además por dos testigos idóneos designados por el interesado o por quien lo firme.
Hospital, consultorio o clínica ambulatoria
Ese capítulo del Reglamento habla de hospitales. Un consultorio o una clínica ambulatoria que no interna pacientes no está en el supuesto del artículo 80, y ahí la regla que manda es la NOM-004, que sí admite la firma electrónica. Es la línea que conviene trazar antes de digitalizar nada, porque no la traza el proveedor de software: la traza el tipo de establecimiento y el procedimiento.
| Documento | De dónde sale la regla | ¿Se puede firmar con una liga? |
|---|---|---|
| Carta de consentimiento informado en consultorio | NOM-004-SSA3-2012, numerales 10.1.1 y 5.10 | Sí, si el documento reúne las cuatro firmas |
| Autorización de ingreso hospitalario | Reglamento de la LGS, artículos 80 y 82 | No: el 82 pide documento impreso |
| Autorización de amputación o mutilación | Reglamento de la LGS, artículo 83 | No: dos testigos idóneos designados por el interesado |
| Consentimiento en una teleconsulta | Ley General de Salud, artículo 71 Septies, fracción III | Sí, y desde enero de 2026 es condición del servicio |
| Consentimiento para tratar datos de salud | Ley Federal de Protección de Datos Personales, artículo 8 | Sí: la ley nombra la firma electrónica |
| Contrato de prestación de servicios médicos | NOM-004, numeral 5.19: copia en el expediente | Sí |
Lo que cambió el 15 de enero de 2026
Ese día se publicó en el Diario Oficial un decreto que agregó a la Ley General de Salud el Capítulo VI Bis, «Salud Digital», con los artículos 71 Bis a 71 Octies, y metió la salud digital como fracción XXVIII del artículo 3o., es decir, como materia de salubridad general. El 71 Bis la define como la aplicación de las tecnologías de la información y la comunicación en los servicios de salud, «como es el caso, entre otros, de la telesalud, la telemedicina, la salud móvil, los registros médicos o de salud electrónicos y dispositivos portátiles». El 71 Sexies define la telesalud.
El 71 Septies y sus cuatro condiciones
El que importa para este tema es el 71 Septies, que pone cuatro condiciones a los servicios de telesalud. Las dos últimas son las que cambian la operación de un consultorio: la fracción III obliga a «incorporar mecanismos para la obtención del consentimiento informado en la prestación de servicios de salud a distancia, garantizando comprensión y voluntariedad», y la IV, a «asegurar la adecuada documentación y registro de las atenciones médicas brindadas mediante plataformas digitales». Atender por videollamada y no dejar rastro documental dejó de ser una zona gris.
El otro consentimiento: el de los datos
El expediente de un paciente es, entero, un archivo de datos personales sensibles: la fracción VI del artículo 3 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares —ley nueva, publicada el 20 de marzo de 2025— cuenta entre ellos los que revelan el «estado de salud presente o futuro». Y su artículo 8 es explícito en algo que la norma sanitaria no podía serlo, porque es doce años más vieja: tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito de la persona titular «a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación que al efecto se establezca».
Dos consentimientos, dos hojas
Son dos consentimientos distintos y conviene no juntarlos en la misma hoja. El sanitario autoriza un acto médico; el de datos autoriza el tratamiento de la información. Un paciente puede revocar el segundo sin revocar el primero, y el aviso de privacidad tiene que decir cómo se hace.
Cómo se arma sin romper nada
- 1Separa por tipo de establecimiento y procedimiento. Si hay internamiento, el documento del ingreso se imprime. Lo demás del expediente puede ir por medios electrónicos, en los términos del 5.12.
- 2Junta las cuatro firmas en un solo documento. Paciente, médico que informa y dos testigos, sobre el mismo archivo. Cuatro archivos separados no son la carta que pide el 10.1.1.
- 3Guarda el acuse, no sólo el PDF. Lo que sostiene una firma electrónica es la evidencia alrededor: quién abrió, desde dónde, a qué hora y con qué huella del archivo. Qué debe traer está en el acuse de auditoría, y cualquiera se puede comprobar en /verificar.
- 4Conserva cinco años. El numeral 5.4 lo dice así: por tratarse de documentos elaborados en interés y beneficio del paciente, deberán conservarse por un periodo mínimo de 5 años contados a partir de la fecha del último acto médico. El mismo numeral aclara que el expediente es propiedad del prestador, y que el paciente tiene derechos de titularidad sobre la información.
- 5Mete el contrato al expediente. El 5.19 obliga a que, cuando medie un contrato suscrito por las partes para la prestación de servicios de atención médica, exista invariablemente una copia de ese contrato en el expediente clínico. Ese sí se firma en línea sin discusión: es un contrato de prestación de servicios profesionales como cualquier otro.
Con eso, lo que queda en papel en una clínica se reduce a dos cosas —el ingreso hospitalario y los procedimientos del artículo 83— y todo lo demás deja de imprimirse, firmarse a mano y escanearse para volver a subirlo. Puedes empezar con el plan gratuito de 10 documentos y armar primero el flujo de un solo tipo de carta, el que más veces al mes recabas.
De dónde salen las citas
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en el texto vigente que publica la Cámara de Diputados.
- Ley General de Salud, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿La NOM-004 exige firma autógrafa en el consentimiento informado?
No. El numeral 10.1.1.8 pide «nombre completo y firma del paciente» sin adjetivo, y el 4.2 habla de documentos escritos y signados. El numeral que sí habla de tipos de firma es el 5.10, y admite las tres: «la firma autógrafa, electrónica o digital, según sea el caso; estas dos últimas se sujetarán a las disposiciones jurídicas aplicables». El 5.12 permite además usar medios electrónicos, de manera optativa, en la integración del expediente clínico.
¿Puedo mandarle al paciente una liga para firmar su consentimiento informado?
En un consultorio o clínica ambulatoria, sí, siempre que el documento reúna las cuatro firmas que pide el numeral 10.1.1: paciente, médico que proporciona la información y recaba el consentimiento, y dos testigos. Para el ingreso a un hospital no: el artículo 82 del Reglamento de la Ley General de Salud en materia de prestación de servicios de atención médica cierra ordenando que ese documento deberá ser impreso.
¿Quiénes tienen que ser los dos testigos de la carta de consentimiento?
La NOM-004 sólo pide, en el numeral 10.1.1.10, el nombre completo y la firma de dos testigos; no dice quiénes pueden serlo. Donde la regla se aprieta es en el artículo 83 del Reglamento: cuando el procedimiento implique amputación, mutilación o extirpación orgánica que produzca modificación física permanente, el documento debe ir suscrito además por dos testigos idóneos designados por el interesado o por la persona que lo suscriba.
¿La reforma de enero de 2026 obliga a mi consultorio a tener expediente electrónico?
El texto publicado no dice eso. El decreto del 15 de enero de 2026 agregó el Capítulo VI Bis de Salud Digital a la Ley General de Salud, y sus artículos 71 Quater y 71 Quinquies se dirigen a la Secretaría de Salud y a las instituciones públicas prestadoras de servicios de salud. Lo que sí alcanza a la práctica privada es el artículo 71 Septies, que fija condiciones a los servicios de telesalud sin distinguir quién los presta: entre ellas, obtener el consentimiento informado a distancia y documentar y registrar la atención.
¿El consentimiento para tratar datos personales es el mismo documento?
No, y conviene tenerlos aparte. Los datos de salud son sensibles conforme al artículo 3, fracción VI, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y su artículo 8 exige consentimiento expreso y por escrito, obtenido mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que se establezca. El consentimiento informado autoriza un acto médico; éste autoriza el tratamiento de la información, y se puede revocar sin revocar el otro.
¿Cuánto tiempo hay que conservar una carta de consentimiento informado?
Un mínimo de cinco años contados a partir de la fecha del último acto médico, según el numeral 5.4 de la NOM-004-SSA3-2012, que aplica a los documentos del expediente clínico por tratarse de documentos elaborados en interés y beneficio del paciente. El mismo numeral establece que el expediente es propiedad de la institución o del prestador que lo genera, y que el paciente tiene derechos de titularidad sobre la información.