Si tienes un consultorio privado y últimamente escuchaste hablar de la NOM-024-SSA3, es probable que te hayas preguntado si tu agenda, tu sistema de mensajes o tu asistente de WhatsApp «cumple» con esa norma, y si no lo hace, si estás en riesgo. La confusión es completamente entendible: el lenguaje regulatorio en salud puede ser denso, y cuando alguien menciona «expediente clínico electrónico» junto con «norma oficial», lo natural es ponerse alerta.
La buena noticia es que la NOM-024 en consultorios privados no aplica a todo lo que digitalizas en tu clínica. Aplica a una categoría muy específica de sistemas. Entender esa distinción te va a ahorrar tiempo, dinero y preocupaciones innecesarias, y también te va a ayudar a exigirle lo correcto a las herramientas que sí usas para comunicarte con tus pacientes.
¿Qué regula exactamente la NOM-024-SSA3?
La NOM-024-SSA3 regula los Sistemas de Información de Registro Electrónico para la Salud, conocidos como SIRES. En términos prácticos, se refiere a los sistemas que capturan, almacenan, procesan y transmiten el expediente clínico electrónico de un paciente: diagnósticos, notas médicas, prescripciones, resultados de laboratorio e historial clínico.
La norma establece requisitos técnicos y funcionales que deben cumplir esos sistemas: integridad de la información, trazabilidad de cambios, firma electrónica del médico e interoperabilidad con otros sistemas de salud, entre otros.
Dicho de forma directa: la NOM-024 le aplica a tu sistema de expediente clínico electrónico, si es que usas uno. No le aplica a tu agenda, a tus mensajes de WhatsApp, a tu sistema de recordatorios ni a tus herramientas de comunicación con pacientes.
- SIRES: sistemas que almacenan diagnósticos, recetas, notas clínicas y resultados de laboratorio.
- Requisitos técnicos que exige: integridad de datos, trazabilidad de cambios, firma electrónica del médico.
- Alcance real: únicamente los sistemas que forman parte del expediente clínico oficial.
- No incluye: agendas, herramientas de WhatsApp, sistemas de recordatorios ni CRM de pacientes.
La distinción que más importa: tu agenda y tu asistente de WhatsApp no son expediente clínico
Aquí está el punto central que muchos proveedores de tecnología no dejan claro: una herramienta que te ayuda a agendar citas, enviar recordatorios, confirmar asistencia o responder preguntas frecuentes de tus pacientes por WhatsApp no es un expediente clínico electrónico. Por lo tanto, no tiene que cumplir la NOM-024.
Lo que sí existe y sigue vigente es la NOM-004-SSA3, que regula el expediente clínico en general, incluyendo el físico. Tu herramienta de comunicación no reemplaza ese expediente; lo complementa. Un agente inteligente de WhatsApp como MAYA te ayuda a que más pacientes lleguen a su cita, a recuperar citas que se estaban perdiendo y a no dejar mensajes sin respuesta a las diez de la noche. Pero el expediente clínico sigue siendo tuyo, en tu sistema, bajo tu responsabilidad como profesional de la salud.
Esta distinción es importante porque algunos proveedores en el mercado generan confusión al mezclar las dos cosas, ya sea para inflar sus características o para crear un temor innecesario. Antes de contratar cualquier herramienta, vale la pena preguntar directamente: ¿este sistema pretende ser un SIRES o es una herramienta de comunicación con pacientes?
Lo que sí debes exigirle a una herramienta de comunicación para tu clínica
Que la NOM-024 no aplique a tu asistente de WhatsApp no significa que puedas usar cualquier cosa sin revisar nada. Hay un marco regulatorio diferente que sí aplica a toda herramienta que maneje datos personales de tus pacientes en México, y vale la pena conocerlo.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), actualizada en 2025, establece obligaciones claras para cualquier organización que recopile, almacene o procese datos personales. Un consultorio privado que guarda nombres, teléfonos y motivos de consulta de sus pacientes está alcanzado por esta ley.
Estas son las preguntas concretas que debes hacerle a cualquier proveedor antes de contratar:
- ¿Los datos de mis pacientes se almacenan en servidores ubicados en México? (No en Estados Unidos ni en Europa, donde aplican otras jurisdicciones.)
- ¿La herramienta cifra la información sensible? (Busca cifrado AES-256 o equivalente.)
- ¿Cómo ejercen mis pacientes sus derechos ARCO: Acceso, Rectificación, Cancelación y Oposición?
- ¿El proveedor usa la API oficial de WhatsApp Business de Meta, o métodos no autorizados que pueden exponer tu número a bloqueos?
- ¿Cuentas con un Aviso de Privacidad claro que puedas mostrar a tus pacientes?
- ¿El proveedor emite CFDI 4.0 para que puedas deducir el gasto ante el SAT?
Un ejemplo concreto: cuánto puede costar no tener seguimiento
Más allá del tema regulatorio, hay un número que vale la pena calcular con tu propia agenda. Datos del sector en clínicas ambulatorias sugieren que alrededor del 23 % de las citas programadas no se presentan (fuente: JAMA Internal Medicine, 2023, como referencia orientativa). Si tu clínica agenda 120 citas al mes y el valor promedio de una consulta es de $700 MXN, la estimación es la siguiente:
120 citas × 23 % × $700 MXN = $19,320 MXN al mes en citas que simplemente no llegaron.
Una objeción frecuente que escuchamos de dueños de clínica es: «prefiero esperar a tener todo claro antes de agregar tecnología». Es una postura comprensible, pero tiene un costo real: estudios del sector estiman que cerca del 68 % de los pacientes que no reciben seguimiento proactivo no regresan (McKinsey Health, referencia orientativa). Esperar tiene un precio mensual visible.
Parte de esas citas se pueden recuperar con seguimiento oportuno: un mensaje de confirmación 48 horas antes, un recordatorio el día previo, una pregunta simple de «¿sigues con tu cita de mañana?». Eso es exactamente lo que hace MAYA por WhatsApp, sin que tengas que cambiar tu sistema de expediente clínico ni tu agenda actual. Funciona junto a lo que ya tienes, sin migraciones ni contratos.
¿Qué pasa si en el futuro decides implementar un SIRES?
Si en algún momento decides adoptar un sistema de expediente clínico electrónico que sí sea un SIRES, entonces tendrás que verificar que cumpla con la NOM-024-SSA3. Ese proveedor deberá demostrarte que su sistema cuenta con los mecanismos de integridad, trazabilidad y firma electrónica que exige la norma.
Pero esa es una decisión separada y posterior. No tiene por qué estar mezclada con la decisión de usar hoy una herramienta de comunicación con pacientes.
La pregunta correcta no es «¿esta herramienta cumple la NOM-024?», sino «¿esta herramienta cumple la LFPDPPP y usa canales oficiales de WhatsApp?». Esa distinción te protege a ti y a tus pacientes, y te permite tomar decisiones sin confusión.
Lo que vale la pena llevarte de este artículo
Tres ideas concretas antes de cerrar esta página:
Primero, la NOM-024-SSA3 regula los sistemas de expediente clínico electrónico (SIRES), no tus herramientas de comunicación con pacientes. Tu asistente de WhatsApp no es un SIRES y no tiene que cumplir esa norma. Segundo, la LFPDPPP sí aplica a cualquier herramienta que maneje datos de tus pacientes: exige servidores en México, cifrado, derechos ARCO y Aviso de Privacidad. Tercero, el marco que protege el expediente de tus pacientes (NOM-004) sigue siendo tu responsabilidad como profesional; las herramientas de comunicación lo complementan, no lo reemplazan.
Si quieres revisar cómo funciona Klinova en la práctica, tienes 14 días gratis para probarlo sin tarjeta y sin contrato. Si prefieres empezar con números, la calculadora de ROI te muestra en menos de dos minutos cuánto podrías recuperar con tu propia agenda.