Cuando una empresa realiza exámenes médicos de ingreso, periódicos o de seguimiento, surge una duda que puede generar riesgos de cumplimiento y confidencialidad: quién debe resguardar expedientes clínicos laborales. La respuesta no es simplemente Recursos Humanos ni el área de seguridad e higiene. Depende de dónde se generó la atención médica, quién presta el servicio y qué tipo de documento se trata.

Resolverlo correctamente evita dos problemas frecuentes: exponer datos sensibles de los colaboradores y llegar a una inspección sin la evidencia que la autoridad laboral puede solicitar. El objetivo es conservar información útil para la empresa sin invadir la confidencialidad clínica que corresponde proteger.

El expediente clínico completo corresponde al servicio médico

El expediente clínico laboral contiene información médica confidencial: antecedentes, exploración física, resultados de laboratorio, estudios de gabinete, diagnósticos, notas de evolución y, cuando aplica, referencias a especialistas. Por su naturaleza, no debe circular libremente dentro de la empresa ni integrarse sin control al archivo general de personal.

Cuando los exámenes se realizan en una clínica, laboratorio o proveedor externo de salud ocupacional, ese establecimiento y el personal médico responsable deben resguardar el expediente clínico completo. La conservación debe cumplir con los criterios aplicables de la NOM-004-SSA3-2012, del expediente clínico, así como con las obligaciones de protección de datos personales.

En este esquema, la empresa contratante no necesita ni debe solicitar diagnósticos detallados, resultados completos o notas médicas que no sean indispensables para su obligación laboral. Lo que requiere para tomar decisiones operativas es un documento de aptitud laboral: apto, apto con restricciones, no apto temporalmente o pendiente de valoración, según el caso y el criterio médico.

Esta separación protege a ambas partes. El colaborador conserva la confidencialidad de su información de salud y la empresa obtiene evidencia objetiva para asignar puestos, prevenir riesgos y acreditar que cuenta con vigilancia de la salud ocupacional.

Quién debe resguardar expedientes clínicos laborales dentro de la empresa

Si la organización cuenta con un servicio médico interno que genera expedientes clínicos, la empresa, como responsable de ese establecimiento o servicio, debe asegurar su resguardo. Esto no significa que cualquier persona con funciones administrativas pueda acceder a ellos. Debe haber un responsable designado, controles de acceso y participación del personal médico autorizado.

En la práctica, el expediente debe mantenerse bajo custodia del servicio médico o del profesional de salud responsable. Recursos Humanos, seguridad e higiene y los mandos operativos pueden recibir únicamente la información necesaria para prevenir un riesgo o adecuar las condiciones de trabajo, por ejemplo, las restricciones médicas vigentes de un colaborador.

Un expediente clínico no debe quedar en un archivero abierto, enviarse por grupos de mensajería ni almacenarse en una carpeta digital compartida sin permisos. Tampoco es recomendable que el jefe directo reciba estudios de laboratorio o diagnósticos para decidir si una persona puede continuar en su puesto. Esa decisión debe basarse en una valoración médica ocupacional y en recomendaciones claras, pertinentes y limitadas a la función laboral.

Cuando el servicio se presta mediante un proveedor externo, el contrato debe definir con precisión qué conserva el proveedor, qué recibe la empresa, quién atiende las solicitudes de información y qué sucede con la documentación al terminar la relación comercial. Delegar la operación médica no elimina la responsabilidad de la empresa de verificar que sus datos laborales y su evidencia de cumplimiento estén ordenados.

Qué documentos debe conservar la empresa

La empresa necesita una carpeta documental de salud ocupacional, pero esa carpeta no tiene que replicar los expedientes clínicos. Debe contener evidencia suficiente de que realizó las acciones requeridas y de que tomó medidas preventivas cuando se identificaron restricciones o riesgos.

Conviene conservar, con control de acceso, las constancias de exámenes médicos practicados, los dictámenes de aptitud, las recomendaciones funcionales, las referencias de atención cuando procedan y los registros de seguimiento de restricciones. También son relevantes los programas de vigilancia de la salud, las campañas preventivas, las evaluaciones de riesgo y la documentación vinculada con las obligaciones aplicables de seguridad y salud en el trabajo.

La diferencia es clave: una constancia de aptitud puede indicar que una persona requiere evitar cargas superiores a cierto límite o exposición a determinado agente, sin revelar el diagnóstico que originó la recomendación. Con esa información, la empresa puede proteger al colaborador y ajustar la operación sin tratar datos clínicos innecesarios.

Para una visita de la STPS, disponer de expedientes clínicos completos no es sinónimo de estar mejor preparado. Una inspección requiere evidencia ordenada, verificable y relacionada con las obligaciones de prevención. Entregar información clínica excesiva puede abrir un riesgo de confidencialidad sin aportar valor al proceso.

Plazos de conservación: no todos los documentos se guardan igual

Los expedientes clínicos deben conservarse conforme a la regulación sanitaria aplicable. De forma general, la NOM-004-SSA3-2012 establece una conservación mínima de cinco años contados a partir del último acto médico. Sin embargo, pueden existir circunstancias específicas que justifiquen plazos mayores, como procesos legales, seguimiento médico, riesgos de trabajo o disposiciones internas sustentadas en obligaciones aplicables.

Los documentos laborales y de seguridad y salud tampoco tienen un único plazo universal. Su conservación depende del tipo de registro, de la norma aplicable, de la relación laboral y de la posibilidad de requerimientos por parte de autoridades. Por ello, una política documental útil debe clasificar la información antes de definir cuándo se elimina o se archiva.

La regla práctica es no conservar datos personales sensibles por tiempo indefinido ni destruir evidencia de manera anticipada. La empresa debe documentar criterios de retención, revisar sus obligaciones vigentes y aplicar una eliminación segura cuando la conservación ya no sea necesaria.

Cómo resguardar información médica sin frenar la operación

Un buen sistema de control no tiene por qué volver lenta a la empresa. La clave está en separar la información clínica de la información operativa y asignar responsables claros. El área médica conserva el expediente; Recursos Humanos administra la constancia de aptitud y las restricciones autorizadas; seguridad e higiene usa la información necesaria para prevenir exposiciones y adecuar puestos.

En archivos físicos, esto exige espacios cerrados, acceso limitado, bitácoras y criterios para préstamo o consulta. En archivos digitales, requiere perfiles de usuario, contraseñas seguras, respaldo de información, registro de accesos y mecanismos para evitar descargas o reenvíos no autorizados.

También debe existir un procedimiento para atender solicitudes de los colaboradores respecto de sus datos personales. El aviso de privacidad, la información sobre finalidades del tratamiento y el canal de atención no son documentos decorativos: forman parte del control que demuestra una gestión responsable de datos sensibles.

Los errores más costosos suelen ser simples: enviar resultados de estudios por correo sin protección, concentrar expedientes en el área administrativa, compartir diagnósticos con supervisores o asumir que el proveedor médico conserva todo sin pedir evidencia de su método de resguardo. Una revisión preventiva de estos puntos puede evitar conflictos laborales, observaciones de autoridad y pérdida de confianza interna.

El proveedor médico debe aportar evidencia, no trasladar riesgos

Al contratar servicios de salud ocupacional, solicite claridad desde el inicio. El proveedor debe explicar dónde se resguardan los expedientes, quién tiene acceso, cómo se entregan los dictámenes de aptitud, qué medidas aplica para proteger datos y cómo conserva la documentación clínica.

Además de realizar evaluaciones médicas, un aliado especializado debe ayudar a la empresa a organizar la evidencia que sí necesita para su cumplimiento. Esto es especialmente valioso cuando hay personal operativo, turnos múltiples, movilidad de colaboradores o preparación ante auditorías e inspecciones.

En CASMAT, la atención médica ocupacional puede coordinarse con la documentación que requiere la empresa para proteger a su fuerza laboral y sostener su operación. El criterio siempre debe ser el mismo: contar con información suficiente para actuar, sin exponer datos clínicos que deben permanecer bajo custodia profesional.

Ordenar hoy la custodia de los expedientes y las constancias laborales permite responder con seguridad mañana. La salud de los colaboradores está en las mejores manos cuando cada dato se utiliza para prevenir, se comparte solo con quien corresponde y se conserva con un propósito claro.