La historia clínica electrónica es uno de los pocos documentos que la ley peruana manda firmar con firma digital, y lo dice con esas palabras
La mayoría de las normas peruanas que hablan de firmar documentos electrónicos usan la expresión «firma electrónica» y dejan que cada quien decida el nivel. Es lo razonable: la ley no debería casarse con una tecnología. Hay excepciones, y una está en un sitio donde casi nadie la busca: la definición legal de historia clínica electrónica.
Dos definiciones que se parecen y no dicen lo mismo
El artículo 3 de la Ley 30024, promulgada el 21 de mayo de 2013, define por separado la historia clínica y la historia clínica electrónica. Las dos definiciones fueron reescritas por el artículo 2 del Decreto Legislativo 1306, publicado el 30 de diciembre de 2016, y quedaron así:
La historia clínica, literal j), es el documento médico legal con los datos del paciente y de los procesos de su atención, «que son refrendados con la firma manuscrita o digital de los mismos».
La historia clínica electrónica, literal k), es la «registrada en forma unificada, personal, multimedia; refrendada con la firma digital del médico u otros profesionales de salud».
La de papel admite dos opciones. La electrónica menciona una sola, y la menciona por su nombre técnico. Antes del Decreto Legislativo 1306 el literal j) decía «firma manuscrita» a secas, así que el cambio de 2016 abrió la puerta a la firma digital en la historia clínica corriente y dejó la de la historia clínica electrónica donde ya estaba.
En el Perú «firma digital» no es un sinónimo elegante de firma electrónica. Es una categoría con requisitos propios en la Ley 27269 y en su reglamento, y la diferencia entre las tres categorías está desarrollada en qué dice exactamente la ley peruana. La consecuencia práctica para un establecimiento de salud es directa: un sistema que registre el acto médico con usuario y contraseña, o con una imagen de firma insertada, produce un registro clínico, pero no produce lo que el literal k) llama historia clínica electrónica.
Quién firma, y por qué el certificado no es el de la clínica
El literal k) nombra al «médico u otros profesionales de salud», no al establecimiento. Es una firma de persona natural, atada a un colegiado concreto, no un sello institucional.
Eso ordena la compra, y es donde más proyectos se equivocan. Un certificado de persona jurídica identifica a la empresa a través de un suscriptor, y sirve para lo que la empresa hace como empresa. No sirve para atribuir un acto médico a quien lo realizó, que es exactamente lo que la historia clínica existe para probar. Qué tipo de certificado corresponde en cada caso está en certificado de persona natural, de persona jurídica o de agente automatizado.
Para un establecimiento con cincuenta profesionales eso significa cincuenta certificados de persona natural, con sus renovaciones escalonadas y sus altas y bajas cuando alguien entra o sale. Es un coste recurrente que rara vez aparece en el presupuesto del sistema de historias clínicas, y aparece siempre en el segundo año.
Lo que la ley encargó a RENIEC, y lo que hoy está activo
El artículo 8 de la Ley 30024 reparte la autenticación en dos numerales.
El 8.1 dice que RENIEC, «entidad de certificación del Estado peruano, y las demás entidades de certificación digital brindan los servicios de certificación digital para la autenticación de la identidad de las personas naturales y jurídicas». La ley no reserva el mercado: nombra a RENIEC y deja abiertas las demás entidades dentro de la Infraestructura Oficial de Firma Electrónica.
El 8.2 es más ambicioso. RENIEC «proporciona en formato electrónico y en línea, y de forma irrestricta y gratuita, los servicios que permitan autenticar la identificación de las personas en el ámbito de la atención de salud», y lo hace a través de la Plataforma de Interoperabilidad del Estado. El artículo 2.3 repite la idea para el registro entero: el RENHICE «utiliza la Plataforma de Interoperabilidad del Estado (PIDE) para el acceso a la información clínica».
Conviene mirar qué hay hoy en esa plataforma antes de diseñar una integración encima. En el catálogo de servicios de la PIDE publicado por la PCM en septiembre de 2026, RENIEC figura con trece servicios y solo tres están en estado activo: consulta de DNI, restricciones en la ficha y domicilio legal con ubigeo. La consulta biométrica de huellas y la de firma digitalizada por DNI siguen marcadas como pendientes. El desglose completo del catálogo, con los 980 servicios y los 178 activos, lo publicamos hoy en interoperabilidad con la PIDE.
La obligación que casi nunca se presupuesta: el registro de accesos
La quinta disposición complementaria final de la Ley 30024, también reescrita por el Decreto Legislativo 1306, da al paciente el derecho de seguir los accesos a su información clínica «a fin de poder verificar la legitimidad de estos». Y concreta qué tiene que poder ver: fecha y hora de cada acceso, establecimiento desde el que se hizo, profesional que accedió y características de la información a la que accedió.
Eso es una obligación de trazabilidad con destinatario externo. No se cumple con los registros del servidor de base de datos: hace falta un registro consultable por el propio paciente. Y encaja con lo que el artículo 46.3 del reglamento de protección de datos exige a cualquier sistema que trate datos personales, con su mínimo de dos años de conservación, que explicamos en el documento de seguridad con fecha cierta.
La información clínica es dato sensible, así que aquí se suman dos regímenes: el de la Ley 30024 y el de la Ley 29733. El artículo 7 de la Ley 30024 lo dice sin rodeos, remitiendo a la Ley de Protección de Datos Personales «bajo responsabilidad administrativa, civil o penal».
Dónde está la distancia entre la norma y lo instalado
La norma es de 2013 y su reglamento, el Decreto Supremo 009-2017-SA, del 23 de marzo de 2017. El artículo 6.2 de la ley encarga la implantación «progresivamente, conforme a su disponibilidad presupuestal», que es la fórmula con la que se aplaza algo sin fecha.
En la directiva que establece el proceso de acreditación de los sistemas de información de historias clínicas electrónicas, aprobada en 2025 por Resolución Ministerial 164-2025/MINSA, aparece un paréntesis que vale más que muchos informes: al describir la autorización del paciente para enviar su historia clínica al RENHICE, admite que esa autorización se recoge con firma electrónica de tipo usuario y contraseña «mientras no se implemente la firma digital».
Esa frase dice dos cosas a la vez. Que el propio Ministerio distingue entre lo uno y lo otro, y que en 2025 la firma digital del paciente seguía siendo el destino y no el estado actual. Para un establecimiento privado que está eligiendo sistema, el aviso es útil al revés de como suele leerse: la firma del profesional no tiene esa moratoria, porque no depende de una plataforma del Estado sino de un certificado que se compra.
Qué preguntarle a tu proveedor de historias clínicas
Cuatro preguntas que se responden con un sí o un no, y que en las demostraciones comerciales casi nunca se hacen:
- ¿El sistema firma cada registro con el certificado del profesional, o guarda una imagen de su firma?
- ¿Dónde vive la clave privada del profesional y qué la desbloquea en cada firma?
- ¿El sistema conserva el registro de accesos con los cuatro datos de la quinta disposición de la Ley 30024, y puede mostrárselos al paciente?
- ¿Qué pasa con los documentos ya firmados cuando el certificado del profesional caduca o se revoca?
La cuarta es la que envejece peor. Una historia clínica se conserva años y un certificado dura uno, dos o tres. Para que una firma siga siendo comprobable después de que su certificado caduque hace falta fijar el instante en que se firmó, y eso es lo que hace el sellado de tiempo, explicado en por qué una firma sin fecha cierta vale menos de lo que parece.
Lo que no se afirma aquí
Que un establecimiento que hoy no firma digitalmente esté sancionado por ello. Lo verificado es qué define la ley como historia clínica electrónica. El régimen sancionador de la autoridad de salud no se revisó.
Qué dice el reglamento, el Decreto Supremo 009-2017-SA, sobre firma digital artículo por artículo. Su texto no se pudo obtener de una fuente oficial con capa de texto en el momento de escribir esto, así que solo se cita su número y su fecha de publicación.
El número exacto de la directiva de acreditación de 2025. La copia consultada es un escaneo y el número de la directiva no se lee con certeza; sí se lee su título y la resolución ministerial que la aprueba.
Qué tipo de firma exige la receta electrónica. Es un régimen distinto del de la historia clínica y no se verificó para este artículo.
Si te toca comprar los certificados
En mifirmadigital.pe emitimos certificados de persona natural para profesionales, que es la figura que pide el literal k). Si el proyecto tiene decenas de firmantes, lo que conviene revisar antes que el precio unitario es cómo se renuevan en bloque y qué pasa cuando alguien causa baja: esa parte está en qué hacer cuando tu certificado digital vence.
Fuentes
- Ley 30024, Ley que crea el Registro Nacional de Historias Clínicas Electrónicas, promulgada el 21 de mayo de 2013: artículos 2.3, 3 literales j) y k), 6.2, 7 y 8, y quinta disposición complementaria final.
- Decreto Legislativo 1306, publicado el 30 de diciembre de 2016, artículo 2, que modifica las definiciones anteriores.
- Decreto Supremo 009-2017-SA, publicado el 23 de marzo de 2017, reglamento de la Ley 30024.
- Catálogo de servicios de la Plataforma de Interoperabilidad del Estado, publicado por la PCM el 3 de septiembre de 2026.