Leyes de Retención de Registros Médicos por Estado (Guía 2026)

La ley estatal, no HIPAA, es la que determina por cuánto tiempo deben conservar los proveedores de salud los registros médicos de los pacientes. Los periodos de retención van desde 3 años en Wyoming hasta 20 años para los hospitales de Massachusetts, y la mayoría de los estados se ubican entre 5 y 10 años. HIPAA, bajo 45 CFR 164.530(j), rige únicamente los documentos administrativos de cumplimiento, no los expedientes de los pacientes.

Las leyes de retención de registros médicos determinan por cuánto tiempo los hospitales, médicos y otros proveedores de salud deben conservar su información de salud en archivo. Estas leyes varían significativamente de un estado a otro, con periodos de retención que van desde 3 años en Wyoming hasta 20 años para los hospitales de Massachusetts.

Esta guía cubre los requisitos de cada estado, las reglas federales bajo HIPAA y Medicare, las reglas especiales para menores y pacientes fallecidos, sus derechos como paciente, y qué sucede cuando se destruyen los registros.

Requisitos Federales: Lo Que HIPAA Realmente Establece

Uno de los conceptos erróneos más comunes en el derecho de la salud es que HIPAA exige a los proveedores conservar los registros médicos durante un número específico de años. No es así.

Documentación de HIPAA vs. Registros Médicos

HIPAA exige que las entidades cubiertas conserven la documentación administrativa relacionada con HIPAA (políticas de privacidad, procedimientos, registros de capacitación, acuerdos de asociado de negocios, registros de quejas) durante 6 años desde la fecha de creación o la última fecha de vigencia, bajo 45 CFR 164.530(j).

Este requisito de 6 años aplica a la documentación de cumplimiento de HIPAA, no a los expedientes médicos de los pacientes. El tiempo que deben conservarse los expedientes reales de los pacientes lo determina la ley estatal.

Requisitos de Medicare y Medicaid

Las Condiciones de Participación de CMS establecen mínimos federales independientes para los proveedores que participan en Medicare o Medicaid:

¿Qué Ley Rige?

Siempre aplica el requisito más estricto. Si la ley estatal exige 10 años y la ley federal exige 7, el proveedor debe conservar los registros durante 10 años. Si la ley federal exige 7 años y el estado solo exige 5, el proveedor debe conservarlos durante 7 años.

Retención de Registros bajo HIPAA: Lo Que la Ley Realmente Exige

La frase "retención de registros bajo HIPAA" genera confusión considerable entre pacientes y proveedores por igual. Muchas personas creen que HIPAA exige conservar los registros médicos durante 7 años. Esto es incorrecto. La cifra de 7 años proviene de Medicare, no de HIPAA.

La Regla de HIPAA de 6 Años

Bajo 45 CFR 164.530(j), HIPAA exige que las entidades cubiertas conserven únicamente los documentos administrativos de cumplimiento durante 6 años. Estos documentos incluyen:

• Políticas y procedimientos de privacidad y seguridad
• Evaluaciones de riesgo e informes de incidentes de seguridad
• Documentación de notificación de infracciones
• Registros de capacitación del personal y acuses de recibo
• Acuerdos de Asociado de Negocios (BAA)
• Registros de quejas de pacientes y su resolución
• Avisos de Prácticas de Privacidad

Esta es una regla de retención de documentos, no una regla de retención de registros médicos. La distinción importa porque muchas organizaciones de salud confunden ambas cosas y aplican el estándar equivocado.

De Dónde Viene el Mito de los "7 Años"

La creencia generalizada de que "HIPAA exige 7 años" se origina en tres fuentes:

El requisito de 7 años de Medicare. CMS exige que los proveedores de Medicare conserven los registros durante 7 años desde la fecha del servicio. Como la mayoría de los proveedores de salud participan en Medicare, esta regla de 7 años les aplica a través de CMS, no de HIPAA.

Las leyes estatales. Muchos estados grandes (California, Indiana, Pensilvania, Texas y otros) fijan su periodo de retención en 7 años. Cuando los proveedores en esos estados escuchan "7 años", asumen que proviene de HIPAA.

Capacitación de cumplimiento incorrecta. Algunos materiales de capacitación en cumplimiento afirman que "HIPAA exige 7 años" sin distinguir entre los requisitos de documentación administrativa de HIPAA y las leyes estatales de retención de registros médicos.

Lo Que los Proveedores Realmente Deben Hacer

Los proveedores de salud deben seguir tres reglas superpuestas y conservar los registros durante el periodo que sea más largo:

1. Documentos administrativos de HIPAA: 6 años desde la creación o la última fecha de vigencia
2. Ley estatal de registros médicos: varía según el estado (3 a 20 años)
3. Participación en programas federales: 7 años para Medicare, 10 años para Medicare Parte D

Para la mayoría de los proveedores, la ley estatal o el requisito de Medicare será más largo que la regla de documentación administrativa de HIPAA. La AMA recomienda, como mejor práctica, conservar todos los registros de pacientes durante al menos 10 años desde la fecha del último tratamiento, sin importar los mínimos estatales.

Retención de Registros Médicos por Estado

La siguiente tabla muestra los requisitos de retención para los 50 estados y el Distrito de Columbia. Donde los estados tienen reglas distintas para hospitales y consultorios médicos, se listan ambas. Haga clic en el nombre de cualquier estado para ver la página detallada de retención de ese estado.

Los Estados con los Requisitos Más Largos

Varios estados exigen periodos de retención significativamente más largos que el promedio nacional.

Massachusetts exige que los hospitales conserven los registros durante 20 años después del alta o el tratamiento final, bajo Mass. Gen. Laws ch. 111, 70. Este es el requisito individual más largo del país. Los consultorios médicos deben conservar los registros durante 7 años.

Minnesota exige que los hospitales conserven de forma permanente lo que el comisionado de salud define como el "expediente médico permanente individual" bajo Minn. Stat. 145.32. Otras porciones del expediente pueden desecharse después de 7 años, pero los registros centrales deben conservarse indefinidamente.

Carolina del Norte exige que los hospitales conserven los registros durante 11 años después del alta, bajo 10A NCAC 13B .3903. Los registros de menores deben conservarse hasta el trigésimo cumpleaños del paciente, el requisito específico para menores más largo del país.

Carolina del Sur exige que los médicos conserven los registros durante 10 años, con un periodo extendido de 13 años para los registros de menores, bajo S.C. Code Ann. 44-115-120.

Los Estados con los Requisitos Más Cortos

Wyoming tiene el requisito de retención más corto, con apenas 3 años para los registros hospitalarios, bajo Wyo. Stat. 35-2-606.

Florida, Kentucky, Nevada, Oklahoma y Wisconsin exigen todos solo 5 años de retención para al menos algunos tipos de proveedores.

Nebraska no impone un periodo de retención obligatorio específico en sus estatutos. Sin embargo, los proveedores no pueden destruir los registros después de recibir una solicitud del paciente, bajo Neb. Rev. Stat. 71-8403.

Virginia Occidental no especifica una duración, pero exige que los registros se conserven en su forma original, en microfilm o en formato electrónico.

Diferencias entre Hospitales y Consultorios Médicos

Muchos estados establecen periodos de retención distintos para hospitales y consultorios médicos privados. En algunos estados, los hospitales deben conservar los registros por más tiempo; en otros, los consultorios médicos tienen el requisito más largo.

Registros de Pacientes Pediátricos y Menores

Los registros médicos de los niños reciben protección especial en la mayoría de los estados. Como los menores no pueden presentar reclamos legales por sí mismos, muchos estados extienden el periodo de retención hasta bastante después de que el menor alcanza la mayoría de edad. Esta sección reúne todos los requisitos de retención específicos para menores de la tabla de 50 estados anterior.

Por Qué los Registros Pediátricos se Conservan por Más Tiempo

Dos principios legales impulsan una retención más larga para los registros pediátricos:

Suspensión del plazo de prescripción. En la mayoría de los estados, el plazo de prescripción para negligencia médica no comienza a correr hasta que el menor alcanza la mayoría de edad (típicamente 18 años). Un niño lesionado al nacer puede tener hasta los 20 o 21 años para presentar una demanda, dependiendo del periodo de limitación del estado.

Continuidad de la atención. Los registros de vacunación pediátrica, las gráficas de crecimiento, las evaluaciones del desarrollo y los historiales de enfermedades infantiles informan las decisiones médicas en la adultez. La Academia Estadounidense de Pediatría recomienda que los pediatras conserven los registros de forma indefinida cuando sea posible.

Requisitos de Retención para Menores por Estado (de Mayor a Menor)

La siguiente tabla muestra cada estado con un requisito específico de retención para menores, ordenado del periodo más largo al más corto.

Los estados no listados arriba (Connecticut, Delaware, Florida, Idaho, Illinois, Indiana, Luisiana, Massachusetts, Michigan, Minnesota, Misisipi, Ohio, Oklahoma, Oregón, Dakota del Sur, Vermont, Virginia Occidental, Wisconsin, Wyoming) aplican el mismo periodo de retención que los registros de adultos o no especifican un requisito de retención separado para menores.

¿Cuánto Tiempo Conservan los Registros los Pediatras?

Los pediatras siguen las mismas leyes estatales de retención que otros médicos, pero las consideraciones prácticas a menudo los llevan a conservar los registros por más tiempo. La AAP recomienda que las consultas pediátricas conserven los registros durante al menos el periodo del plazo de prescripción para negligencia médica en su estado, medido desde el cumpleaños número 18 del paciente. En los estados con un plazo de prescripción de 2 años, eso significa conservar los registros hasta que el antiguo paciente cumpla al menos 20 años.

Para las especialidades pediátricas (cirugía pediátrica, cardiología pediátrica, neonatología), el perfil de riesgo a menudo justifica la retención permanente de los registros clave.

Cuánto Tiempo Conservar los Registros Médicos Después de la Muerte de un Paciente

La muerte de un paciente no pone fin a la obligación legal de conservar sus registros médicos. Los proveedores deben seguir cumpliendo tanto las leyes estatales de retención como las reglas federales para pacientes fallecidos.

Las Reglas Estatales de Retención Siguen Aplicando

En la mayoría de los estados, el plazo de retención se basa en la fecha del último tratamiento o alta, no en la fecha de la muerte. Si un paciente recibió su último tratamiento en 2020 y el estado exige 7 años de retención, los registros deben conservarse hasta 2027, sin importar si el paciente muere en 2021 o en 2025.

Algunos estados miden la retención desde la fecha de la muerte:

• Nueva York exige que los registros se conserven durante 6 años después de la fecha de la muerte, bajo N.Y. Educ. Law 6530.
• Misisipi exige que los registros de pacientes fallecidos se conserven durante 7 años después de la muerte.
• Texas mide ciertos periodos de retención desde la fecha de la muerte para pacientes fallecidos, bajo 22 TAC 163.2.

Registros de Medicare para Pacientes Fallecidos

Los proveedores de Medicare deben conservar los registros durante 7 años desde la fecha del servicio, sin importar la muerte del paciente. Los hospitales que participan en Medicare deben conservar los registros durante al menos 5 años después del alta, bajo 42 CFR 482.24. Estos requisitos no cambian cuando muere un paciente.

Para los beneficiarios de Medicare que fallecen durante el tratamiento, el periodo de retención de 7 años corre desde la última fecha de servicio, no desde la fecha de la muerte. Sin embargo, como muchos pacientes de Medicare reciben tratamiento cerca del final de su vida, las dos fechas suelen estar cercanas.

La Regla de Privacidad de HIPAA de 50 Años

HIPAA protege la información de salud individualmente identificable de una persona fallecida durante 50 años después de la fecha de su muerte, bajo 45 CFR 164.502(f). Durante este periodo, aplican las mismas protecciones de privacidad de HIPAA que para un paciente vivo.

Esta regla de 50 años es una protección de privacidad, no un requisito de retención. No se exige a los proveedores conservar los registros durante 50 años. Deben seguir el calendario de retención de su estado para determinar por cuánto tiempo conservar los registros. Pero mientras los registros existan dentro de esa ventana de 50 años, deben tratarse como información de salud protegida.

Después de 50 años, la información de salud de la persona fallecida ya no se considera PHI y puede usarse o divulgarse sin restricciones de HIPAA.

Consideraciones sobre el Patrimonio y Aspectos Legales

Los albaceas y representantes personales de un paciente fallecido tienen el mismo derecho de acceso a los registros médicos que tenía el paciente. Bajo HIPAA, un representante personal de una persona fallecida es cualquier persona autorizada bajo la ley estatal para actuar en nombre del difunto o del patrimonio.

Los proveedores deben conservar los registros más allá del periodo de retención mínimo si:

• Hay una demanda por muerte injusta o negligencia médica pendiente o prevista
• El patrimonio todavía está en proceso de administración
• Hay reclamos de seguro relacionados con el tratamiento del paciente sin resolver
• Está en curso una investigación por parte de una agencia gubernamental

Su Derecho a Acceder a los Registros Médicos

HIPAA les otorga a los pacientes (y a sus representantes personales) el derecho legal de acceder y obtener copias de su información de salud protegida.

Tiempo de Respuesta

Los proveedores deben actuar sobre una solicitud de registros dentro de los 30 días calendario siguientes a su recepción. Pueden extender el plazo por 30 días adicionales con un aviso por escrito que explique la demora. HHS anima a los proveedores a responder lo más rápido posible, señalando que 30 días es el límite máximo.

Tarifas

Los proveedores solo pueden cobrar tarifas "razonables y basadas en el costo" por las copias. La tarifa puede incluir el costo de la mano de obra para copiar, los materiales y el envío postal. No puede incluir el costo de buscar registros, recuperarlos o mantener los sistemas de registros.

Para copias electrónicas de registros mantenidos electrónicamente, los proveedores pueden cobrar una tarifa fija de $6.50 o menos (que incluye toda la mano de obra, los materiales y el envío). Esta tarifa fija es una alternativa a calcular los costos reales.

Lo Que los Proveedores No Pueden Negar

Los proveedores no pueden negarle el acceso a sus registros médicos porque tenga una factura pendiente, porque los registros sean antiguos, o porque la solicitud sea inconveniente. Existen excepciones limitadas para las notas de psicoterapia, la información compilada para procesos legales y ciertos resultados de laboratorio.

Bloqueo de Información

La Ley de Curas del Siglo XXI prohíbe a los proveedores incurrir en "bloqueo de información", definido como prácticas que probablemente interfieran con el acceso, el intercambio o el uso de información de salud electrónica. Las sanciones alcanzan hasta $1 millón por infracción para los desarrolladores de tecnología de salud. HHS finalizó desincentivos específicos para proveedores en junio de 2024.

Qué Sucede Cuando Cierra un Consultorio

Cuando un médico se jubila, se muda o cierra un consultorio, el proveedor debe seguir asegurándose de que los registros de los pacientes se conserven durante el periodo de retención requerido. La Asociación Médica Estadounidense recomienda los siguientes pasos:

1. Notificar a los pacientes al menos 60 días antes del cierre
2. Ofrecer a los pacientes la opción de transferir los registros a otro proveedor
3. Ofrecer a los pacientes la opción de recibir una copia personal
4. Notificar a la junta médica estatal
5. Designar a un custodio para mantener los registros durante el resto del periodo de retención
6. Destruir cualquier registro que haya superado el periodo de retención usando métodos conformes con HIPAA

Algunos estados tienen requisitos específicos de cierre. Carolina del Norte exige que los hospitales que cesan operaciones almacenen los registros con una empresa de servicios de recuperación durante 11 años. Georgia exige que los proveedores que se jubilan o venden su consultorio notifiquen a los pacientes, bajo O.C.G.A. 31-33-2.

Política de Retención y Destrucción de Registros Médicos

Cada organización de salud debe tener una política escrita de retención y destrucción de registros. Sin una, el personal no tiene lineamientos claros sobre cuándo se pueden destruir los registros, lo que aumenta el riesgo tanto de destrucción prematura como de acumulación indefinida de registros.

Qué Debe Cubrir una Política de Retención y Destrucción

Una política conforme debe abordar cada una de las siguientes áreas:

Calendario de retención. Enumere cada tipo de registro (expedientes de pacientes, registros de facturación, imágenes de radiología, resultados de laboratorio, formularios de consentimiento) y el periodo de retención para cada uno. Base los periodos de retención en la ley estatal aplicable, los requisitos federales y las recomendaciones del seguro de responsabilidad profesional de la organización.

Suspensiones legales. Defina el proceso para suspender la destrucción cuando los registros estén sujetos a litigio, investigación gubernamental o auditoría. Los registros bajo suspensión legal no deben destruirse sin importar su antigüedad.

Métodos de destrucción. Especifique los métodos aprobados: triturado, incineración o pulverización para registros en papel; borrado, purga/desmagnetización o destrucción física para medios electrónicos.

Documentación de destrucción. Exija un registro de destrucción que documente la fecha, el método, la descripción de los registros destruidos y el nombre de la persona que realizó o presenció la destrucción.

Requisitos para asociados de negocio. Si un tercero se encarga de la destrucción, la política debe exigir un Acuerdo de Asociado de Negocios y la verificación de que el proveedor sigue métodos de destrucción conformes con HIPAA.

Capacitación de empleados. El personal debe recibir capacitación sobre la política al contratarse y a intervalos regulares. Los registros de capacitación deben conservarse durante 6 años bajo HIPAA.

¿Cuándo se Pueden Destruir los Registros Médicos?

Los registros médicos solo pueden destruirse una vez que se cumplan todas las siguientes condiciones:

1. Ha vencido el periodo de retención exigido por el estado
2. Ha vencido cualquier periodo de retención federal aplicable (Medicare, OSHA)
3. No hay ninguna suspensión legal vigente para esos registros
4. No existe ninguna solicitud pendiente de registros por parte del paciente
5. Ha vencido el plazo de prescripción para reclamos de negligencia médica

Si se satisfacen las cinco condiciones, los registros pueden destruirse usando métodos aprobados.

Métodos de Destrucción Apropiados

HIPAA exige que los registros médicos se vuelvan "esencialmente ilegibles, indescifrables y que de otra forma no puedan reconstruirse" al destruirlos.

Registros en papel: triturado, incineración o pulverización.

Registros electrónicos: borrado (sobrescritura con datos no sensibles), purga/desmagnetización (usando un campo magnético fuerte), o destrucción física del medio de almacenamiento.

Los registros nunca deben colocarse en contenedores de basura, contenedores de reciclaje u otros receptáculos de acceso público. Los proveedores pueden contratar a un asociado de negocios para manejar la disposición, pero debe existir un acuerdo de asociado de negocios.

Requisitos de Notificación Estatal

La mayoría de los estados no exigen notificación antes de destruir registros que hayan superado el periodo de retención. Las excepciones notables incluyen Misisipi, que exige un aviso de 6 meses a los pacientes antes de la destrucción, y Massachusetts, que exige que los hospitales notifiquen al Departamento de Salud Pública.

Sanciones por Destrucción Indebida

Las sanciones civiles de HIPAA por la disposición indebida de información de salud protegida van de $141 a $2,134,831 por infracción, dependiendo del nivel de negligencia. Las sanciones penales por infracciones a sabiendas pueden alcanzar $250,000 y 10 años de prisión.

Al diciembre de 2025, HHS ha resuelto 54 acciones de cumplimiento sobre el Derecho de Acceso y ha recaudado más de $144 millones en acuerdos y sanciones de HIPAA desde que comenzó el programa.

Cambios Recientes (2024-2026)

Requisito de Almacenamiento de EHR en Texas

La Ley SB 1188 de Texas, vigente desde el 1 de enero de 2026, exige que todos los registros de salud electrónicos se almacenen dentro de Estados Unidos. Esto aplica de forma retroactiva a todos los registros sin importar cuándo fueron creados.

Registros de Trastorno por Uso de Sustancias

La regla final del 42 CFR Parte 2, vigente desde el 16 de abril de 2024 con cumplimiento requerido para el 16 de febrero de 2026, alinea las protecciones de los registros de pacientes con trastorno por uso de sustancias con HIPAA. La Oficina de Derechos Civiles de HHS anunció un nuevo programa de cumplimiento civil para estos registros en febrero de 2026.

Actualización de la Regla de Seguridad de HIPAA

En diciembre de 2024, HHS publicó una regla propuesta para fortalecer los requisitos de ciberseguridad para la información de salud protegida electrónica. La propuesta eliminaría la distinción entre especificaciones de implementación "requeridas" y "abordables", haciendo obligatorias todas las medidas de seguridad.