Leyes de Retención de Expedientes Médicos por Estado (Guía 2026)

La ley estatal, no HIPAA, es la que determina por cuánto tiempo deben conservar los proveedores de salud los expedientes médicos de los pacientes. La mayoría de los mínimos estatales van de 5 a 10 años, pero Washington ahora exige que los hospitales conserven los registros durante 26 años bajo RCW 70.41.190. HIPAA, bajo 45 CFR 164.530(j), rige únicamente los documentos administrativos de cumplimiento, no los expedientes de los pacientes.

Las leyes de retención de expedientes médicos determinan por cuánto tiempo los hospitales, médicos y otros proveedores de salud deben conservar su información de salud en archivo. Estas leyes varían significativamente de un estado a otro, desde la ausencia total de un periodo obligatorio por el estado en Wyoming hasta 26 años para los hospitales de Washington.

Esta guía cubre los requisitos de cada estado, las reglas federales bajo HIPAA y Medicare, las reglas especiales para menores y pacientes fallecidos, sus derechos como paciente, y qué sucede cuando se destruyen los registros.

Requisitos Federales: Lo Que HIPAA Realmente Establece

Uno de los conceptos erróneos más comunes en el derecho de la salud es que HIPAA exige a los proveedores conservar los expedientes médicos durante un número específico de años. No es así.

Documentación de HIPAA vs. Expedientes Médicos

HIPAA exige que las entidades cubiertas conserven la documentación administrativa relacionada con HIPAA (políticas de privacidad, procedimientos, registros de capacitación, acuerdos de asociado de negocios, registros de quejas) durante 6 años a partir de la fecha de creación o la última fecha de vigencia, bajo 45 CFR 164.530(j).

Este requisito de 6 años aplica a la documentación de cumplimiento de HIPAA, no a los expedientes médicos de los pacientes. El tiempo que deben conservarse los expedientes reales de los pacientes lo determina la ley estatal.

Requisitos de Medicare y Medicaid

Los mínimos federales para los proveedores que participan en Medicare o Medicaid provienen de varias reglas separadas, y cada una es más limitada de lo que se suele describir:

Los tres periodos de Medicare anteriores son los únicos que CMS establece en sus propios lineamientos de retención de registros. CMS no publica ninguna regla general de siete años para los proveedores de Medicare, sin importar con qué frecuencia se cite una. Si le han dicho que su consultorio le debe siete años a Medicare desde la fecha del servicio, pregunte qué autoridad lo establece, porque los lineamientos de retención de la agencia no lo hacen.

¿Qué Ley Rige?

Siempre aplica el requisito más estricto. Si la ley estatal exige 10 años y el mínimo federal es 5 años, el proveedor debe conservar los registros durante 10 años. Si una organización de Medicare Advantage debe 10 años y su estado exige solo 6, el periodo de 10 años rige sus registros.

Por eso la derogación en Wyoming no significa que los registros de Wyoming desaparezcan después de un año. Un hospital de Wyoming que participa en Medicare todavía debe el mínimo federal de 5 años bajo 42 CFR 482.24, aunque el periodo estatal ya no exista.

Retención de Registros bajo HIPAA: Lo Que la Ley Realmente Exige

La frase "retención de registros bajo HIPAA" genera confusión considerable entre pacientes y proveedores por igual. Muchas personas creen que HIPAA exige conservar los expedientes médicos durante 7 años. Esto es incorrecto, y también lo es la corrección habitual. La cifra de 7 años no proviene de HIPAA, pero tampoco proviene de una regla general de Medicare. Proviene de la ley estatal y de la exposición a demandas por negligencia médica.

La Regla de HIPAA de 6 Años

Bajo 45 CFR 164.530(j), HIPAA exige que las entidades cubiertas conserven únicamente los documentos administrativos de cumplimiento durante 6 años. Estos documentos incluyen:

• Políticas y procedimientos de privacidad y seguridad
• Evaluaciones de riesgo e informes de incidentes de seguridad
• Documentación de notificación de infracciones
• Registros de capacitación del personal y acuses de recibo
• Acuerdos de Asociado de Negocios (BAA)
• Registros de quejas de pacientes y su resolución
• Avisos de Prácticas de Privacidad

Esta es una regla de retención de documentos, no una regla de retención de expedientes médicos. La distinción importa porque muchas organizaciones de salud confunden ambas cosas y aplican el estándar equivocado.

De Dónde Viene el Mito de los "7 Años"

La creencia generalizada de que "HIPAA exige 7 años" se origina en tres fuentes, ninguna de ellas HIPAA:

Las leyes estatales. Una gran parte de los estados fija un periodo de 7 años, y varios de los más grandes lo fijan específicamente para los consultorios médicos, incluido Texas bajo 22 TAC 163.2, la regla de la Junta Médica de Texas. Cuente las entradas de 7 años en la tabla de 50 estados más abajo y el patrón es evidente. Cuando los proveedores en esos estados escuchan "7 años", asumen que proviene de HIPAA en lugar de su propio estado.

Los plazos de prescripción por negligencia médica. La mayoría de las aseguradoras de responsabilidad profesional y los asesores de gestión de consultorios recomiendan conservar los registros al menos durante el plazo de prescripción del estado para una demanda por negligencia médica, más un margen. En muchos estados, ese cálculo se acerca a siete años, razón por la cual la cifra circula como regla general incluso donde ningún estatuto o reglamento la establece.

Capacitación de cumplimiento incorrecta. Algunos materiales de capacitación en cumplimiento afirman que "HIPAA exige 7 años" sin distinguir entre los requisitos de documentación administrativa de HIPAA y las leyes estatales de retención de expedientes médicos. Otros atribuyen la cifra a Medicare. Los lineamientos de retención de CMS establecen un periodo de documentación de HIPAA de 6 años, un periodo de 5 años después del cierre del informe de costos, y 10 años para la atención administrada de Medicare. No establecen ningún periodo de 7 años.

Lo Que los Proveedores Realmente Deben Hacer

Los proveedores de salud deben seguir tres reglas superpuestas y conservar los registros durante el periodo que sea más largo:

1. Documentos administrativos de HIPAA: 6 años desde la creación o la última fecha de vigencia
2. Ley estatal de expedientes médicos: varía según el estado, desde la ausencia total de un periodo estatal en Wyoming hasta 26 años para los hospitales de Washington
3. Participación en programas federales: al menos 5 años para los hospitales bajo las Condiciones de Participación de Medicare, al menos 5 años después del cierre del informe de costos para los proveedores que presentan uno, y 10 años para las organizaciones de Medicare Advantage y los patrocinadores de la Parte D

Para la mayoría de los proveedores, la ley estatal es la más larga de las tres, no el mínimo federal. La AMA recomienda, como mejor práctica, conservar todos los expedientes de pacientes durante al menos 10 años desde la fecha del último tratamiento, sin importar los mínimos estatales.

Retención de Expedientes Médicos por Estado

La siguiente tabla muestra los requisitos de retención para los 50 estados y el Distrito de Columbia. Haga clic en el nombre de cualquier estado para ver la página detallada de la ley de retención de ese estado.

Cómo leer esta tabla. La mayoría de los estados aplican dos cuerpos legales separados: una regla de licenciamiento hospitalario redactada por el departamento de salud estatal, y una regla de registros de médicos redactada por la junta médica estatal. Los dos periodos con frecuencia difieren, y un resumen que cita solo uno de ellos puede subestimar lo que realmente aplica a su expediente. Donde se han confirmado ambos periodos, la fila indica de qué régimen proviene cada cifra. Donde solo aparece una cifra, trátela como la regla bajo la autoridad citada junto a ella y confirme el otro régimen con la agencia estatal de licenciamiento hospitalario o la junta médica.

Nota de verificación. Las filas de Kentucky, Minnesota, Nueva York, Texas, Washington y Wyoming se volvieron a verificar contra sus fuentes primarias en agosto de 2026, y todas y cada una fueron corregidas. Nueva York necesitó tres revisiones: sus cifras de registros de menores seguían mal atribuidas incluso después de la segunda, porque la regla de la edad 22 en 8 NYCRR 29.2(a)(3) lista a la medicina pero luego exceptúa a las profesiones con licencia bajo los Artículos 131 y 131-B de la Ley de Educación (médicos y asistentes médicos) para cualquier caso que surja después del 26 de julio de 1991, dejando a los médicos regidos por la Education Law 6530(32) y su límite de edad 19. Las filas restantes reflejan la autoridad citada junto a ellas y todavía no se han vuelto a verificar con ese mismo estándar, así que confirme con la página del estado enlazada y la regla citada antes de basarse en una cifra.

Los Estados con los Requisitos Más Largos

Varios estados exigen periodos de retención significativamente más largos que el promedio nacional.

Washington exige que los hospitales retengan y conserven todos los expedientes médicos durante un mínimo de 26 años desde la fecha de creación del registro, bajo RCW 70.41.190. La enmienda que estableció ese periodo entró en vigor el 27 de julio de 2025, y alcanza tanto a los registros creados antes de esa fecha que los hospitales todavía conservaban el 27 de julio de 2025, como a todo lo creado después. Este es el plazo fijo más largo que exige cualquier estado. No es la obligación más larga del país, porque la regla del registro permanente de Minnesota, más abajo, no tiene fecha de vencimiento con la cual compararla. El estatuto no establece un periodo separado específico para menores, porque el plazo de 26 años ya corre desde la creación del registro para todos los pacientes.

Massachusetts exige que los hospitales y clínicas conserven los registros durante 20 años bajo Mass. Gen. Laws ch. 111, 70. El periodo de 7 años que suele citarse para los consultorios médicos de Massachusetts no proviene de ese estatuto, el cual, por sus propios términos, rige los registros de hospitales y clínicas. El periodo para los consultorios médicos lo fija por separado la Junta de Registro en Medicina. No hemos podido confirmar el texto vigente de ese reglamento, así que confirme el periodo para consultorios médicos con la Junta antes de basarse en una cifra.

Minnesota exige que los hospitales conserven de forma permanente lo que el comisionado de salud define como el "expediente médico permanente individual" bajo Minn. Stat. 145.32. Otras porciones del expediente pueden desecharse después de 7 años, pero los registros centrales deben conservarse indefinidamente. Debido a que esa obligación no tiene fecha de término, en lugar de ser un plazo de años, Minnesota, no Washington, es el estado cuyo deber de retención se extiende más. El mismo estatuto también establece un periodo para menores: todas las porciones del expediente hospitalario de un menor deben conservarse durante 7 años o hasta que la persona alcance la mayoría de edad, lo que ocurra después.

Carolina del Norte exige que los hospitales conserven los registros durante 11 años después del alta, bajo 10A NCAC 13B .3903. Los registros de menores deben conservarse hasta el trigésimo cumpleaños del paciente.

Carolina del Sur exige que los médicos conserven los registros durante 10 años, con un periodo extendido de 13 años para los registros de menores, bajo S.C. Code Ann. 44-115-120.

Los Estados con los Requisitos Más Cortos

Wyoming ya no establece ningún periodo de retención estatal. Wyo. Stat. 35-2-606 y el resto de la Ley de Registros Hospitalarios, secciones 35-2-605 a 35-2-617, fueron derogadas con efecto a partir del 1 de julio de 2019 por 2019 Wyoming Session Laws ch. 78. Las guías que todavía listan a Wyoming en 3 años están citando una ley derogada. Los hospitales de Wyoming que participan en Medicare siguen sujetos al mínimo federal de 5 años bajo 42 CFR 482.24, y los proveedores allí generalmente fijan la retención en función de la exposición al plazo de prescripción por negligencia médica en lugar de un estatuto. Nuestra página de retención de expedientes médicos de Wyoming cubre lo que aplica en ausencia de una regla estatal.

Florida, Nevada, Oklahoma y Wisconsin exigen todos solo 5 años de retención para al menos algunos tipos de proveedores.

Nebraska no impone un periodo de retención obligatorio específico en sus estatutos. Sin embargo, los proveedores no pueden destruir los registros después de recibir una solicitud del paciente, bajo Neb. Rev. Stat. 71-8403.

Virginia Occidental no especifica una duración, pero exige que los registros se conserven en su forma original, en microfilm o en formato electrónico.

Diferencias entre Hospitales y Consultorios Médicos

Muchos estados establecen periodos de retención distintos para hospitales y consultorios médicos privados, bajo agencias distintas y cuerpos de reglas distintos. En algunos estados, los hospitales deben conservar los registros por más tiempo; en otros, los consultorios médicos tienen el requisito más largo. Leer solo una de las dos reglas es la forma más común en que un resumen de retención se equivoca.

Cuidado: Texas es el ejemplo más claro de por qué importa la distinción. La cifra de Texas que se cita ampliamente, 7 años, proviene de 22 TAC 163.2, que se encuentra en el Título 22, Parte 9 del Código Administrativo de Texas, las reglas de la Junta Médica de Texas. Esa regla vincula a los médicos. Un hospital de Texas responde, en cambio, ante Tex. Health & Safety Code 241.103, que exige 10 años después del último tratamiento del paciente, y para un paciente menor de 18 años al momento del último tratamiento, permite la disposición únicamente a partir del vigésimo cumpleaños del paciente o del décimo aniversario del último tratamiento, lo que ocurra después.

Citamos 22 TAC 163.2 por número de regla en lugar de por enlace. La Secretaría de Estado de Texas retiró el sitio web del Código Administrativo que anteriormente ofrecía una URL estable para cada regla, y el portal de reemplazo no expone ninguna. Para leer la regla, busque en el Código Administrativo de Texas el Título 22, Parte 9, Capítulo 163, Regla 163.2.

Expedientes de Pacientes Pediátricos y Menores

Los expedientes médicos de los niños reciben protección especial en la mayoría de los estados. Como los menores no pueden presentar reclamos legales por sí mismos, muchos estados extienden el periodo de retención hasta bastante después de que el menor alcanza la mayoría de edad. Esta sección reúne todos los requisitos de retención específicos para menores de la tabla de 50 estados anterior.

Por Qué los Expedientes Pediátricos se Conservan por Más Tiempo

Dos principios legales impulsan una retención más larga para los expedientes pediátricos:

Suspensión del plazo de prescripción. En la mayoría de los estados, el plazo de prescripción para negligencia médica no comienza a correr hasta que el menor alcanza la mayoría de edad (típicamente 18 años). Un niño lesionado al nacer puede tener hasta los 20 o 21 años para presentar una demanda, dependiendo del plazo de prescripción del estado.

Continuidad de la atención. Los registros de vacunación pediátrica, las gráficas de crecimiento, las evaluaciones del desarrollo y los historiales de enfermedades infantiles informan las decisiones médicas en la adultez. La Academia Estadounidense de Pediatría recomienda que los expedientes médicos pediátricos se conserven, como mínimo, durante 10 años o la mayoría de edad más el plazo de prescripción estatal aplicable, lo que sea más largo.

Requisitos de Retención para Menores por Estado (de Mayor a Menor)

La siguiente tabla muestra cada estado con un requisito específico de retención para menores, ordenado del periodo más largo al más corto.

Los estados no listados arriba (Connecticut, Delaware, Florida, Idaho, Illinois, Indiana, Luisiana, Massachusetts, Michigan, Misisipi, Ohio, Oklahoma, Oregón, Dakota del Sur, Vermont, Virginia Occidental, Wisconsin) aplican el mismo periodo de retención que los expedientes de adultos o no especifican un requisito de retención separado para menores.

Nueva York es la ilustración más clara de por qué una sola cifra por estado induce a error. Aplica tres regímenes que producen tres respuestas distintas para el mismo niño. Un consultorio médico puede cerrar el expediente seis años después de la última visita o un año después de que el paciente cumpla 18, lo que ocurra después (Education Law 6530(32)). Un hospital debe conservar su registro hasta que hayan transcurrido seis años desde el alta o el paciente haya cumplido tres años desde los 18, lo que ocurra después (10 NYCRR 405.10(a)(4)). Y la mayoría de las demás profesiones de salud con licencia, desde fisioterapia hasta psicología, deben conservar el expediente de ese mismo niño durante seis años y hasta un año después de que el paciente cumpla 21 (8 NYCRR 29.2(a)(3), que lista a la medicina pero luego exceptúa a los médicos y a los asistentes médicos para cualquier caso que surja después del 26 de julio de 1991). Un estado, tres límites: 19, 21 y 22.

Dos estados quedan totalmente fuera de este patrón. Washington no establece un periodo separado para menores porque RCW 70.41.190 ya corre 26 años desde la creación del registro para todos los pacientes, lo que para un recién nacido alcanza por sí solo más allá de los 25 años. Wyoming no establece un periodo para menores porque no establece ningún periodo de retención estatal, tras la derogación de 2019.

¿Cuánto Tiempo Conservan los Registros los Pediatras?

Los pediatras siguen las mismas leyes estatales de retención que otros médicos, pero las consideraciones prácticas a menudo los llevan a conservar los registros por más tiempo. El mínimo establecido por la AAP es 10 años, o la mayoría de edad más el plazo de prescripción estatal aplicable para negligencia médica, lo que de los dos sea más largo. En un estado con un plazo de prescripción de 2 años, la segunda rama de esa prueba significa conservar los registros hasta que el antiguo paciente cumpla 20 años, y la rama de 10 años rige cuando esta alcanza más.

Para las especialidades pediátricas (cirugía pediátrica, cardiología pediátrica, neonatología), el perfil de riesgo lleva a muchos consultorios a conservar los registros clave bastante más allá de ese mínimo. Esa es una decisión de práctica, no un requisito legal.

Cuánto Tiempo Conservar los Expedientes Médicos Después de la Muerte de un Paciente

La muerte de un paciente no pone fin a la obligación legal de conservar sus expedientes médicos. Los proveedores deben seguir cumpliendo tanto las leyes estatales de retención como las reglas federales para pacientes fallecidos.

Las Reglas Estatales de Retención Siguen Aplicando

En la mayoría de los estados, el plazo de retención se basa en la fecha del último tratamiento o alta, no en la fecha de la muerte. Si un paciente recibió su último tratamiento en 2020 y el estado exige 7 años de retención, los registros deben conservarse hasta 2027, sin importar si el paciente muere en 2021 o en 2025.

Algunos estados vinculan un mínimo separado a la fecha de la muerte. Los hospitales de Nueva York, por ejemplo, deben conservar un expediente médico durante al menos 6 años después de la muerte del paciente bajo 10 NYCRR 405.10(a)(4), independientemente del periodo de 6 años desde el alta.

Otros estados a veces se describen como si midieran la retención desde la fecha de la muerte, pero la fecha de inicio es exactamente el tipo de detalle que varía entre la regla hospitalaria de un estado y la regla de su junta médica. Revise la página del estado enlazada y la regla que cita antes de suponer que el plazo de su estado comenzó en el alta y no en la muerte.

Expedientes de Medicare para Pacientes Fallecidos

Los hospitales que participan en Medicare deben conservar los registros durante al menos 5 años bajo 42 CFR 482.24(b)(1). Los proveedores que presentan informes de costos conservan los expedientes de los pacientes al menos 5 años después del cierre del informe de costos, y las organizaciones de Medicare Advantage y los patrocinadores de la Parte D conservan sus registros durante 10 años. Ninguno de estos periodos federales cambia cuando muere un paciente, y ninguno se mide desde la fecha de la muerte.

Debido a que el mínimo federal es corto y no tiene un disparador basado en la muerte, el plazo operativo después de la muerte de un paciente casi siempre es el estatal. Revise la regla estatal, y verifique a qué régimen pertenece, antes de suponer que un expediente puede destruirse.

La Regla de Privacidad de HIPAA de 50 Años

HIPAA protege la información de salud individualmente identificable de una persona fallecida durante 50 años a partir de la fecha de su muerte bajo 45 CFR 164.502(f). Durante este periodo, aplican las mismas protecciones de privacidad de HIPAA que para un paciente vivo.

Esta regla de 50 años es una protección de privacidad, no un requisito de retención. No se exige a los proveedores conservar los registros durante 50 años. Deben seguir el calendario de retención de su estado para determinar por cuánto tiempo conservar los registros. Pero mientras los registros existan dentro de esa ventana de 50 años, deben tratarse como información de salud protegida.

Después de 50 años, la información de salud de la persona fallecida ya no se considera PHI y puede usarse o divulgarse sin las restricciones de HIPAA.

Consideraciones sobre el Patrimonio y Aspectos Legales

Los albaceas y representantes personales de un paciente fallecido tienen el mismo derecho de acceso a los expedientes médicos que tenía el paciente. Bajo HIPAA, un representante personal de una persona fallecida es cualquier persona autorizada bajo la ley estatal para actuar en nombre del difunto o del patrimonio.

Los proveedores deben conservar los registros más allá del periodo de retención mínimo si:

• Hay una demanda por muerte injusta o negligencia médica pendiente o prevista
• El patrimonio todavía está en proceso de administración
• Hay reclamos de seguro relacionados con el tratamiento del paciente sin resolver
• Está en curso una investigación por parte de una agencia gubernamental

Su Derecho a Acceder a los Expedientes Médicos

HIPAA les otorga a los pacientes (y a sus representantes personales) el derecho legal de acceder y obtener copias de su información de salud protegida.

Tiempo de Respuesta

Los proveedores deben actuar sobre una solicitud de registros dentro de los 30 días calendario siguientes a su recepción. Pueden extender el plazo por 30 días adicionales con un aviso por escrito que explique la demora. HHS anima a los proveedores a responder lo más rápido posible, señalando que 30 días es el límite máximo.

Tarifas

Los proveedores solo pueden cobrar tarifas "razonables y basadas en el costo" por las copias. La tarifa puede incluir el costo de la mano de obra para copiar, los materiales y el envío postal. No puede incluir el costo de buscar registros, recuperarlos o mantener los sistemas de registros.

Para copias electrónicas de registros mantenidos electrónicamente, los proveedores pueden cobrar una tarifa fija de $6.50 o menos (que incluye toda la mano de obra, los materiales y el envío). Esta tarifa fija es una alternativa al cálculo de los costos reales, no un límite para toda solicitud.

Lo Que los Proveedores No Pueden Negar

Los proveedores no pueden negarle el acceso a sus expedientes médicos porque tenga una factura pendiente, porque los registros sean antiguos, o porque la solicitud sea inconveniente. Existen excepciones limitadas para las notas de psicoterapia, la información compilada para procesos legales y ciertos resultados de laboratorio.

Bloqueo de Información

La Ley de Curas del Siglo XXI prohíbe a los proveedores incurrir en "bloqueo de información", definido como prácticas que probablemente interfieran con el acceso, el intercambio o el uso de información de salud electrónica. Las sanciones alcanzan hasta $1 millón por infracción para los desarrolladores de tecnología de salud. HHS finalizó los desincentivos específicos para proveedores en junio de 2024.

Qué Sucede Cuando Cierra un Consultorio

Cuando un médico se jubila, se muda o cierra un consultorio, el proveedor debe seguir asegurándose de que los expedientes de los pacientes se conserven durante el periodo de retención requerido. La Asociación Médica Estadounidense recomienda los siguientes pasos:

1. Notificar a los pacientes al menos 60 días antes del cierre
2. Ofrecer a los pacientes la opción de transferir los registros a otro proveedor
3. Ofrecer a los pacientes la opción de recibir una copia personal
4. Notificar a la junta médica estatal
5. Designar a un custodio para mantener los registros durante el resto del periodo de retención
6. Destruir cualquier registro que haya superado el periodo de retención usando métodos conformes con HIPAA

Algunos estados tienen requisitos específicos de cierre. Carolina del Norte exige que los hospitales que cesan operaciones almacenen los registros con una empresa de servicios de recuperación durante 11 años. Georgia exige que los proveedores que se jubilan o venden su consultorio notifiquen a los pacientes, bajo O.C.G.A. 31-33-2.

Política de Retención y Destrucción de Expedientes Médicos

Cada organización de salud debe tener una política escrita de retención y destrucción de registros. Sin una, el personal no tiene lineamientos claros sobre cuándo se pueden destruir los registros, lo que aumenta el riesgo tanto de destrucción prematura como de acumulación indefinida de registros.

Qué Debe Cubrir una Política de Retención y Destrucción

Una política conforme debe abordar cada una de las siguientes áreas:

Calendario de retención. Enumere cada tipo de registro (expedientes de pacientes, registros de facturación, imágenes de radiología, resultados de laboratorio, formularios de consentimiento) y el periodo de retención para cada uno. Base los periodos de retención en la ley estatal aplicable, los requisitos federales y las recomendaciones del seguro de responsabilidad profesional de la organización.

Mapeo de régimen. Identifique qué regla estatal realmente vincula a la entidad: la regla de licenciamiento hospitalario, la regla de la junta médica, o ambas para un sistema que opera hospitales y consultorios médicos propios. Aplicar el plazo de un régimen a los registros de la otra entidad es un error común y costoso.

Suspensiones legales. Defina el proceso para suspender la destrucción cuando los registros estén sujetos a litigio, investigación gubernamental o auditoría. Los registros bajo suspensión legal no deben destruirse sin importar su antigüedad.

Métodos de destrucción. Especifique los métodos aprobados: triturado, incineración o pulverización para registros en papel; borrado, purga/desmagnetización o destrucción física para medios electrónicos.

Documentación de destrucción. Exija un registro de destrucción que documente la fecha, el método, la descripción de los registros destruidos y el nombre de la persona que realizó o presenció la destrucción.

Requisitos para asociados de negocio. Si un tercero se encarga de la destrucción, la política debe exigir un Acuerdo de Asociado de Negocios y la verificación de que el proveedor sigue métodos de destrucción conformes con HIPAA.

Capacitación de empleados. El personal debe recibir capacitación sobre la política al contratarse y a intervalos regulares. Los registros de capacitación deben conservarse durante 6 años bajo HIPAA.

¿Cuándo se Pueden Destruir los Expedientes Médicos?

Los expedientes médicos solo pueden destruirse una vez que se cumplan todas las siguientes condiciones:

1. Ha vencido el periodo de retención exigido por el estado
2. Ha vencido cualquier periodo de retención federal aplicable (Medicare, OSHA)
3. No hay ninguna suspensión legal vigente para esos registros
4. No existe ninguna solicitud pendiente de registros por parte del paciente
5. Ha vencido el plazo de prescripción para reclamos de negligencia médica

Si se satisfacen las cinco condiciones, los registros pueden destruirse usando métodos aprobados.

Métodos de Destrucción Apropiados

HIPAA exige que los expedientes médicos se vuelvan "esencialmente ilegibles, indescifrables y que de otra forma no puedan reconstruirse" al destruirlos.

Registros en papel: triturado, incineración o pulverización.

Registros electrónicos: borrado (sobrescritura con datos no sensibles), purga/desmagnetización (usando un campo magnético fuerte), o destrucción física del medio de almacenamiento.

Los registros nunca deben colocarse en contenedores de basura, contenedores de reciclaje u otros receptáculos de acceso público. Los proveedores pueden contratar a un asociado de negocios para manejar la disposición, pero debe existir un acuerdo de asociado de negocios.

Requisitos de Notificación Estatal

La mayoría de los estados no exigen notificación antes de destruir registros que hayan superado el periodo de retención. Las excepciones notables incluyen Misisipi, que exige un aviso de 6 meses a los pacientes antes de la destrucción, y Massachusetts, que exige que los hospitales notifiquen al Departamento de Salud Pública.

Sanciones por Destrucción Indebida

Las sanciones civiles de HIPAA por la disposición indebida de información de salud protegida van de $145 a $2,190,294 por infracción, dependiendo del nivel de culpabilidad. Esas son las cantidades ajustadas de 2025 en la columna más a la derecha de la tabla de sanciones en 45 CFR 102.3, que HHS ajusta por inflación cada año. El mínimo de $145 corresponde a una infracción que la entidad cubierta no conocía y no podía haber conocido con la diligencia razonable; el máximo de $2,190,294 aplica a una infracción causada por negligencia intencional que no fue corregida, y también es el límite anual de sanciones por infracciones idénticas repetidas. Las sanciones penales por infracciones conscientes pueden alcanzar $250,000 y 10 años de prisión.

Para dar una idea de la escala, HHS reporta un total acumulado de $144,878,972 recaudados en 152 acuerdos y sanciones civiles de HIPAA desde la fecha de cumplimiento de la Regla de Privacidad en 2003. Esa cifra cubre todas las categorías de infracciones de HIPAA a lo largo de más de dos décadas, no solo los casos de disposición indebida, así que es una medida del tamaño general del programa y no un referente por tipo de infracción.

Cambios Recientes (2024-2026)

La Regla de Retención Hospitalaria de 26 Años de Washington

Washington enmendó RCW 70.41.190 en 2025 para exigir que los hospitales retengan y conserven todos los expedientes médicos durante un mínimo de 26 años desde la fecha de creación del registro. El cambio entró en vigor el 27 de julio de 2025 y aplica tanto a los registros creados en o después de esa fecha como a los registros creados antes que los hospitales todavía conservaban en esa fecha. Cualquier calendario de retención de Washington basado en la cifra anterior de 10 años necesita reescribirse.

Wyoming No Tiene Estatuto de Retención

La Ley de Registros Hospitalarios de Wyoming, Wyo. Stat. 35-2-605 a 35-2-617, fue derogada con efecto a partir del 1 de julio de 2019 por 2019 Wyoming Session Laws ch. 78. Desde entonces, Wyoming no ha tenido ningún periodo de retención de expedientes médicos exigido por el estado. Muchas tablas de retención publicadas después de 2019 todavía listan la cifra derogada de 3 años.

Requisito de Almacenamiento de EHR en Texas

La Ley SB 1188 de Texas entró en vigor el 1 de septiembre de 2025, la fecha fijada por la SECCIÓN 4 del proyecto de ley promulgado. Agrega el Capítulo 183 al Código de Salud y Seguridad, y la nueva Sección 183.002(a) exige que una entidad cubierta garantice que los expedientes de salud electrónicos bajo su control que contienen información de pacientes se mantengan "físicamente dentro de Estados Unidos o un territorio de Estados Unidos", incluidos los registros en poder de un proveedor externo o de computación en la nube.

El 1 de enero de 2026 es una fecha de aplicabilidad separada, no la fecha de entrada en vigor. La SECCIÓN 2(a) aplica el nuevo capítulo solo a los registros preparados en o después del 1 de septiembre de 2025, pero la SECCIÓN 2(b) aplica el requisito de almacenamiento al almacenamiento de un expediente de salud electrónico en o después del 1 de enero de 2026, sin importar cuándo se preparó el registro. A partir de esa fecha, la regla de residencia alcanza también los registros más antiguos de una entidad cubierta de Texas. Esta es una regla sobre dónde residen los registros, no sobre cuánto tiempo deben conservarse.

Registros de Trastorno por Uso de Sustancias

La regla final del 42 CFR Parte 2, vigente desde el 16 de abril de 2024 con cumplimiento requerido para el 16 de febrero de 2026, alinea las protecciones de los expedientes de pacientes con trastorno por uso de sustancias con HIPAA.

Actualización de la Regla de Seguridad de HIPAA

En diciembre de 2024, HHS publicó una regla propuesta para fortalecer los requisitos de ciberseguridad para la información de salud protegida electrónica. La propuesta eliminaría la distinción entre especificaciones de implementación "requeridas" y "abordables", haciendo obligatorias todas las medidas de seguridad.