Firma digital en el consentimiento informado: certificados para pacientes y profesionales de salud

El consentimiento informado digital no es un formulario en pantalla con un botón de aceptar. Aquí verás qué firma pide la norma, qué certificado corresponde al paciente y cuál al profesional.

¿Qué firma necesita el consentimiento informado digital?

Cuando el consentimiento informado está dentro de un sistema de información de historias clínicas, la NTS N.° 139-MINSA/2018/DGAIN dispone que se firme con firma digital. Además, en los sistemas de historia clínica electrónica señala que la firma electrónica del paciente no puede usarse para otorgarlo (numeral 4.3.3, literal c).

La misma norma define el consentimiento informado como la conformidad del paciente o de su representante legal, dada después de recibir la información del profesional, y establece que debe registrarse y firmarse por el paciente o su representante legal y por el profesional responsable de la atención. En formato físico, la firma del paciente es manuscrita en el formato oficial (numeral 5.2.2, ítem 16).

Es obligatorio, entre otros casos, en procedimientos riesgosos, cirugías, docencia, investigación, negativa a tratamiento y cuidados paliativos, con la excepción de las emergencias. Un detalle: la norma distingue la historia clínica electrónica, que se refrenda con la firma digital del médico u otros profesionales, de la informatizada, que no usa firma digital para refrendar su contenido.

¿Por qué no basta con un checkbox y un código OTP?

Porque, dentro de un sistema de historia clínica electrónica, una firma electrónica simple del paciente no cumple lo que la NTS dispone para el consentimiento informado. Marcar una casilla y recibir un código por SMS es una firma electrónica; la firma digital se basa en un certificado emitido tras validar la identidad de la persona. La diferencia está explicada en firma electrónica vs. firma digital.

Esto no significa que cualquier mecanismo sea inválido en todos los contextos. En telemedicina, por ejemplo, el reglamento contempla otros medios de autenticación, como verás más abajo. Por eso la pregunta útil no es «¿qué firma es más fuerte?», sino «¿qué exige mi norma y mi flujo?».

¿Qué certificado puede usar cada participante?

Cada acto del consentimiento tiene un firmante distinto, y cada uno puede necesitar una solución diferente.

En todos los casos, la compatibilidad con la plataforma de la clínica debe confirmarse antes de elegir.

DNIe para pacientes que ya lo tienen

El DNI electrónico de RENIEC contiene certificados digitales que permiten firmar. Es útil para pacientes que ya cuentan con DNIe, certificados vigentes y PIN.

La contrapartida es la experiencia: según RENIEC, firmar requiere una computadora, un lector de tarjetas inteligentes ISO 7816, software de firma y el PIN correspondiente. Además, el sistema de la clínica debe admitir ese método de forma expresa.

Firma One Shot para pacientes que firman una sola vez

Muchos pacientes solo necesitan firmar uno o pocos documentos, y un certificado anual no les resulta práctico. La Firma One Shot está pensada para esa firma puntual: el usuario valida su identidad en línea, se genera un certificado de un solo uso y autoriza con un código por SMS o por WhatsApp desde el navegador.

Un flujo remoto posible sería: el paciente recibe un enlace, valida su identidad, recibe la información, resuelve sus dudas, firma y el consentimiento vuelve a la clínica. Es un ejemplo de arquitectura, no un procedimiento aprobado por el MINSA: debe validarse con la política del certificado y con el sistema de la IPRESS.

Firma móvil: autorizar desde el celular

Una experiencia móvil facilita el proceso desde un smartphone o una tableta. Puede apoyarse en un certificado remoto, con la clave guardada en un módulo criptográfico (HSM), autenticación fuerte y un código de autorización.

No es un certificado distinto ni equivale a dibujar una rúbrica en la pantalla: el celular es el canal de autorización y la firma criptográfica ocurre en la infraestructura remota.

Certificado digital profesional para médicos

Del lado del profesional, la norma pide que el formato incluya la firma, el sello y la colegiatura del responsable del procedimiento. Un certificado digital profesional permite que la firma digital quede atribuida a quien brindó la información y responde por el acto: por ejemplo, un médico cirujano identificado con su nombre y su número de colegiatura.

El certificado puede vincularse a la IPRESS cuando la política lo permita, lo que aporta contexto institucional. Pero no crea por sí mismo una colegiatura vigente, una especialidad, un vínculo laboral ni una representación: esos datos deben verificarse según corresponda. Si quieres ver más del lado del profesional, revisa médico sin firma digital en Perú y firma digital para obstetras.

Agente automatizado y sello de tiempo

El agente automatizado sirve para funciones de sistema compatibles, como generar documentos, constancias, procesos masivos o sellar procesos automáticos. No debe usarse para sustituir la voluntad del paciente, la firma del médico ni la decisión del representante.

El sello de tiempo es una capa adicional de evidencia sobre la fecha y la hora del consentimiento, de una revocación, de una versión o de un expediente. No es obligatorio en todos los casos. Si quieres entender cómo funciona, está en qué es el sello de tiempo y por qué fortalece tu firma digital.

Revocación y trazabilidad

Un paciente puede cambiar de decisión. Por eso conviene que el flujo conserve el historial completo: consentimiento inicial, firma, registro, revocación, nueva firma y trazabilidad. La revocación no debería borrar el consentimiento original, sino quedar registrada junto a él.

Consentimiento informado en telemedicina

El Reglamento de Telesalud (Decreto Supremo N.° 005-2021-SA) trata el consentimiento informado en su artículo 36. Según ese artículo, debe constar por escrito y en un documento que muestre el proceso de información y decisión, y puede otorgarse con firma manuscrita, firma digital u otro medio que asegure la autenticación de identidad.

Para teleconsulta, telemonitoreo y teleorientación que no requieran consentimiento formal, el artículo indica que basta comunicar al paciente las condiciones y restricciones del servicio, y que la IPRESS conserve la prueba de esa comunicación. En ese escenario, la firma remota, la firma móvil o el certificado profesional remoto son alternativas especialmente útiles.

Consentimiento clínico y consentimiento de datos personales

No deben mezclarse. El consentimiento clínico autoriza un tratamiento o un procedimiento; el de datos personales regula usos específicos de la información. Una plataforma debería mantener consentimientos separados para:

• el tratamiento médico;
• la investigación;
• las fotografías o imágenes;
• la docencia;
• el marketing;
• el tratamiento de datos, cuando corresponda.

Toda implementación debe respetar la protección de datos, la seguridad y la confidencialidad propias del sector salud.

Una firma para cada responsabilidad

Un buen diseño separa quién hace qué dentro del consentimiento.

Por eso no conviene usar un único certificado o un solo agente para representar a todos los actores del consentimiento.

Conclusión

El consentimiento informado digital necesita demostrar la voluntad del paciente y la responsabilidad del profesional, y la NTS 139 pide firma digital para ello dentro de un sistema de historia clínica. DNIe, One Shot, firma remota y certificado profesional resuelven partes distintas del mismo flujo; lo importante es validar la compatibilidad con tu IPRESS antes de implementarlos.

Este artículo es informativo y no constituye asesoría legal ni médica. Revisa siempre el texto oficial de cada norma y valida tu implementación con el área legal y de salud de tu institución.

Preguntas frecuentes

¿El paciente puede dar su consentimiento informado con firma electrónica?

Dentro de un sistema de historia clínica electrónica, la NTS N.° 139-MINSA/2018/DGAIN dispone que la firma electrónica del paciente no se use para otorgar el consentimiento informado. Los consentimientos contenidos en un sistema de información se firman digitalmente.

¿El paciente puede firmar con su DNIe?

Sí, si el sistema es compatible. El DNIe contiene certificados digitales de RENIEC, pero firmar requiere lector de tarjetas, software de firma y PIN.

¿Se puede usar Firma One Shot en un consentimiento informado?

Puede evaluarse como certificado de uso puntual para pacientes que no necesitan una credencial recurrente. No debe presentarse como aprobado específicamente por el MINSA: hay que validar la política del certificado y la arquitectura de la IPRESS.

¿El médico debe usar un certificado digital profesional?

La norma pide que el formato lleve la firma del profesional responsable, y la historia clínica electrónica se refrenda con su firma digital. El certificado profesional es una opción adecuada para identificarlo dentro del flujo.

¿Puede firmar un agente automatizado en nombre del paciente?

No. El agente automatizado sirve para funciones de sistema, como generar constancias o procesos masivos. No sustituye la voluntad del paciente ni la firma del profesional responsable.

¿Cómo se otorga el consentimiento informado en telemedicina?

El Reglamento de Telesalud contempla que se otorgue por escrito, en un documento que muestre el proceso de información y decisión. Admite firma manuscrita, firma digital u otro medio que asegure la autenticación de identidad.

Siguiente paso

Si estás diseñando el flujo de firma de consentimientos, estas son las opciones:

• Certificado Digital Profesional: para el médico o profesional responsable.
• Firma One Shot: para pacientes que firman una sola vez.
• Iniciar tu solicitud.

Fuentes

• Resolución Ministerial N.° 214-2018/MINSA, que aprueba la NTS N.° 139-MINSA/2018/DGAIN — Gestión de la Historia Clínica
• Decreto Supremo N.° 005-2021-SA, Reglamento de la Ley Marco de Telesalud — El Peruano
• DNI electrónico — RENIEC