Leyes de retención de expedientes médicos de Arizona (Guía 2026)

Los proveedores de atención médica de Arizona deben conservar los expedientes médicos de pacientes adultos durante al menos seis años después de la última fecha de servicio conforme a A.R.S. § 12-2297. Los expedientes de pacientes menores deben conservarse durante tres años después de que el paciente cumpla 18 años o seis años después de la última fecha de servicio, lo que ocurra más tarde.

Resumen de las leyes de retención de expedientes médicos de Arizona

Última verificación: marzo de 2026. Esta página refleja los Estatutos Revisados de Arizona Título 12, Capítulo 13, Artículo 7.1 y Título 32, Capítulo 31 vigentes.

Tabla de contenidos

• Resumen de las leyes de retención de expedientes médicos de Arizona
• Periodo general de retención: 6 años para pacientes adultos
• Expedientes de pacientes menores
• Instituciones de atención de enfermería
• Retención de datos de origen
• Cómo interactúa HIPAA con la ley de retención de Arizona
• Requisitos de retención de CMS y Medicare
• Derechos de acceso del paciente en Arizona
• Tarifas por copias de expedientes médicos
• Destrucción adecuada de expedientes médicos
• Requisitos de cierre y venta de consultorio
• Consideraciones sobre expedientes médicos electrónicos
• Consideraciones sobre el plazo de prescripción
• Consecuencias del incumplimiento
• Preguntas frecuentes

La ley de Arizona establece plazos mínimos específicos sobre por cuánto tiempo los proveedores de atención médica deben conservar los expedientes médicos de los pacientes. El estatuto principal que rige esta área es A.R.S. § 12-2297, que se ubica dentro del Título 12, Capítulo 13, Artículo 7.1 de los Estatutos Revisados de Arizona.

Estos requisitos de retención aplican ampliamente a todos los proveedores de atención médica que operan en el estado, incluidos médicos, dentistas, quiroprácticos, fisioterapeutas, médicos naturópatas y otros profesionales con licencia. Las reglas cumplen dos propósitos críticos: proteger a los pacientes que puedan necesitar sus expedientes para tratamiento continuo o asuntos legales, y proteger a los proveedores que puedan necesitar expedientes para defenderse de reclamos por negligencia.

El marco de retención de Arizona también se cruza con la ley federal de maneras importantes. Los proveedores que participan en Medicare, aceptan financiamiento federal o quedan bajo el alcance de HIPAA enfrentan obligaciones adicionales que pueden extenderse más allá de lo que exige la ley estatal por sí sola.

Periodo general de retención: 6 años para pacientes adultos

Conforme a A.R.S. § 12-2297, los proveedores de atención médica en Arizona deben conservar el original o copias de los expedientes médicos de un paciente durante al menos seis años después de la última fecha en que el paciente adulto recibió servicios médicos o de atención de salud de ese proveedor.

El reloj de seis años comienza en la fecha de la visita o el servicio más reciente del paciente, no en la fecha en que se creó el expediente. Esta distinción importa porque un paciente que visita a un proveedor repetidamente durante muchos años tendrá expedientes más antiguos que siguen sujetos a retención con base en el encuentro más reciente.

Por ejemplo, si un paciente visitó por primera vez a un médico en 2018 y su última cita fue en enero de 2024, el proveedor debe conservar todos los expedientes de ese paciente hasta al menos enero de 2030.

La frase "a menos que otro estatuto o la ley federal lo exijan de otra manera" al comienzo del estatuto es significativa. Significa que otros estatutos de Arizona o regulaciones federales pueden imponer periodos de retención más largos para tipos específicos de expedientes, y los proveedores deben seguir el requisito que sea más estricto.

Expedientes de pacientes menores

Arizona brinda protecciones especiales para los expedientes médicos de los niños. Conforme a A.R.S. § 12-2297(A)(2), si el paciente es un niño, el proveedor debe conservar los expedientes durante el periodo que sea más largo:

• Al menos tres años después del decimoctavo cumpleaños del niño, o
• Al menos seis años después de la última fecha en que el niño recibió servicios médicos o de atención de salud

El lenguaje "lo que ocurra más tarde" es fundamental. Los proveedores deben calcular ambas fechas y usar la que caiga más adelante en el futuro.

Considere a un niño que fue tratado por última vez a los 10 años en 2020. Conforme a la regla de seis años, la retención expiraría en 2026. Conforme a la regla basada en la edad, el niño cumple 18 años en 2028, y tres años después es 2031. Debido a que 2031 es más tarde, el proveedor debe conservar los expedientes hasta al menos 2031.

Por el contrario, si un joven de 16 años recibió tratamiento en 2024, la regla de seis años exigiría retención hasta 2030. La regla basada en la edad exigiría retención hasta 2027 (tres años después de cumplir 18 en 2024). En este caso, la regla de seis años controla porque 2030 es más tarde.

Este enfoque de doble cálculo asegura que los menores siempre tengan acceso a sus expedientes médicos de la infancia durante un periodo razonable después de llegar a la adultez.

Instituciones de atención de enfermería

Las instituciones de atención de enfermería, según se definen en A.R.S. § 36-401, siguen un disparador de retención ligeramente diferente. Conforme a A.R.S. § 12-2297(D), estas instalaciones deben conservar los expedientes de los pacientes durante seis años después de la fecha del alta del paciente.

La fecha del alta reemplaza el disparador de la "última fecha de servicio" usado para otros proveedores. Para pacientes menores en entornos de atención de enfermería, aplica la misma regla de doble cálculo: la instalación conserva los expedientes durante el periodo que sea más largo entre tres años después de que el niño cumpla 18 años o seis años después del alta.

Esta disposición reconoce la naturaleza única de los entornos de atención de enfermería, donde los pacientes pueden tener estancias prolongadas y donde el alta representa un punto final claro de la relación proveedor-paciente.

Retención de datos de origen

A.R.S. § 12-2297(A)(3) aborda los datos de origen por separado. Los datos de origen pueden mantenerse separados del expediente médico en sí, pero el proveedor debe conservarlos durante seis años desde la fecha de recolección.

Los datos de origen incluyen resultados de pruebas sin procesar, archivos de imágenes de diagnóstico, análisis de laboratorio y otros datos primarios que forman la base de las entradas en el expediente médico. El periodo de retención de seis años corre desde el momento en que se recolectaron los datos, no desde la última visita del paciente. Esto puede crear situaciones en las que los datos de origen del inicio de una relación de tratamiento expiran antes de que termine la obligación general de retención del expediente médico.

Los proveedores deben tener en cuenta que, si bien la ley de Arizona permite mantener los datos de origen por separado, deben asegurar que sus sistemas de gestión de registros rastreen los plazos de retención tanto del expediente médico como de los datos de origen asociados.

Cómo interactúa HIPAA con la ley de retención de Arizona

La federal Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) no establece su propio periodo de retención de expedientes médicos. Según el Departamento de Salud y Servicios Humanos de EE. UU., la Regla de Privacidad de HIPAA remite a la ley estatal sobre por cuánto tiempo deben conservarse los expedientes médicos.

Sin embargo, HIPAA sí impone dos requisitos importantes que aplican junto con las reglas de retención de Arizona:

Retención de documentación de HIPAA (6 años)

Aunque HIPAA no fija un periodo de retención para los expedientes médicos en sí, sí exige que las entidades cubiertas conserven la documentación relacionada con HIPAA durante seis años. Conforme a 45 C.F.R. § 164.530(j), las entidades cubiertas deben conservar las políticas, procedimientos, avisos de prácticas de privacidad, resolución de quejas y otras acciones o documentación requeridas por la Regla de Privacidad durante seis años desde la fecha de creación o la fecha en que el documento estuvo en vigor por última vez, lo que sea más tarde.

Esto significa que los proveedores de Arizona que son entidades cubiertas por HIPAA (lo que incluye a la mayoría de los proveedores de atención médica que transmiten información de salud electrónicamente) deben mantener dos plazos de retención paralelos: uno para los expedientes médicos conforme a A.R.S. § 12-2297 y otro para la documentación de cumplimiento de HIPAA conforme a 45 C.F.R. § 164.530(j).

Salvaguardas durante la retención

HIPAA exige salvaguardas administrativas, técnicas y físicas adecuadas para proteger la privacidad de los expedientes médicos durante todo el periodo de retención. Esto significa que los proveedores de Arizona no pueden simplemente almacenar expedientes antiguos en un lugar inseguro. Las mismas protecciones que aplican a los archivos activos de los pacientes también aplican a los expedientes que se almacenan únicamente para el cumplimiento de la retención.

Requisitos de retención de CMS y Medicare

Los proveedores de atención médica que participan en Medicare enfrentan requisitos federales adicionales de retención a través de los Centros de Servicios de Medicare y Medicaid (CMS). Esas reglas son más limitadas de lo que suele describirse.

Conforme a 42 C.F.R. § 424.516(f), un proveedor o suministrador que presta servicios, artículos o medicamentos cubiertos de la Parte A o B que fueron ordenados, certificados, referidos o recetados debe conservar la documentación relacionada con esas órdenes escritas, certificaciones, referencias, recetas y solicitudes de pago durante siete años desde la fecha del servicio, y debe dar acceso a esa documentación a CMS o a un contratista de Medicare cuando se lo soliciten. La misma obligación de siete años recae sobre el médico u otro profesional elegible que emitió la orden, certificación, referencia o receta.

Se trata de un requisito de documentación vinculado a los artículos y servicios ordenados y referidos. No es un periodo general de retención de Medicare para el expediente médico en su conjunto, y no reemplaza la regla estatal de seis años de Arizona. En la práctica, un proveedor de Arizona conserva el expediente médico completo durante al menos seis años conforme a A.R.S. § 12-2297 y conserva la documentación de órdenes, certificaciones, referencias y recetas durante siete años.

Los patrocinadores de planes de la Parte D de Medicare se comprometen a mantener libros, expedientes, documentos y demás evidencia de sus procedimientos y prácticas contables durante 10 años conforme a 42 C.F.R. § 423.505(d). Esa obligación cubre expedientes financieros y administrativos, no expedientes médicos de pacientes.

A.R.S. § 12-2297 remite explícitamente a los requisitos federales más largos con su lenguaje "a menos que la ley federal lo exija de otra manera", por lo que un proveedor de Arizona sigue el periodo federal en cualquier caso en que una regla federal se extienda más allá de seis años. Para la mayoría de los consultorios de Arizona, esto significa que el mínimo estatal de seis años rige el expediente médico en sí, y el plazo federal de siete años aplica a la documentación de órdenes y referencias descrita en el § 424.516(f).

Derechos de acceso del paciente en Arizona

La ley de Arizona otorga a los pacientes un derecho claro para acceder a sus propios expedientes médicos. Conforme a A.R.S. § 12-2293, a solicitud escrita de un paciente o del responsable de las decisiones de atención médica del paciente, el proveedor en posesión de los expedientes debe proporcionar acceso o copias de esos expedientes.

Los pacientes pueden presentar sus solicitudes electrónicamente si el aviso de prácticas de privacidad del proveedor o su sitio web explica cómo hacerlo.

Cuándo pueden los proveedores negar el acceso

A.R.S. § 12-2293 permite a los proveedores negar el acceso en circunstancias limitadas, incluso cuando:

• Proporcionar acceso pondría en peligro la seguridad del paciente
• La divulgación causaría un daño sustancial a un tercero
• Divulgar la información comprometería fuentes confidenciales
• El acceso interferiría con la seguridad de una instalación correccional

Cuando un proveedor niega el acceso, debe documentar la determinación y proporcionar al paciente una explicación escrita. El proveedor aún debe divulgar cualquier parte del expediente que no esté sujeta a una base válida de negación.

El plazo de 30 días de HIPAA

Conforme a las reglas federales de HIPAA en 45 C.F.R. § 164.524, las entidades cubiertas deben responder a las solicitudes de acceso dentro de 30 días calendario. Si se necesita tiempo adicional, el proveedor puede tomar hasta una prórroga de 30 días (para un total de 60 días), pero debe notificar al paciente por escrito sobre la demora y la fecha esperada de finalización dentro de la ventana inicial de 30 días.

HHS ha enfatizado que el periodo de 30 días es un límite externo; los proveedores deben responder lo más rápido posible.

Tarifas por copias de expedientes médicos

Conforme a A.R.S. § 12-2295, los proveedores pueden cobrar una "tarifa razonable" por reproducir expedientes médicos y pueden exigir el pago por adelantado.

Sin embargo, la ley de Arizona prohíbe que los proveedores cobren tarifas en varias situaciones importantes:

• Continuidad de la atención: Los proveedores no pueden cobrar cuando envían expedientes a otro proveedor de atención médica con el fin de continuar la atención del paciente.
• Paciente que busca atención médica: Los proveedores no pueden cobrar al paciente cuando el propósito demostrado es obtener atención médica.
• Responsables de decisiones de atención médica: No aplica ninguna tarifa cuando el responsable autorizado de las decisiones del paciente solicita expedientes con fines de atención.
• Juntas reguladoras: La Junta Médica de Arizona, la Junta de Examinadores Osteopáticos y los funcionarios del departamento de salud reciben expedientes sin cargo.
• Apelaciones del Seguro Social: Un paciente o su representante legal que apela una denegación de beneficios del Seguro Social recibe los expedientes sin cargo. Una solicitud repetida, o una solicitud de expedientes ya proporcionados sin cargo en el mismo año calendario, está sujeta a una tarifa razonable, salvo que no podrá cobrarse ninguna tarifa si no se localizan expedientes en respuesta a esa solicitud. El representante legal debe presentar el formulario de nombramiento de representante SSA-1696 antes de obtener los expedientes sin cargo.

La excepción de "no se localizaron expedientes" está prevista en el § 12-2295(B)(5) y está vinculada a esas solicitudes de apelación del Seguro Social. No es una regla general aplicable a cualquier solicitud de expedientes.

El estatuto no fija un monto específico en dólares por página. En cambio, exige que las tarifas sean "razonables", lo que da a los proveedores discreción dentro de los límites legales.

Destrucción adecuada de expedientes médicos

Una vez que expira el periodo de retención, los proveedores de Arizona no están obligados a conservar los expedientes indefinidamente. Sin embargo, el método de destrucción importa significativamente tanto conforme a la ley estatal como a la federal.

Requisitos de Arizona

Conforme a A.R.S. § 32-3211, los profesionales de la salud deben tener un protocolo escrito que incluya procedimientos para eliminar los expedientes médicos no reclamados después de un periodo de tiempo específico y después de realizar esfuerzos de buena fe para contactar al paciente.

Esto significa que los proveedores no pueden simplemente triturar los expedientes en la fecha de expiración sin primero intentar notificar a los pacientes y darles la oportunidad de obtener copias.

Estándares de destrucción de HIPAA

La Oficina de Derechos Civiles de HHS exige que las entidades cubiertas implementen salvaguardas razonables al eliminar la información de salud protegida (PHI). Aunque HIPAA no exige un método de destrucción específico, prohíbe la eliminación en lugares accesibles al público, como contenedores de basura abiertos o contenedores de reciclaje públicos.

Los métodos de destrucción aceptables incluyen:

• Expedientes en papel: Trituración, incineración, reducción a pulpa o pulverización
• Medios electrónicos: Borrado (sobrescritura con datos no sensibles), purga (desmagnetización) o destrucción física del medio (desintegración, fusión, incineración o trituración)
• Proveedores externos: Los proveedores pueden contratar a un asociado comercial para gestionar la destrucción, pero debe existir un Acuerdo de Asociado Comercial (BAA) conforme a HIPAA

Los proveedores deben mantener un registro de las actividades de destrucción, incluida la fecha, el método y la descripción de los expedientes destruidos, aunque HIPAA no exija explícitamente un registro de destrucción.

Requisitos de cierre y venta de consultorio

Cuando un proveedor de atención médica de Arizona se jubila, cierra o vende su consultorio, los expedientes de los pacientes no simplemente desaparecen. A.R.S. § 12-2297(B) exige que los proveedores tomen "medidas razonables" para asegurar que los expedientes se conserven durante el periodo legal completo.

Obligación de notificación

Conforme a A.R.S. § 32-3211, si un profesional de la salud termina o vende su consultorio y los expedientes de los pacientes no permanecerán en la misma ubicación física, el proveedor debe notificar a cada paciente de manera oportuna antes de la terminación o la venta. El aviso debe informar a los pacientes sobre:

• La futura ubicación de sus expedientes médicos
• Cómo el paciente puede acceder a esos expedientes

Transferencia a un nuevo proveedor

Cuando se vende un consultorio, el proveedor comprador generalmente asume la responsabilidad de mantener los expedientes existentes de los pacientes. El acuerdo de venta debe abordar claramente la custodia de los expedientes, las obligaciones de retención continuas y los procedimientos de acceso.

Opciones de custodio de expedientes

Los proveedores que cierran un consultorio sin transferirlo a un sucesor tienen varias opciones:

• Contratar un servicio de custodia de expedientes médicos para almacenar y gestionar los expedientes durante el periodo de retención restante
• Transferir los expedientes a otro proveedor local que acepte mantenerlos
• Coordinar con un hospital o sistema de salud para albergar los expedientes

Independientemente del enfoque, el proveedor que se jubila o cierra conserva la responsabilidad última de asegurar el cumplimiento de los requisitos de retención.

Requisito de protocolo escrito

A.R.S. § 32-3211 exige que los profesionales de la salud mantengan un protocolo escrito para el almacenamiento seguro, la transferencia y el acceso a los expedientes médicos. Este protocolo debe confirmarse durante la renovación de la licencia. Los proveedores que no puedan demostrar un protocolo conforme enfrentan medidas disciplinarias por conducta no profesional.

La sección contiene dos exenciones que importan en la práctica. La subsección F establece que "profesional de la salud no incluye a un veterinario", y la subsección G establece que la sección "no aplica a un profesional de la salud que sea empleado de una institución de atención médica, según se define en la sección 36-401, que sea responsable del mantenimiento de los expedientes médicos". Esa segunda exención cubre a la mayoría de los médicos empleados por hospitales, cuya institución empleadora asume la obligación del protocolo en su lugar.

Consideraciones sobre expedientes médicos electrónicos

La ley de Arizona permite que los proveedores conserven originales o copias de los expedientes médicos, lo que incluye los formatos electrónicos. A.R.S. § 12-2297 no distingue entre el almacenamiento en papel y el electrónico, y no existe un solo estatuto de Arizona que imponga un estándar de formato a todos los profesionales de la salud con licencia.

Cada profesión tiene sus propias reglas de mantenimiento de expedientes, y esas reglas se prestan fácilmente a una lectura demasiado amplia. A.R.S. § 32-1264 se encuentra en el capítulo de práctica dental del Título 32 y se aplica únicamente a las personas licenciadas o certificadas conforme a ese capítulo (dentistas, terapeutas dentales, higienistas dentales y protesistas dentales) y a las entidades comerciales dentales registradas. Esos licenciatarios deben hacer "registros escritos o electrónicos legibles, permanentes y contemporáneos" de todos los diagnósticos, evaluaciones y tratamientos, y sus expedientes electrónicos "deben poder recuperarse en forma impresa". Los proveedores de otras profesiones deben consultar los estatutos y reglamentos de su propia junta de licencias en lugar de suponer que ese estándar los alcanza.

Los proveedores que almacenan expedientes electrónicamente deben asegurar que sus sistemas incluyan:

• Procedimientos adecuados de respaldo y recuperación ante desastres
• Controles de acceso que cumplan con los requisitos de la Regla de Seguridad de HIPAA
• Registros de auditoría que documenten quién accedió o modificó los expedientes
• La capacidad de producir copias impresas a demanda
• Un plan de migración para cuando los sistemas de software se actualicen o reemplacen

El periodo de retención para los expedientes electrónicos es el mismo que para los expedientes en papel. Cambiar de almacenamiento en papel a electrónico no reinicia ni altera el plazo de retención.

Consideraciones sobre el plazo de prescripción

Aunque no es directamente parte del estatuto de retención de expedientes, el plazo de prescripción de Arizona para los reclamos por negligencia médica tiene implicaciones prácticas sobre por cuánto tiempo los proveedores pueden querer conservar los expedientes.

Conforme a A.R.S. § 12-542, el plazo general de prescripción para reclamos por lesiones personales (incluida la negligencia médica) es de dos años desde que surge la causa de acción. Sin embargo, la regla de descubrimiento puede retrasar el inicio de este reloj si la lesión no fue evidente de inmediato.

Para los menores, el plazo de prescripción generalmente se suspende (se pausa) hasta que el niño cumple 18 años, lo que significa que un reclamo por negligencia podría presentarse años después del tratamiento.

Debido a estas variables, muchos profesionales legales recomiendan conservar los expedientes más allá del periodo legal mínimo, en particular para los pacientes pediátricos. El mínimo de retención de seis años conforme a A.R.S. § 12-2297 proporciona una base razonable, pero los proveedores que tratan a niños o realizan procedimientos de alto riesgo pueden querer considerar una retención voluntaria más larga.

Consecuencias del incumplimiento

Arizona toma en serio la retención de expedientes médicos. Conforme a A.R.S. § 32-3211(D), un profesional de la salud que no cumpla con los requisitos del protocolo de expedientes médicos comete un acto de conducta no profesional.

La conducta no profesional puede desencadenar procedimientos disciplinarios por parte de la junta de licencias del proveedor, lo que puede resultar en:

• Reprimenda formal o censura
• Educación continua requerida
• Restricciones a la práctica o requisitos de supervisión
• Suspensión o revocación de la licencia en casos graves

Además, conforme a A.R.S. § 32-3211, los profesionales de la salud deben confirmar el cumplimiento de su protocolo escrito de expedientes médicos durante la renovación de la licencia. No mantener un protocolo conforme es en sí motivo de medidas disciplinarias.

Más allá de las consecuencias de licencia estatal, los proveedores que son entidades cubiertas por HIPAA también enfrentan una posible aplicación federal por la destrucción inadecuada o la falta de protección de los expedientes durante el periodo de retención. Las sanciones de la Oficina de Derechos Civiles de HHS por violaciones de HIPAA pueden variar de $145 a $2,190,294 por categoría de violación por año, conforme a los niveles ajustados por inflación vigentes desde el 28 de enero de 2026.

Responsabilidad del empleado frente al propietario del consultorio

A.R.S. § 12-2297(C) establece una distinción importante: una persona con licencia conforme al Título 32 que trabaja como empleado de un proveedor de atención médica no es responsable de almacenar o conservar los expedientes médicos. Sin embargo, los empleados siguen siendo responsables de compilar y registrar la información del paciente de la manera acostumbrada. La obligación de almacenamiento y retención recae en el propietario del consultorio o en la entidad que emplea al proveedor.