¿Qué es TPO en HIPAA? Tratamiento, Pago y Operaciones explicados (2026)
TPO en HIPAA significa Tratamiento, Pago y Operaciones de Atención Médica (Treatment, Payment, and Healthcare Operations). Conforme a 45 CFR 164.506, las entidades cubiertas pueden usar y divulgar información de salud protegida para estas tres actividades sin autorización del paciente, lo que permite el flujo rutinario de información de salud que requieren la atención médica, la facturación y la administración clínica.
Qué significa TPO conforme a HIPAA
TPO es un término abreviado que se usa en el cumplimiento de la privacidad de la atención médica. Significa Tratamiento, Pago y Operaciones de Atención Médica. Estas tres categorías representan las actividades centrales que mantienen funcionando al sistema de salud, desde la prestación de atención al paciente hasta el procesamiento de reclamaciones de seguros y la gestión del lado administrativo de un consultorio médico.
La Regla de Privacidad de HIPAA, codificada en 45 CFR Part 164, Subpart E, reconoce que los proveedores de atención médica, los planes de salud y las cámaras de compensación necesitan compartir información de salud protegida (PHI) para llevar a cabo sus funciones cotidianas. Sin un marco viable para el intercambio rutinario de información, el sistema de salud se paralizaria. TPO proporciona ese marco.
Conforme a 45 CFR 164.506, las entidades cubiertas pueden usar y divulgar PHI para tratamiento, pago y operaciones de atención médica sin obtener una autorización escrita del paciente. Esta es una de las disposiciones más importantes de la Regla de Privacidad porque permite el flujo rutinario de información de salud del que depende la atención médica, sin dejar de mantener las protecciones de privacidad.
Las definiciones formales de las tres categorías de TPO aparecen en 45 CFR 164.501. Entender exactamente que abarca cada categoría es esencial para el cumplimiento, porque las divulgaciones que van más allá de TPO por lo general requieren la autorización del paciente u otra excepción legal especifica.
Tratamiento: el primer elemento de TPO
Definición conforme a la ley federal
La Regla de Privacidad define el "tratamiento" como la prestación, coordinación o gestión de la atención médica y los servicios relacionados por uno o más proveedores de atención médica. Esto incluye la coordinación o gestión de la atención médica por parte de un proveedor con un tercero, la consulta entre proveedores en relación con un paciente y la remisión de un paciente de un proveedor a otro (45 CFR 164.501).
El tratamiento es el elemento más amplio y más frecuentemente invocado de TPO en la práctica clínica diaria. Cada vez que un médico revisa el expediente de un paciente, ordena una prueba de laboratorio o comenta un caso con un especialista, esa actividad forma parte del elemento de tratamiento.
Ejemplos de divulgaciones de tratamiento
Un médico de atención primaria remite a un paciente a un cardiologo y envía los registros médicos del paciente al consultorio del especialista. Esta divulgación de PHI con fines de tratamiento no requiere autorización del paciente.
El departamento de emergencias de un hospital se comunica con el médico de atención primaria de un paciente para obtener el historial de medicamentos del paciente durante una visita de emergencia. El médico de atención primaria puede compartir esta información sin necesitar el permiso escrito del paciente.
Un laboratorio recibe una muestra de sangre junto con la información clínica pertinente del médico que la solicita. El laboratorio procesa la muestra y devuelve los resultados. Tanto el envío como la recepción de PHI en este escenario califican como divulgaciones de tratamiento.
Los farmacéuticos que consultan con los médicos que emiten recetas sobre posibles interacciones medicamentosas, el personal de enfermería que coordina la atención médica domiciliaria después del alta y los proveedores de salud mental que analizan los planes de tratamiento con el administrador de casos de un paciente representan actividades de tratamiento conforme a la Regla de Privacidad.
El tratamiento y el estándar de lo mínimo necesario
Una de las distinciones más importantes de la Regla de Privacidad tiene que ver con la forma en que el estándar de lo mínimo necesario se aplica a las divulgaciones de tratamiento. Conforme a 45 CFR 164.502(b)(2), el requisito de lo mínimo necesario no se aplica a las divulgaciones realizadas con fines de tratamiento.
Esto significa que un proveedor puede compartir el expediente médico completo con otro proveedor tratante cuando sea clinicamente apropiado. La razón es sencilla: los proveedores necesitan acceso a información completa para brindar una atención segura y eficaz. Restringir lo que un proveedor tratante puede ver podría dar lugar a un diagnóstico erróneo, interacciones medicamentosas dañinas u otros problemas de seguridad del paciente.
Pago: el segundo elemento de TPO
Definición conforme a la ley federal
El "pago" conforme a 45 CFR 164.501 abarca las actividades realizadas por un plan de salud para obtener primas, determinar o cumplir con sus responsabilidades de cobertura y proporcionar beneficios. También cubre las actividades de los proveedores de atención médica o de los planes de salud para obtener o proporcionar el reembolso por la prestación de atención médica.
La definición de pago es deliberadamente amplia porque el proceso de facturación y reembolso involucra múltiples pasos y múltiples partes. Desde el momento en que un proveedor documenta un servicio hasta la adjudicación final de una reclamación, ocurren numerosas divulgaciones de PHI relacionadas con el pago.
Actividades específicas de pago
La Regla de Privacidad enumera actividades específicas que forman parte de la categoría de pago. Estas incluyen las determinaciones de elegibilidad o cobertura, la coordinación de beneficios y la adjudicación o subrogación de reclamaciones de beneficios de salud. Los ajustes de riesgo basados en el estado de salud del afiliado y las características demograficas también califican.
La facturación, la gestión de reclamaciones y las actividades de cobro forman parte del pago. También lo hace la obtención de pago conforme a un contrato de reaseguro, incluido el seguro de stop-loss y el seguro de exceso de perdida. Las actividades relacionadas de procesamiento de datos de atención médica también se incluyen.
La revisión de los servicios de atención médica con respecto a la necesidad médica, la cobertura conforme a un plan de salud, la idoneidad de la atención o la justificación de los cargos constituye una actividad de pago. La revisión de la utilización, incluida la precertificación y la preautorización de servicios, así como la revisión concurrente y retrospectiva de servicios, forman parte de esta categoría.
Cómo funcionan las divulgaciones de pago en la práctica
Un hospital presenta una reclamación a la compañía de seguro médico de un paciente que incluye códigos de diagnóstico, códigos de procedimiento y fechas de servicio. Esta divulgación de PHI es una actividad de pago que no requiere autorización del paciente.
Un plan de salud solicita registros médicos a un proveedor para determinar si un procedimiento fue médicamente necesario antes de aprobar el reembolso. El proveedor puede enviar esos registros conforme a la excepción de pago.
El departamento de facturación de un médico envía la cuenta de un paciente a una agencia de cobro después de que el paciente no paga un saldo pendiente. La información compartida con la agencia de cobro con fines de cobro califica como una divulgación de pago, aunque la agencia de cobro por lo general necesitaría tener vigente un acuerdo de socio comercial.
El estándar de lo mínimo necesario y el pago
A diferencia de las divulgaciones de tratamiento, el estándar de lo mínimo necesario si se aplica a los usos y divulgaciones relacionados con el pago. Una entidad cubierta debe limitar la PHI divulgada con fines de pago a la cantidad mínima razonablemente necesaria para lograr el propósito previsto.
Por ejemplo, cuando un plan de salud solicita registros para verificar una reclamación, el proveedor debe enviar solo los registros pertinentes al servicio específico que se esta revisando, no todo el historial médico del paciente. Se exige a las entidades cubiertas que desarrollen e implementen políticas y procedimientos que identifiquen la información mínima necesaria para las divulgaciones de pago rutinarias y recurrentes.
Operaciones de Atención Médica: el tercer elemento de TPO
Definición conforme a la ley federal
Las operaciones de atención médica representan las actividades administrativas, financieras, legales y de mejora de la calidad que una entidad cubierta necesita para dirigir su negocio y respaldar las funciones centrales de tratamiento y pago. La definición en 45 CFR 164.501 proporciona una lista exhaustiva de seis categorías de actividades que califican.
A diferencia del tratamiento y el pago, las operaciones de atención médica constituyen una lista cerrada. Solo califican las actividades específicamente enumeradas en el reglamento. Si una actividad no aparece en la lista, no puede justificarse como una operación de atención médica conforme a TPO.
Las seis categorías de operaciones de atención médica
Evaluación y mejora de la calidad. Esto incluye la evaluación de resultados, el desarrollo de guías clínicas, las actividades de seguridad del paciente según se definen en 42 CFR 3.20, las actividades basadas en la población relacionadas con la mejora de la salud o la reducción de costos, el desarrollo de protocolos, la gestión de casos, la coordinación de la atención y el contacto con proveedores y pacientes con información sobre alternativas de tratamiento. La limitación clave: si el propósito principal de un estudio es producir conocimiento generalizable, cruza al terreno de la investigación y deja de calificar como operaciones de atención médica.
Revisión de la competencia profesional. Las entidades cubiertas pueden usar PHI para revisar la competencia o las cualificaciones de los profesionales de la atención médica, evaluar el desempeño de los profesionales y proveedores, evaluar el desempeño del plan de salud, realizar programas de capacitación para estudiantes y profesionales, capacitar a profesionales ajenos a la atención médica y respaldar las actividades de acreditación, certificación, licencias o credenciales.
Actividades de suscripción y de seguros. Los planes de salud pueden usar PHI para la suscripción, la inscripción, la clasificación de primas y otras actividades relacionadas con la creación, renovación o reemplazo de contratos de seguro de salud o de beneficios de salud. Esto también incluye la cesión, la obtención o la colocación de contratos de reaseguro de riesgo relacionados con las reclamaciones de atención médica.
Funciones de revisión médica, legales y de auditoría. La realización o la organización de la revisión médica, los servicios legales y las funciones de auditoría forman parte de las operaciones de atención médica. Esta categoría incluye específicamente los programas de detección de fraude y abuso y de cumplimiento.
Planificación y desarrollo empresarial. Los análisis de gestión de costos, las actividades de planificación relacionadas con la gestión y operación de la entidad, el desarrollo y la administración de formularios, y el desarrollo o la mejora de los métodos de pago o las políticas de cobertura, todos califican.
Gestión empresarial y administración general. Esta amplia categoría final abarca las actividades relacionadas con la implementación y el cumplimiento de la Regla de Privacidad y otras Reglas de Simplificación Administrativa, el servicio al cliente, la resolución de quejas internas, la venta o transferencia de activos, la creación de información de salud desidentificada o un conjunto de datos limitado, y la recaudación de fondos en beneficio de la entidad cubierta.
Las operaciones de atención médica y el estándar de lo mínimo necesario
Al igual que con el pago, el estándar de lo mínimo necesario se aplica a las operaciones de atención médica. Una entidad cubierta debe desarrollar políticas de acceso basadas en funciones que limiten que miembros del personal pueden acceder a la PHI para las operaciones de atención médica, y debe limitar las divulgaciones solo a la información razonablemente necesaria para el propósito operativo específico.
Qué no forma parte de TPO
Entender los límites de TPO es tan importante como entender lo que abarca. Varias categorías de uso y divulgación de PHI quedan fuera de TPO y requieren una autorización separada del paciente conforme a 45 CFR 164.508.
Marketing
La Regla de Privacidad de HIPAA requiere la autorización escrita del paciente para prácticamente todos los usos y divulgaciones de PHI con fines de marketing. El marketing se refiere a una comunicación sobre un producto o servicio que anima al destinatario a comprar o usar el producto o servicio. La propia definición de marketing excluye dos categorías de comunicaciones: los recordatorios de renovación de receta u otras comunicaciones sobre un medicamento o producto biológico actualmente recetado a la persona, siempre que cualquier remuneración económica que reciba la entidad cubierta por realizar la comunicación este razonablemente relacionada con su costo de envío; y las comunicaciones con fines de tratamiento u operaciones de atención médica, excepto cuando la entidad cubierta reciba una remuneración económica por realizar la comunicación. Si una entidad cubierta recibe una remuneración económica de un tercero por realizar una comunicación de marketing que no quede comprendida en estas exclusiones, la autorización debe revelar ese hecho.
Investigación
El uso de PHI para investigación no es una actividad de TPO, incluso cuando la investigación se lleva a cabo dentro de una organización de atención médica. La investigación requiere ya sea la autorización del paciente o una exención de autorización otorgada por una Junta de Revisión Institucional (IRB) o una Junta de Privacidad. La distinción entre la mejora de la calidad (que puede calificar como operaciones de atención médica) y la investigación (que no puede) depende de si el propósito principal es producir conocimiento generalizable.
Notas de psicoterapia
Las notas de psicoterapia reciben una protección especial conforme a HIPAA. Estas son notas registradas por un profesional de salud mental que documentan o analizan el contenido de una sesión de consejería. Se mantienen por separado del expediente médico. El uso o la divulgación de notas de psicoterapia requiere la autorización del paciente incluso cuando el uso o la divulgación de otro modo formaria parte de TPO, con excepciones muy limitadas, como el uso de tratamiento por parte del proveedor de origen o ciertas situaciones de aplicación de la ley.
Venta de PHI
La venta de información de salud protegida requiere la autorización del paciente conforme a HIPAA. Una entidad cubierta no puede vender PHI sin obtener primero una autorización válida que indique que la divulgación dará lugar a una remuneración para la entidad. Existen excepciones limitadas para fines de tratamiento y pago, actividades de salud publica y ciertas actividades de investigación, pero la regla general prohíbe la venta comercial de información del paciente sin autorización.
El Aviso de Prácticas de Privacidad y TPO
Toda entidad cubierta debe proporcionar a los pacientes un Aviso de Prácticas de Privacidad (NPP) que explique como la entidad puede usar y divulgar PHI. El NPP debe describir específicamente los usos y divulgaciones relacionados con TPO de la entidad, junto con al menos un ejemplo de cada categoría.
Requisitos de distribución
Los proveedores de atención médica con una relación de tratamiento directa deben proporcionar el NPP a los pacientes a más tardar en la fecha de la primera prestación del servicio. El proveedor debe hacer un esfuerzo de buena fe para obtener un reconocimiento escrito del paciente de que recibió el aviso. Los planes de salud deben enviar el NPP a los nuevos afiliados en el momento de la inscripción y deben redistribuir el aviso al menos una vez cada tres años si ha habido cambios sustanciales.
Lo que debe incluir el NPP
El NPP debe contener una descripción de los tipos de usos y divulgaciones que la entidad cubierta puede realizar para tratamiento, pago y operaciones de atención médica. Debe describir los derechos de la persona conforme a la Regla de Privacidad, incluido el derecho a solicitar restricciones sobre ciertos usos y divulgaciones. El aviso también debe identificar a una persona o una oficina de contacto responsable de recibir quejas y proporcionar más información.
Los pacientes tienen derecho a solicitar que una entidad cubierta restrinja como usa o divulga su PHI con fines de TPO. Sin embargo, por lo general una entidad cubierta no está obligada a aceptar dicha solicitud, con una excepción: una entidad cubierta debe cumplir con una solicitud de restringir la divulgación a un plan de salud con fines de pago o de operaciones de atención médica si el paciente pago el servicio en su totalidad de su propio bolsillo.
TPO y los socios comerciales
Cuando una entidad cubierta contrata a un tercero para desempeñar funciones de TPO en su nombre, ese tercero por lo general califica como un socio comercial. La entidad cubierta debe celebrar un acuerdo de socio comercial (BAA) antes de divulgar PHI a ese tercero con fines de TPO.
Los socios comerciales comunes que participan en actividades de TPO incluyen las compañías de facturación que procesan reclamaciones (pago), los servicios de transcripción que preparan registros médicos (tratamiento) y las firmas de contabilidad que auditan registros financieros que contienen PHI (operaciones de atención médica). El BAA establece lo que el socio comercial puede y no puede hacer con la PHI, exige salvaguardas apropiadas y ordena el reporte de violaciones en caso de acceso o divulgación no autorizados.
Una entidad cubierta puede divulgar PHI a un socio comercial y puede permitir que el socio comercial cree, reciba, mantenga o transmita PHI en su nombre, siempre que la entidad cubierta obtenga garantías satisfactorias de que el socio comercial salvaguardara adecuadamente la información. Estas garantías deben documentarse en un acuerdo escrito que cumpla con los requisitos de 45 CFR 164.504(e).
Aplicación y sanciones por el uso indebido de TPO
Las entidades cubiertas que divulgan PHI fuera de los límites de TPO sin la autorización adecuada se enfrentan a acciones de aplicación por parte de la Oficina de Derechos Civiles del HHS (OCR). A partir de 2025, la OCR ha investigado más de 31,000 casos y ha impuesto multas civiles o acuerdos por un total de más de $144 million.
Las sanciones por violaciones de la Regla de Privacidad de HIPAA siguen una estructura escalonada. Las violaciones por causa razonable conllevan sanciones que van de $137 a $68,928 por violación. Las violaciones por negligencia deliberada que se corrigen dentro de los 30 días conllevan sanciones de $13,785 a $68,928 por violación. Las violaciones por negligencia deliberada que no se corrigen a tiempo conllevan una sanción mínima de $68,928 por violación, hasta un máximo anual de $2,067,813 por disposición idéntica.
Las sanciones penales también se aplican en casos de violaciones a sabiendas. El Departamento de Justicia puede iniciar cargos penales que conllevan multas de hasta $250,000 y hasta 10 años de prisión por violaciones cometidas con la intención de vender, transferir o usar PHI para obtener ventaja comercial, beneficio personal o daño malicioso.
Las organizaciones que clasifican indebidamente una divulgación como parte de TPO cuando en realidad requiere autorización se exponen a estas acciones de aplicación. Mantener políticas claras sobre lo que constituye tratamiento, pago y operaciones de atención médica, y capacitar al personal en consecuencia, es una obligación de cumplimiento central para toda entidad cubierta.
Para obtener más información sobre los requisitos de privacidad de HIPAA, visite la página general de HIPAA o consulte a un abogado para obtener asesoramiento específico para su situación.
Preguntas frecuentes
¿TPO requiere el consentimiento o la autorización del paciente?
No. Conforme a 45 CFR 164.506, las entidades cubiertas pueden usar y divulgar PHI para tratamiento, pago y operaciones de atención médica sin obtener la autorización escrita del paciente. Sin embargo, las entidades cubiertas deben proporcionar un Aviso de Prácticas de Privacidad que explique estos usos antes de la primera prestación del servicio o en ese momento.
¿El estándar de lo mínimo necesario se aplica a las tres categorías de TPO?
El estándar de lo mínimo necesario se aplica a las divulgaciones de pago y de operaciones de atención médica, pero no a las divulgaciones de tratamiento. Los proveedores pueden compartir el expediente médico completo de un paciente con otro proveedor tratante cuando sea clinicamente apropiado. Para el pago y las operaciones, la entidad cubierta debe limitar las divulgaciones solo a la PHI razonablemente necesaria para lograr el propósito.
¿Puede un paciente rechazar las divulgaciones de TPO?
Los pacientes pueden solicitar restricciones sobre los usos y divulgaciones de TPO, pero por lo general las entidades cubiertas no están obligadas a aceptar. Existe una excepción: si un paciente paga un servicio en su totalidad de su propio bolsillo, la entidad cubierta debe respetar una solicitud de restringir la divulgación al plan de salud del paciente con fines de pago o de operaciones de atención médica.
¿Compartir PHI para marketing se considera una actividad de TPO?
No. Las comunicaciones de marketing por lo general requieren una autorización escrita separada del paciente, incluso si la entidad cubierta esta promocionando sus propios productos o servicios relacionados con la salud. La propia definición de marketing excluye las comunicaciones de recordatorio de renovación de receta o sobre un medicamento actualmente recetado (cuando la remuneración este razonablemente relacionada con el costo de la comunicación) y las comunicaciones con fines de tratamiento u operaciones de atención médica realizadas sin remuneración económica. Si un tercero paga a la entidad cubierta por enviar una comunicación de marketing que no quede comprendida en esas exclusiones, la autorización debe revelar ese acuerdo económico.
¿Cómo se relaciona TPO con los acuerdos de socio comercial?
Cuando una entidad cubierta contrata a un tercero para desempeñar funciones de TPO, como la facturación médica, el soporte de TI o el procesamiento de reclamaciones, ese tercero por lo general es un socio comercial. La entidad cubierta debe celebrar un acuerdo de socio comercial (BAA) antes de compartir PHI con el tercero. El BAA limita como el socio comercial puede usar la información y exige salvaguardas y procedimientos de notificación de violaciones.
Actualizaciones
Ley aplicable revisada en busca de cambios recientes
Se corrigieron las excepciones a la definición de marketing de HIPAA para que coincidan con 45 CFR 164.501: comunicaciones de renovación de receta/medicamento actual y comunicaciones de tratamiento u operaciones de atención médica sin remuneración, en lugar de las incorrectas 'comunicaciones cara a cara y obsequios de valor nominal' (que pertenecen a una disposición de autorización distinta).
Ley aplicable revisada en busca de cambios recientes
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
Code of Federal Regulations Title 42
§ 3.20Definitions.Vigente
As used in this part, the terms listed alphabetically below have the meanings set forth as follows: Affiliated provider means, with respect to a provider, a legally separate provider that is the parent organization of the provider, is under common ownership, management, or control with the provider, or is owned, managed, or controlled by the provider. AHRQ stands for the Agency for Healthcare Research and Quality in HHS. ALJ stands for an Administrative Law Judge of HHS. Board means the members of the HHS Departmental Appeals Board, in the Office of the Secretary, which issues decisions in panels of three. Bona fide contract means: (1) A written contract between a provider and a PSO that is executed in good faith by officials authorized to execute such contract; or (2) A written agreement (such as a memorandum of understanding or equivalent recording of mutual commitments) between a Federal, State, local, or Tribal provider and a Federal, State, local, or Tribal PSO that is executed in good faith by officials authorized to execute such agreement. Complainant means a person who files a complaint with the Secretary pursuant to § 3.306.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov
Citada en 13 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2025
Resoluciones que citan esta sección en nuestra colección:
- Garcia v. Board of County Commissioners for the County of Dona Ana (District Court, D. New Mexico 2023)“…w terms of PSWP’s two “clarifications.” Resp. at 6 (citing 42 C.F.R. § 3.20). C. No Categorical Exception Ex…”
- Hyams v. CVS Health Corporation (District Court, N.D. California 2019)“…might independently be PSWP under the Reporting Prong. See 42 C.F.R. § 3.20 (PSWP includes information “assembled o…”
- Cohan v. Ayabe. (Hawaii Supreme Court 2014, 132 Haw. 408)“…iew, quality assurance, patient safety activities listed at 42 CFR 3.20, billing, benefit management, practice…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Code of Federal Regulations Title 45
§ 164.501Definitions.Vigente
As used in this subpart, the following terms have the following meanings: Correctional institution means any penal or correctional facility, jail, reformatory, detention center, work farm, halfway house, or residential community program center operated by, or under contract to, the United States, a State, a territory, a political subdivision of a State or territory, or an Indian tribe, for the confinement or rehabilitation of persons charged with or convicted of a criminal offense or other persons held in lawful custody. Other persons held in lawful custody includes juvenile offenders adjudicated delinquent, aliens detained awaiting deportation, persons committed to mental institutions through the criminal justice system, witnesses, or others awaiting charges or trial.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov
Citada en 107 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
Resoluciones que citan esta sección en nuestra colección:
- United States Ex Rel. Grubbs v. Kanneganti (Court of Appeals for the Fifth Circuit 2009, 565 F.3d 180)“…es excludes . . . counseling session start and stop times.” 45 C.F.R. § 164.501.…”
- Law v. Zuckerman (District Court, D. Maryland 2004, 307 F. Supp. 2d 705)“…d privacy of individually identifiable health information. 45 C.F.R. § 164.501 et seq; United States v. Suther…”
- United Nurses Associations of California v. National Labor Relations Board (Court of Appeals for the Ninth Circuit 2017, 871 F.3d 767)“…or its own treatment, payment, or health care operations”); 45 C.F.R. § 164.501(6)(iii) (“Health care operations means…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.502Uses and disclosures of protected health information: General rules.Vigentecitada en 14 de nuestros artículos
(a) Standard. A covered entity or business associate may not use or disclose protected health information, except as permitted or required by this subpart or by subpart C of part 160 of this subchapter. (1) Covered entities: Permitted uses and disclosures. A covered entity is permitted to use or disclose protected health information as follows: (i) To the individual; (ii) For treatment, payment, or health care operations, as permitted by and in compliance with § 164.506; (iii) Incident to a use or disclosure otherwise permitted or required by this subpart, provided that the covered entity has complied with the applicable requirements of §§ 164.502(b), 164.514(d), and 164.530(c) with respect to such otherwise permitted or required use or disclosure; (iv) Except for uses and disclosures prohibited under § 164.502(a)(5)(i), pursuant to and in compliance with a valid authorization under § 164.508; (v) Pursuant to an agreement under, or as otherwise permitted by, § 164.510; and (vi) As permitted by and in compliance with any of the following: (A) This section. (B) Section 164.512 and, where applicable, § 164.509. (C) Section 164.514(e), (f), or (g).
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov
Citada en 290 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
En los tribunales (resumen editorial, verificado de forma independiente):La Sección 164.502 fija la prohibición general de la Regla de Privacidad sobre usar o divulgar información médica protegida. Opis Management Resources, LLC (2013) sostuvo que desplazó una ley de Florida que obligaba a entregar los expedientes de un residente fallecido al cónyuge u otro representante designado; Disability Rights Texas v. Hollis (2024) aplicó su excepción exigida por ley.
Resoluciones que citan esta sección en nuestra colección:
- Northwestern Memorial Hospital v. John Ashcroft, Attorney General of the United States (Court of Appeals for the Seventh Circuit 2004, 362 F.3d 923)“…sub-part or by subpart C of part 160 of this subchapter.” 45 C.F.R. § 164.502 (a). Before looking to the various exce…”
- Opis Management Resources, LLC v. Secretary, Florida Agency for Health Care Administration (Court of Appeals for the Eleventh Circuit 2013, 713 F.3d 1291)✓Hogares de ancianos se negaron a entregar los expedientes de residentes fallecidos a cónyuges que no eran representantes personales bajo 45 CFR 164.502(g); el Undécimo Circuito sostuvo que la ley de Florida que exigía esas divulgaciones generales estaba desplazada por HIPAA.
- United States ex rel. Baltazar v. Warden (District Court, N.D. Illinois 2014, 302 F.R.D. 256)“…nduct was protected under HIPAA’s whistleblower exception, 45 C.F.R. § 164.502 (j)(l). 2 Regardless of whether Baltaz…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.504Uses and disclosures: Organizational requirements.Vigentecitada en 3 de nuestros artículos
(a) Definitions. As used in this section: Plan administration functions means administration functions performed by the plan sponsor of a group health plan on behalf of the group health plan and excludes functions performed by the plan sponsor in connection with any other benefit or benefit plan of the plan sponsor. Summary health information means information, that may be individually identifiable health information, and: (1) That summarizes the claims history, claims expenses, or type of claims experienced by individuals for whom a plan sponsor has provided health benefits under a group health plan; and (2) From which the information described at § 164.514(b)(2)(i) has been deleted, except that the geographic information described in § 164.514(b)(2)(i)(B) need only be aggregated to the level of a five digit zip code. (b)-(d) [Reserved] (e)(1) Standard: Business associate contracts. (i) The contract or other arrangement required by § 164.502(e)(2) must meet the requirements of paragraph (e)(2), (e)(3), or (e)(5) of this section, as applicable.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov
Citada en 10 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2023
Resoluciones que citan esta sección en nuestra colección:
- Bailey v. City of Daytona Beach Shores (District Court, M.D. Florida 2012, 286 F.R.D. 625)“…al records in litigation.” {Id.) Plaintiff relies upon 45 C.F.R. § 164.504 (f)(2)(ii)(C) 1 which states that a gr…”
- Ciox Health, LLC v. Hargan (District Court, District of Columbia 2020)“…n-compliance is itself a violation of the regulations. See 45 C.F.R. § 164.504(e)(1). 4 Not surprisingly,…”
- Trone Health Services, Inc. v. Express Scripts Holding Co. (Court of Appeals for the Eighth Circuit 2020, 974 F.3d 845)“…ed and enforced under their contract claim. In violation of 45 C.F.R. § 164.504(g)(2), the Pharmacies first claim that…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.506Uses and disclosures to carry out treatment, payment, or health care operations.Vigentecitada en 5 de nuestros artículos
(a) Standard: Permitted uses and disclosures. Except with respect to uses or disclosures that require an authorization under § 164.508(a)(2) through (4) or that are prohibited under § 164.502(a)(5)(i), a covered entity may use or disclose protected health information for treatment, payment, or health care operations as set forth in paragraph (c) of this section, provided that such use or disclosure is consistent with other applicable requirements of this subpart. (b) Standard: Consent for uses and disclosures permitted. (1) A covered entity may obtain consent of the individual to use or disclose protected health information to carry out treatment, payment, or health care operations. (2) Consent, under paragraph (b) of this section, shall not be effective to permit a use or disclosure of protected health information when an authorization, under § 164.508, is required or when another condition must be met for such use or disclosure to be permissible under this subpart. (c) Implementation specifications: Treatment, payment, or health care operations. (1) A covered entity may use or disclose protected health information for its own treatment, payment, or health care operations.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov
Citada en 35 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
Resoluciones que citan esta sección en nuestra colección:
- Citizens for Health v. Leavitt (Court of Appeals for the Third Circuit 2005, 428 F.3d 167)“…missible under this subpart. 5 45 C.F.R. § 164.506 (emphasis added). Citizens challenge s…”
- United Nurses Associations of California v. National Labor Relations Board (Court of Appeals for the Ninth Circuit 2017, 871 F.3d 767)“…ually occurred” and that CVMC’s claim to the 9 45 C.F.R. § 164.506(c)(1) (“A covered entity may use or dis…”
- Steinberg v. CVS Caremark Corp. (District Court, E.D. Pennsylvania 2012, 899 F. Supp. 2d 331)“…d patients with information about treatment alternatives.” 45 C.F.R. §§ 164.506 , 164.501. The CAC’s allegations sugg…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.508Uses and disclosures for which an authorization is required.Vigentecitada en 9 de nuestros artículos
(a) Standard: Authorizations for uses and disclosures —(1) Authorization required: General rule. Except as otherwise permitted or required by this subchapter, a covered entity may not use or disclose protected health information without an authorization that is valid under this section. When a covered entity obtains or receives a valid authorization for its use or disclosure of protected health information, such use or disclosure must be consistent with such authorization. (2) Authorization required: Psychotherapy notes.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov
Citada en 199 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
Resoluciones que citan esta sección en nuestra colección:
- Glen Murphy v. Aldolfo C. Dulay (Court of Appeals for the Eleventh Circuit 2014, 768 F.3d 1360)“…ility Act (“HIPAA”), and its accompanying regulations, see 45 C.F.R. §§ 164.508, 164.512. That authorization form—requ…”
- Kenneth Wilson v. UnitedHealthcare Insurance Co (Court of Appeals for the Fourth Circuit 2022, 27 F.4th 228)“…to identify his authority to do so as required by 45 C.F.R. § 164.508(c)(vi). Either way, United argues…”
- United States v. Deleon (District Court, D. New Mexico 2018, 323 F. Supp. 3d 1273)“…re information without the patient's authorization. See 45 C.F.R. § 164.508 (a)(1) ("Except as otherwise permitted…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- 45 CFR 164.501 - Definiciones (Tratamiento, Pago, Operaciones de Atención Médica)(ecfr.gov).gov
- 45 CFR 164.506 - Usos y divulgaciones para llevar a cabo TPO(ecfr.gov).gov
- Guía del HHS: Usos y divulgaciones para tratamiento, pago y operaciones de atención médica(hhs.gov).gov
- Guía del HHS: Requisito de lo mínimo necesario(hhs.gov).gov
- Guía del HHS: Aviso de Prácticas de Privacidad para la información de salud protegida(hhs.gov).gov
- Guía del HHS: Marketing conforme a HIPAA(hhs.gov).gov
- Aspectos destacados de la aplicación de HIPAA por el HHS(hhs.gov).gov
- Resumen de la Regla de Privacidad de HIPAA(hhs.gov).gov