¿Qué es TPO en HIPAA? Tratamiento, Pago y Operaciones explicados (2026)

TPO en HIPAA significa Tratamiento, Pago y Operaciones de Atención Médica (Treatment, Payment, and Healthcare Operations). Conforme a 45 CFR 164.506, las entidades cubiertas pueden usar y divulgar información de salud protegida para estas tres actividades sin autorización del paciente, lo que permite el flujo rutinario de información de salud que requieren la atención médica, la facturación y la administración clínica.

Qué significa TPO conforme a HIPAA

TPO es un término abreviado que se usa en el cumplimiento de la privacidad de la atención médica. Significa Tratamiento, Pago y Operaciones de Atención Médica. Estas tres categorías representan las actividades centrales que mantienen funcionando al sistema de salud, desde la prestación de atención al paciente hasta el procesamiento de reclamaciones de seguros y la gestión del lado administrativo de un consultorio médico.

La Regla de Privacidad de HIPAA, codificada en 45 CFR Part 164, Subpart E, reconoce que los proveedores de atención médica, los planes de salud y las cámaras de compensación necesitan compartir información de salud protegida (PHI) para llevar a cabo sus funciones cotidianas. Sin un marco viable para el intercambio rutinario de información, el sistema de salud se paralizaria. TPO proporciona ese marco.

Conforme a 45 CFR 164.506, las entidades cubiertas pueden usar y divulgar PHI para tratamiento, pago y operaciones de atención médica sin obtener una autorización escrita del paciente. Esta es una de las disposiciones más importantes de la Regla de Privacidad porque permite el flujo rutinario de información de salud del que depende la atención médica, sin dejar de mantener las protecciones de privacidad.

Las definiciones formales de las tres categorías de TPO aparecen en 45 CFR 164.501. Entender exactamente que abarca cada categoría es esencial para el cumplimiento, porque las divulgaciones que van más allá de TPO por lo general requieren la autorización del paciente u otra excepción legal especifica.

Tratamiento: el primer elemento de TPO

Definición conforme a la ley federal

La Regla de Privacidad define el "tratamiento" como la prestación, coordinación o gestión de la atención médica y los servicios relacionados por uno o más proveedores de atención médica. Esto incluye la coordinación o gestión de la atención médica por parte de un proveedor con un tercero, la consulta entre proveedores en relación con un paciente y la remisión de un paciente de un proveedor a otro (45 CFR 164.501).

El tratamiento es el elemento más amplio y más frecuentemente invocado de TPO en la práctica clínica diaria. Cada vez que un médico revisa el expediente de un paciente, ordena una prueba de laboratorio o comenta un caso con un especialista, esa actividad forma parte del elemento de tratamiento.

Ejemplos de divulgaciones de tratamiento

Un médico de atención primaria remite a un paciente a un cardiologo y envía los registros médicos del paciente al consultorio del especialista. Esta divulgación de PHI con fines de tratamiento no requiere autorización del paciente.

El departamento de emergencias de un hospital se comunica con el médico de atención primaria de un paciente para obtener el historial de medicamentos del paciente durante una visita de emergencia. El médico de atención primaria puede compartir esta información sin necesitar el permiso escrito del paciente.

Un laboratorio recibe una muestra de sangre junto con la información clínica pertinente del médico que la solicita. El laboratorio procesa la muestra y devuelve los resultados. Tanto el envío como la recepción de PHI en este escenario califican como divulgaciones de tratamiento.

Los farmacéuticos que consultan con los médicos que emiten recetas sobre posibles interacciones medicamentosas, el personal de enfermería que coordina la atención médica domiciliaria después del alta y los proveedores de salud mental que analizan los planes de tratamiento con el administrador de casos de un paciente representan actividades de tratamiento conforme a la Regla de Privacidad.

El tratamiento y el estándar de lo mínimo necesario

Una de las distinciones más importantes de la Regla de Privacidad tiene que ver con la forma en que el estándar de lo mínimo necesario se aplica a las divulgaciones de tratamiento. Conforme a 45 CFR 164.502(b)(2), el requisito de lo mínimo necesario no se aplica a las divulgaciones realizadas con fines de tratamiento.

Esto significa que un proveedor puede compartir el expediente médico completo con otro proveedor tratante cuando sea clinicamente apropiado. La razón es sencilla: los proveedores necesitan acceso a información completa para brindar una atención segura y eficaz. Restringir lo que un proveedor tratante puede ver podría dar lugar a un diagnóstico erróneo, interacciones medicamentosas dañinas u otros problemas de seguridad del paciente.

Pago: el segundo elemento de TPO

Definición conforme a la ley federal

El "pago" conforme a 45 CFR 164.501 abarca las actividades realizadas por un plan de salud para obtener primas, determinar o cumplir con sus responsabilidades de cobertura y proporcionar beneficios. También cubre las actividades de los proveedores de atención médica o de los planes de salud para obtener o proporcionar el reembolso por la prestación de atención médica.

La definición de pago es deliberadamente amplia porque el proceso de facturación y reembolso involucra múltiples pasos y múltiples partes. Desde el momento en que un proveedor documenta un servicio hasta la adjudicación final de una reclamación, ocurren numerosas divulgaciones de PHI relacionadas con el pago.

Actividades específicas de pago

La Regla de Privacidad enumera actividades específicas que forman parte de la categoría de pago. Estas incluyen las determinaciones de elegibilidad o cobertura, la coordinación de beneficios y la adjudicación o subrogación de reclamaciones de beneficios de salud. Los ajustes de riesgo basados en el estado de salud del afiliado y las características demograficas también califican.

La facturación, la gestión de reclamaciones y las actividades de cobro forman parte del pago. También lo hace la obtención de pago conforme a un contrato de reaseguro, incluido el seguro de stop-loss y el seguro de exceso de perdida. Las actividades relacionadas de procesamiento de datos de atención médica también se incluyen.

La revisión de los servicios de atención médica con respecto a la necesidad médica, la cobertura conforme a un plan de salud, la idoneidad de la atención o la justificación de los cargos constituye una actividad de pago. La revisión de la utilización, incluida la precertificación y la preautorización de servicios, así como la revisión concurrente y retrospectiva de servicios, forman parte de esta categoría.

Cómo funcionan las divulgaciones de pago en la práctica

Un hospital presenta una reclamación a la compañía de seguro médico de un paciente que incluye códigos de diagnóstico, códigos de procedimiento y fechas de servicio. Esta divulgación de PHI es una actividad de pago que no requiere autorización del paciente.

Un plan de salud solicita registros médicos a un proveedor para determinar si un procedimiento fue médicamente necesario antes de aprobar el reembolso. El proveedor puede enviar esos registros conforme a la excepción de pago.

El departamento de facturación de un médico envía la cuenta de un paciente a una agencia de cobro después de que el paciente no paga un saldo pendiente. La información compartida con la agencia de cobro con fines de cobro califica como una divulgación de pago, aunque la agencia de cobro por lo general necesitaría tener vigente un acuerdo de socio comercial.

El estándar de lo mínimo necesario y el pago

A diferencia de las divulgaciones de tratamiento, el estándar de lo mínimo necesario si se aplica a los usos y divulgaciones relacionados con el pago. Una entidad cubierta debe limitar la PHI divulgada con fines de pago a la cantidad mínima razonablemente necesaria para lograr el propósito previsto.

Por ejemplo, cuando un plan de salud solicita registros para verificar una reclamación, el proveedor debe enviar solo los registros pertinentes al servicio específico que se esta revisando, no todo el historial médico del paciente. Se exige a las entidades cubiertas que desarrollen e implementen políticas y procedimientos que identifiquen la información mínima necesaria para las divulgaciones de pago rutinarias y recurrentes.

Operaciones de Atención Médica: el tercer elemento de TPO

Definición conforme a la ley federal

Las operaciones de atención médica representan las actividades administrativas, financieras, legales y de mejora de la calidad que una entidad cubierta necesita para dirigir su negocio y respaldar las funciones centrales de tratamiento y pago. La definición en 45 CFR 164.501 proporciona una lista exhaustiva de seis categorías de actividades que califican.

A diferencia del tratamiento y el pago, las operaciones de atención médica constituyen una lista cerrada. Solo califican las actividades específicamente enumeradas en el reglamento. Si una actividad no aparece en la lista, no puede justificarse como una operación de atención médica conforme a TPO.

Las seis categorías de operaciones de atención médica

Evaluación y mejora de la calidad. Esto incluye la evaluación de resultados, el desarrollo de guías clínicas, las actividades de seguridad del paciente según se definen en 42 CFR 3.20, las actividades basadas en la población relacionadas con la mejora de la salud o la reducción de costos, el desarrollo de protocolos, la gestión de casos, la coordinación de la atención y el contacto con proveedores y pacientes con información sobre alternativas de tratamiento. La limitación clave: si el propósito principal de un estudio es producir conocimiento generalizable, cruza al terreno de la investigación y deja de calificar como operaciones de atención médica.

Revisión de la competencia profesional. Las entidades cubiertas pueden usar PHI para revisar la competencia o las cualificaciones de los profesionales de la atención médica, evaluar el desempeño de los profesionales y proveedores, evaluar el desempeño del plan de salud, realizar programas de capacitación para estudiantes y profesionales, capacitar a profesionales ajenos a la atención médica y respaldar las actividades de acreditación, certificación, licencias o credenciales.

Actividades de suscripción y de seguros. Los planes de salud pueden usar PHI para la suscripción, la inscripción, la clasificación de primas y otras actividades relacionadas con la creación, renovación o reemplazo de contratos de seguro de salud o de beneficios de salud. Esto también incluye la cesión, la obtención o la colocación de contratos de reaseguro de riesgo relacionados con las reclamaciones de atención médica.

Funciones de revisión médica, legales y de auditoría. La realización o la organización de la revisión médica, los servicios legales y las funciones de auditoría forman parte de las operaciones de atención médica. Esta categoría incluye específicamente los programas de detección de fraude y abuso y de cumplimiento.

Planificación y desarrollo empresarial. Los análisis de gestión de costos, las actividades de planificación relacionadas con la gestión y operación de la entidad, el desarrollo y la administración de formularios, y el desarrollo o la mejora de los métodos de pago o las políticas de cobertura, todos califican.

Gestión empresarial y administración general. Esta amplia categoría final abarca las actividades relacionadas con la implementación y el cumplimiento de la Regla de Privacidad y otras Reglas de Simplificación Administrativa, el servicio al cliente, la resolución de quejas internas, la venta o transferencia de activos, la creación de información de salud desidentificada o un conjunto de datos limitado, y la recaudación de fondos en beneficio de la entidad cubierta.

Las operaciones de atención médica y el estándar de lo mínimo necesario

Al igual que con el pago, el estándar de lo mínimo necesario se aplica a las operaciones de atención médica. Una entidad cubierta debe desarrollar políticas de acceso basadas en funciones que limiten que miembros del personal pueden acceder a la PHI para las operaciones de atención médica, y debe limitar las divulgaciones solo a la información razonablemente necesaria para el propósito operativo específico.

Qué no forma parte de TPO

Entender los límites de TPO es tan importante como entender lo que abarca. Varias categorías de uso y divulgación de PHI quedan fuera de TPO y requieren una autorización separada del paciente conforme a 45 CFR 164.508.

Marketing

La Regla de Privacidad de HIPAA requiere la autorización escrita del paciente para prácticamente todos los usos y divulgaciones de PHI con fines de marketing. El marketing se refiere a una comunicación sobre un producto o servicio que anima al destinatario a comprar o usar el producto o servicio. La propia definición de marketing excluye dos categorías de comunicaciones: los recordatorios de renovación de receta u otras comunicaciones sobre un medicamento o producto biológico actualmente recetado a la persona, siempre que cualquier remuneración económica que reciba la entidad cubierta por realizar la comunicación este razonablemente relacionada con su costo de envío; y las comunicaciones con fines de tratamiento u operaciones de atención médica, excepto cuando la entidad cubierta reciba una remuneración económica por realizar la comunicación. Si una entidad cubierta recibe una remuneración económica de un tercero por realizar una comunicación de marketing que no quede comprendida en estas exclusiones, la autorización debe revelar ese hecho.

Investigación

El uso de PHI para investigación no es una actividad de TPO, incluso cuando la investigación se lleva a cabo dentro de una organización de atención médica. La investigación requiere ya sea la autorización del paciente o una exención de autorización otorgada por una Junta de Revisión Institucional (IRB) o una Junta de Privacidad. La distinción entre la mejora de la calidad (que puede calificar como operaciones de atención médica) y la investigación (que no puede) depende de si el propósito principal es producir conocimiento generalizable.

Notas de psicoterapia

Las notas de psicoterapia reciben una protección especial conforme a HIPAA. Estas son notas registradas por un profesional de salud mental que documentan o analizan el contenido de una sesión de consejería. Se mantienen por separado del expediente médico. El uso o la divulgación de notas de psicoterapia requiere la autorización del paciente incluso cuando el uso o la divulgación de otro modo formaria parte de TPO, con excepciones muy limitadas, como el uso de tratamiento por parte del proveedor de origen o ciertas situaciones de aplicación de la ley.

Venta de PHI

La venta de información de salud protegida requiere la autorización del paciente conforme a HIPAA. Una entidad cubierta no puede vender PHI sin obtener primero una autorización válida que indique que la divulgación dará lugar a una remuneración para la entidad. Existen excepciones limitadas para fines de tratamiento y pago, actividades de salud publica y ciertas actividades de investigación, pero la regla general prohíbe la venta comercial de información del paciente sin autorización.

El Aviso de Prácticas de Privacidad y TPO

Toda entidad cubierta debe proporcionar a los pacientes un Aviso de Prácticas de Privacidad (NPP) que explique como la entidad puede usar y divulgar PHI. El NPP debe describir específicamente los usos y divulgaciones relacionados con TPO de la entidad, junto con al menos un ejemplo de cada categoría.

Requisitos de distribución

Los proveedores de atención médica con una relación de tratamiento directa deben proporcionar el NPP a los pacientes a más tardar en la fecha de la primera prestación del servicio. El proveedor debe hacer un esfuerzo de buena fe para obtener un reconocimiento escrito del paciente de que recibió el aviso. Los planes de salud deben enviar el NPP a los nuevos afiliados en el momento de la inscripción y deben redistribuir el aviso al menos una vez cada tres años si ha habido cambios sustanciales.

Lo que debe incluir el NPP

El NPP debe contener una descripción de los tipos de usos y divulgaciones que la entidad cubierta puede realizar para tratamiento, pago y operaciones de atención médica. Debe describir los derechos de la persona conforme a la Regla de Privacidad, incluido el derecho a solicitar restricciones sobre ciertos usos y divulgaciones. El aviso también debe identificar a una persona o una oficina de contacto responsable de recibir quejas y proporcionar más información.

Los pacientes tienen derecho a solicitar que una entidad cubierta restrinja como usa o divulga su PHI con fines de TPO. Sin embargo, por lo general una entidad cubierta no está obligada a aceptar dicha solicitud, con una excepción: una entidad cubierta debe cumplir con una solicitud de restringir la divulgación a un plan de salud con fines de pago o de operaciones de atención médica si el paciente pago el servicio en su totalidad de su propio bolsillo.

TPO y los socios comerciales

Cuando una entidad cubierta contrata a un tercero para desempeñar funciones de TPO en su nombre, ese tercero por lo general califica como un socio comercial. La entidad cubierta debe celebrar un acuerdo de socio comercial (BAA) antes de divulgar PHI a ese tercero con fines de TPO.

Los socios comerciales comunes que participan en actividades de TPO incluyen las compañías de facturación que procesan reclamaciones (pago), los servicios de transcripción que preparan registros médicos (tratamiento) y las firmas de contabilidad que auditan registros financieros que contienen PHI (operaciones de atención médica). El BAA establece lo que el socio comercial puede y no puede hacer con la PHI, exige salvaguardas apropiadas y ordena el reporte de violaciones en caso de acceso o divulgación no autorizados.

Una entidad cubierta puede divulgar PHI a un socio comercial y puede permitir que el socio comercial cree, reciba, mantenga o transmita PHI en su nombre, siempre que la entidad cubierta obtenga garantías satisfactorias de que el socio comercial salvaguardara adecuadamente la información. Estas garantías deben documentarse en un acuerdo escrito que cumpla con los requisitos de 45 CFR 164.504(e).

Aplicación y sanciones por el uso indebido de TPO

Las entidades cubiertas que divulgan PHI fuera de los límites de TPO sin la autorización adecuada se enfrentan a acciones de aplicación por parte de la Oficina de Derechos Civiles del HHS (OCR). A partir de 2025, la OCR ha investigado más de 31,000 casos y ha impuesto multas civiles o acuerdos por un total de más de $144 million.

Las sanciones por violaciones de la Regla de Privacidad de HIPAA siguen una estructura escalonada. Las violaciones por causa razonable conllevan sanciones que van de $137 a $68,928 por violación. Las violaciones por negligencia deliberada que se corrigen dentro de los 30 días conllevan sanciones de $13,785 a $68,928 por violación. Las violaciones por negligencia deliberada que no se corrigen a tiempo conllevan una sanción mínima de $68,928 por violación, hasta un máximo anual de $2,067,813 por disposición idéntica.

Las sanciones penales también se aplican en casos de violaciones a sabiendas. El Departamento de Justicia puede iniciar cargos penales que conllevan multas de hasta $250,000 y hasta 10 años de prisión por violaciones cometidas con la intención de vender, transferir o usar PHI para obtener ventaja comercial, beneficio personal o daño malicioso.

Las organizaciones que clasifican indebidamente una divulgación como parte de TPO cuando en realidad requiere autorización se exponen a estas acciones de aplicación. Mantener políticas claras sobre lo que constituye tratamiento, pago y operaciones de atención médica, y capacitar al personal en consecuencia, es una obligación de cumplimiento central para toda entidad cubierta.

Para obtener más información sobre los requisitos de privacidad de HIPAA, visite la página general de HIPAA o consulte a un abogado para obtener asesoramiento específico para su situación.

Preguntas frecuentes

¿TPO requiere el consentimiento o la autorización del paciente?

No. Conforme a 45 CFR 164.506, las entidades cubiertas pueden usar y divulgar PHI para tratamiento, pago y operaciones de atención médica sin obtener la autorización escrita del paciente. Sin embargo, las entidades cubiertas deben proporcionar un Aviso de Prácticas de Privacidad que explique estos usos antes de la primera prestación del servicio o en ese momento.

¿El estándar de lo mínimo necesario se aplica a las tres categorías de TPO?

El estándar de lo mínimo necesario se aplica a las divulgaciones de pago y de operaciones de atención médica, pero no a las divulgaciones de tratamiento. Los proveedores pueden compartir el expediente médico completo de un paciente con otro proveedor tratante cuando sea clinicamente apropiado. Para el pago y las operaciones, la entidad cubierta debe limitar las divulgaciones solo a la PHI razonablemente necesaria para lograr el propósito.

¿Puede un paciente rechazar las divulgaciones de TPO?

Los pacientes pueden solicitar restricciones sobre los usos y divulgaciones de TPO, pero por lo general las entidades cubiertas no están obligadas a aceptar. Existe una excepción: si un paciente paga un servicio en su totalidad de su propio bolsillo, la entidad cubierta debe respetar una solicitud de restringir la divulgación al plan de salud del paciente con fines de pago o de operaciones de atención médica.

¿Compartir PHI para marketing se considera una actividad de TPO?

No. Las comunicaciones de marketing por lo general requieren una autorización escrita separada del paciente, incluso si la entidad cubierta esta promocionando sus propios productos o servicios relacionados con la salud. La propia definición de marketing excluye las comunicaciones de recordatorio de renovación de receta o sobre un medicamento actualmente recetado (cuando la remuneración este razonablemente relacionada con el costo de la comunicación) y las comunicaciones con fines de tratamiento u operaciones de atención médica realizadas sin remuneración económica. Si un tercero paga a la entidad cubierta por enviar una comunicación de marketing que no quede comprendida en esas exclusiones, la autorización debe revelar ese acuerdo económico.

¿Cómo se relaciona TPO con los acuerdos de socio comercial?

Cuando una entidad cubierta contrata a un tercero para desempeñar funciones de TPO, como la facturación médica, el soporte de TI o el procesamiento de reclamaciones, ese tercero por lo general es un socio comercial. La entidad cubierta debe celebrar un acuerdo de socio comercial (BAA) antes de compartir PHI con el tercero. El BAA limita como el socio comercial puede usar la información y exige salvaguardas y procedimientos de notificación de violaciones.