45 C.F.R. § 164.512 Explicado: Reglas de Divulgación HIPAA

45 C.F.R. § 164.512 es la disposición de la Regla de Privacidad de HIPAA que permite a una entidad cubierta divulgar información de salud protegida sin la autorización escrita del paciente en doce situaciones definidas, entre ellas solicitudes de las fuerzas del orden, procesos judiciales y reportes de salud pública, cada una regida por sus propias condiciones.

Este artículo abarca la Regla de Privacidad federal de HIPAA en 45 C.F.R. § 164.512, que se aplica únicamente a las entidades cubiertas (planes de salud, cámaras de compensación de atención médica y proveedores de atención médica que transmiten información de salud electrónicamente) y a sus asociados comerciales. No abarca a los empleadores comunes, a las escuelas que actúan en su función educativa, ni a la mayoría de las aplicaciones de salud y bienestar para consumidores, ninguno de los cuales está sujeto a HIPAA. La ley estatal puede imponer reglas de privacidad médica más estrictas que HIPAA a nivel federal; consulte la sección sobre la ley estatal cerca del final de este artículo antes de suponer que una respuesta federal resuelve la cuestión.

Información verificada por última vez contra el texto reglamentario reflejado en eCFR y la orientación de tribunales y agencias federales el 12 de agosto de 2026. Este artículo aún no ha sido revisado por un abogado con licencia.

Qué permite 45 C.F.R. § 164.512

La regla predeterminada de la Regla de Privacidad de HIPAA, establecida en 45 C.F.R. § 164.508, exige que una entidad cubierta obtenga la autorización escrita del paciente antes de usar o divulgar información de salud protegida (PHI, por sus siglas en inglés) para la mayoría de los propósitos, y 45 C.F.R. § 164.510 exige dar al paciente la oportunidad de aceptar u objetar ciertos otros usos, como aparecer en el directorio de un hospital. La Sección 164.512 es el conjunto de excepciones estrechas y definidas a ambas reglas: doce categorías de divulgación que una entidad cubierta puede realizar, en la mayoría de las categorías puede en lugar de debe, sin pasar por la autorización o la oportunidad de objetar. Cada categoría tiene sus propias condiciones, y cumplir las condiciones de una categoría no satisface automáticamente las de otra. La tabla a continuación resume las doce. Las categorías de mayor demanda, las fuerzas del orden y los procesos legales, tienen sus propias secciones más adelante en esta página.

Divulgaciones a las fuerzas del orden bajo 164.512(f): qué puede y no puede obtener la policía

45 C.F.R. § 164.512(f) otorga a las entidades cubiertas seis vías distintas para divulgar PHI a las fuerzas del orden, cada una con sus propias condiciones. La más invocada comúnmente, 164.512(f)(1), permite la divulgación para cumplir con un proceso legal: una orden judicial, una orden de arresto emitida por un tribunal, una citación de un gran jurado, o una citación administrativa o exigencia similar que sea pertinente a una investigación legítima de las fuerzas del orden, específica y limitada en su alcance, y que no pudiera razonablemente satisfacerse con información desidentificada. Eso significa que la policía generalmente no necesita una orden firmada por un juez bajo la Cuarta Enmienda específicamente para obtener historiales médicos; una citación que califique suele ser suficiente por sí sola. Una vía separada y más estrecha, 164.512(f)(2), permite que una entidad cubierta comparta datos limitados de identificación o ubicación, como nombre, dirección, fecha de nacimiento y tipo de lesión, para ayudar a identificar o ubicar a un sospechoso, fugitivo, testigo material o persona desaparecida, sin necesidad de ningún proceso legal. El ADN, los historiales dentales y las muestras de fluidos corporales o tejidos están excluidos de esa vía sin proceso, aunque siguen siendo divulgables mediante una orden judicial, una orden de arresto o una solicitud administrativa por escrito.

• 164.512(f)(3): sobre una víctima de un delito, con el consentimiento de la víctima, o, si la víctima no puede dar su consentimiento, si las fuerzas del orden manifiestan que la información es necesaria, no se usará en contra de la víctima, y que la divulgación es en el mejor interés de la víctima.
• 164.512(f)(4): sobre una persona fallecida que la entidad cubierta sospecha que murió como resultado de una conducta delictiva.
• 164.512(f)(5): sobre un delito que la entidad cubierta cree de buena fe que ocurrió en sus propias instalaciones.
• 164.512(f)(6): por un proveedor de atención médica cubierto que brinda atención de emergencia, como un proveedor de servicios médicos de emergencia (EMS), para alertar a las fuerzas del orden sobre la comisión, naturaleza y ubicación de un delito, la identidad de la víctima y, en algunos casos, una descripción del perpetrador, durante tratamiento de emergencia fuera de las instalaciones de la entidad cubierta.

La propia guía de HHS sobre divulgaciones a las fuerzas del orden confirma esta interpretación de 164.512(f)(1): se permite la divulgación para cumplir con una orden judicial o una orden de arresto emitida por un tribunal, una citación o notificación judicial, o una citación de un gran jurado, y una solicitud administrativa también funciona si la información buscada es pertinente y sustancial para una investigación legítima de las fuerzas del orden, la solicitud es específica y limitada en su alcance, y no se pudiera razonablemente usar información desidentificada en su lugar. La creencia común de que la policía siempre necesita una orden firmada por un juez para obtener historiales médicos es incorrecta como afirmación general.

Citaciones, órdenes judiciales y procesos legales bajo 164.512(e)

45 C.F.R. § 164.512(e) rige la divulgación de PHI en procesos judiciales y administrativos, de forma separada a la vía de las fuerzas del orden en 164.512(f). Una entidad cubierta puede divulgar PHI en respuesta a una orden de un tribunal o tribunal administrativo, limitada a lo que la orden autorice expresamente, o en respuesta a una citación, solicitud de exhibición de pruebas u otro proceso legal no acompañado de una orden judicial, pero solo si recibe garantía satisfactoria de que la parte solicitante hizo un esfuerzo de buena fe para notificar al paciente y darle la oportunidad de objetar, o hizo esfuerzos razonables para conseguir una orden de protección calificada que limite el uso de los historiales y exija su devolución o destrucción una vez concluido el proceso.

Cumplir con las condiciones procesales de 164.512(e) no garantiza que un tribunal hará cumplir la citación. En Northwestern Memorial Hospital v. Ashcroft, 362 F.3d 923 (7th Cir. 2004), el gobierno federal citó historiales médicos redactados de pacientes que se habían sometido a un procedimiento específico en el hospital, como parte de una impugnación a la Partial-Birth Abortion Ban Act. El Séptimo Circuito confirmó una orden que anuló la citación, sosteniendo que la carga y el riesgo a la privacidad de los pacientes, incluida la posibilidad realista de identificarlos incluso a partir de historiales redactados, superaba el limitado valor probatorio de la citación. Según el índice de jurisprudencia de recordinglaw.com, cientos de decisiones de tribunales federales citan 45 C.F.R. § 164.512, y Northwestern Memorial está entre las más citadas.

Para un análisis más completo de cómo interactúan las citaciones con HIPAA, consulte HIPAA and Subpoenas: When Can PHI Be Disclosed?.

Reportes de salud pública, reportes de abuso y supervisión de salud

45 C.F.R. § 164.512(b) permite que una entidad cubierta reporte a una autoridad de salud pública para la prevención y el control de enfermedades y lesiones, incluidos los reportes obligatorios de enfermedades y eventos vitales y la vigilancia de salud pública, notifique a alguien que pudo haber estado expuesto a una enfermedad transmisible, y reporte a personas reguladas por la FDA sobre problemas de seguridad de productos. También permite que un proveedor de atención médica cubierto divulgue hallazgos específicos de vigilancia médica laboral o lesiones relacionadas con el trabajo a un empleador que solicitó la evaluación, sujeto a condiciones que incluyen el aviso por escrito al empleado. La Sección 164.512(c) permite la divulgación a una autoridad gubernamental autorizada por ley para recibir reportes de abuso, negligencia o violencia doméstica, generalmente junto con el requisito de informar prontamente al paciente a menos que hacerlo cree un riesgo de seguridad. La Sección 164.512(d) permite la divulgación a una agencia de supervisión de salud para actividades como auditorías, investigaciones, licencias y medidas disciplinarias, y cumplimiento de derechos civiles vinculado al sistema de atención médica.

La vía de divulgación al empleador en 164.512(b) es estrecha: cubre únicamente los hallazgos de una evaluación de vigilancia médica o de aptitud laboral solicitada por el empleador, no los historiales de tratamiento generales. Las pruebas de drogas ordinarias del empleador y la mayoría de los expedientes laborales quedan totalmente fuera de HIPAA, porque la definición de información de salud protegida en 45 C.F.R. § 160.103 excluye expresamente los expedientes laborales que una entidad cubierta conserva en su función de empleador. Consulte Does a Failed Drug Test Show Up on Your Medical Record? para ver cómo se manifiesta esto en la práctica.

164.512(c) existe específicamente para permitir reportar sospechas de abuso, negligencia y violencia doméstica a las autoridades correspondientes, y la ley estatal exige por separado ese tipo de reportes para muchos profesionales. HIPAA no es el obstáculo que algunos suponen que es.

Otras divulgaciones permitidas: personas fallecidas, investigación, donación de órganos y más

Las categorías restantes en 45 C.F.R. § 164.512 cubren situaciones más especializadas. La Sección 164.512(g) permite la divulgación a un forense o médico forense para identificar a una persona fallecida o determinar la causa de muerte, y a directores funerarios según sea necesario para cumplir con sus funciones, lo cual puede comenzar antes de la muerte si se necesita para los arreglos funerarios. La Sección 164.512(h) permite la divulgación a organizaciones de procuración de órganos y bancos de trasplantes y tejidos para facilitar la donación. La Sección 164.512(i) permite la divulgación para investigación cuando una junta de revisión institucional o de privacidad haya aprobado una exención de autorización bajo criterios específicos de protección de la privacidad, o para revisiones preparatorias a la investigación, o investigación que involucre únicamente información de personas fallecidas. La Sección 164.512(j) permite la divulgación necesaria para prevenir o reducir una amenaza grave e inminente a la salud o seguridad de una persona o del público, una disposición de tipo deber de advertir, hecha a alguien razonablemente capaz de prevenir o reducir la amenaza. La Sección 164.512(k) cubre funciones gubernamentales especializadas, incluidos fines de mando militar, actividades de seguridad nacional e inteligencia autorizadas bajo la National Security Act, servicios de protección, instituciones correccionales y custodios de las fuerzas del orden, ciertos programas de beneficios públicos, y reportes al National Instant Criminal Background Check System (NICS) respecto a personas a quienes se les prohíbe poseer armas de fuego. La Sección 164.512(l) permite la divulgación autorizada por y necesaria para cumplir con la compensación laboral o leyes similares de beneficios por lesiones sin culpa.

El estándar del mínimo necesario sigue aplicando

45 C.F.R. § 164.512 autoriza la divulgación dentro de una categoría; no autoriza divulgar más PHI de la que ese propósito requiere. El estándar del mínimo necesario de HIPAA en 45 C.F.R. § 164.502(b) generalmente exige que una entidad cubierta limite la PHI al mínimo necesario para cumplir el propósito del uso o la divulgación, y ese estándar se aplica a la mayoría de las categorías de 164.512, incluidas las divulgaciones a las fuerzas del orden, de salud pública y en procesos judiciales. La única excepción son las divulgaciones exigidas por ley bajo 164.512(a): el estándar del mínimo necesario no se aplica ahí, porque la otra ley en sí misma define lo que debe divulgarse. Fuera de esa excepción estrecha, una entidad cubierta que entrega un historial médico completo cuando solo se necesitaba un hallazgo específico no ha cumplido necesariamente con 164.512, incluso cuando la categoría en sí se aplicaba a la divulgación.

Privacidad de salud reproductiva: qué fue anulado y qué permanece

En abril de 2024, HHS finalizó una regla que agregó 45 C.F.R. § 164.502(a)(5)(iii), la cual prohibía a las entidades cubiertas usar o divulgar PHI para investigar, imponer responsabilidad a, o identificar a una persona por el acto de buscar, obtener, proporcionar o facilitar atención de salud reproductiva legal, junto con un nuevo requisito de declaración jurada en 164.509 para ciertos solicitantes. El 18 de junio de 2025, el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de Texas, en Purl v. HHS (N.D. Tex., Caso No. 2:24-cv-00228), otorgó un fallo sumario que anuló esas disposiciones de salud reproductiva a nivel nacional, sosteniendo que HHS había excedido su autoridad estatutaria. El gobierno no continuó con la apelación; el Quinto Circuito la desestimó el 10 de septiembre de 2025. Múltiples rastreadores de derecho de la salud describen el fallo como el fin de la regla.

A la fecha de verificación de este artículo, el texto codificado de 45 C.F.R. § 164.502(a)(5)(iii) disponible a través de eCFR y del Legal Information Institute de Cornell todavía muestra el lenguaje de prohibición de atención de salud reproductiva, sin ninguna nota editorial que refleje la anulación de junio de 2025. Ese es un retraso conocido entre la anulación de un tribunal, que entró en vigor de inmediato y a nivel nacional por orden judicial, y la actualización formal del texto reglamentario codificado, que aún no se ha puesto al día. En términos prácticos, la restricción específica de salud reproductiva y el requisito de declaración jurada escritos en el texto del CFR no están actualmente en vigor y no se están haciendo cumplir, aunque el texto no ha sido eliminado formalmente. Una parte separada de la regla de 2024, el lenguaje sobre el aviso de prácticas de privacidad vinculado a los historiales de trastorno por uso de sustancias, quedó intacta por la misma orden judicial, en su propia fecha de vigencia. Ese mismo retraso aparece dentro de la propia 164.512, no solo en 164.502: la primera oración de la sección todavía dice, en el texto oficial en inglés, «Except as provided by § 164.502(a)(5)(iii), a covered entity may use or disclose...» (traducción no oficial: «Salvo lo dispuesto en el § 164.502(a)(5)(iii), una entidad cubierta puede usar o divulgar...»), y 164.512(c) todavía incluye una regla de interpretación (c)(3), agregada por la misma regla de 2024, que establece que nada en 164.512 permite una divulgación prohibida por el § 164.502(a)(5)(iii) cuando la única base de un reporte de abuso, negligencia o violencia doméstica es que la persona proporcionó o facilitó atención de salud reproductiva. Ambas referencias apuntan a la misma disposición que esta sección describe como actualmente anulada y sin aplicación; el texto codificado de 164.512 aún no ha sido actualizado para eliminarlas. Debido a que tanto el estado del litigio como el texto codificado pueden cambiar, confirme el estado actual directamente con HHS o con un abogado con licencia especializado en privacidad de la salud antes de basarse en esta sección para una situación específica relacionada con historiales de salud reproductiva.

¿Puede demandar por una violación de 164.512?

No. HIPAA, incluido 45 C.F.R. § 164.512, no crea un derecho de acción privado. Un paciente no puede demandar directamente a una entidad cubierta en un tribunal federal por una divulgación indebida bajo 164.512. En Acara v. Banks, 470 F.3d 569 (5th Cir. 2006), el Quinto Circuito sostuvo que HIPAA no contiene una causa de acción privada expresa ni implícita, y confirmó la desestimación por falta de jurisdicción federal sobre la materia, señalando que todos los tribunales de distrito que habían considerado la cuestión habían llegado a la misma conclusión. Ese fallo hoy es un consenso amplio entre varios circuitos: los Circuitos Segundo, Cuarto, Quinto, Sexto, Séptimo, Octavo, Noveno y Décimo han llegado todos al mismo resultado, incluido el Cuarto Circuito en Payne v. Taslimi. Los recursos disponibles pasan, en cambio, por la Oficina de Derechos Civiles de HHS, que acepta quejas administrativas generalmente dentro de los 180 días desde que el reclamante supo o debió haber sabido de la violación (la OCR puede extender este plazo por causa justificada), y por remisiones penales del Departamento de Justicia en casos de violaciones intencionales. Algunos pacientes optan en cambio por presentar demandas bajo la ley estatal, como negligencia o incumplimiento de confidencialidad, fundamentadas en los mismos hechos subyacentes.

HIPAA es un piso de privacidad, no un techo

45 C.F.R. § 164.512 establece lo que la ley federal permite; no anula una ley estatal más estricta. Bajo 45 C.F.R. § 160.203, una ley estatal relacionada con la privacidad de la información de salud individualmente identificable y que sea más estricta que el estándar federal no queda preferida (preempted) y prevalece en su lugar. Eso significa que una divulgación que 164.512 permitiría a nivel federal, como una divulgación a las fuerzas del orden de la categoría (f), aún puede estar bloqueada por un estatuto estatal que exija el consentimiento del paciente o una orden judicial para historiales especialmente sensibles, como información de salud mental o de estado de VIH, en algunos estados. También significa que 164.512 no anula una ley estatal que exija de forma independiente la divulgación en circunstancias más estrechas o más amplias que la regla federal. Cualquiera que se base en 164.512 para determinar si una divulgación específica es legal también debe revisar el estatuto de privacidad médica propio del estado correspondiente.

Conceptos erróneos comunes sobre 164.512

«La policía siempre necesita una orden para obtener mis historiales médicos». Falso como afirmación general. Bajo 164.512(f)(1), una orden judicial, una orden de arresto emitida por un tribunal, una citación de un gran jurado, o una citación o solicitud administrativa que califique, son suficientes por sí solas, y 164.512(f)(2) permite un conjunto limitado de datos de identificación o ubicación sin ningún proceso legal.

«Puedo demandar a mi médico o al hospital por violar HIPAA». No existe un derecho de acción privado bajo HIPAA, según Acara v. Banks y el amplio consenso entre circuitos descrito anteriormente. El recurso disponible es una queja administrativa ante la Oficina de Derechos Civiles de HHS, o una demanda bajo la ley estatal fundamentada en los mismos hechos.

«HIPAA cubre mis datos de salud en todas partes, incluidos mi empleador y las aplicaciones de bienestar». HIPAA vincula únicamente a las entidades cubiertas, es decir, planes de salud, cámaras de compensación de atención médica y proveedores de atención médica que transmiten información de salud electrónicamente, y sus asociados comerciales. Los empleadores comunes que actúan como tales, la mayoría de las aplicaciones de salud y bienestar para consumidores, y las escuelas que actúan en su función educativa no son entidades cubiertas, por lo que 164.512 no rige los datos que poseen.

«HIPAA impide que un hospital reporte sospechas de abuso». Lo cierto es lo contrario. 164.512(c) permite específicamente, y la ley estatal a menudo exige por separado, la divulgación a las autoridades autorizadas para recibir reportes de abuso, negligencia o violencia doméstica.

«Los historiales de salud reproductiva ahora tienen protección federal especial de HIPAA a nivel nacional». La regla de 2024 que creó esta protección adicional fue anulada a nivel nacional por un tribunal federal en junio de 2025, y el gobierno no continuó con la apelación. La protección adicional y su requisito de declaración jurada no están actualmente en vigor, aunque el texto codificado del CFR aún no ha sido actualizado formalmente para eliminarlos. Consulte la sección anterior para la explicación completa.

«Si HIPAA permite una divulgación, ningún estado puede impedirla, y si HIPAA bloquea una divulgación, nadie puede compartirla». HIPAA es un piso de privacidad. Una ley estatal más estricta puede todavía bloquear una divulgación que 164.512 permitiría a nivel federal, y 164.512 no anula una ley estatal que exija de forma independiente la divulgación en circunstancias distintas.

Aviso legal

Este artículo proporciona información general sobre la disposición federal de la Regla de Privacidad de HIPAA en 45 C.F.R. § 164.512, tal como está vigente y fue verificada contra el texto reglamentario reflejado en eCFR y la orientación de tribunales y agencias federales en la fecha indicada anteriormente. No constituye asesoría legal y no crea una relación abogado-cliente. Las disposiciones sobre atención de salud reproductiva discutidas anteriormente son objeto de un historial de litigio activo y un retraso entre el fallo del tribunal y el texto reglamentario codificado; confirme el estado actual, y la aplicación de 164.512 a cualquier divulgación específica, con HHS o con un abogado con licencia antes de basarse en este artículo para una situación específica.

---

Última actualización: 12 de agosto de 2026.

Preguntas frecuentes

¿Puede la policía obtener mis historiales médicos sin una orden judicial?

A menudo, sí. Bajo 164.512(f)(1), una orden judicial, una citación de un gran jurado o una citación administrativa que califique pueden ser suficientes sin una orden firmada por un juez, y 164.512(f)(2) permite un conjunto limitado de datos de identificación, como el nombre y el tipo de lesión, sin ningún proceso legal.

¿Puede mi empleador ver mis historiales médicos o los resultados de mis pruebas de drogas?

Generalmente no, salvo que apliquen excepciones estrechas. 164.512(b) permite que un proveedor de atención médica comparta con el empleador los hallazgos de una evaluación de vigilancia médica laboral o de aptitud solicitada por el empleador, pero los expedientes laborales que un empleador conserva en su propia función no son información de salud protegida bajo HIPAA en absoluto, por lo que la mayoría de las pruebas de drogas y expedientes de personal quedan totalmente fuera de 164.512.

¿Puedo demandar a un hospital por compartir mis historiales de salud sin mi permiso?

No directamente bajo HIPAA. Acara v. Banks y un amplio consenso entre varios circuitos sostienen que HIPAA no crea un derecho de acción privado. Las vías disponibles son una queja ante la Oficina de Derechos Civiles de HHS o una demanda bajo la ley estatal, como negligencia o incumplimiento de confidencialidad, basada en los mismos hechos.

¿Protege HIPAA actualmente los historiales de aborto o de salud reproductiva?

La protección federal adicional que HHS agregó en 2024 fue anulada a nivel nacional por un tribunal federal en junio de 2025 y el gobierno no continuó con la apelación, por lo que esa protección específica no está actualmente en vigor, aunque el texto reglamentario codificado aún no ha sido actualizado formalmente para eliminarla.

¿Puede un hospital reportar sospechas de abuso infantil o de adultos mayores sin mi consentimiento?

Sí. 164.512(c) permite la divulgación a una autoridad gubernamental autorizada por ley para recibir reportes de abuso, negligencia o violencia doméstica, y muchos profesionales están obligados por separado por la ley estatal a hacer ese reporte.

¿Pueden citar mis historiales médicos en una demanda de la que no soy parte?

Sí, sujeto a ciertas condiciones. Bajo 164.512(e), una entidad cubierta puede responder a una citación o solicitud de exhibición de pruebas no respaldada por una orden judicial únicamente con garantía satisfactoria de que se le dio al paciente la oportunidad de objetar o que se buscó una orden de protección calificada, y un tribunal aún puede anular la citación por motivos de carga o pertinencia, incluso cuando se cumplen esas condiciones.

¿Tiene mi estado protecciones de privacidad médica más fuertes que HIPAA?

Posiblemente. Bajo 160.203, una ley estatal que proteja más la privacidad médica que el estándar federal de HIPAA no queda preferida (preempted) y prevalece en su lugar, por lo que algunos estados restringen las divulgaciones de historiales especialmente sensibles, como información de salud mental o de estado de VIH, de forma más estricta de lo que 164.512 exigiría a nivel federal.

¿Puede un médico compartir mi información de salud con la policía si cree que fui víctima de un delito?

Sí, bajo 164.512(f)(3), con el consentimiento de la víctima, o, si la víctima no puede dar su consentimiento, si las fuerzas del orden manifiestan que la información es necesaria, no se usará en contra de la víctima, y que la divulgación sirve al mejor interés de la víctima.

¿Qué sucede con mis historiales médicos después de mi muerte, y quién puede acceder a ellos?

164.512(g) permite la divulgación a un forense o médico forense para identificar a la persona fallecida o determinar la causa de muerte, y a directores funerarios según sea necesario para cumplir con sus funciones, lo cual puede comenzar antes de la muerte si se necesita para los arreglos funerarios.

¿Puede usarse información cubierta por HIPAA para un reclamo de compensación laboral sin mi autorización?

Sí. 164.512(l) permite la divulgación según lo autorizado y en la medida necesaria para cumplir con la compensación laboral o leyes similares de beneficios por lesiones sin culpa.