A HIPAA foi sancionada pelo presidente Bill Clinton em 1996. Visa tornar a prestação de saúde mais eficiente e regular acesso a informações de saúde. Antes, cada estado e organização tinha suas regras; a HIPAA criou políticas uniformes nos EUA. Em estados com regras mais rigorosas, estas prevalecem.
Período de carência de 2 anos para treinamento e implementação total. Prazo final: abril de 2003 para a maioria das entidades; planos de saúde pequenos tiveram mais 1 ano. Após prazos, penalidades por violações.
Penalidades variam de US$ 100 a US$ 250.000 por violação, além de possível prisão. Até 22/09/2010, 54.562 queixas foram registradas no Office of Health and Human Services desde abril de 2003.