A Lei de Portabilidade e Responsabilidade de Seguros de Saúde, originalmente aprovada em 1996, dá ao Departamento de Saúde e Serviços Humanos dos EUA a autoridade para fazer cumprir regulamentações envolvendo o uso de prontuários médicos ou outras informações de saúde. Segundo o site do departamento, consumidores apresentaram quase 50.000 queixas sobre privacidade em cuidados de saúde entre 2003 e 2009.
Sob a Regra de Privacidade federal da HIPAA, pacientes têm vários direitos sobre suas informações médicas. As regulamentações de privacidade aplicam-se a muitos tipos de informações de saúde, incluindo prontuários médicos de pacientes, prontuários eletrônicos de saúde, informações de faturamento e conversas entre médicos e outros provedores de saúde, segundo o Departamento de Saúde e Serviços Humanos dos EUA. Provedores de saúde dos pacientes devem fornecer-lhes notificação explicando como seus prontuários médicos e outras informações de saúde serão utilizados. Segundo o Departamento de Saúde e Serviços Humanos, informações médicas não podem ser liberadas para empregadores, empresas de publicidade ou vendas ou qualquer familiar ou amigo que não tenha sido designado como representante pessoal do paciente. Se os pacientes consentirem em ter suas informações dadas a outra parte, eles devem assinar um formulário de autorização que explique claramente para quem a informação está sendo liberada e por qual motivo. Regulamentações da HIPAA também dão aos pacientes o direito de receber um relatório anual de seu provedor de saúde que documenta com quem suas informações foram compartilhadas. Por exemplo, informações de saúde podem ser liberadas para agências governamentais para fins de saúde pública sem permissão direta do paciente.
Pacientes, e em alguns casos o sistema judicial, podem nomear um representante do paciente para receber informações de cuidados de saúde em seu nome. Pais e guardiões legais automaticamente têm este direito ao lidar com pacientes menores. Além disso, indivíduos que têm procuração ou são executores do espólio de um paciente falecido podem ser considerados representantes do paciente. No entanto, segundo o HHS, uma instituição de saúde tem permissão para se recusar a liberar informações do paciente a um representante considerado um perigo para o paciente.
Provedores de saúde, companhias de seguros de saúde, organizações de manutenção de saúde, centros de processamento de informações de saúde e provedores governamentais como Medicaid e Medicare são obrigados a aderir às regras de privacidade da HIPAA. Isso inclui hospitais, clínicas, farmácias, consultórios odontológicos, consultórios médicos e asilos, segundo o Departamento de Saúde e Serviços Humanos. Estas instituições devem ter procedimentos em vigor para proteger informações de saúde e garantir que quaisquer entidades com as quais estão contratadas façam o mesmo. Qualquer equipe que tenha acesso a informações médicas deve receber treinamento em serviço sobre regulamentações da HIPAA e políticas de proteção ao paciente do empregador. O site federal de Privacidade de Informações de Saúde afirma que provedores que deixam de cumprir as regulamentações de privacidade da HIPAA e são considerados como tendo feito isso propositalmente estão sujeitos a penalidades financeiras totalizando até $1,5 milhão por ano. Além disso, não conformidade proposital pode resultar em acusações criminais que resultam em multas ou prisão.
Pacientes e seus representantes podem apresentar uma queixa com seu provedor de saúde se acreditarem que suas informações de saúde foram mal utilizadas de acordo com padrões de privacidade da HIPAA. Provedores de saúde devem dar a qualquer pessoa fazendo uma queixa as informações de contato para o membro da equipe designado responsável por investigar tais incidentes. Consumidores também têm o direito de apresentar uma queixa com o Escritório de Direitos Civis (OCR) do governo federal. Formulários de queixa podem ser obtidos no site do Departamento de Saúde e Serviços Humanos. Consumidores podem enviar seus documentos por correio, e-mail ou fax para o OCR até 180 dias após o incidente.