HIPAA e leis estaduais determinam que toda informação médica retenha certo grau de privacidade. Como outros estados, Nova York tem regras rigorosas sobre o que é informação médica, quem pode vê-la e usá-la e quando deve permanecer absolutamente confidencial. Pacientes têm acesso a seus prontuários também, e podem fazer certas solicitações sobre seus arquivos médicos.
O Health Insurance Portability and Accountability Act, também conhecido como HIPAA, refere-se a um conjunto de leis que ditam como a informação médica sobre um paciente pode ser usada. Também se refere a quem a informação pode ser dada. A lei exige que os pacientes sejam informados de seus direitos. Espera-se que os pacientes assinem um formulário de consentimento indicando que receberam a informação e a compreendem.
Uma entidade coberta é uma pessoa ou agência que tem o direito de acessar sua informação de saúde. Sua companhia de seguros, por exemplo, é uma entidade coberta. Para que eles paguem suas contas médicas, eles podem solicitar cópias de seus prontuários. Enfermeiros podem ser entidades cobertas. Se uma enfermeira compartilha algo sobre sua condição com outra enfermeira que também estará cuidando de você, ambas estão cobertas sob HIPAA. Uma enfermeira não pode falar com outro trabalhador de saúde sobre você se essa pessoa não estiver assistindo em seu cuidado.
Também chamada de PHI, informação de saúde protegida refere-se a qualquer informação que descreva a condição de saúde de um paciente e informação que pode vincular um paciente a essa condição. Por exemplo, se um médico escreve "dor no peito" e seu sobrenome em um pedaço de papel e o deixa em uma área facilmente visível da estação de enfermagem, qualquer um passando por ali poderia ter acesso a isso e assumiria que você está sendo tratado para dor no peito. Isso pode não parecer grande coisa, mas algumas pessoas não querem ninguém além do pessoal do hospital saber por que estão sendo tratadas. Além disso, alguns pacientes estão sendo tratados para condições muito mais sensíveis do que dor no peito, e poderiam causar grande constrangimento se a condição fosse descoberta.
Em Nova York, pais têm "nenhum direito de acesso se o menor pode legalmente obter serviço de saúde sem o consentimento de um pai", segundo um site HIPAA. Isso significa que se um adolescente vai à Planned Parenthood para pílulas anticoncepcionais sem conhecimento prévio dos pais, pais que descobrem depois não podem ligar para a Planned Parenthood e fazer perguntas sobre o adolescente. Planned Parenthood na maioria dos estados não requer autorização de um pai para ajudar uma criança. Trabalhadores de saúde também podem reter informação de um pai em outras situações se não acharem que "a divulgação é do melhor interesse da criança", diz o mesmo site. Isso geralmente acontece se abuso ou negligência é suspeitado.
Site HIPAA também afirma que "nenhuma pessoa pode divulgar ou ser compelida a divulgar" o status HIV positivo de um paciente. Uma exceção à regra é a liberação de uma criança no sistema de adoção. Serviços sociais e pais adotivos têm o direito de saber se uma criança é HIV positiva.
Embora regras rigorosas estejam envolvidas, algumas informações de saúde podem ser usadas para fins de pesquisa. Informação sobre a recorrência de algumas condições ou doenças, ou os tipos de prescrições escritas, podem ser rastreadas desta forma.
Pacientes também têm o direito de ver o que está em seus prontuários médicos. Segundo o site do Departamento de Serviço Civil do Estado de Nova York, "Você tem o direito de inspecionar e copiar informação médica que mantemos sobre você. Sua solicitação deve ser feita por escrito." A instalação pode cobrar uma taxa pelo serviço. O paciente também pode pedir emendas ao prontuário se acredita que qualquer informação está incorreta. Em alguns casos, pacientes podem pedir restrições extras sobre quem pode acessar seus arquivos.