A Comissão Federal de Comércio (FTC) emitiu regulamentos "Red Flags Rule" em novembro 2007 exigindo que negócios e organizações específicas desenvolvam planos escritos de prevenção de roubo de identidade para proteger consumidores detectando sinais de alerta (red flags). FTC afirma que regra aplica-se a instituições financeiras e credores, o que pode incluir provedores de saúde.
Segundo FTC, "definição de 'credor' é ampla, inclui negócios/organizações que regularmente fornecem bens/serviços primeiro e permitem pagamento depois", como provedores de saúde. Médicos que aceitam seguro ou permitem planos de pagamento são "credores".
Regra Red Flags protege indivíduos contra roubo de identidade, especificamente roubo de identidade médica na saúde. Segundo Associação Médica Americana, "roubo de identidade médica ocorre quando alguém usa nome de pessoa e às vezes outras partes de sua identidade... sem conhecimento/consentimento para obter ou fazer reivindicações falsas por serviços ou bens médicos".
Red flags são atividades suspeitas ou sinais que sugerem roubo de identidade. Provedores devem atentar para: alertas/mensagens de agências de relatórios ao consumidor, documentos suspeitos ou formas de identificação pessoal, atividade incomum em conta do paciente.
FTC reconhece flexibilidade para provedores desde que requisitos básicos atendidos: identificação escrita dos tipos de red flags relevantes à prática individual e sistema claro para detectá-los e preveni-los.