Em 1996, o Congresso aprovou a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA), que estabeleceu padrões nacionais para o manuseio de prontuários médicos eletrônicos, incluindo restrição de quem tem acesso a eles e por quanto tempo devem ser retidos antes da destruição. A HIPAA não é o único programa federal que define requisitos de retenção, e muitos estados estabeleceram seus próprios padrões mais rigorosos. HMOs e grupos como a Associação Médica Americana podem impor requisitos adicionais.
A Associação Americana de Fala e Audiologia diz que membros cobertos pela HIPAA devem manter prontuários por 6 anos. Se o paciente falecer, os registros devem ser mantidos por 2 anos após a morte. Planos de saúde e provedores que transmitem registros eletronicamente são cobertos pela HIPAA.
O Medicare exige que provedores retenham registros de pacientes do Medicare por 5 anos; se o provedor é coberto pela HIPAA, o requisito de 6 anos da HIPAA prevalece. Os requisitos do Medicaid variam por estado.
Se uma prática médica está fora da HIPAA, outras regras federais se aplicam. A Associação Americana de Gestão de Informação em Saúde tem lista para download em seu site cobrindo regras para testes laboratoriais, laboratórios de radiologia, mamografias e outros exames.