HIPAA dient dem Schutz personenbezogener Gesundheitsdaten, d. h. es gibt bestimmte Personen und Organisationen, die sich an die Datenschutzbestimmungen halten müssen. Zu diesen Personen, die auch als „Covered Entities“ bezeichnet werden, gehören die folgenden:
Gesundheitsdienstleister
Krankenversicherungen (z. B. Kranken-, Zahn-, Renten- und Medikamentenversicherungen, Krankenkassen, Medicare, Medicaid, Langzeitpflegeversicherungen, vom Arbeitgeber gesponserte Gruppengesundheitspläne und andere)
Clearingstellen für das Gesundheitswesen
Geschäftspartner einer der oben genannten Einrichtungen
Diese Einrichtungen sind verpflichtet, HIPAA einzuhalten, und müssen mit rechtlichen Konsequenzen rechnen, wenn sie dies nicht tun. Ihre Verwendung und Weitergabe von personenbezogenen Daten wird streng überwacht, und sie dürfen sie nur für die in HIPAA vorgesehenen Zwecke verwenden.