La loi HIPAA s’applique aux entreprises et organisations du secteur de la santé opérant aux États-Unis et travaillant avec des données de santé. Il s’agit des prestataires de soins de santé (médecins, hôpitaux et mutuelles), des régimes d’assurance maladie et des centres d’échange, ainsi que de leurs partenaires commerciaux, y compris les cabinets comptables et fiscaux, ainsi que les prestataires de services informatiques. La loi s’applique également aux entreprises non américaines si des données de patients américains sont concernées.