Toutes les entités sont tenues de suivre la loi. De nombreuses écoles, agences de l'Etat, les organismes d'application de la loi, les bureaux municipaux, les employeurs, les assureurs-vie, et les transporteurs d'indemnisation des travailleurs ne sont pas mandatés par HIPAA.