Todas las entidades cubiertas deben proteger la información:

1. Implementando salvaguardias para proteger la información. Por ejemplo, contraseñas protegiendo los sistemas informáticos en los hospitales para garantizar que otros no puedan acceder a la información.
2. Garantizando que hay un uso y divulgación mínimos de la información. Por ejemplo, si un familiar autorizado está solicitando el tipo de medicamento tomado por un paciente, no es necesario revelar toda la historia médica del paciente al familiar.
3. Capacitar a los empleados sobre los protocolos adecuados para proteger la información médica.
4. Limitar el acceso de quien pueda ver la información médica. Esto significa que aquellos empleados que no entren en contacto con los pacientes no necesitan tener acceso al historial médico y financiero completos de un paciente.
5. Obtener permiso escrito del cliente antes de revelar información. Esta es la responsabilidad más importante de una entidad cubierta y debe ser cumplida por todas las personas que trabajen en la entidad.