Er zijn geen specifieke HIPAA-vereisten of tijdslimieten vastgesteld voor hoe lang gezondheidsorganisaties de medische dossiers van patiënten moeten bewaren. Elke organisatie is verantwoordelijk voor het documenteren van haar eigen beleid en procedures voor het bewaren van medische dossiers. Voor de medische privacy en de continuïteit van de zorg is het echter over het algemeen raadzaam om medische dossiers gedurende een redelijke periode na het laatste bezoek of interactie van een patiënt te bewaren.