La Regla de Privacidad de HIPAA define una agencia de vigilancia de la salud para que incluya a una agencia Federal u otra gubernamental o autoridad que está autorizada por ley a vigilar el sistema de cuidado de la salud (ya sea pública o privada), o programas gubernamentales en los que la información de salud es necesaria para determinar la elegibilidad  o el cumplimiento con los estándares del programa (45 CFR § 164.501). Las agencias de vigilancia también pueden incluir cualquier persona o entidad actuando bajo contrato con la agencia pública. La Parte B del Título XI requiere que los QIOs de Medicare, como contratistas de CMS, lleven a cabo actividades necesarias para la vigilancia apropiada del sistema de cuidado de la salud. Específicamente, los QIOs de Medicare son agencias de vigilancia de la salud  en tanto y en cuanto están actuando bajo contrato con Medicare para vigilar el sistema de cuidado de la salud en general o  el cumplimiento de los estándares de calidad bajo Medicare.  Esto incluye la recopilación y revisión de medidas de ejecutorias de calidad de los hospitales con respecto a pacientes de Medicare y que no sean de Medicare, tales como informes sobre la prevención de infecciones quirúrgicas, infarto agudo del miocardio e influenza e inmunizaciones para neumococos.  Cuando un QIO está actuando como una agencia de vigilancia de la salud, las divulgaciones realizadas a ellos para propósitos de vigilancia del cuidado de la salud son permitidas sin la autorización del paciente.