HIPAA law misinterpreted