Чтобы определить категорию, нужно смотреть не на источник данных, а на их содержание. Имя, телефон и email - это обычные персональные данные, для их обработки достаточно согласия или другого законного основания вроде договора. А сведения о состоянии здоровья, даже если клиент написал их сам и добровольно в свободном комментарии, автоматически переводят эти данные в специальную категорию - независимо от того, просили вы эту информацию или нет.
Специальные категории (здоровье, национальность, религиозные и политические взгляды, судимость) требуют отдельного письменного согласия и более серьезных мер защиты, чем обычные ФИО и телефон. Если в вашем случае это происходит регулярно, например товары для медицинских нужд провоцируют клиентов описывать диагноз в комментарии, стоит либо прямо предупредить в форме, что делать этого не нужно, либо заранее предусмотреть отдельное согласие на такие данные.
Категория данных влияет и на то, как классифицируется информационная система, где они обрабатываются: чем чувствительнее данные и чем больше их объем, тем выше требуемый уровень защищенности по постановлению правительства N 1119. На практике для интернет-магазина это означает, что попадание даже нескольких записей о здоровье клиентов в общую CRM может формально поднять требования к защите всей системы, а не только к этим конкретным записям.