Предмет врачебной тайны - это сам факт обращения человека за медицинской помощью, диагноз, результаты обследований, сведения о состоянии здоровья и любая другая информация, полученная врачом при лечении пациента, включая то, что пациент сообщил о себе в ходе приема. С точки зрения 152-ФЗ все эти сведения относятся к специальной категории персональных данных и требуют повышенного уровня защиты.
Для информационной системы это означает, что любые поля, где фиксируется медицинская информация - диагнозы, назначения, история приемов, результаты анализов, даже сам факт того, что пациент записан к определенному специалисту - подпадают под режим врачебной тайны и обрабатываются как специальная категория персональных данных. Уровень защищенности такой системы определяется постановлением правительства N 1119: для медицинских данных чаще всего требуется повышенный уровень защиты, а не базовый, который годится для обычных контактных форм.
При настройке системы стоит заложить разграничение доступа по ролям, чтобы не каждый сотрудник клиники видел весь массив медицинских данных, журналирование обращений к карточкам пациентов и модель угроз, которая описывает, от чего именно защищается система - от внешнего взлома, утечки через персонал или потери резервных копий. Без модели угроз сложно обосновать выбор конкретных технических средств защиты, и при проверке Роскомнадзора или ФСТЭК это первое, что спрашивают.