Данные пациента - специальная категория персональных данных, к которой закон предъявляет более строгие требования, чем к обычным ФИО и телефону: карточки хранят в системах с ограниченным доступом по паролю или коду сотрудника, а срок хранения самой медицинской документации определяет не 152-ФЗ, а нормативы Минздрава - для большинства амбулаторных карт это 25 лет.
Электронная программа учета пациентов может быть локальной или облачной, но в обоих случаях нужно проверить два момента: сервер физически находится в России - это требование локализации баз данных для граждан РФ, - и доступ к карточкам имеют только сотрудники, которым это нужно по должности: администратор ресепшена и врач видят разный объем данных. Бумажные карты дополнительно держат в запираемых шкафах, а не в открытом доступе в кабинете.
Отдельно нужно согласие пациента на обработку персональных данных, включая данные о здоровье, и оно должно быть оформлено до первого приема, а не задним числом. Если клиника ведет сайт с записью на прием, форма записи тоже требует согласия и уведомления в Роскомнадзор - как для любого оператора с формой сбора данных на сайте.