Данные о здоровье относятся к специальной категории персональных данных, и для их обработки нужно письменное согласие пациента отдельно от общего согласия на обработку контактов - его берут при первом визите вместе с информированным добровольным согласием на медицинское вмешательство. Без него хранить и передавать сведения о диагнозах нельзя.
Дальше нужно определить уровень защищенности информационной системы, где хранятся данные пациентов, - это делается по постановлению правительства 1119, с учетом того, что данные о здоровье считаются специальной категорией, и это повышает требования к защите. На основании уровня подбираются технические меры: разграничение доступа к медицинской карте, антивирус, при более высоких уровнях - сертифицированные средства защиты.
Внутри клиники нужен назначенный ответственный за организацию обработки персональных данных, положение о защите персональных данных пациентов и инструктаж персонала про врачебную тайну - устное обсуждение диагноза пациента с посторонними или другими пациентами это уже нарушение, даже без злого умысла.
И обязательно уведомление в Роскомнадзор об обработке персональных данных - для медицинской организации, работающей со специальными категориями данных, это не формальность, а прямое требование закона, отсутствие уведомления Роскомнадзор ловит в первую очередь на проверках.