Специальные категории персональных данных - это сведения о здоровье, судимости, религиозных и политических взглядах, расовой и национальной принадлежности, интимной жизни человека. Их обработка требует письменного согласия субъекта, кроме отдельных случаев вроде оказания медицинской помощи или исполнения прямой обязанности по закону, и более высокого уровня защиты информационной системы, чем для обычных данных.
На практике для клиники это означает несколько шагов. Нужен человек или отдел, ответственный за организацию обработки, - именно он следит, чтобы согласия оформлялись правильно, а доступ к диагнозам был у врачей и медрегистратуры, но не у администратора ресепшн или бухгалтера. Письменное согласие должно содержать все обязательные пункты по закону: кто оператор, какие данные и с какой целью обрабатываются, срок действия и порядок отзыва.
Данные о здоровье лучше физически и в базе хранить отдельно от общей клиентской картотеки, с ограниченным списком сотрудников, у которых есть доступ. Уровень защищенности информационной системы для таких данных обычно выходит выше, чем для email и телефона, - это стоит зафиксировать актом определения уровня защищенности и подобрать технические меры под него, а не действовать наугад.
Отдельно: если медицинскую помощь оказываете по полису ОМС или ДМС, закон допускает обработку без отдельного согласия в рамках этой конкретной цели, но основание все равно нужно зафиксировать документально, чтобы при проверке было чем подтвердить законность обработки.