Ley Oficial de Protección de Datos

Si es una aplicación médica los datos que vas a manejar en su mayoría serán datos de nivel alto.
Las implicaciones que este tipo de datos tiene son varias y a cuál más exigente:
1.- Debes hacer copias de seguridad de los datos periódicamente y guardarlos en un local distinto a donde reciden los originales.
2.- En caso que saques los datos del lugar donde esté el servidor (el pez que se muerde la cola por el primer párrafo) los datos deben estar cifrados.
3.- Se debe guardar un log de acceso a los registros de forma que debes guardar todos los accesos a estos datos, es decir, quien accedió a que datos qué modifico en que fecha. Y no sólo la tabla sino también el registro que toco.
Bueno, después de esta pequeña introducción (si quieres saber más www.agenciaprotecciondatos.org), pero al meollo que supongo que es lo que te interesa, Oracle.
Bueno, a nivel de SGBD, Oracle para el cifrado de datos te ofrece un producto que se llama Advance Security ( creo que se licencia aparte de la base de datos aunque viene en la instalación por defecto).
A nivel de logs, Oracle ( recordar que en EEUU no hay LOPD ni nada que se le parezca) no guarda el nivel suficiente que requiere la ley, es decir, sólo llega al nivel de tabla.
Una opción para implementar estos logs es con el log miner y la bbdd en archivado repetir todas las queries y guardar el resultado, evidentemente el rendimiento de la bbdd sse reduce la mitad. Otra opción, y me consta que es la que más gente esta tomando, es guardar los accesos a nivel de aplicación, separando además, los datos de nivel alto de los de otros niveles, es decir, si tienes una única pantalla con el nombre y enfermedades asociadas, separala en dos, así para ver sólo el nombre no tienes que guardar este log.
Otra opción es adquirir algún producto de un tercero que realice esta función, por ejemplo Inspector Audit de Cravitel.