> Жесть какая.
> Ему ничто не мешает перед занесением данных в базу выписывать их себе
> в тетрадку, и выдавать желающим инфу с листочка, а не с
> базы, что множит на 0 твои запросы.

И сколько у этого врача пациентов? 1000 в год? Но в такой базе данных могут быть данные сотни миллионов пациентов. Тебе придётся купить не меньше 100000 врачей, пишущих в тетрадку в течение года, чтобы эти данные получить. И то, ты не получишь все. Тебе систематически придётся платить тысячам врачей, чтобы иметь существенную часть актуальной базы.

А это палево. Даже если ты будешь платить сотне врачей, то всё выплывет на поверхность. Такие вещи можно держать в секрете сколь-нибудь долго только в фантазиях сторонников теорий заговора.

> При этом мы по умолчанию верим, что врач заинтересован в сохранении нашей
> конфиденциальности, и хотим дать ему удобный инструментом для того. Это условие
> задачи

Нет. Мы не верим всем. Но в разной степени. Или если ты оптимист, то мы верим всем, но в разной степени. Контролируя при этом доступ каждого. Чем больше доступа мы кому-то даём, тем больше мы контролируем. Вплоть до того, что ежели аналитик собирается какую-то статистику по всей базе посчитать, то он выступает перед комиссией, объясняя что он собирается считать, зачем, как он будет считать, и предоставляет код, который будет считать. Комиссия всё это рассматривает, и если она согласна, то её члены достают каждый свою часть ключа, собирают из них ключ доступа к базе, и по ней выполняется программа нашего аналитика, и ему распечатываются результаты её выполнения.