Легкий шифр вполне подойдет, если выберешь проверенный – например, AES‑128 в режиме GCM или ChaCha20‑Poly1305. Они достаточно быстрые для повседневной работы больницы, и обеспечивают аутентифицированное шифрование, чтобы данные нельзя было подделать. Главное – не закодируй ключи жестко, используй надежную систему управления ключами и обязательно проводи аудит реализации. Скорость – это не роскошь, а норма; не стоит выжимать из нее всё, что только можно, ради безопасности.

Конечно, квартальная смена ключей с автоматической проверкой политик – это именно то, что нужно. Записывай всё, регулярно проводи аудит и храни код в приватном репозитории с обязательными проверками pull-request’ов – никаких сюрпризов, только проверенные решения.