Datos de pacientes en ultrasonido: qué exportar, conservar y borrar antes del envío

¿Qué permanece en la unidad después de eliminar la lista de pacientes?

Los fabricantes publican instrucciones de rutina para eliminar estudios. El video de 2024 de GE HealthCare NextGen LOGIQ e: Eliminación de un paciente del disco duro es un ejemplo para ese modelo. ⁷ Considere ese tipo de operación de archivado como mantenimiento de rutina, no como prueba de sanitización de medios. El hecho de que los archivos eliminados aún puedan recuperarse depende del modelo, la versión de software y el medio de almacenamiento, y eso es lo que examinaron las pruebas a continuación.

La guía del usuario de 2015 de GE para el LOGIQ P9/P7 asigna la responsabilidad de los datos almacenados al cliente y recomienda realizar copias de seguridad periódicas. ⁶ La vista de archivo por sí sola no puede mostrar si los archivos eliminados siguen siendo recuperables.

James Moggridge, del Departamento de Física Médica de University College London Hospitals, probó exactamente eso en nueve sistemas de ultrasonido previstos para su retiro del servicio y publicó los resultados en Ultrasound en 2017. ¹ Cada disco duro se extrajo, se conectó a una PC y se escaneó con las herramientas de recuperación de código abierto TestDisk y PhotoRec, apuntando a la partición de archivo. La explicación del artículo es sencilla: al eliminar un registro se quita la entrada de la base de datos y la entrada de la tabla de archivos pero, al igual que en una PC, los archivos en sí pueden recuperarse.

En el ecógrafo probado tras la eliminación con las herramientas propias del sistema, la recuperación produjo 48,853 archivos de tipo DICOM, 93,235 archivos JPEG y 27 mapas de bits. Eran demasiados archivos para encontrar al único paciente de prueba guardado para el experimento. ¹ En las muestras examinadas, la mayoría de los JPEG tenían legibles en la imagen el nombre, la fecha de nacimiento, la identificación del paciente y los datos de la clínica. La mayoría de los archivos DICOM recuperados estaban demasiado dañados para abrirse como imágenes. Sus encabezados, que contienen los campos del paciente y de la clínica, aún se leían como texto sin formato en Notepad.

Esto es importante para cualquiera que asuma que un archivo dañado o propietario ofrece protección. Los identificadores se encuentran dentro de los archivos recuperados, por lo que un índice de base de datos dañado no los oculta. El autor añade que un formato de archivo más personalizado puede ralentizar la recuperación, pero no evitarla, en particular cuando los búferes de envío contienen archivos DICOM o JPEG comunes. ¹

Dónde se ocultan los datos del paciente más allá del archivo

Los identificadores de los pacientes no se limitan a las carpetas de estudios. El artículo de 2017 advierte que las colas de envío, los spoolers o los búferes en otras partes de la unidad pueden permanecer después de que se eliminen los pacientes del archivo. También advierte que eliminarlos archivo por archivo siempre conlleva el riesgo de omitir algunos. ¹ La guía de retiro del servicio de ECRI, adaptada por TechNation, añade una segunda categoría: datos de TI como configuraciones de red, configuraciones DICOM, cuentas de Active Directory y claves inalámbricas. Esos datos pueden ayudar a un atacante incluso cuando no quede ningún registro de pacientes. ¹⁰

• Registros de comunicaciones y mensajes DICOM. Estos registros ayudan a los ingenieros a rastrear transacciones de red y pueden contener campos del paciente fuera del archivo. El caso documentado más claro se presenta a continuación.
• Colas de envío y spoolers de impresión. Los estudios en espera de transmisión o impresión se encuentran fuera del archivo que borra el usuario. El artículo menciona ambos. ¹
• Búferes y otras carpetas de trabajo. Esta es la advertencia general del artículo. Qué carpetas existen y dónde se encuentran depende del modelo y de la versión de software. ¹
• Configuración del sitio y de la red. Esto abarca el nombre del hospital, los títulos AE, los destinos de lista de trabajo y PACS, las credenciales y las claves inalámbricas. ECRI enumera la eliminación de estos elementos como un paso independiente de retiro del servicio. ¹⁰

El hilo del Siemens Acuson Sequoia C256 en MedWrench muestra cómo se presenta esta situación. ⁸ En marzo de 2020, un propietario que preparaba un sistema para transferirlo a otra instalación había eliminado los datos y las imágenes de los pacientes; sin embargo, la información de los pacientes aún era visible en los registros DICOM. El manual del usuario no decía nada sobre los registros. Varias empresas a las que contactó el propietario no conocían ninguna forma de eliminarlos sin retirar el disco duro. La respuesta de una empresa de servicio independiente describió un restablecimiento de datos en la interfaz de servicio para el archivo de pacientes. El propietario informó que esto no eliminó la información de los pacientes en los registros de mensajes DICOM. Una respuesta de seguimiento de la misma empresa ofreció una sola vía para borrarlos: una recarga de software. La última publicación, en noviembre de 2021, sugirió llamar a una línea de asistencia técnica. Nadie confirmó una solución.

De esto se desprenden dos lecciones. Un restablecimiento desde el menú de servicio dirigido al archivo de pacientes no es prueba de que se haya eliminado cada archivo que contenga identificadores. Y la única vía ofrecida, una recarga de software, es el método que las pruebas de 2017 demostraron que deja archivos recuperables. El foro no determina qué dejaría recuperable una recarga en este Sequoia. Antes de una transferencia de propiedad, exija un método de sanitización validado que se adapte al medio de almacenamiento real; la sobrescritura ordinaria no es suficiente para todos los SSD. Esta página no reproduce las pulsaciones de teclas de servicio del hilo, ya que el trabajo en la interfaz de servicio corresponde a ingenieros calificados que utilicen la documentación del fabricante.

¿Cuenta una reinstalación completa de software como borrado?

En el artículo de 2017, la recarga de software se describe como la respuesta probable del proveedor de mantenimiento ante una solicitud para borrar datos de usuario. ¹ Por lo tanto, un archivo vacío y la configuración de fábrica pueden parecer tranquilizadores sin demostrar el borrado.

El estudio reinstaló el software operativo en los nueve sistemas, formateando cada partición. Se inició cada escáner para confirmar que funcionaba y mostraba un archivo vacío, y luego se retiró su unidad. Todas las unidades continuaron arrojando archivos de pacientes. ¹

• En las nueve unidades, la recuperación halló de 6,973 a 48,853 archivos de tipo DICOM, de 12,364 a 93,235 JPEG y de 0 a 372 mapas de bits por escáner. ¹
• En el Escáner 1, los recuentos tras la recarga coincidieron exactamente con los recuentos tras la simple eliminación del archivo: 48,853, 93,235 y 27. ¹
• Los archivos recuperados mostraron el mismo tipo y cantidad de datos identificables de pacientes que tras la eliminación del archivo. ¹

La explicación del artículo es que una recarga a menudo solo reformatea el disco y reconstruye las carpetas de datos de pacientes a partir de una imagen guardada. Por lo tanto, los archivos antiguos permanecen recuperables y la tabla de particiones se ve tal como estaba antes. ¹ Una recarga instala software; no sanitiza la unidad.

Cinco métodos, una prueba: qué eliminó realmente los datos

El estudio comparó cinco métodos. Los tres primeros coinciden aproximadamente con el esfuerzo progresivo de un profesional clínico, un proveedor de mantenimiento y un equipo interno de física o de equipamiento. El cuarto es lo que usted obtiene cuando contrata a un tercero o solicita un borrado forense. El quinto intenta eliminar los datos borrados conservando el software del sistema. ¹

Qué significan estos recuentos. Contabilizan archivos recuperados, no pacientes ni exámenes únicos. Múltiples formatos pueden representar la misma imagen, y muchos archivos de tipo DICOM estaban dañados. Una recuperación de cero significa que estas herramientas no encontraron archivos en esta prueba; no constituye una certificación de cada modelo, unidad o técnica forense. El artículo no menciona los modelos de ecógrafo, por lo que sus resultados no pueden servir como una lista de compatibilidad de modelos ni de utilidades de borrado. ¹

Dos hallazgos orientan la elección entre estos métodos.

• Una sola pasada de sobrescritura fue suficiente en estos discos. El artículo cita la postura de que una sola pasada es suficiente para discos duros fabricados después de 2001 y de más de 15 GB. En sus propias pruebas, una pasada demostró ser tan eficaz como tres o siete, y más rápida. Aun así, indica a los lectores que sigan su política local de gobernanza de la información. ¹ La sección de preguntas frecuentes de julio de 2026 del NIST para la publicación SP 800-88 Rev. 2 establece ahora que la sobrescritura de múltiples pasadas es innecesaria y puede acortar la vida útil de los medios flash. ⁴
• El borrado del espacio en blanco es un método parcial. Resulta adecuado para un sistema en funcionamiento cuyo software debe conservarse. Sin embargo, depende de que se haya eliminado previamente cada archivo de paciente, y el artículo advierte que pueden quedar colas, colas de impresión y búferes. La variante preferida por el autor es un modelo híbrido: una reinstalación completa del software a un estado inicial, seguida del borrado del espacio en blanco. ¹ Las preguntas frecuentes del NIST prefieren la sanitización de todo el dispositivo. Para los casos en que se requiere una sanitización parcial, describen el borrado criptográfico cuando se tiene la certeza de que los datos objetivo nunca salieron de su límite cifrado. Esto no valida este método histórico de espacio en blanco para una entrega actual. ⁴ En el estudio, el borrado se ejecutó con la unidad conectada a una PC, no en el ecógrafo. Ejecutar software de terceros en un dispositivo médico es una decisión que corresponde al fabricante o a su proveedor de servicio calificado.

Discos duros en aquel momento, a menudo almacenamiento de estado sólido en la actualidad. Los sistemas de 2017 utilizaban discos duros IDE, y los resultados de sobreescritura de esas unidades no se trasladan al almacenamiento flash. La publicación NIST SP 800-88 Rev. 2, publicada en septiembre de 2025, señala que la sobreescritura ordinaria no puede alcanzar todas las áreas de un dispositivo flash con celdas de reserva y nivelación de desgaste. También indica que la sobreescritura de múltiples pasadas logra muy poco en unidades SSD con sobreaprovisionamiento. ³ La Rev. 2 ya no enumera fórmulas específicas para cada medio. En su lugar, remite a IEEE 2883 para elegir una técnica, y menciona la sobreescritura, el borrado de bloques y el borrado criptográfico, ejecutados mediante comandos dedicados de sanitización del dispositivo, como técnicas de purga. ³⁴ El borrado criptográfico solo es válido si, entre otras condiciones, no se almacenaron datos confidenciales en la unidad en texto plano antes de configurar las claves. ⁴ Para una consola de estado sólido, consulte al fabricante qué comando o utilidad de sanitización admiten la unidad y el software antes de tomar una decisión.

Diferenciación según el destino: qué hacer antes de que el equipo salga

El consejo más conocido sobre esta cuestión es acertado pero genérico. Elimine los datos de los pacientes antes de una venta y tenga precaución, ya que el software operativo suele compartir la unidad. Dado que no existe una solución única para todos los casos, indica que se debe consultar al proveedor, a su ingeniero o al ingeniero del comprador. ⁹ La guía de ECRI va más allá. Señala que se debe elegir el método práctico más seguro según el destino del dispositivo, desde la destrucción del soporte hasta la eliminación provista por el propio equipo. Añade que las dos opciones más débiles, el restablecimiento a los valores de fábrica y la eliminación mediante el dispositivo, hacen que la recuperación sea “difícil, pero no imposible”. ¹⁰ El artículo de 2017 añade la distinción más importante. Un acuerdo aprobado puede cubrir una reparación fuera de las instalaciones o el reemplazo de un componente de almacenamiento, pero el autor diferenció estos casos de una devolución de arrendamiento o transferencia de propiedad según la legislación del Reino Unido vigente en ese momento. Este es un contexto histórico, no un dictamen sobre cada contrato actual. ¹

La tabla aplica esa lógica a las cinco formas en que un ecógrafo, o parte de él, sale de unas instalaciones.

El comprador de un sistema usado debe esperar esta evidencia. Los controles de comprobante de borrado y licencias que aplica el comprador de un sistema usado son la otra cara de la misma transferencia.

Antes de un envío para reparación: realice una copia de seguridad y acuerde el plan de datos

Exporte y realice una copia de seguridad antes de cualquier acción destructiva sobre los datos. El borrado completo de la unidad puede eliminar el software y la configuración necesarios para el diagnóstico, y el artículo de 2017 advierte que la restauración puede ser difícil o no estar disponible. ¹ Esa es una razón para acordar el plan de reparación y restauración antes de enviar cualquier elemento. No es una autorización para enviar datos de pacientes sin protección.

Para el LOGIQ P9/P7, GE recomienda realizar una copia de seguridad de los datos del sistema antes del servicio del disco duro y advierte que una falla o reparación puede causar pérdida de datos. La misma guía de 2015 indica que el sistema no está destinado al almacenamiento a largo plazo de datos o imágenes de pacientes. ⁶

Consulte las instrucciones equivalentes para su modelo exacto y versión de software. Utilice la siguiente secuencia como lista de verificación de planificación, con ejecución a cargo del fabricante o de un proveedor de servicio calificado.

1. Concilie el archivo con el PACS. Exporte los estudios y registros asociados que deban conservarse al PACS o a otro archivo aprobado, revise la cola de envío en busca de tareas fallidas o pendientes, y verifique la recepción, integridad y legibilidad en el destino. No borre el origen mientras los registros requeridos permanezcan sin conciliar. Si el escáner genera imágenes pero no envía, consulte cuando el escáner genera imágenes pero no envía al PACS.
2. Realice una copia de seguridad de los datos del sistema. Utilice la función propia de copia de seguridad o exportación del sistema para los preajustes, los paquetes de medición y la configuración de conectividad. Identifique la copia de seguridad con el número de serie de la consola y guárdela conforme a su política de datos. Proteja la copia de seguridad y restrinja el acceso; esta puede contener en sí misma información de pacientes o credenciales.
3. Registre las opciones instaladas. Enumere las opciones de software habilitadas y conserve el certificado de opciones o el registro de claves. Si la unidad o la placa host falla durante la reparación, estos registros determinan si el sistema se puede restaurar. Consulte diagnóstico de la unidad frente a la placa base cuando la consola no arranca.
4. Consulte si la reparación puede realizarse a nivel de placa. Si la falla se localiza en una fuente de alimentación, un formador de haz u otro ensamblaje sin almacenamiento, envíe únicamente la pieza y mantenga la consola y la unidad en las instalaciones. Retirar una placa es una tarea para un ingeniero calificado, con el sistema apagado y siguiendo el procedimiento de servicio del fabricante.
5. Apruebe la manipulación antes de trasladar una consola. Consulte al fabricante y al proveedor de servicio si el almacenamiento puede permanecer en las instalaciones y si se requiere un procedimiento admitido de sanitización y restauración. Si la PHI debe permanecer accesible para el trabajo, obtenga la aprobación de privacidad para el acceso, el transporte, los subcontratistas y los acuerdos de devolución o disposición final. El HHS clasifica a los técnicos de servicio de dispositivos cuyo trabajo divulga PHI como posibles asociados comerciales; solicite a su responsable de privacidad que determine el acuerdo requerido. ¹²
6. Si la propia unidad ha fallado. Una unidad que ha fallado aún puede contener datos de pacientes. Manténgala bajo su política de datos en lugar de enviarla a un tercero no autorizado, y decida su destrucción una vez que los datos ya no sean necesarios.
7. Verifique el sistema devuelto antes de su liberación clínica. Un arranque exitoso no constituye la aceptación. El personal calificado debe verificar la configuración autorizada, las opciones requeridas, los preajustes, el rendimiento de la imagen y de la sonda, las comprobaciones de seguridad aplicables y la exportación de estudios según el procedimiento del OEM y la política de la institución. Pruebe la conectividad con datos aprobados no pertenecientes a pacientes y obtenga la aprobación formal de los responsables de ingeniería clínica y de TI.

Antes de una venta o donación: qué debe mostrar la evidencia

Una vez transferida la propiedad, su custodia finaliza y la evidencia debe sostenerse por sí misma. NIST SP 800-88 Rev. 2 indica que se debe completar un certificado de sanitización para cada medio sanitizado, de acuerdo con las políticas de la organización. El certificado debe registrar al menos: ³

• fabricante, modelo y número de serie del medio, además de cualquier número de inventario;
• tipo de medio y origen, por ejemplo, el disco duro de un número de serie de consola determinado;
• método de sanitización (limpieza, purga o destrucción) y técnica (por ejemplo, sobrescritura, borrado de bloques o borrado criptográfico);
• la herramienta utilizada, incluida su versión;
• el método de verificación;
• los nombres y cargos de las personas que realizaron la verificación y validación, con fechas, ubicación, datos de contacto y firmas.

El certificado de muestra del NIST también cuenta con campos para el estado de verificación, la decisión de validación y el destino o la disposición de los medios, como la reutilización externa, una instalación de reciclaje o el fabricante. ³

Añada la marca, el modelo y el número de serie de la consola para que el certificado quede vinculado al sistema que se envía. El caso de NHS Surrey muestra por qué importa la línea del método. Algunos de los certificados de “Dispositivos de datos destruidos” que emitió su empresa de eliminación antes de enero de 2011 decían únicamente que las unidades habían sido “borradas/destruidas/recicladas”, y la ICO señaló que no estaba claro qué había ocurrido realmente con ellas. ¹¹

¿Cuánta comprobación es suficiente? Distinga las comprobaciones que realiza un proceso de la decisión de aceptar su resultado. El NIST señala que la verificación normalmente significa comprobar el estado de finalización de la herramienta y cualquier error, anomalía o advertencia sobre el estado de la unidad. Añade que un muestreo elaborado del contenido de la unidad tras un borrado o una purga no es necesario, a menos que la política lo exija. ³ La validación evalúa por separado si el método y el resultado son adecuados para los medios y la sensibilidad de los datos; que una herramienta reporte éxito no resuelve esa cuestión. ³ El artículo de 2017 fue escrito por un físico hospitalario que acababa de recuperar miles de archivos de escáneres que parecían limpios, y pide más: ¹

• si usted realiza el borrado, compruebe que haya funcionado y que no queden archivos recuperables;
• si lo realiza un tercero, obtenga su proceso por escrito, incluida la seguridad durante el transporte, para que usted mismo pueda evaluarlo;
• pregunte si pueden devolver una muestra para pruebas tras su proceso;
• solicite una visita a las instalaciones para ver cómo se manipulan sus medios.

Un certificado registra lo que se hizo. No transfiere la responsabilidad: según la interpretación del artículo, la institución que registró los datos sigue siendo responsable “independientemente de cualquier certificación proporcionada”. ¹

Cuándo retirar y destruir la unidad es la respuesta correcta

Para los discos duros estudiados, el artículo considera que la destrucción física es la forma habitual más segura de evitar la recuperación. La razón por la que no siempre se utiliza es práctica. Un sistema arrendado o revendido debe funcionar, y una unidad de repuesto aprobada para un sistema antiguo puede ser difícil de encontrar. ¹ La destrucción es la opción más directa en estas situaciones:

• El sistema se va a desguazar. No hay ningún valor operativo en la unidad que deba preservarse.
• La unidad ha fallado o no se puede direccionar. El NIST señala que la sobrescritura no se puede utilizar en medios dañados hasta el punto de quedar inoperables. Añade que la destrucción puede ser la única opción cuando los medios fallan o su interfaz es obsoleta. ³
• Nadie puede decir dónde residen los datos. Si el fabricante no puede indicarle dónde se guardan los registros y las colas, y no se dispone de un método para la unidad completa con reinstalación, reemplace la unidad y destruya la original.
• Su política lo exige. Algunas organizaciones exigen la destrucción de todo medio de almacenamiento que sale de su control.

Adapte la técnica de destrucción a los medios y acuérdela con su equipo de seguridad. ³⁴

• La desmagnetización no es destrucción. El NIST la trata como una técnica de purga únicamente para medios magnéticos. Advierte que muchos desmagnetizadores carecen de la potencia necesaria para las unidades modernas de alta coercitividad, y señala que la desmagnetización no debe utilizarse en almacenamiento flash como las unidades SSD.
• Doblar, cortar o perforar puede dañar una unidad solo parcialmente. Ciertas partes pueden seguir siendo recuperables mediante técnicas de laboratorio.
• La trituración y la pulverización solo son adecuadas para las categorías de seguridad más bajas, según la Rev. 2. Para categorías superiores, las preguntas frecuentes del NIST señalan desmagnetizadores evaluados de alta potencia para medios magnéticos y técnicas de tipo incineración, como la fundición, para otros medios, incluidas las unidades SSD.

Si una empresa de reciclaje o de disposición final realiza el trabajo, el caso de NHS Surrey sirve de advertencia. NHS Surrey había pasado de un contratista aprobado a una empresa que destruía discos duros de forma gratuita a cambio de vender el material recuperado. No existía un contrato por escrito, únicamente garantías por escrito. En mayo de 2012, un particular informó haber comprado por internet una computadora de segunda mano que contenía datos de pacientes de NHS Surrey, incluidos los registros de aproximadamente 900 adultos y 2,000 niños. La ICO determinó que el trust no contaba con un contrato que estipulara las obligaciones legales del proveedor y que no había observado ni supervisado el proceso de destrucción. Debido a que NHS Surrey se había disuelto, la sanción de £200,000 pasó al NHS Commissioning Board. ¹¹ El incidente involucró computadoras personales, no sistemas de ultrasonido. El artículo de 2017 lo cita para mostrar sobre quién recae la responsabilidad. ¹

Lo que las normas exigen al propietario en el momento de la entrega

La promesa de un comprador o reciclador de borrar el sistema a su llegada no cambia el hecho de que los datos salieron de sus instalaciones en el disco. Las normas a continuación establecen las obligaciones del propietario. La manera en que se aplican a un envío específico es una cuestión que compete a su responsable de privacidad, equipo de gobernanza de la información o asesor legal.

Estados Unidos. La sección de preguntas frecuentes sobre disposición final del HHS resume tres requisitos de HIPAA para las entidades cubiertas: ²

• 45 CFR 164.310(d)(2)(i), disposición final: políticas y procedimientos para la disposición final de la PHI electrónica y del hardware o medios electrónicos en los que está almacenada.
• 45 CFR 164.310(d)(2)(ii), reutilización de medios: procedimientos para eliminar la PHI electrónica de los medios electrónicos antes de que estos se pongan a disposición para su reutilización.
• 45 CFR 164.530(c), salvaguardas: salvaguardas razonables para limitar los usos y divulgaciones incidentales de PHI y evitar los prohibidos, incluso en relación con la disposición final.

El HHS también señala que los miembros del personal involucrados en la disposición final deben estar capacitados y que las normas “no exigen un método de disposición final en particular”. Remite a los lectores a NIST SP 800-88 para las prácticas de sanitización. ² Al no haber un método prescrito, las pruebas descritas anteriormente son la guía práctica: un borrado a nivel de usuario deja los archivos recuperables, por lo que constituye una base débil para liberar los medios para su reutilización. ¹

Unión Europea. El RGPD, Reglamento (UE) 2016/679, establece la limitación del plazo de conservación en el artículo 5(1)(e) y la seguridad del tratamiento en el artículo 32. ⁵ El considerando 39 exige que el período de conservación se limite a un mínimo estricto, y que el responsable del tratamiento establezca plazos para la supresión o para una revisión periódica. ⁵ El hospital o la clínica normalmente sigue siendo el responsable del tratamiento respecto de los estudios que registró; el artículo 32 también impone obligaciones de seguridad a los encargados del tratamiento. Un contrato de venta con un distribuidor no elimina los datos del disco. El artículo de 2017 fue redactado bajo la Data Protection Act de 1998 del Reino Unido, la cual ha sido reemplazada desde entonces, por lo que debe verificar la legislación aplicable en el lugar donde se encuentre su sistema.

En adquisiciones. El artículo de 2017 informa que algunos centros ahora incluyen en las condiciones de compra de nuevos equipos de ultrasonido el borrado de datos por parte del proveedor durante el retiro de servicio. Esto evita tarifas posteriores y puede evitar una reinstalación compleja de software. ¹ Si, por el contrario, un sistema permanece en servicio en su red, las cuestiones giran en torno a la exposición, no a la disposición final; consulte segmentar, aislar o reemplazar para sistemas de ultrasonido heredados en red.

Lista de verificación previa al envío

Lleve a cabo esta verificación antes de embalar cualquier consola, computadora host, placa o sonda.

1. Defina el destino. Puede ser una reparación de placa o sonda, una reparación de consola, una devolución por venta o arrendamiento, una donación o desecho. El destino determina el paso relativo a los datos.
2. Localice todos los elementos de almacenamiento. Incluya unidades internas, medios extraíbles, tarjetas de memoria, otras memorias no volátiles y ensamblajes que contengan almacenamiento. ECRI recomienda preguntar al fabricante dónde almacena datos el dispositivo y consultar su formulario de seguridad MDS2. ¹⁰
3. Concilie el archivo. Confirme que los estudios y registros requeridos se hayan recibido y sean legibles en el PACS u otro archivo aprobado; resuelva los envíos fallidos antes de la eliminación.
4. Respalde lo que deba conservarse. Datos del sistema, preajustes, configuraciones de conectividad y registros de opciones, etiquetados con el número de serie de la consola.
5. Apruebe el paso relativo a los datos para el destino. Una pieza en la que se confirme que no contiene datos de pacientes no requiere sanitización. La reparación de una consola necesita un plan aprobado de manipulación y restauración, con las salvaguardas y acuerdos necesarios. Una transferencia de propiedad requiere una sanitización validada y adecuada para los medios, o bien la retención y el reemplazo de los soportes. El desecho necesita una vía de destrucción aprobada.
6. Gestione los registros, las colas y la configuración. Pregunte al fabricante o a su proveedor de servicios si el método elegido los cubre. Si nadie puede confirmarlo, retenga el envío hasta que se haya identificado todo el almacenamiento y se apruebe un método adecuado para los medios o un plan de retención y reemplazo. Para transferencias de propiedad, elimine las configuraciones de red, DICOM y cuentas, y desvincule los servicios de gestión o en la nube. ¹⁰
7. Declare el estado de limpieza de la sonda si se envían sondas, siguiendo las instrucciones de uso del fabricante y las políticas de su institución. Consulte la declaración del estado de limpieza antes de enviar una sonda.
8. Embale y fotografíe. Coloque las placas en bolsas con blindaje antiestático y tome fotografías en cada etapa del embalaje, siguiendo los pasos de embalaje y cadena de custodia para un envío de reparación.
9. Archive el registro. Ingrese los números de serie, el método, los certificados, el seguimiento del transportista y la persona responsable en la orden de trabajo de su CMMS. ECRI recomienda registrar el método utilizado para destruir o proteger los datos. ¹⁰

Dónde encaja Rongtao—y dónde no

Guangzhou Rongtao Medical Technology Co., Ltd. repara placas y sondas de ultrasonido y suministra repuestos a distribuidores, organizaciones de servicio independientes y equipos de ingeniería hospitalaria en más de 140 países y regiones.

• Reparación a nivel de placa que conserva la unidad en sus instalaciones. Fuentes de alimentación, placas de canales, formadores de haz, placas front-end y back-end, paneles de control, placas de motor 4D y placas de interfaz y adquisición. Cuando la falla se aísla en un solo ensamblaje, el envío únicamente de la pieza puede mantener la consola en sus instalaciones. Confirme si esa pieza exacta contiene datos de pacientes antes de enviarla.
• Reparación de sondas. Diagnóstico de fallas y reparación a nivel de elementos de sondas lineales, convexas, phased-array, endocavitarias, TEE y volumétricas (4D).
• Condiciones publicadas. Un plazo estándar de reparación de placas de 5 a 8 días hábiles y una garantía típica de 90 días, con las condiciones finales confirmadas en la cotización.

Dónde no encaja:

• Sin servicio de borrado de datos. Los servicios publicados de Rongtao no incluyen borrado de unidades, certificados de sanitización ni disposición de activos de TI. Elija y documente el paso relativo a los datos antes de enviar cualquier elemento.
• El trabajo en la unidad completa comienza con su decisión sobre los datos. Rongtao ofrece diagnósticos a nivel de sistema cuando el aislamiento de la placa no es suficiente. Si una consola completa o computadora host debe trasladarse, decida según su propia política qué sucede con la unidad. Indique en la cotización si hay una unidad instalada y qué se le hizo.
• No constituye asesoramiento legal. Esta página resume las fuentes citadas. Su oficial de privacidad o asesor legal decide cómo se aplican la HIPAA, el RGPD o la legislación local.

Transferencia lista para cotización

Envíe la solicitud a través del formulario de cotización de reparación. Incluya:

• Qué se envía: una placa, una sonda, una computadora host o la consola completa, y si alguna unidad de almacenamiento o tarjeta de memoria viaja con ella.
• Identificación: OEM, modelo, número de serie de la consola y versión de software.
• Detalles de la pieza: número de pieza del fabricante y revisión, con fotos de ambos lados de la placa o de la etiqueta de la sonda.
• Síntoma: la falla, cualquier código de error en pantalla y cuándo ocurre. Oculte los identificadores de pacientes de capturas de pantalla, registros y fotos; utilice un canal seguro aprobado para cualquier información que el proveedor realmente necesite.
• Estado de los datos, si el almacenamiento se traslada: si se verificaron las exportaciones y copias de seguridad, el plan aprobado de acceso o sanitización, quién realizó cualquier acción sobre los datos y la evidencia conservada. Mantenga los registros reales, las ubicaciones de copias de seguridad, las contraseñas y las claves de licencia fuera del formulario de cotización habitual.
• Logística: cantidad y país de destino.

Preguntas frecuentes

¿Un restablecimiento de datos desde el menú de servicio borra todo?

No según la evidencia disponible. En el único caso documentado, un restablecimiento de datos en un Sequoia C256 borró el archivo de pacientes, pero dejó información de pacientes visible en los registros de mensajes DICOM, y el hilo finalizó sin una solución confirmada. ⁸ Incluso cuando un restablecimiento o una recarga borra lo que está visible, las pruebas de 2017 demuestran que los archivos eliminados pueden permanecer recuperables hasta que el espacio se sobrescriba. ¹ Consulte al fabricante qué cubre su restablecimiento para su modelo y versión de software.

¿Es suficiente eliminar los estudios de la consola antes de una venta?

La sola eliminación del archivo no es una base sólida para liberar un sistema usado. La HIPAA exige a las entidades cubiertas contar con procedimientos de reutilización de medios, pero no prescribe un método en particular. ² En las pruebas de discos duros de 2017, la eliminación dejó archivos recuperables, incluidas imágenes de muestra con identificadores legibles. ¹ Utilice una sanitización validada adaptada a cada medio de almacenamiento, o retenga y reemplace los medios. Planifique la restauración del software y conserve los registros de verificación, validación y aceptación.

¿Las placas o sondas contienen datos de pacientes?

No asuma ninguna de las dos opciones. Las fuentes sitúan los datos de pacientes en la unidad de almacenamiento y en colas, spoolers y búferes, y ninguna localiza datos de pacientes en placas o sondas individuales. ¹ Trate un ensamblaje de computadora host, una PC back-end o cualquier componente que contenga memoria no volátil, incluida una unidad o tarjeta de memoria, como un elemento de almacenamiento. Para cualquier otra pieza, consulte al fabricante dónde almacena datos el dispositivo, que es el primer paso de retiro de servicio de ECRI, y revise el formulario MDS2. ¹⁰

¿Quién es responsable si un comprador o reciclador encuentra posteriormente datos de pacientes?

La respuesta del artículo de 2017, basada en la práctica del Reino Unido, es la institución de atención médica que registró los datos, independientemente de a quién se haya contratado para desechar el hardware y de qué certificado se haya emitido. ¹ La ICO impuso una multa de £200,000 en el caso de NHS Surrey después de que una PC que había pasado por su empresa de disposición gratuita se vendiera en línea conteniendo más de 3,000 registros de pacientes. ¹¹ Conforme a la HIPAA, la entidad cubierta debe contar con procedimientos de disposición y reutilización. ² En virtud del RGPD, el responsable del tratamiento sigue siendo responsable y los encargados del tratamiento también tienen obligaciones de seguridad según el Artículo 32. ⁵ Confirme cómo se aplica esto en su jurisdicción con su oficial de privacidad.