Données patient en échographie : ce qu'il faut exporter, conserver et effacer avant l'expédition

Que reste-t-il sur le disque après la suppression de la liste des patients ?

Les fabricants publient des instructions courantes pour supprimer des examens. La vidéo de GE HealthCare de 2024, NextGen LOGIQ e : Suppression d'un patient du disque dur, en est un exemple pour ce modèle. ⁷ Considérez ce type d'opération d'archivage comme de la maintenance courante, et non comme une preuve d'assainissement des supports. La possibilité de récupérer ou non les fichiers supprimés dépend du modèle, de la version logicielle et du support de stockage, et c'est ce que les tests ci-dessous ont examiné.

Le guide de l’utilisateur de 2015 de GE pour le LOGIQ P9/P7 attribue la responsabilité des données stockées au client et recommande des sauvegardes régulières. ⁶ La vue de l’archive à elle seule ne permet pas de montrer si les fichiers supprimés restent récupérables.

James Moggridge, du département de physique médicale des University College London Hospitals, a testé exactement cela sur neuf systèmes d’échographie destinés à la mise hors service et a publié les résultats dans Ultrasound en 2017. ¹ Chaque disque dur a été retiré, connecté à un PC et analysé à l’aide des outils de récupération open source TestDisk et PhotoRec, en ciblant la partition d’archive. L’explication de l’article est simple. La suppression d’un enregistrement supprime l’entrée dans la base de données et l’entrée dans la table de fichiers, mais, comme sur un PC, les fichiers eux-mêmes peuvent être récupérés.

Sur l’échographe testé après suppression avec les propres outils du système, la récupération a produit 48,853 fichiers de type DICOM, 93,235 fichiers JPEG et 27 images bitmap. C’était un nombre de fichiers trop élevé pour retrouver l’unique patient test enregistré pour l’expérience. ¹ Dans les échantillons examinés, la plupart des fichiers JPEG laissaient apparaître lisiblement sur l’image le nom, la date de naissance et l’identifiant du patient, ainsi que les coordonnées de la clinique. La plupart des fichiers DICOM récupérés étaient trop corrompus pour être ouverts sous forme d’images. Leurs en-têtes, qui contiennent les champs relatifs au patient et à la clinique, restaient lisibles en texte brut dans Notepad.

Ce constat a son importance pour quiconque suppose qu’une archive endommagée ou propriétaire offre une protection. Les identifiants se trouvent à l’intérieur des fichiers récupérés, de sorte qu’un index de base de données corrompu ne les masque pas. L’auteur ajoute qu’un format de fichier plus spécifique peut ralentir la récupération sans toutefois l’empêcher, particulièrement lorsque les mémoires tampons d’envoi contiennent des fichiers DICOM ou JPEG ordinaires. ¹

Où se cachent les données des patients au-delà de l’archive

Les identifiants des patients ne se limitent pas aux dossiers d’examens. L’article de 2017 avertit que des files d’attente d’envoi, des spouleurs ou des mémoires tampons situés dans d’autres zones du disque peuvent subsister après la suppression des patients de l’archive. Il avertit également que leur suppression fichier par fichier comporte toujours le risque d’en oublier. ¹ Le guide de mise hors service de l’ECRI, adapté par TechNation, ajoute une deuxième catégorie : les données informatiques telles que les paramètres réseau, les configurations DICOM, les comptes Active Directory et les clés sans fil. Ces données peuvent aider un attaquant même lorsqu’il ne subsiste aucun dossier patient. ¹⁰

• Journaux de messages et de communications DICOM. Ces journaux aident les ingénieurs à tracer les transactions réseau et peuvent contenir des champs relatifs aux patients en dehors de l’archive. Le cas documenté le plus clair est présenté ci-dessous.
• Files d’attente d’envoi et spouleurs d’impression. Les examens en attente de transmission ou d’impression résident en dehors de l’archive que l’utilisateur efface. L’article cite les deux. ¹
• Mémoires tampons et autres dossiers de travail. Il s’agit de l’avertissement général de l’article. Les dossiers existants et leur emplacement dépendent du modèle et de la version logicielle. ¹
• Configuration du site et du réseau. Cela couvre le nom de l’hôpital, les titres AE, les destinations worklist et PACS, les identifiants et les clés sans fil. L’ECRI répertorie leur suppression comme une étape distincte de la mise hors service. ¹⁰

Le fil de discussion consacré au Siemens Acuson Sequoia C256 sur MedWrench illustre bien comment la situation se présente. ⁸ En mars 2020, un propriétaire préparant un système pour son transfert vers un autre établissement avait supprimé les données et les images des patients, mais les informations sur les patients restaient visibles dans les journaux DICOM. Le manuel d'utilisation ne mentionnait rien au sujet des journaux. Plusieurs entreprises contactées par le propriétaire ne connaissaient aucun moyen de les supprimer sans retirer le disque dur. Une réponse d'une société de maintenance indépendante décrivait une réinitialisation des données de l'archive patient via l'interface de maintenance. Le propriétaire a indiqué que cela ne supprimait pas les informations relatives aux patients dans les journaux de messages DICOM. Une réponse ultérieure de la même entreprise n'a proposé qu'une seule façon de les effacer : une réinstallation logicielle. Le dernier message, en novembre 2021, suggérait d'appeler une ligne d'assistance technique. Personne n'a confirmé de solution.

Deux enseignements en découlent. Une réinitialisation par le menu de maintenance ciblant l'archive patient ne prouve pas que tous les fichiers portant des identifiants ont disparu. Et la seule solution proposée, une réinstallation logicielle, est la méthode dont les tests de 2017 ont montré qu'elle laissait des fichiers récupérables. Le forum n'établit pas ce qu'une réinstallation laisserait récupérable sur ce Sequoia. Avant un transfert de propriété, exigez une méthode d'assainissement validée et adaptée au support de stockage réel ; un écrasement ordinaire ne suffit pas pour tous les SSD. Cette page ne reproduit pas les combinaisons de touches de maintenance du fil de discussion, car les interventions sur l'interface de maintenance relèvent d'ingénieurs qualifiés utilisant la documentation du fabricant.

Une réinstallation logicielle complète équivaut-elle à un effacement ?

Dans l'article de 2017, une réinstallation logicielle est décrite comme la réponse probable d'un prestataire de maintenance à une demande d'effacement des données utilisateur. ¹ Une archive vide et des paramètres d'usine peuvent donc sembler rassurants sans pour autant établir l'effacement.

L'étude a réinstallé le logiciel d'exploitation sur l'ensemble des neuf systèmes, en formatant chaque partition. Chaque échographe a été démarré pour confirmer qu'il fonctionnait et affichait une archive vide, puis son disque a été retiré. Chaque disque a tout de même livré des fichiers patients. ¹

• Sur les neuf disques, la récupération a permis de trouver de 6,973 à 48,853 fichiers de type DICOM, de 12,364 à 93,235 fichiers JPEG et de 0 à 372 fichiers bitmap par échographe. ¹
• Sur l'échographe 1, les décomptes après la réinstallation correspondaient exactement à ceux obtenus après une simple suppression de l'archive : 48,853, 93,235 et 27. ¹
• Les fichiers récupérés présentaient la même nature et la même quantité de données permettant d'identifier les patients qu'après une suppression de l'archive. ¹

L'explication avancée par l'article est qu'une réinstallation se contente souvent de reformater le disque et de reconstruire les dossiers de données patients à partir d'une image enregistrée. Les anciens fichiers restent donc récupérables, et la table des partitions se présente telle qu'elle était auparavant. ¹ Une réinstallation installe un logiciel ; elle n'assainit pas le disque.

Cinq méthodes, un test : ce qui a réellement effacé les données

L'étude a comparé cinq méthodes. Les trois premières correspondent approximativement aux niveaux d'effort croissants d'un clinicien, d'un prestataire de maintenance et d'une équipe interne de physique ou d'équipements. La quatrième correspond à ce que vous obtenez lorsque vous faites appel à un tiers ou demandez un effacement forensique. La cinquième tente de supprimer les données effacées tout en conservant le logiciel système. ¹

Ce que signifient ces décomptes. Ils comptabilisent les fichiers récupérés, non les patients ou les examens uniques. Plusieurs formats peuvent représenter la même image, et de nombreux fichiers de type DICOM étaient corrompus. Une récupération nulle signifie que ces outils n'ont trouvé aucun fichier lors de ce test ; il ne s'agit pas d'une certification de chaque modèle, disque ou technique forensique. L'article ne nomme pas les modèles d'échographes, ses résultats ne peuvent donc pas servir de liste de compatibilité des modèles ou d'utilitaires d'effacement. ¹

Deux constats orientent le choix entre ces méthodes.

• Une seule passe d'écrasement a suffi sur ces disques. L'article cite l'avis selon lequel une seule passe est suffisante pour les disques durs fabriqués après 2001 et d'une capacité supérieure à 15 Go. Lors de ses propres tests, une seule passe s'est avérée tout aussi efficace que trois ou sept, et plus rapide. Il recommande néanmoins aux lecteurs de suivre leur politique locale de gouvernance de l'information. ¹ La FAQ de juillet 2026 du NIST relative à la publication SP 800-88 Rev. 2 indique désormais que l'écrasement en plusieurs passes est inutile et peut réduire la durée de vie des supports flash. ⁴
• L'effacement de l'espace libre est une méthode partielle. Elle convient à un système opérationnel dont le logiciel doit être préservé. Mais elle repose sur la suppression préalable de chaque fichier patient, et l'article avertit que des files d'attente, des spouleurs et des mémoires tampons peuvent subsister. La formule privilégiée par l'auteur est hybride : une réinstallation logicielle complète vers un état initial propre, suivie de l'effacement de l'espace libre. ¹ La FAQ du NIST privilégie l'assainissement de l'ensemble du dispositif. Pour un assainissement partiel requis, elle décrit l'effacement cryptographique lorsqu'on a l'assurance que les données cibles n'ont jamais quitté leur périmètre chiffré. Cela ne valide pas cette méthode historique d'effacement de l'espace libre pour un transfert actuel. ⁴ Dans l'étude, l'effacement a été exécuté avec le disque connecté à un PC, et non sur l'échographe. L'exécution d'un logiciel tiers sur un dispositif médical est une décision qui relève du fabricant ou de votre prestataire de maintenance qualifié.

Disques durs à l'époque, souvent stockage SSD aujourd'hui. Les systèmes de 2017 utilisaient des disques durs IDE, et les résultats d'écrasement de ces disques ne sont pas transposables au stockage flash. La publication NIST SP 800-88 Rév. 2, publiée en septembre 2025, note qu'un écrasement ordinaire ne peut pas atteindre toutes les zones d'un dispositif flash doté de cellules de réserve et d'un nivellement de l'usure. Elle indique également que l'écrasement multi-passes n'a que très peu d'effet sur les SSD dotés d'un surprovisionnement. ³ La Rév. 2 ne liste plus de recettes spécifiques à chaque support. Au lieu de cela, elle renvoie à IEEE 2883 pour choisir une technique, et désigne l'écrasement, l'effacement de blocs et l'effacement cryptographique, exécutés via des commandes dédiées d'assainissement du dispositif, comme des techniques de purge. ³⁴ L'effacement cryptographique n'est valable que si, entre autres conditions, aucune donnée sensible n'a été stockée en clair sur le disque avant la configuration des clés. ⁴ Pour une console à stockage SSD, demandez au fabricant quelle commande d'assainissement ou quel utilitaire le disque et le logiciel prennent en charge avant de prendre une décision.

Distinction selon la destination : que faire avant le départ de l'équipement

Les recommandations les plus connues sur cette question sont judicieuses mais génériques. Supprimez les données patient avant une vente, et soyez vigilant, car le logiciel d'exploitation partage souvent le disque. Puisqu'il n'existe pas de solution universelle, est-il précisé, contactez le fournisseur, votre ingénieur ou l'ingénieur de l'acheteur. ⁹ Les directives de l'ECRI vont plus loin. Elles préconisent de choisir la méthode pratique la plus sûre selon la destination de l'appareil, allant de la destruction du support jusqu'à la suppression intégrée au dispositif. Elles ajoutent que les deux options les plus faibles, la réinitialisation d'usine et la suppression sur l'appareil, rendent la récupération « difficile, mais pas impossible ». ¹⁰ L'article de 2017 apporte la distinction qui importe le plus. Un accord approuvé peut couvrir une réparation hors site ou le remplacement d'un composant de stockage, mais l'auteur a distingué ces cas d'un retour de location ou d'un transfert de propriété en vertu de la législation britannique alors en vigueur. Il s'agit d'un contexte historique, et non d'une décision juridique applicable à chaque contrat actuel. ¹

Le tableau applique cette logique aux cinq manières dont un échographe, ou l'une de ses pièces, quitte un site.

L'acheteur d'un système d'occasion doit s'attendre à recevoir ces éléments de preuve. Les points de contrôle de preuve d'effacement et de licence appliqués par l'acheteur d'un système d'occasion constituent l'autre volet de cette même transmission.

Avant une expédition pour réparation : sauvegardez et convenez du plan relatif aux données

Exportez et sauvegardez avant toute action destructive sur les données. Un effacement complet du disque peut supprimer le logiciel et la configuration nécessaires au diagnostic, et l'article de 2017 avertit que la restauration peut s'avérer difficile ou impossible. ¹ C'est une raison de convenir du plan de réparation et de restauration avant toute expédition. Cela ne constitue pas une autorisation d'envoyer des données patient à l'extérieur sans protection.

Pour le LOGIQ P9/P7, GE recommande de sauvegarder les données système avant toute intervention sur le disque dur et avertit qu'une panne ou une réparation peut entraîner une perte de données. Ce même guide de 2015 précise que le système n'est pas conçu pour le stockage à long terme des données patient ou des images. ⁶

Vérifiez les instructions équivalentes pour votre modèle exact et votre version logicielle. Utilisez la séquence suivante comme liste de contrôle pour la planification, son exécution devant être confiée au fabricant ou à un prestataire de maintenance qualifié.

1. Rapprochez l'archive avec le PACS. Exportez les examens et les dossiers associés devant être conservés vers le PACS ou une autre archive approuvée, contrôlez la file d'attente d'envoi pour détecter les tâches en échec ou en attente, et vérifiez la bonne réception, l'exhaustivité et la lisibilité à destination. N'effacez pas la source tant que les dossiers requis restent non rapprochés. Si l'échographe produit des images mais ne transmet pas, consultez lorsque l'échographe produit des images mais ne transmet pas au PACS.
2. Sauvegardez les données système. Utilisez la fonction de sauvegarde ou d'exportation propre au système pour les préréglages, les modules de mesure et les paramètres de connectivité. Étiquetez la sauvegarde avec le numéro de série de la console et conservez-la conformément à votre politique de gestion des données. Protégez la sauvegarde et restreignez-en l'accès ; elle peut elle-même contenir des informations relatives aux patients ou des identifiants.
3. Enregistrez les options installées. Dressez la liste des options logicielles activées et conservez le certificat d'option ou l'enregistrement des clés. Si le disque ou la carte hôte tombe en panne pendant la réparation, ces enregistrements déterminent si le système peut être restauré. Consultez diagnostiquer le disque par rapport à la carte mère lorsque la console ne démarre pas.
4. Demandez si la réparation peut être effectuée au niveau de la carte. Si la panne est isolée sur une alimentation, un formateur de faisceau ou un autre ensemble sans stockage, expédiez uniquement la pièce et conservez la console et le disque sur site. Le retrait d'une carte est une tâche réservée à un ingénieur qualifié, avec le système hors tension et selon la procédure de maintenance du fabricant.
5. Validez la prise en charge avant le transport d'une console. Demandez au fabricant et au prestataire de maintenance si le support de stockage peut rester sur site et si une procédure d'assainissement et de restauration prise en charge est requise. Si des PHI doivent rester accessibles pour l'intervention, obtenez une approbation relative à la confidentialité pour l'accès, le transport, les sous-traitants et les dispositions de retour ou d'élimination. L'HHS classe les techniciens de maintenance des dispositifs dont le travail implique la divulgation de PHI comme de potentiels « business associates » ; demandez à votre responsable de la confidentialité de déterminer l'accord requis. ¹²
6. Si le disque lui-même est défaillant. Un disque défaillant peut encore contenir des données patient. Conservez-le conformément à votre politique de gestion des données plutôt que de l'envoyer à un tiers non autorisé, et décidez de sa destruction dès lors que les données ne sont plus nécessaires.
7. Contrôlez le système retourné avant sa remise en service clinique. Un démarrage réussi ne constitue pas une recette. Un personnel qualifié doit vérifier la configuration autorisée, les options requises, les préréglages, les performances de l'image et de la sonde, les contrôles de sécurité applicables ainsi que l'exportation des examens, conformément à la procédure de l'OEM et à la politique de l'établissement. Testez la connectivité avec des données approuvées ne concernant aucun patient et obtenez la validation des responsables du génie biomédical et de l'informatique.

Avant une vente ou un don : ce que la preuve doit démontrer

Dès le transfert de propriété, votre garde prend fin et la preuve doit se suffire à elle-même. La publication NIST SP 800-88 Rév. 2 indique qu'un certificat d'assainissement doit être établi pour chaque support assaini, conformément aux politiques de l'organisme. Le certificat doit mentionner au minimum : ³

• le fabricant, le modèle et le numéro de série du support, ainsi que tout numéro d'inventaire ;
• le type de support et la provenance, par exemple le disque dur d'un numéro de série de console donné ;
• la méthode d'assainissement (effacement, purge ou destruction) et la technique (par exemple écrasement, effacement de bloc ou effacement cryptographique) ;
• l'outil utilisé, y compris sa version ;
• la méthode de vérification ;
• les noms et fonctions des personnes ayant effectué la vérification et la validation, avec les dates, le lieu, les coordonnées et les signatures.

Le modèle de certificat du NIST comprend également des champs pour le statut de la vérification, la décision de validation et la destination ou le devenir du support, comme un réemploi externe, une installation de recyclage ou le fabricant. ³

Ajoutez la marque, le modèle et le numéro de série de la console afin que le certificat soit rattaché au système expédié. Le NHS Surrey montre pourquoi la ligne relative à la méthode importe. Certains des certificats « Data Devices Destroyed » émis par sa société d'élimination avant janvier 2011 indiquaient seulement que les disques avaient été « effacés/détruits/recyclés », et l'ICO a relevé qu'il n'apparaissait pas clairement ce qui leur était réellement arrivé. ¹¹

Quel niveau de contrôle suffit ? Distinguez les vérifications effectuées par un processus de la décision d'en accepter le résultat. Le NIST indique que la vérification consiste normalement à contrôler l'état d'achèvement de l'outil ainsi que les éventuelles erreurs, anomalies ou alertes sur l'état de santé du disque. Il ajoute qu'un échantillonnage approfondi du contenu du disque après un effacement ou une purge n'est pas nécessaire, à moins que la politique applicable ne l'exige. ³ La validation évalue séparément si la méthode et le résultat sont adaptés au support et à la sensibilité des données ; le fait qu'un outil signale un succès ne règle pas cette question. ³ L'article de 2017 a été rédigé par un physicien d'hôpital qui venait de récupérer des milliers de fichiers à partir de scanners qui semblaient vierges, et il en demande davantage : ¹

• si vous effectuez l'effacement, vérifiez qu'il a fonctionné et qu'aucun fichier récupérable ne subsiste ;
• si un tiers l'effectue, obtenez son processus par écrit, y compris la sécurité pendant le transport, afin de pouvoir l'évaluer vous-même ;
• demandez s'ils peuvent renvoyer un échantillon pour test à l'issue de leur processus ;
• demandez une visite sur site pour voir comment vos supports sont traités.

Un certificat consigne ce qui a été fait. Il ne transfère pas la responsabilité : selon l'interprétation de l'article, l'établissement qui a enregistré les données demeure responsable « quelle que soit la certification fournie ». ¹

Quand le retrait et la destruction du disque constituent la bonne solution

Pour les disques durs étudiés, l'article considère la destruction physique comme le moyen habituel le plus sûr d'empêcher toute récupération. La raison pour laquelle elle n'est pas toujours appliquée est d'ordre pratique. Un système loué ou revendu doit fonctionner, et un disque de remplacement approuvé pour un système ancien peut être difficile à trouver. ¹ La destruction est le choix évident dans ces situations :

• Le système est mis au rebut. Il n'y a aucune valeur d'usage à préserver dans le disque.
• Le disque est défaillant ou ne peut pas être adressé. Le NIST note que l'écrasement ne peut pas être utilisé sur des supports endommagés au point d'être inopérants. Il ajoute que la destruction peut être la seule option lorsque les supports sont défaillants ou que leur interface est obsolète. ³
• Personne ne peut dire où se trouvent les données. Si le fabricant ne peut pas vous indiquer où sont conservés les journaux et les files d'attente, et qu'aucune méthode portant sur l'ensemble du disque avec réinstallation n'est disponible, remplacez le disque et détruisez l'original.
• Votre politique l'exige. Certaines organisations imposent la destruction de tout support de stockage qui sort de leur contrôle.

Adaptez la technique de destruction au support, et convenez-en avec votre équipe de sécurité. ³⁴

• La démagnétisation n'est pas une destruction. Le NIST la traite comme une technique de purge pour les supports magnétiques uniquement. Il avertit que de nombreux démagnétiseurs manquent de puissance pour les disques modernes à haute coercivité, et précise que la démagnétisation ne doit pas être utilisée sur les supports de stockage flash tels que les SSD.
• Le pliage, la découpe ou le perçage peuvent n'endommager que partiellement un disque. Certaines parties peuvent rester récupérables au moyen de techniques de laboratoire.
• Le déchiquetage et la pulvérisation ne conviennent qu'aux catégories de sécurité les plus basses, selon la Rev. 2. Pour les catégories supérieures, la FAQ du NIST renvoie à des démagnétiseurs évalués de forte puissance pour les supports magnétiques et à des techniques de type incinération telles que la fusion pour les autres supports, y compris les SSD.

Si un recycleur ou une entreprise de mise au rebut effectue le travail, le cas du NHS Surrey sert d'avertissement. Le NHS Surrey était passé d'un prestataire agréé à une entreprise qui détruisait gratuitement les disques durs en contrepartie de la revente du matériel récupéré. Il n'y avait aucun contrat écrit, seulement des assurances écrites. En mai 2012, un particulier a signalé avoir acheté en ligne un ordinateur d'occasion qui contenait des données de patients du NHS Surrey, notamment des dossiers concernant environ 900 adultes et 2,000 enfants. L'ICO a constaté que le trust ne disposait d'aucun contrat définissant les obligations légales du prestataire et n'avait pas observé ni supervisé le processus de destruction. Le NHS Surrey ayant été dissous, la pénalité de £200,000 a été transférée au NHS Commissioning Board. ¹¹ L'incident concernait des PC, et non des systèmes d'échographie. L'article de 2017 le cite pour montrer à qui incombe la responsabilité. ¹

Ce que les règles exigent du propriétaire lors du transfert

La promesse d'un acheteur ou d'un recycleur d'effacer le système à l'arrivée ne change rien au fait que les données ont quitté votre site sur le disque. Les règles ci-dessous définissent les obligations du propriétaire. La façon dont elles s'appliquent à un envoi spécifique relève de votre responsable de la protection des données, de votre équipe de gouvernance de l'information ou de votre conseiller juridique.

États-Unis. La FAQ de l'HHS sur l'élimination résume trois exigences de l'HIPAA pour les entités couvertes : ²

• 45 CFR 164.310(d)(2)(i), élimination : politiques et procédures relatives à la destination finale des PHI électroniques et du matériel ou des supports électroniques sur lesquels elles sont stockées.
• 45 CFR 164.310(d)(2)(ii), réutilisation des supports : procédures visant à supprimer les PHI électroniques des supports électroniques avant que les supports ne soient mis à disposition pour réutilisation.
• 45 CFR 164.530(c), mesures de protection : mesures de protection raisonnables pour limiter les utilisations et divulgations incidentes de PHI et éviter celles qui sont interdites, y compris dans le cadre de l'élimination.

L'HHS indique également que les membres du personnel participant à l'élimination doivent être formés et que les règles « n'exigent pas de méthode d'élimination particulière ». Il renvoie les lecteurs au NIST SP 800-88 pour les pratiques d'assainissement. ² Aucune méthode n'étant prescrite, les tests présentés ci-dessus constituent le guide pratique : une suppression au niveau utilisateur laisse les fichiers récupérables, ce qui constitue une base fragile pour autoriser la réutilisation des supports. ¹

Union européenne. Le RGPD, règlement (UE) 2016/679, établit la limitation de la conservation à l'article 5(1)(e) et la sécurité du traitement à l'article 32. ⁵ Le considérant 39 demande que la durée de conservation soit limitée au strict minimum et que le responsable du traitement fixe des délais pour l'effacement ou le réexamen périodique. ⁵ L'hôpital ou la clinique demeure normalement le responsable du traitement pour les examens qu'il a enregistrés ; l'article 32 impose également des obligations de sécurité aux sous-traitants. Un contrat de vente avec un revendeur ne supprime pas les données du disque. L'article de 2017 a été rédigé sous le régime du Data Protection Act britannique de 1998, qui a depuis été remplacé ; vérifiez donc la législation applicable là où se trouve votre système.

Lors des achats. L'article de 2017 rapporte que certains centres intègrent désormais l'effacement des données par le fournisseur lors de la mise hors service dans les conditions d'achat de leurs nouveaux échographes. Cela permet d'éviter des frais ultérieurs ainsi qu'une réinstallation logicielle complexe. ¹ Si un système reste plutôt en service sur votre réseau, les questions portent sur l'exposition et non sur l'élimination ; voir segmenter, isoler ou remplacer les anciens échographes en réseau.

Liste de contrôle avant expédition

Effectuez cette vérification avant d'emballer toute console, tout ordinateur hôte, toute carte ou toute sonde.

1. Indiquez la destination. Il s'agit d'une réparation de carte ou de sonde, d'une réparation de console, d'un retour de vente ou de location, d'un don ou d'une mise au rebut. La destination détermine l'étape relative aux données.
2. Identifiez chaque élément de stockage. Incluez les disques internes, les supports amovibles, les cartes mémoire, les autres mémoires non volatiles et les sous-ensembles contenant du stockage. L'ECRI recommande de demander au fabricant où l'appareil stocke les données et de vérifier son formulaire de sécurité MDS2. ¹⁰
3. Rapprochez l'archive. Confirmez que les examens et dossiers requis sont reçus et lisibles dans le PACS ou dans une autre archive approuvée ; résolvez les échecs d'envoi avant toute suppression.
4. Sauvegardez ce qui doit être conservé. Données système, préréglages, paramètres de connectivité et enregistrements d'options, étiquetés selon le numéro de série de la console.
5. Validez l'étape relative aux données selon la destination. Une pièce confirmée comme ne contenant aucune donnée patient ne nécessite aucun assainissement. Une réparation de console nécessite un plan de manipulation et de restauration approuvé, assorti des garanties et des accords nécessaires. Un transfert de propriété nécessite un assainissement validé et adapté au support, ou la conservation et le remplacement du support. Une mise au rebut nécessite une filière de destruction approuvée.
6. Traitez les journaux, les files d'attente et la configuration. Demandez au fabricant ou à votre prestataire de services si la méthode choisie les couvre. Si personne n'est en mesure de le préciser, suspendez l'expédition jusqu'à ce que tout le stockage soit cartographié et qu'une méthode adaptée au support ou un plan de conservation/remplacement soit approuvé. Pour les transferts de propriété, supprimez les paramètres réseau, DICOM et de compte, puis dissociez les services de gestion ou de cloud. ¹⁰
7. Déclarez l'état de nettoyage de la sonde si des sondes sont transportées, conformément au mode d'emploi du fabricant et au protocole de votre établissement. Consultez la déclaration de l'état de nettoyage avant d'expédier une sonde.
8. Emballez et photographiez. Placez les cartes dans des sachets antistatiques blindés et prenez des photos à chaque étape de l'emballage, en suivant les étapes d'emballage et de chaîne de traçabilité pour une expédition en réparation.
9. Consignez le dossier. Saisissez les numéros de série, la méthode, les certificats, le suivi du transporteur et la personne responsable dans votre ordre de travail CMMS. L'ECRI recommande d'enregistrer la méthode utilisée pour détruire ou sécuriser les données. ¹⁰

Où Rongtao intervient — et où elle n'intervient pas

Guangzhou Rongtao Medical Technology Co., Ltd. répare des cartes et des sondes d'échographie et fournit des pièces aux distributeurs, aux prestataires de maintenance indépendants et aux équipes de génie biomédical hospitalières dans plus de 140 pays et régions.

• Réparation au niveau de la carte qui conserve le disque sur site. Alimentations, cartes de voies, formateurs de faisceau, cartes front-end et back-end, panneaux de commande, cartes moteur 4D, ainsi que cartes d'interface et d'acquisition. Lorsque la panne est isolée sur un seul sous-ensemble, l'expédition de la pièce seule peut permettre de conserver la console sur site. Confirmez si cette pièce exacte contient des données patient avant de l'envoyer.
• Réparation de sondes. Diagnostic de panne et réparation au niveau des éléments pour les sondes linéaires, convexes, phased array, endocavitaires, ETO et volumétriques (4D).
• Conditions publiées. Un délai standard de réparation de cartes de 5–8 jours ouvrés et une garantie habituelle de 90 jours, les conditions finales étant confirmées sur le devis.

Où elle n'intervient pas :

• Aucun service d'effacement de données. Les services publiés de Rongtao n'incluent pas l'effacement de disques, les certificats d'assainissement ni l'élimination des actifs informatiques. Choisissez et documentez l'étape relative aux données avant toute expédition.
• Toute intervention sur l'appareil complet commence par votre décision relative aux données. Rongtao propose des diagnostics au niveau du système lorsque l'isolation au niveau de la carte ne suffit pas. Si une console complète ou un ordinateur hôte doit être expédié, déterminez selon votre propre politique ce qu'il advient du disque. Indiquez dans le devis si un disque est installé et ce qui a été fait dessus.
• Aucun conseil juridique. Cette page résume les sources citées. Votre délégué à la protection des données ou votre conseiller juridique détermine comment s'appliquent l'HIPAA, le RGPD ou la législation locale.

Transmission prête pour devis

Envoyez la demande via le formulaire de devis de réparation. Incluez :

• Matériel expédié : une carte, une sonde, un ordinateur hôte ou la console complète, et si un disque de stockage ou une carte mémoire l'accompagne.
• Identification : OEM, modèle, numéro de série de la console et version logicielle.
• Détails de la pièce : référence fabricant et révision, avec des photos des deux faces de la carte ou de l'étiquette de la sonde.
• Symptôme : la panne, tout code d'erreur affiché à l'écran et le moment où il survient. Masquez les identifiants des patients sur les captures d'écran, les journaux et les photos ; utilisez un canal sécurisé approuvé pour toute information dont le prestataire a réellement besoin.
• État des données, si un support de stockage est expédié : si les exportations et les sauvegardes ont été vérifiées, le plan d'accès ou d'assainissement approuvé, la personne ayant effectué toute opération sur les données et les preuves conservées. Ne faites pas figurer les dossiers réels, les emplacements de sauvegarde, les mots de passe et les clés de licence dans le formulaire de devis ordinaire.
• Logistique : quantité et pays de destination.

Foire aux questions

Une réinitialisation des données via le menu de service efface-t-elle tout ?

Pas d'après les éléments disponibles. Dans le seul cas documenté, une réinitialisation des données sur un Sequoia C256 a effacé l'archive des patients mais a laissé des informations relatives aux patients visibles dans les journaux de messages DICOM, et le fil de discussion s'est terminé sans solution confirmée. ⁸ Même lorsqu'une réinitialisation ou un rechargement efface ce qui est visible, les tests de 2017 montrent que les fichiers supprimés peuvent rester récupérables tant que l'espace n'a pas été écrasé. ¹ Demandez au fabricant ce que couvre sa réinitialisation pour votre modèle et votre version logicielle.

Supprimer les examens de la console suffit-il avant une vente ?

La simple suppression de l'archive ne constitue pas une base solide pour céder un système d'occasion. La loi HIPAA exige des entités assujetties qu'elles disposent de procédures de réutilisation des supports, mais ne prescrit aucune méthode particulière. ² Lors des tests sur disques durs de 2017, la suppression a laissé des fichiers récupérables, y compris des échantillons d'images comportant des identifiants lisibles. ¹ Utilisez une méthode d'assainissement validée et adaptée à chaque support de stockage, ou conservez et remplacez les supports. Planifiez la restauration logicielle et conservez les enregistrements de vérification, de validation et d'acceptation.

Les cartes ou les sondes contiennent-elles des données de patients ?

Ne partez d'aucune supposition dans un sens comme dans l'autre. Les sources localisent les données des patients sur le disque de stockage ainsi que dans les files d'attente, les spouleurs et les mémoires tampons, et aucune n'associe de données de patients à des cartes ou des sondes individuelles. ¹ Traitez un ensemble ordinateur hôte, un PC back-end ou tout composant comportant une mémoire non volatile, y compris un disque ou une carte mémoire, comme un élément de stockage. Pour toute autre pièce, demandez au fabricant où l'appareil stocke les données, ce qui constitue la première étape de mise hors service selon l'ECRI, et vérifiez le formulaire MDS2. ¹⁰

Qui est responsable si un acheteur ou un recycleur découvre ultérieurement des données de patients ?

La réponse de l'article de 2017, tirée de la pratique britannique, est l'établissement de santé qui a enregistré les données, qui que ce soit qui ait été engagé pour éliminer le matériel et quel que soit le certificat délivré. ¹ L'ICO a infligé une pénalité de £200,000 dans l'affaire du NHS Surrey après qu'un PC ayant transité par sa société d'élimination gratuite a été vendu en ligne contenant plus de 3,000 dossiers de patients. ¹¹ En vertu de l'HIPAA, l'entité couverte doit disposer de procédures d'élimination et de réutilisation. ² En vertu du RGPD, le responsable du traitement reste responsable et les sous-traitants ont également des obligations de sécurité au titre de l'article 32. ⁵ Confirmez auprès de votre responsable de la protection des données comment cela s'applique dans votre juridiction.