Dados de pacientes em ultrassom: o que exportar, preservar e apagar antes do envio

O que ainda permanece no disco após a exclusão da lista de pacientes?

Os fabricantes publicam instruções de rotina para a remoção de exames. O vídeo de 2024 da GE HealthCare, NextGen LOGIQ e: Exclusão de um paciente do disco rígido, é um exemplo para esse modelo. ⁷ Trate esse tipo de operação de arquivamento como manutenção de rotina, não como prova de sanitização de mídia. Se os arquivos excluídos ainda podem ser recuperados depende do modelo, da versão do software e do meio de armazenamento, e é isso que os testes abaixo examinaram.

O guia do usuário de 2015 da GE para o LOGIQ P9/P7 atribui a responsabilidade pelos dados armazenados ao cliente e recomenda backups regulares. ⁶ Apenas a visualização do arquivo não é capaz de mostrar se os arquivos excluídos permanecem recuperáveis.

James Moggridge, do Departamento de Física Médica do University College London Hospitals, testou exatamente isso em nove sistemas de ultrassom programados para desativação e publicou os resultados na revista Ultrasound em 2017. ¹ Cada disco rígido foi removido, conectado a um PC e analisado com as ferramentas de recuperação de código aberto TestDisk e PhotoRec, direcionadas à partição de arquivo. A explicação do artigo é simples. A exclusão de um registro remove a entrada no banco de dados e a entrada na tabela de arquivos, mas, assim como em um PC, os próprios arquivos podem ser recuperados.

No equipamento testado após a exclusão com as próprias ferramentas do sistema, a recuperação gerou 48,853 arquivos do tipo DICOM, 93,235 JPEGs e 27 bitmaps. Eram arquivos demais para encontrar o único paciente de teste armazenado para o experimento. ¹ Nas amostras examinadas, a maioria dos JPEGs apresentava o nome do paciente, data de nascimento, ID e dados da clínica legíveis na imagem. A maioria dos arquivos DICOM recuperados estava corrompida demais para ser aberta como imagem. Seus cabeçalhos, que contêm os campos do paciente e da clínica, ainda podiam ser lidos como texto simples no Bloco de Notas.

Isso é importante para quem presume que um arquivo danificado ou proprietário ofereça proteção. Os identificadores ficam dentro dos arquivos recuperados; portanto, um índice de banco de dados corrompido não os oculta. O autor acrescenta que um formato de arquivo mais personalizado pode retardar a recuperação, mas não impedi-la, principalmente onde os buffers de envio contêm arquivos DICOM ou JPEG convencionais. ¹

Onde os dados do paciente se escondem além do arquivo

Os identificadores de pacientes não estão confinados às pastas de exames. O artigo de 2017 alerta que filas de envio, spoolers ou buffers em outras partes da unidade podem permanecer após os pacientes serem excluídos do arquivo. Ele também alerta que excluí-los arquivo por arquivo sempre traz o risco de deixar alguns para trás. ¹ As diretrizes de desativação da ECRI, adaptadas pela TechNation, acrescentam uma segunda categoria: dados de TI, como configurações de rede, configurações DICOM, contas do Active Directory e chaves de rede sem fio. Esses dados podem ajudar um invasor mesmo quando não restar nenhum registro de paciente. ¹⁰

• Logs de comunicação e de mensagens DICOM. Esses logs ajudam os engenheiros a rastrear transações de rede e podem conter campos do paciente fora do arquivo. O caso documentado mais claro segue abaixo.
• Filas de envio e spoolers de impressão. Exames aguardando transmissão ou impressão ficam fora do arquivo que o usuário limpa. O artigo cita ambos. ¹
• Buffers e outras pastas de trabalho. Este é o alerta geral do artigo. Quais pastas existem e onde estão localizadas depende do modelo e da versão de software. ¹
• Configuração local e de rede. Isso abrange o nome do hospital, títulos de AE, destinos de worklist e PACS, credenciais e chaves de rede sem fio. A ECRI lista a remoção desses itens como uma etapa separada de desativação. ¹⁰

O tópico sobre o Siemens Acuson Sequoia C256 no MedWrench mostra como isso acontece na prática. ⁸ Em março de 2020, um proprietário que preparava um equipamento para transferência para outra instituição havia excluído os dados e as imagens dos pacientes, mas as informações dos pacientes ainda continuavam visíveis nos logs DICOM. O manual do usuário não mencionava nada sobre os logs. Várias empresas contatadas pelo proprietário não conheciam nenhuma forma de removê-los sem retirar o disco rígido. Uma resposta de uma empresa independente de manutenção descreveu uma redefinição de dados via interface de serviço para o arquivo de pacientes. O proprietário relatou que o procedimento não removeu as informações dos pacientes nos logs de mensagens DICOM. Uma resposta de acompanhamento da mesma empresa ofereceu apenas um caminho para eliminá-los: a reinstalação do software. A última publicação, em novembro de 2021, sugeria ligar para uma linha de suporte técnico. Ninguém confirmou uma solução.

Duas lições decorrem disso. Uma redefinição no menu de serviço direcionada ao arquivo de pacientes não é prova de que todos os arquivos contendo identificadores tenham sido eliminados. E o único caminho oferecido, a reinstalação do software, é o método que os testes de 2017 mostraram que deixa arquivos recuperáveis. O fórum não estabelece o que uma reinstalação deixaria recuperável neste Sequoia. Antes de uma transferência de propriedade, exija um método de sanitização validado e adequado ao meio de armazenamento real; a sobrescrita comum não é suficiente para todos os SSDs. Esta página não reproduz as sequências de teclas de serviço do tópico, pois o trabalho na interface de serviço cabe a engenheiros qualificados que utilizem a documentação do fabricante.

Uma reinstalação completa de software conta como eliminação?

No artigo de 2017, a reinstalação de software é descrita como a provável resposta do prestador de serviços de manutenção a uma solicitação para limpar os dados do usuário. ¹ Um arquivo vazio e as configurações de fábrica podem, portanto, parecer tranquilizadores sem comprovar a eliminação.

O estudo reinstalou o software operacional em todos os nove sistemas, formatando todas as partições. Cada equipamento foi inicializado para confirmar que funcionava e apresentava um arquivo vazio e, em seguida, sua unidade foi removida. Todas as unidades ainda revelaram arquivos de pacientes. ¹

• Nas nove unidades, a recuperação encontrou de 6,973 a 48,853 arquivos do tipo DICOM, de 12,364 a 93,235 JPEGs e de 0 a 372 bitmaps por scanner. ¹
• No Scanner 1, as contagens após a reinstalação coincidiram exatamente com as contagens após a simples exclusão do arquivo: 48,853, 93,235 e 27. ¹
• Os arquivos recuperados apresentaram o mesmo tipo e a mesma quantidade de dados identificáveis de pacientes que após a exclusão do arquivo. ¹

A explicação do artigo é que uma reinstalação frequentemente apenas reformata o disco e reconstrói as pastas de dados dos pacientes a partir de uma imagem salva. Os arquivos antigos, portanto, continuam recuperáveis, e a tabela de partições permanece como estava antes. ¹ Uma reinstalação instala software; não realiza a sanitização da unidade.

Cinco métodos, um teste: o que realmente eliminou os dados

O estudo comparou cinco métodos. Os três primeiros correspondem aproximadamente ao esforço crescente de um clínico, de um prestador de serviços de manutenção e de uma equipe interna de física médica ou de equipamentos. O quarto é o que se obtém ao contratar terceiros ou solicitar uma eliminação forense. O quinto tenta remover dados excluídos, mantendo o software do sistema. ¹

O que essas contagens significam. Elas contabilizam arquivos recuperados, e não pacientes ou exames únicos. Múltiplos formatos podem representar a mesma imagem, e muitos arquivos do tipo DICOM estavam corrompidos. Recuperação zero significa que essas ferramentas não encontraram nenhum arquivo neste teste; isso não é uma certificação de cada modelo, disco ou técnica forense. O artigo não cita modelos de scanners, de modo que seus resultados não podem servir como uma lista de compatibilidade de modelos ou de utilitários de eliminação. ¹

Dois achados orientam a escolha entre esses métodos.

• Uma passagem de sobrescrita foi suficiente nestes discos. O artigo cita a visão de que uma única passagem é suficiente para discos rígidos fabricados após 2001 e maiores que 15 GB. Em seus próprios testes, uma única passagem provou ser tão eficaz quanto três ou sete, e mais rápida. Ainda assim, o estudo orienta os leitores a seguir a política local de governança da informação. ¹ O FAQ de julho de 2026 do NIST para a SP 800-88 Rev. 2 afirma agora que a sobrescrita em múltiplas passagens é desnecessária e pode reduzir a vida útil de mídias flash. ⁴
• A limpeza de espaço em branco é um método parcial. Ela é adequada para um sistema em funcionamento cujo software deve ser preservado. No entanto, ela depende de que todos os arquivos de pacientes tenham sido excluídos previamente, e o artigo alerta que filas, spoolers e buffers podem permanecer. A variante preferida do autor é um método híbrido: uma reinstalação completa do software para o estado inicial, seguida pela limpeza do espaço em branco. ¹ O FAQ do NIST prefere a sanitização de todo o dispositivo. Para a sanitização parcial necessária, ele descreve o apagamento criptográfico quando há confiança de que os dados-alvo nunca escaparam do seu limite criptografado. Isso não valida esse método histórico de espaço em branco para uma transferência atual. ⁴ No estudo, a limpeza foi executada com a unidade conectada a um PC, não no scanner. A execução de software de terceiros em um dispositivo médico é uma decisão que cabe ao fabricante ou ao seu prestador de serviços qualificado.

Discos rígidos no passado, frequentemente armazenamento em estado sólido hoje. Os sistemas de 2017 usavam discos rígidos IDE, e os resultados de sobrescrita dessas unidades não se aplicam ao armazenamento flash. A NIST SP 800-88 Rev. 2, publicada em setembro de 2025, observa que a sobrescrita comum não consegue alcançar todas as áreas de um dispositivo flash com células sobressalentes e nivelamento de desgaste. Ela também afirma que a sobrescrita em múltiplas passagens alcança muito pouco em SSDs com sobreprovisionamento. ³ A Rev. 2 não lista mais procedimentos específicos por mídia. Em vez disso, ela indica o IEEE 2883 para a escolha de uma técnica e cita sobrescrita, apagamento de bloco e apagamento criptográfico, executados por meio de comandos dedicados de sanitização do dispositivo, como técnicas de purga. ³⁴ O apagamento criptográfico só é válido se, entre outras condições, nenhum dado sensível tiver sido armazenado na unidade em texto simples antes da configuração das chaves. ⁴ Para um console em estado sólido, consulte o fabricante sobre qual comando ou utilitário de sanitização a unidade e o software suportam antes de tomar uma decisão.

Divisão por destino: o que fazer antes de o equipamento sair

A recomendação mais conhecida sobre essa questão é sólida, mas genérica. Exclua os dados dos pacientes antes de uma venda e tome cuidado, pois o software operacional frequentemente compartilha a mesma unidade. Como não existe uma resposta única para todos os casos, ela orienta entrar em contato com o fornecedor, com o seu engenheiro ou com o engenheiro do comprador. ⁹ A orientação da ECRI vai além. Ela orienta escolher o método prático mais seguro para o destino do dispositivo, variando desde a destruição da mídia até a exclusão fornecida pelo próprio equipamento. Acrescenta ainda que as duas opções mais frágeis, a restauração aos padrões de fábrica e a exclusão pelo dispositivo, tornam a recuperação “difícil, mas não impossível”. ¹⁰ O artigo de 2017 acrescenta a distinção que mais importa. Um acordo aprovado pode cobrir um reparo externo ou a substituição de um componente de armazenamento, mas o autor distinguiu essas situações de uma devolução de locação ou transferência de propriedade sob a legislação britânica vigente na época. Trata-se de um contexto histórico, não de uma determinação jurídica aplicável a todos os contratos atuais. ¹

A tabela aplica essa lógica às cinco formas pelas quais um ultrassom, ou parte dele, sai de uma instalação.

Um comprador de um sistema usado deve esperar essas evidências. Os critérios de comprovação de apagamento e controle de licenças que um comprador de sistema usado aplica são o outro lado dessa mesma transferência.

Antes do envio para reparo: faça backup e acorde o plano de dados

Exporte e faça backup antes de qualquer ação destrutiva de dados. O apagamento completo da unidade pode remover o software e a configuração necessários para o diagnóstico, e o artigo de 2017 alerta que a restauração pode ser difícil ou indisponível. ¹ Essa é uma razão para acordar o plano de reparo e restauração antes do envio de qualquer item. Isso não é uma permissão para enviar dados de pacientes desprotegidos para fora.

Para o LOGIQ P9/P7, a GE recomenda fazer backup dos dados do sistema antes da manutenção do disco rígido e adverte que falhas ou reparos podem causar perda de dados. O mesmo guia de 2015 afirma que o sistema não se destina ao armazenamento de longo prazo de dados ou imagens de pacientes. ⁶

Verifique as instruções equivalentes para seu modelo e versão de software exatos. Use a sequência a seguir como uma lista de verificação de planejamento, com execução pelo fabricante ou por um prestador de serviços qualificado.

1. Reconcilie o arquivo com o PACS. Exporte os estudos e registros associados que devem ser retidos para o PACS ou outro arquivo aprovado, verifique a fila de envio quanto a tarefas com falha ou pendentes e confirme o recebimento, a completude e a legibilidade no destino. Não apague a origem enquanto registros obrigatórios permanecerem não reconciliados. Se o scanner gerar imagens, mas não enviar, consulte quando o scanner gera imagens, mas não envia para o PACS.
2. Faça backup dos dados do sistema. Use a função própria de backup ou exportação do sistema para presets, pacotes de medição e configurações de conectividade. Identifique o backup com o número de série do console e armazene-o de acordo com a sua política de dados. Proteja o backup e restrinja o acesso; ele próprio pode conter informações de pacientes ou credenciais.
3. Registre as opções instaladas. Liste as opções de software ativadas e guarde o certificado de opções ou o registro das chaves. Se a unidade ou a placa host falhar durante o reparo, esses registros determinarão se o sistema pode ser restaurado. Consulte diagnóstico entre unidade e placa-mãe quando o console não inicializa.
4. Pergunte se o reparo pode ser feito em nível de placa. Se a falha for isolada em uma fonte de alimentação, em um beamformer ou em outro conjunto sem armazenamento, envie apenas a peça e mantenha o console e a unidade no local. A remoção de uma placa é uma tarefa para um engenheiro qualificado, com o sistema desligado e seguindo o procedimento de manutenção do fabricante.
5. Aprove o manuseio antes do transporte do console. Pergunte ao fabricante e ao prestador de serviços se o armazenamento pode permanecer no local e se é necessário um procedimento suportado de sanitização e restauração. Se as PHI precisarem permanecer acessíveis para o trabalho, obtenha aprovação de privacidade para o acesso, transporte, subcontratados e providências de devolução ou descarte. O HHS lista técnicos de manutenção de dispositivos cujo trabalho divulga PHI como potenciais parceiros comerciais (business associates); encarregue o seu responsável pela privacidade de determinar o acordo necessário. ¹²
6. Se a própria unidade tiver falhado. Uma unidade com falha ainda pode conter dados de pacientes. Mantenha-a sob a sua política de dados em vez de enviá-la a terceiros não autorizados e decida sobre a destruição assim que os dados não forem mais necessários.
7. Verifique o sistema devolvido antes da liberação clínica. Uma inicialização bem-sucedida não constitui aceitação. A equipe qualificada deve verificar a configuração autorizada, as opções necessárias, os presets, o desempenho da imagem e do transdutor, as verificações de segurança aplicáveis e a exportação de estudos de acordo com o procedimento do OEM e a política da instituição. Teste a conectividade com dados aprovados que não sejam de pacientes e obtenha a aprovação formal da engenharia clínica e da TI responsáveis.

Antes de uma venda ou doação: o que a comprovação deve mostrar

Assim que a propriedade é transferida, a sua custódia termina e a evidência precisa se sustentar por si só. A publicação NIST SP 800-88 Rev. 2 afirma que um certificado de sanitização deve ser preenchido para cada mídia sanitizada, de acordo com as políticas da organização. O certificado deve registrar, no mínimo: ³

• fabricante, modelo e número de série da mídia, além de qualquer número de patrimônio;
• tipo e origem da mídia, por exemplo, o disco rígido de um determinado número de série de console;
• método de sanitização (limpeza, purga ou destruição) e técnica (por exemplo, sobrescrita, apagamento de bloco ou apagamento criptográfico);
• a ferramenta utilizada, incluindo a sua versão;
• o método de verificação;
• os nomes e cargos das pessoas que realizaram a verificação e a validação, com datas, local, dados de contato e assinaturas.

O modelo de certificado do NIST também possui campos para o status de verificação, a decisão de validação e o destino ou destinação da mídia, como reutilização externa, uma instalação de reciclagem ou o fabricante. ³

Adicione a marca, o modelo e o número de série do console para que o certificado fique vinculado ao sistema enviado. O NHS Surrey mostra por que a linha do método importa. Alguns dos certificados de “Dispositivos de Dados Destruídos” que sua empresa de descarte emitiu antes de janeiro de 2011 diziam apenas que as unidades haviam sido “apagadas/destruídas/recicladas”, e o ICO observou que não estava claro o que realmente havia acontecido com elas. ¹¹

Quanta verificação é suficiente? Distinga as verificações que um processo realiza da decisão de aceitar seu resultado. O NIST afirma que a verificação normalmente significa checar o status de conclusão da ferramenta e quaisquer erros, anomalias ou avisos de integridade da unidade. Acrescenta que uma amostragem elaborada do conteúdo da unidade após uma limpeza ou purga não é necessária, a menos que a política exija. ³ A validação avalia separadamente se o método e o resultado são adequados para a mídia e a sensibilidade dos dados; uma ferramenta relatar sucesso não resolve essa questão. ³ O artigo de 2017 foi escrito por um físico hospitalar que acabara de recuperar milhares de arquivos de scanners que pareciam limpos, e pede mais: ¹

• se você realizar o apagamento, verifique se funcionou e se não restam arquivos recuperáveis;
• se um terceiro o realizar, obtenha o processo por escrito, incluindo a segurança durante o transporte, para que você mesmo possa avaliá-lo;
• pergunte se eles podem devolver uma amostra para teste após o processo;
• solicite uma visita ao local para ver como suas mídias são manuseadas.

Um certificado registra o que foi feito. Ele não transfere a responsabilidade: na interpretação do artigo, a instituição que registrou os dados permanece responsável “independentemente de qualquer certificação fornecida”. ¹

Quando remover e destruir a unidade é a resposta certa

Para os discos rígidos estudados, o artigo considera a destruição física a maneira usual mais segura de impedir a recuperação. O motivo pelo qual nem sempre é utilizada é prático. Um sistema locado ou revendido precisa funcionar, e uma unidade de reposição aprovada para um sistema antigo pode ser difícil de encontrar. ¹ A destruição é a escolha direta nessas situações:

• O sistema está sendo sucateado. Não há valor funcional na unidade a ser preservado.
• A unidade falhou ou não pode ser endereçada. O NIST observa que a sobrescrita não pode ser utilizada em mídias danificadas a ponto de ficarem inoperantes. Acrescenta que a destruição pode ser a única opção quando as mídias falham ou sua interface está obsoleta. ³
• Ninguém sabe dizer onde os dados residem. Se o fabricante não puder informar onde os logs e as filas são mantidos, e um método para a unidade inteira com reinstalação não estiver disponível, substitua a unidade e destrua a original.
• Sua política exige. Algumas organizações exigem a destruição de qualquer meio de armazenamento que saia de seu controle.

Adeque a técnica de destruição à mídia e alinhe-a com sua equipe de segurança. ³⁴

• A desmagnetização não é destruição. O NIST a trata como uma técnica de purga apenas para mídias magnéticas. Alerta que muitos desmagnetizadores não possuem a potência necessária para unidades modernas de alta coercividade e afirma que a desmagnetização não deve ser usada em armazenamento flash, como SSDs.
• Dobrar, cortar ou perfurar pode danificar uma unidade apenas parcialmente. Partes podem continuar recuperáveis com técnicas de laboratório.
• A trituração e a pulverização atendem apenas às categorias de segurança mais baixas, de acordo com a Rev. 2. Para categorias mais altas, o FAQ do NIST indica desmagnetizadores avaliados de alta potência para mídias magnéticas e técnicas do tipo incineração, como fusão, para outras mídias, incluindo SSDs.

Se uma empresa de reciclagem ou de descarte realizar o trabalho, o caso do NHS Surrey serve como alerta. O NHS Surrey havia mudado de um fornecedor homologado para uma empresa que destruía discos rígidos gratuitamente em troca da venda do material recuperado. Não havia contrato por escrito, apenas garantias por escrito. Em maio de 2012, um membro do público relatou ter comprado on-line um computador de segunda mão que continha dados de pacientes do NHS Surrey, incluindo registros de cerca de 900 adultos e 2,000 crianças. O ICO constatou que o trust não possuía contrato estabelecendo as obrigações legais do prestador e havia falhado em observar e monitorar o processo de destruição. Como o NHS Surrey havia sido dissolvido, a penalidade de £200,000 foi transferida para o NHS Commissioning Board. ¹¹ O incidente envolveu PCs, não sistemas de ultrassom. O artigo de 2017 o cita para mostrar onde recai a responsabilidade. ¹

O que as regras exigem do proprietário na transferência

A promessa de um comprador ou de uma empresa de reciclagem de limpar o sistema na chegada não altera o fato de que os dados saíram de suas instalações no disco. As regras abaixo estabelecem os deveres do proprietário. A forma como elas se aplicam a uma remessa específica é uma questão para o seu responsável pela privacidade, equipe de governança da informação ou assessoria jurídica.

Estados Unidos. O FAQ sobre descarte do HHS resume três requisitos da HIPAA para entidades cobertas: ²

• 45 CFR 164.310(d)(2)(i), descarte: políticas e procedimentos para a destinação final de PHI eletrônica e do hardware ou mídias eletrônicas em que esteja armazenada.
• 45 CFR 164.310(d)(2)(ii), reutilização de mídias: procedimentos para remover PHI eletrônica de mídias eletrônicas antes que as mídias sejam disponibilizadas para reutilização.
• 45 CFR 164.530(c), salvaguardas: salvaguardas razoáveis para limitar usos e divulgações incidentais de PHI e evitar os proibidos, inclusive em relação ao descarte.

O HHS também afirma que os membros da equipe envolvidos no descarte devem ser treinados e que as regras “não exigem um método de descarte específico”. Ele orienta os leitores quanto à NIST SP 800-88 para práticas de sanitização. ² Sem nenhum método prescrito, os testes acima servem como guia prático: uma exclusão no nível do usuário deixa os arquivos recuperáveis, sendo, portanto, uma base fraca para a liberação de mídias para reutilização. ¹

União Europeia. O GDPR, Regulamento (UE) 2016/679, estabelece a limitação de armazenamento no Artigo 5(1)(e) e a segurança do tratamento no Artigo 32. ⁵ O Considerando 39 solicita que o período de armazenamento seja limitado ao estrito mínimo e que o controlador defina prazos para exclusão ou revisão periódica. ⁵ O hospital ou clínica normalmente permanece como o controlador dos estudos que registrou; o Artigo 32 também impõe deveres de segurança aos operadores. Um contrato de venda com um revendedor não remove os dados do disco. O artigo de 2017 foi redigido sob a Lei de Proteção de Dados (Data Protection Act) de 1998 do Reino Unido, que desde então foi substituída; portanto, verifique a legislação aplicável ao local onde seu sistema está instalado.

Na aquisição. O artigo de 2017 relata que alguns centros agora incluem a limpeza de dados pelo fornecedor na desativação nos termos de novas compras de ultrassom. Isso evita taxas posteriores e pode evitar uma difícil reinstalação de software. ¹ Se, em vez disso, o sistema permanecer em operação na sua rede, as dúvidas dizem respeito à exposição, e não ao descarte; consulte segmentar, isolar ou substituir para ultrassons legados em rede.

Lista de verificação pré-envio

Execute esta lista antes de embalar qualquer console, computador host, placa ou transdutor.

1. Defina o destino. Trata-se de reparo de placa ou transdutor, reparo de console, venda ou devolução de locação, doação ou sucata. O destino define a etapa de dados.
2. Localize todos os itens de armazenamento. Inclua unidades internas, mídias removíveis, cartões de memória, outras memórias não voláteis e conjuntos que contenham armazenamento. A ECRI recomenda perguntar ao fabricante onde o dispositivo armazena dados e verificar seu formulário de segurança MDS2. ¹⁰
3. Reconcilie o arquivo. Confirme se os exames e registros necessários foram recebidos e estão legíveis no PACS ou em outro arquivo aprovado; resolva envios com falha antes da exclusão.
4. Faça backup do que deve ser preservado. Dados do sistema, presets, configurações de conectividade e registros de opcionais, identificados pelo número de série do console.
5. Aprove a etapa de dados para o destino. Uma peça confirmada como não contendo dados de pacientes não necessita de sanitização. O reparo de um console necessita de um plano aprovado de manuseio e restauração, com as devidas salvaguardas e acordos. Uma transferência de propriedade exige sanitização validada e adequada à mídia, ou a retenção e substituição da mídia. A sucata necessita de uma rota aprovada de destruição.
6. Trate de logs, filas e configurações. Pergunte ao fabricante ou ao seu prestador de serviços se o método escolhido os contempla. Se ninguém souber informar, retenha a remessa até que todo o armazenamento esteja mapeado e um método apropriado para a mídia ou um plano de retenção/substituição seja aprovado. Para transferências de propriedade, remova as configurações de rede, DICOM e contas, e desvincule serviços de gerenciamento ou em nuvem. ¹⁰
7. Informe o estado de limpeza do transdutor caso transdutores sejam transportados, seguindo as instruções de uso do fabricante e a política da sua instituição. Consulte a declaração do estado de limpeza antes de enviar um transdutor.
8. Embale e fotografe. Coloque as placas em sacos de blindagem antiestática e tire fotos em cada etapa do embalamento, seguindo as etapas de embalagem e cadeia de custódia para uma remessa de reparo.
9. Arquive o registro. Insira os números de série, o método, os certificados, o rastreamento da transportadora e a pessoa responsável na sua ordem de serviço do CMMS. A ECRI recomenda registrar o método utilizado para destruir ou proteger os dados. ¹⁰

Onde a Rongtao se enquadra — e onde não se enquadra

A Guangzhou Rongtao Medical Technology Co., Ltd. repara placas e transdutores de ultrassom e fornece peças para distribuidores, empresas independentes de manutenção e equipes de engenharia hospitalar em mais de 140 países e regiões.

• Reparo em nível de placa que mantém a unidade de armazenamento no local. Fontes de alimentação, placas de canal, beamformers, placas front-end e back-end, painéis de controle, placas de motor 4D e placas de interface e aquisição. Quando a falha é isolada em um conjunto, o envio apenas da peça pode manter o console no local. Confirme se essa peça exata contém dados de pacientes antes de enviá-la.
• Reparo de transdutores. Diagnóstico de falhas e reparo em nível de elemento de transdutores lineares, convexos, phased array, endocavitários, TEE e volumétricos (4D).
• Condições publicadas. Prazo padrão de 5–8 dias úteis para reparo de placas e garantia típica de 90 dias, com as condições finais confirmadas no orçamento.

Onde não se enquadra:

• Sem serviço de eliminação de dados. Os serviços publicados da Rongtao não incluem limpeza de unidades de armazenamento, certificados de sanitização ou descarte de ativos de TI. Escolha e documente a etapa de dados antes do envio de qualquer item.
• O trabalho na unidade completa começa com a sua decisão sobre os dados. A Rongtao oferece diagnósticos em nível de sistema quando o isolamento da placa não é suficiente. Se um console completo ou computador host precisar ser transportado, decida, conforme a sua própria política, o que acontecerá com a unidade de armazenamento. Indique no orçamento se uma unidade de armazenamento está instalada e o que foi feito com ela.
• Não constitui aconselhamento jurídico. Esta página resume as fontes citadas. O seu responsável pela privacidade ou assessoria jurídica decide como a HIPAA, o GDPR ou a legislação local se aplicam.

Encaminhamento pronto para orçamento

Envie a solicitação por meio do formulário de orçamento de reparo. Inclua:

• O que será enviado: uma placa, um transdutor, um computador host ou o console completo, e se alguma unidade de armazenamento ou cartão de memória acompanha o item.
• Identificação: OEM, modelo, número de série do console e versão do software.
• Detalhes da peça: número de peça e revisão do fabricante, com fotos de ambos os lados da placa ou da etiqueta do transdutor.
• Sintoma: a falha, qualquer código de erro na tela e quando ela ocorre. Oculte identificadores de pacientes em capturas de tela, logs e fotos; use um canal seguro aprovado para qualquer informação de que o prestador realmente necessite.
• Status dos dados, se o armazenamento for transportado: se as exportações e backups foram verificados, o plano aprovado de acesso ou sanitização, quem executou qualquer ação referente aos dados e as evidências retidas. Mantenha registros reais, locais de backup, senhas e chaves de licença fora do formulário comum de orçamento.
• Logística: quantidade e país de destino.

Perguntas frequentes

A redefinição de dados pelo menu de serviço apaga tudo?

Não, de acordo com as evidências disponíveis. No único caso documentado, a redefinição de dados de um Sequoia C256 apagou o arquivo de pacientes, mas deixou informações de pacientes visíveis nos logs de mensagens DICOM, e a discussão foi encerrada sem uma correção confirmada. ⁸ Mesmo quando uma redefinição ou recarregamento apaga o que está visível, os testes de 2017 mostram que arquivos excluídos podem permanecer recuperáveis até que o espaço seja sobrescrito. ¹ Pergunte ao fabricante o que a redefinição cobre para o seu modelo e versão de software.

Excluir os exames do console é suficiente antes de uma venda?

Apenas a exclusão do arquivo não é uma base sólida para a liberação de um sistema usado. A HIPAA exige que as entidades cobertas tenham procedimentos de reutilização de mídias, mas não prescreve um método específico. ² Nos testes em discos rígidos de 2017, a exclusão deixou arquivos recuperáveis, incluindo imagens amostradas com identificadores legíveis. ¹ Utilize uma sanitização validada e compatível com cada meio de armazenamento, ou retenha e substitua as mídias. Planeje a restauração do software e retenha os registros de verificação, validação e aceite.

Placas ou transdutores contêm dados de pacientes?

Não presuma em nenhum dos sentidos. As fontes localizam dados de pacientes na unidade de armazenamento e em filas, spoolers e buffers, e nenhuma mapeia dados de pacientes em placas ou transdutores individuais. ¹ Trate um conjunto de computador host, um PC de back-end ou qualquer componente que contenha memória não volátil, incluindo uma unidade de armazenamento ou cartão de memória, como um item de armazenamento. Para qualquer outra peça, pergunte ao fabricante onde o dispositivo armazena dados — o que é a primeira etapa de descomissionamento da ECRI — e consulte o formulário MDS2. ¹⁰

Quem é responsável se um comprador ou reciclador encontrar dados de pacientes posteriormente?

A resposta do artigo de 2017, baseada na prática do Reino Unido, é a instituição de saúde que registrou os dados, independentemente de quem tenha sido contratado para descartar o hardware e de qual certificado tenha sido emitido. ¹ O ICO impôs uma penalidade de £200,000 no caso do NHS Surrey após um PC que havia passado por sua empresa de descarte gratuito ser vendido on-line contendo mais de 3,000 registros de pacientes. ¹¹ Sob a HIPAA, a entidade coberta deve ter procedimentos de descarte e reutilização. ² Sob o GDPR, o controlador permanece responsável e os operadores também têm deveres de segurança do Artigo 32. ⁵ Confirme como isso se aplica em sua jurisdição com o seu responsável pela privacidade.