Anonimização de DICOM para ensino e pesquisa

Um exame usado em aula, em publicação ou em segunda opinião cega precisa sair sem identificar o paciente. Remover o nome do cabeçalho não faz isso: a identificação está espalhada por dezenas de campos, e às vezes está escrita dentro da própria imagem. Anonimizar é um procedimento, não um clique.

Dados de saúde são dados pessoais sensíveis, e a imagem diagnóstica carrega identificação em estruturas que o formato criou por boas razões clínicas. O mesmo cabeçalho que garante que o exame chegue ao prontuário certo é o que precisa ser tratado quando o exame sai do contexto assistencial.

Serviços de imagem produzem material de ensino com frequência. Casos interessantes viram aula, congresso e publicação, e o caminho usual é alguém copiar o estudo e apagar o que lembrou de apagar.

Onde a identificação mora

Três lugares, e o terceiro é o que sobrevive à limpeza feita de memória.

Os campos padronizados do cabeçalho. Nome, identificador do paciente, data de nascimento, sexo, endereço, telefone, nome do médico solicitante, nome do executante, instituição, identificadores do estudo e da série, datas e horários.

Os campos privados do fabricante. Cada equipamento grava informação própria em campos que não fazem parte do conjunto padronizado. O conteúdo varia e pode incluir identificação.

Os pixels da imagem. Texto queimado sobre a imagem pelo equipamento ou pelo operador. Comum em ultrassonografia, em radiografia digitalizada a partir de filme e em capturas de tela de estações de trabalho.

Uma rotina que trata apenas o primeiro grupo produz um arquivo que parece anônimo e não é.

O que remover e o que preservar

A regra é separar identificação de informação diagnóstica.

Remova ou substitua nome, identificadores do paciente e do prontuário, endereço, telefone, nomes de profissionais, nome da instituição, identificadores originais do estudo e da série, e comentários livres. Datas exatas costumam ser deslocadas em vez de apagadas, para preservar o intervalo entre exames.

Preserve modalidade, parte examinada, protocolo, parâmetros técnicos da aquisição, orientação e posicionamento, e a relação entre as séries do estudo.

Trate com cuidado a idade e a data de nascimento. Idade aproximada costuma bastar para o uso didático, e data de nascimento é identificador forte quando combinada com outros campos.

O erro que inutiliza o material é remover os parâmetros técnicos junto. Sem eles, a imagem deixa de ensinar como foi obtida, que é metade do que a aula precisa mostrar.

Comparativo das formas de tratar

Critério	Não usar o material	Apagar campos à mão	Procedimento de anonimização definido
Campos padronizados	Não se aplica	Os que a pessoa lembrar	Lista escrita, aplicada sempre
Campos privados do fabricante	Não se aplica	Raramente tratados	Previstos no procedimento
Texto queimado na imagem	Não se aplica	Quase nunca tratado	Verificação obrigatória
Reprodutibilidade	Não se aplica	Varia a cada pessoa	A mesma toda vez
Registro do que foi feito	Não se aplica	Não existe	Documentado
Material de ensino disponível	Nenhum	Com risco	Com risco tratado

A coluna do meio é a situação real da maior parte dos serviços, e o risco dela é assimétrico: funciona dezenas de vezes e falha na apresentação em que alguém no auditório reconhece o nome no canto da imagem.

O caso do texto queimado

É o problema mais frequente e o menos lembrado, porque nenhuma limpeza de cabeçalho o resolve.

O tratamento tem três passos. Identificar as modalidades e os equipamentos do serviço que gravam texto sobre a imagem, o que se descobre olhando exames reais de cada um. Definir a região da imagem a ser coberta para cada caso, o que costuma ser um retângulo fixo por equipamento. E conferir visualmente antes de liberar, porque a posição do texto varia com o preset usado no exame.

O terceiro passo é o único que não pode ser dispensado. Conferência visual de uma amostra do estudo, imagem a imagem nas séries curtas, custa minutos e é o que separa procedimento de intenção.

Reidentificação: o risco que resta

A LGPD trata como anonimizado o dado que perdeu a possibilidade de associação ao titular, considerando os meios razoáveis disponíveis. Em imagem diagnóstica, essa avaliação tem particularidades.

Duas delas aparecem sempre. A tomografia de crânio e de face permite reconstrução tridimensional que reproduz a fisionomia, e existe literatura sobre reconhecimento a partir dessa reconstrução. E o caso raro, justamente o que vira material de ensino, é identificável pela combinação de achado, período e serviço.

A conclusão prática é que anonimização reduz risco e nem sempre o elimina. Por isso o encaminhamento correto para uso em pesquisa e publicação passa pelo comitê de ética, que é quem avalia o risco residual e a necessidade de consentimento.

O que registrar

Anonimizar sem registro deixa o serviço sem resposta quando o uso é questionado.

Quatro informações por conjunto liberado: qual material saiu, para qual finalidade, quem autorizou, e qual procedimento de anonimização foi aplicado, com a versão da lista de campos. A quinta, quando houver, é o parecer do comitê de ética.

Esse registro serve a duas coisas ao mesmo tempo. Responde ao questionamento e permite corrigir o material já distribuído quando alguém descobre que um campo escapou.

O paciente nessa história

O paciente que autoriza o uso do próprio exame em ensino faz isso por confiança na instituição, e a autorização costuma ser genérica.

Isso aumenta a responsabilidade do serviço, em vez de diminuir. Autorização ampla não é permissão para tratamento descuidado, e o paciente que reconhece o próprio nome numa imagem de aula tem uma queixa legítima mesmo tendo assinado um termo.

O procedimento escrito existe para que o cuidado não dependa de quem está preparando o material naquele dia.

Como tratamos isso

A Gestão de Exames de Imagem mantém perfis de administração, corpo clínico, equipe técnica, recepção e paciente com permissões distintas, e registra qual usuário acessou qual exame e quando. Um ou mais arquivos DICOM por exame ficam preservados em arquivo de longo prazo pelo período exigido em norma, disponíveis para download pelo profissional, com tráfego por HTTPS e arquivos cifrados no armazenamento, em servidores localizados no Brasil.

Para entender o que o cabeçalho carrega, veja o que é DICOM e por que o exame de imagem precisa dele. Para o tratamento do dado de saúde, veja LGPD em clínicas e hospitais. Para o panorama do que a instituição costuma precisar, veja melhores sistemas de gestão para hospitais e clínicas. Para revisar o controle de acesso ao acervo do seu serviço, entre em contato.