Обезличивание DICOM для учебных материалов: шаги и ошибки

Обезличивание DICOM для учебных материалов: шаги и ошибки

Преподаватель хочет разобрать на занятии реальный случай. В файле — имя пациента, номер истории, дата рождения и дата исследования. Даже если убрать фамилию из одного поля, она может остаться в другом.

Важно: материал описывает техническую процедуру. Он не заменяет заключение специалиста по защите данных и локальные правила учреждения.

Что считается идентификатором

DICOM-стандарт в профиле конфиденциальности перечисляет атрибуты, которые могут раскрыть личность: имя, идентификатор пациента, даты, номер исследования, учреждение, врач, номер аппарата (DICOM PS3.15).

В правилах HIPAA к прямым идентификаторам относят, в частности, имена, географические данные мельче штата, даты (кроме года), номера документов, устройств и счетов, а также полноразмерные фотографии лица (HHS).

Вывод: обезличивание — это не одно поле, а набор.

Профиль и действия

Стандарт использует коды действий:

• удалить атрибут;
• заменить на пустое значение;
• заменить на фиктивное;
• заменить UID на новый;
• очистить свободный текст.

Программа может заявлять соответствие профилю, но стандарт прямо предупреждает: обезличивание атрибутов не гарантирует обезличивания объекта целиком.

Порядок работы

1. Инвентаризация. Определите, какие исследования нужны и кто имеет право их использовать.
2. Копия. Работайте с копией в отдельной папке.
3. Заголовки. Удалите или замените прямые идентификаторы.
4. UID. Пересчитайте идентификаторы исследований и серий, сохранив связи между файлами.
5. Приватные теги. Удалите блоки приватных данных производителя.
6. Пиксельные данные. Проверьте, нет ли встроенных подписей и аннотаций.
7. Свободный текст. Очистите поля описаний и комментариев.
8. Проверка. Перечитайте заголовки и просмотрите все кадры.
9. Документирование. Зафиксируйте, что и как удалено.

UID: почему нельзя просто удалить

Идентификаторы в DICOM связывают файлы между собой. Если заменить их случайно и по-разному, серия рассыплется. Если оставить старые — сохранится возможность связать набор с исходным исследованием.

Правильный подход — детерминированное сопоставление: один и тот же старый UID всегда превращается в один и тот же новый в пределах набора. Таблица соответствий хранится отдельно и не передаётся вместе с учебными файлами.

Что остаётся незамеченным

• Встроенный текст на изображении. УЗИ и рентген часто содержат имя и дату прямо в картинке.
• Приватные теги. Производитель может писать туда данные, которых нет в стандартном списке.
• Миниатюры и превью. Отдельные изображения внутри файла.
• DICOMDIR. Индекс, в котором остаются старые ссылки.
• Имя файла. ivanov_kt_2025.dcm — тоже идентификатор.
• Метаданные архива. Даты, пути, имена папок.

Проверка только по заголовкам недостаточна: нужно смотреть изображение.

Дата и возраст

Даты — сильный идентификатор, особенно вместе с редким диагнозом. Практика:

• заменять полные даты на смещение относительно исходной;
• сохранять интервалы между исследованиями;
• возраст оставлять, если он нужен клинически, но без точной даты рождения.

Инструменты

• pydicom — Python-библиотека для чтения и правки DICOM (pydicom).
• dcm4che — набор утилит для пакетной обработки.
• Orthanc — сервер с модулем анонимизации.
• Скрипты учреждения — если они сертифицированы и приняты регламентом.

Скрипт удобен, но требует проверки: ошибка в списке тегов тихо оставит идентификатор в файле.

Проверка результата

1. Прочитайте заголовки повторно и поищите запрещённые поля.
2. Просмотрите все кадры на наличие встроенного текста.
3. Убедитесь, что серии не рассыпались.
4. Проверьте, что файлы открываются в двух разных просмотрщиках.
5. Дайте набор коллеге: он не должен понять, чей это случай.
6. Повторите проверку через день, свежим взглядом.

Правовая рамка

В Европе анонимные данные не считаются персональными, а псевдонимизированные остаются ими (GDPR). Это значит, что набор с таблицей соответствий — всё ещё персональные данные, и хранить его нужно по правилам.

В России действует отдельное законодательство о персональных данных; конкретные требования определяет организация.

Работа с несколькими исследованиями

Когда в набор входят исследования одного пациента за разные даты, важно сохранить связи:

• один и тот же пациент получает один новый идентификатор;
• даты смещаются на одинаковую величину;
• интервалы между исследованиями остаются прежними;
• номера серий не конфликтуют.

Если смещать даты по-разному, теряется клиническая логика. Если оставлять одинаковые UID у разных пациентов, набор перемешается.

Что сказать коллегам

Короткая инструкция снимает половину ошибок:

1. Не переименовывайте файлы.
2. Не добавляйте скриншоты с экрана.
3. Не загружайте набор в личные облака.
4. Не смешивайте учебные и рабочие папки.
5. Сообщайте о найденных идентификаторах.

Обезличивание — процесс, а не одноразовая операция: набор может пополняться.

Сколько времени это занимает

• Подготовка правил и шаблона — один раз, несколько часов.
• Первый набор из 10–20 исследований — 1–2 часа с проверкой.
• Повторные наборы — быстрее, если процесс описан.

Роли лучше разделить: один готовит файлы, второй проверяет. Если оба этапа делает один человек, ошибки остаются незамеченными.

Ошибки при пакетной обработке

• Скрипт удалил тег, который нужен для геометрии.
• Разные UID у файлов одной серии.
• Идентификаторы остались в именах папок.
• Обработана только часть архива.
• Забыты вложенные папки с превью.
• Не проверены многокадровые файлы.

Поэтому пакетная обработка всегда заканчивается выборочной ручной проверкой.

Как хранить таблицу соответствий

• Отдельный файл, не в папке с учебным набором.
• Доступ по списку.
• Шифрование, если это возможно.
• Срок хранения ограничен.
• Удаление после окончания проекта.

Таблица — самый чувствительный элемент: она возвращает анонимность.

Что важно не забыть

• Проверять не только заголовки, но и изображение.
• Хранить таблицу соответствий отдельно.
• Фиксировать, кто и когда проверял набор.

Чек-лист

1. Копия исходников сохранена отдельно.
2. Прямые идентификаторы удалены.
3. UID пересчитаны согласованно.
4. Приватные теги удалены.
5. Встроенный текст проверен.
6. Имена файлов обезличены.
7. Таблица соответствий хранится отдельно.
8. Проверка выполнена двумя людьми.
9. Процедура задокументирована.

Частые вопросы

Достаточно ли удалить имя?

Нет. Номер истории, дата и учреждение тоже позволяют идентифицировать человека.

Можно ли использовать набор с таблицей соответствий?

Да, но тогда это псевдонимизация: данные остаются персональными, и правила хранения сохраняются.

Нужно ли удалять все даты?

Обычно даты смещают, а не удаляют: так сохраняется клиническая логика.

Кто должен проверять?

Тот, кто не участвовал в подготовке набора. Второй взгляд ловит пропуски.

Что делать со встроенными подписями?

Закрасить или обрезать, если это не влияет на учебную ценность, и проверить все кадры.

Можно ли обезличить снимки вручную?

Можно для небольшого набора, но выше риск пропустить тег в глубине последовательностей.

Что делать с DICOMDIR?

Удалить индекс или пересобрать его после обработки: в нём остаются старые ссылки.