Checklist de anonimização de imagem clínica

Versão: 2026-08-v1

Rode esta lista antes de subir qualquer imagem. Ela leva menos de dois minutos por arquivo e é a diferença entre uma imagem de ensino e um vazamento de dado de saúde.

Regra geral: dado de saúde é dado pessoal sensível. O ônus de provar que a imagem não identifica ninguém é de quem a publica, não de quem reclama.

1. Dentro da imagem (o que se enxerga)

• Cabeçalho de radiografia. Radiografias panorâmicas e tomografias saem do software com uma faixa contendo nome, data de nascimento e às vezes o CPF. Recorte a faixa inteira — não borre, recorte: borrão pode ser revertido, pixel apagado não.
• Etiqueta física ou marcação a caneta no filme, na moldeira ou no modelo.
• Data de nascimento visível em qualquer canto. Data de nascimento + procedimento + região é combinação reidentificável.
• Número de prontuário impresso na imagem.
• Rosto, olhos ou perfil reconhecível em foto extraoral. Se o TCLE não autorizou expressamente foto extraoral, a imagem não sobe.
• Tatuagem, piercing, cicatriz marcante, joia ou aparelho com desenho único visível na região.
• Reflexo em espelho intraoral, lente de óculos ou instrumento metálico mostrando rosto ou ambiente identificável.
• Crachá, uniforme com nome, tela de computador ao fundo em foto de ambiente.
• Anomalia dentária muito característica somada a informação de local e data. Sozinha não identifica; junto com “clínica X, março de 2026” pode identificar.

2. Dentro do arquivo (o que não se enxerga)

• Metadados EXIF — a maioria das câmeras e celulares grava data, hora, modelo do aparelho e coordenadas de GPS. Remova.

  # Remove TODOS os metadados, sobrescrevendo o arquivo
  exiftool -all= -overwrite_original imagem.jpg
  
  # Conferir que não sobrou nada
  exiftool imagem.jpg

• Tags DICOM, quando a origem for tomografia ou radiografia digital. DICOM carrega PatientName, PatientID, PatientBirthDate, InstitutionName e mais de uma centena de campos. Exportar para JPEG/PNG não é suficiente se o exportador gravar EXIF — rode o exiftool de qualquer jeito.

• Nome do arquivo. maria-silva-panoramica.jpg derrota todo o resto. Renomeie para algo neutro antes de subir: pan-perio-001.jpg.

• Miniatura embutida. Alguns formatos guardam uma miniatura do arquivo antes do recorte. exiftool -all= remove; conferir depois de recortar, não antes.

3. Fora da imagem (o texto do caso)

• Idade exata só quando relevante; acima de 89 anos, agrupe (“mais de 90 anos”) — idade muito alta é rara e identifica.
• Profissão incomum. “Professora” é seguro; “prefeita da cidade” não.
• Datas de atendimento. O caso não precisa delas. Não as inclua.
• Nome do serviço junto com detalhe clínico raro. Se a condição for rara, retire a instituição do texto do caso — ela continua no crédito da imagem, que é o lugar certo.
• Nada de nome, apelido ou iniciais do paciente, em nenhum campo.

4. Antes de dar publicar

• Abra a imagem final em tamanho real e olhe as quatro bordas.
• Confirme os campos do cadastro: licença CEDIDA-PARCEIRO, referência de consentimento preenchida (protocolo, não nome), autor e fonte preenchidos, aprovação ética quando houver.
• Confira o veredito de licença que o painel mostra. Se houver bloqueio, ele é a resposta certa — não procure como contorná-lo.

O que o sistema faz por você (e o que não faz)

Se algo passou

Aconteceu de uma imagem identificável ir ao ar:

1. Retire a imagem da plataforma primeiro; investigue depois.
2. Avise a plataforma ({{BRAND_SUPPORT_EMAIL}}) para que a mídia seja removida do armazenamento, não só do caso.
3. Avise a instituição e, conforme a política dela, o paciente.
4. Registre o que aconteceu. Incidente com dado pessoal tem obrigação de registro na LGPD, e o registro é o que permite corrigir o processo.

Retirar rápido é sempre a decisão certa. Nenhum caso clínico vale mais que a privacidade de um paciente.