¿La HRV es «anónima»? — Variabilidad del ritmo cardíaco y riesgo de reidentificación

¿Basta con eliminar el nombre y el correo para que la variabilidad de la frecuencia cardíaca (HRV) sea un dato de salud anónimo? Una nueva auditoría interna de datos públicos mostró la posibilidad de vincular segmentos de HRV del mismo registro dentro de un conjunto cerrado de 202 candidatos. No se publican detalles de implementación, como la forma de crear los segmentos.

Esto no significa que «cualquiera pueda ser identificado con un Apple Watch» ni que la HRV sustituya a una huella dactilar. La prueba buscó dentro de candidatos cerrados de la misma sesión de medición. No comprobó que se pueda seguir a una persona en otro día o dispositivo. Otra validación interna entre sueño y vigilia también fracasó.

¿Qué pregunta investigó?

La HRV resume cómo cambia el intervalo de un latido al siguiente. En bienestar se muestra a veces junto al sueño o la recuperación, pero no los mide directamente. Edad, constitución, regulación autónoma del corazón, respiración, postura, hábitos y condiciones de medición se combinan; por eso puede contener rasgos relativamente estables dentro de una persona.

La pregunta de investigación fue:

¿Se pueden vincular, entre varios candidatos, segmentos separados del mismo ECG en reposo mediante una comparación de investigación basada en información derivada de HRV?

No fue un experimento de autenticación que desbloquease un código. Estudió la vinculabilidad dentro del mismo registro: si fragmentos anonimizados podían relacionarse. Es una pregunta anterior a identificar incluso el nombre.

Datos y método

Paper 3 reunió 6 cohortes públicas —Autonomic Aging, Fitbit PMData, MMASH, Fantasia, MIT-BIH Normal Sinus Rhythm y CinC 2018— con registros de 1,227 personas en total. Incluían ECG en reposo, intervalos RR caminando, registros relacionados con el sueño y registros de larga duración de dispositivos vestibles.

Se obtuvieron varias informaciones derivadas de HRV. Los datos se dividieron por sujeto para evitar que registros de una misma persona aparecieran tanto en aprendizaje como en evaluación.

La nueva auditoría pública utilizó Autonomic Aging. De 211 personas reservadas para evaluación, 202 cumplieron los criterios de elegibilidad fijados de antemano. Se usaron segmentos distintos del mismo registro; las reglas concretas de división, selección y comparación no son públicas.

La comparación de investigación utilizó información derivada de HRV. «top-5» es la proporción en que la correspondencia correcta apareció entre los 5 primeros candidatos. No se publican el diseño de características, la creación de segmentos, las condiciones de calidad y selección, el preprocesamiento ni la fórmula de comparación. Que un tercero no pueda reproducir por completo el mismo análisis también es una limitación del estudio.

Resultados principales

Evaluación	Observado	Probabilidad con orden aleatorio	Intervalo de Wilson del 95%
top-1	62 / 202 (30.69%)	0.50%	24.74–37.36%
top-5	112 / 202 (55.45%)	2.48%	48.55–62.13%
top-10	133 / 202 (65.84%)	4.95%	59.06–72.03%

En un análisis de sensibilidad que invirtió la dirección de comparación, top-5 fue 55.94%. Una prueba que permutaba solo las correspondencias correctas se repitió 20,000 veces. Con ese número de repeticiones, la unidad mínima comunicable de un valor p unilateral es 0.00005. El archivo agregado público no incluye cuántas repeticiones alcanzaron o superaron el valor observado, por lo que no permite recalcular por sí solo el valor p observado.

Un bootstrap que volvió a extraer solo las personas de consulta, manteniendo fijos los 202 candidatos, dio para top-5 un intervalo condicional del 95% de 48.51–61.88%, próximo al intervalo de Wilson. Ninguno garantiza rendimiento en futuros usuarios ni en uso real.

Resultado negativo importante: sueño y vigilia no funcionaron igual

Otro modelo no revisado de Paper 3 no cumplió la condición preestablecida de que la «semejanza personal» se mantuviera entre sueño y vigilia. Ese modelo y el procedimiento anterior no son directamente comparables. En 15 personas de MMASH con ambos estados:

• registro durante el sueño y comparación durante la vigilia: top-5 56.13%;
• registro durante la vigilia y comparación durante el sueño: top-5 42.99%.

No alcanzó los criterios internos fijados previamente. Sus valores concretos y reglas de decisión no son públicos. Respiración, postura, actividad y regulación nerviosa del corazón cambian entre sueño y vigilia. Estos resultados no confirman una vinculabilidad estable entre estados ni prueban una «huella cardíaca» inmutable.

Qué sabemos del Apple Watch y qué no

Este estudio no probó directamente el Apple Watch. Las 6 cohortes incluyen ECG, intervalos RR, registros de sueño y datos Fitbit de larga duración obtenidos en condiciones distintas. No hay datos prospectivos de Apple Watch recogidos con un único protocolo.

Por tanto, no se puede afirmar:

• «La HRV del Apple Watch identifica a una persona con gran precisión»
• «El Apple Watch permite autenticación biométrica»
• «Feelmo identifica a los usuarios mediante su ritmo cardíaco»

En el Apple Watch, el sensor óptico, el momento de muestreo, los huecos por movimiento y el procesamiento del sistema operativo pueden influir. Para conocer el rendimiento directo haría falta una validación prospectiva específica del Apple Watch con dispositivo, postura y horario controlados.

¿Por qué importa para la privacidad?

Una vinculabilidad menor del 100% también puede ser problemática. Los fragmentos podrían reducir un conjunto de candidatos y, al combinarlos con horarios de sueño, edad, actividad o ubicación, estrecharlo aún más. Sin embargo, el 55.45% observado no demuestra que esto funcione realmente entre días o dispositivos distintos.

Al menos se justifican estas precauciones:

• no considerar «anónimos» los intervalos RR detallados o las características de HRV solo por quitar el nombre;
• tratar vectores de características y representaciones de IA, además de intervalos brutos, como datos de salud potencialmente identificables;
• guardar solo la duración y granularidad necesarias y borrar lo que deje de ser útil;
• procesar en el dispositivo siempre que sea posible y minimizar el envío a servidores y a terceros;
• no distribuir sin protección representaciones individuales, tablas de vecinos cercanos ni series temporales vinculables en publicaciones de investigación;
• prohibir la vinculación y reidentificación en los acuerdos de uso de datos.

¿Cómo influye en el diseño de Feelmo?

Feelmo trata la HRV y el sueño como datos sensibles que pueden vincularse a una persona, no como simples números. Por defecto se procesan y guardan en el dispositivo y no se envían automáticamente a los servidores del Proveedor. Consulta Datos y privacidad.

Esta investigación no respalda una función para adivinar identidades con HRV. Al contrario, apoya el principio de mantener dentro del dispositivo de la persona la información que puede analizarse, evitando enviarla sin necesidad.

Limitaciones y siguientes validaciones

• Análisis secundario interno no revisado por pares; necesita reproducción independiente
• Sensores, entornos de medición y preprocesamiento difieren entre cohortes públicas
• El resultado principal usa segmentos distintos del mismo ECG en reposo y no demuestra persistencia entre días
• De las 211 personas reservadas, 9 fueron excluidas por no cumplir los criterios preestablecidos; las condiciones concretas no son públicas
• Los métodos de adquisición, como las derivaciones, difieren entre cohortes y pudieron influir
• Otra evaluación interna tampoco alcanzó los criterios y no estableció invariancia entre sueño y vigilia
• Es top-5 en un conjunto cerrado, no una evaluación de autenticación real
• No se evaluó directamente el Apple Watch
• Hacen falta datos prospectivos específicos de Apple Watch, cohortes externas, evaluaciones por estado y evaluaciones abiertas con desconocidos

Materiales de investigación

• Nueva auditoría pública: JSON agregado sin información personal. No contiene identificadores, posiciones individuales, características, código de preprocesamiento ni procedimiento de comparación
• Análisis interno: Paper 3 (no revisado, antes de publicación general). No se publican el diseño de características, condiciones de calidad, preprocesamiento, fórmula de comparación, matrices individuales ni resultados intermedios
• Tamaño del análisis: 6 cohortes, 1,227 personas
• Resultado público principal: de 211 personas reservadas de Autonomic Aging, 202 eran elegibles; top-5 dentro del mismo registro 55.45% (112/202)
• Datos principales: Schumann A, Bär KJ. Autonomic Aging. Artículo doi:10.1038/s41597-022-01202-y y datos doi:10.13026/2hsy-t491
• Datos por estado: Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091 y MMASH v1.0.0 doi:10.13026/cerq-fc86
• Fase de investigación: análisis secundario interno no revisado de datos públicos

※ Esta investigación interna no valida la eficacia de la aplicación Feelmo.