La VFC est-elle « anonyme » ? — Variabilité du rythme cardiaque et risque de réidentification

Supprimer le nom et l’adresse e-mail suffit-il à rendre anonymes les données de variabilité de la fréquence cardiaque (VFC) ? Une réévaluation interne de données publiques a montré la possibilité de relier des segments de VFC issus du même enregistrement parmi un groupe fermé de 202 candidats. Les détails d’implémentation, notamment la création des segments, ne sont pas publics.

Cela ne signifie pas que « n’importe qui peut être identifié avec une Apple Watch » ou que la VFC remplace une empreinte digitale. Le test recherchait une correspondance dans un groupe fermé et au sein de la même session de mesure. Il n’a pas établi qu’une personne puisse être suivie un autre jour ou avec un autre appareil. Une autre validation interne, entre sommeil et éveil, a également échoué.

Quelle question a été étudiée ?

La VFC résume les variations d’intervalle d’un battement au suivant. Dans le bien-être, elle est parfois présentée avec le sommeil ou la récupération, sans les mesurer directement. Âge, morphologie, régulation autonome du cœur, respiration, posture, habitudes et conditions de mesure se combinent ; elle peut donc contenir des caractéristiques relativement stables chez une même personne.

La question de recherche était la suivante :

Peut-on relier, parmi plusieurs candidats, des segments séparés d’un même ECG au repos en utilisant une comparaison de recherche fondée sur des informations liées à la VFC ?

Il ne s’agissait pas d’une expérience d’authentification permettant, par exemple, de déverrouiller un code. Elle portait sur la possibilité de liaison au sein d’un même enregistrement : des fragments anonymisés peuvent-ils être rapprochés ? Cette question précède encore la réidentification jusqu’au nom.

Données et méthode

Paper 3 réunissait 6 cohortes publiques — Autonomic Aging, Fitbit PMData, MMASH, Fantasia, MIT-BIH Normal Sinus Rhythm et CinC 2018 — avec 1,227 personnes au total. Les données comprenaient des ECG au repos, des intervalles RR pendant la marche, des enregistrements liés au sommeil et des enregistrements de longue durée issus de dispositifs portés.

Plusieurs informations liées à la VFC ont été produites. Les données ont été divisées au niveau des sujets afin que les enregistrements d’une même personne ne se retrouvent pas à la fois dans l’apprentissage et l’évaluation.

La réévaluation publique utilisait Autonomic Aging. Parmi 211 personnes mises de côté, 202 satisfaisaient les critères d’éligibilité fixés à l’avance. Des segments distincts du même enregistrement ont été utilisés ; les règles précises de découpage, sélection et comparaison ne sont pas publiques.

La comparaison de recherche utilisait des informations liées à la VFC. « top-5 » désigne la proportion de cas où la bonne correspondance figurait parmi les 5 premiers candidats proposés. La conception des caractéristiques, la création des segments, les conditions de qualité et de sélection, le prétraitement et la formule de comparaison ne sont pas publics. L’impossibilité pour un tiers de reproduire entièrement la même analyse constitue aussi une limite de la recherche.

Principaux résultats

Évaluation	Observé	Probabilité avec un classement aléatoire	Intervalle de Wilson à 95%
top-1	62 / 202 (30.69%)	0.50%	24.74–37.36%
top-5	112 / 202 (55.45%)	2.48%	48.55–62.13%
top-10	133 / 202 (65.84%)	4.95%	59.06–72.03%

Dans une analyse de sensibilité inversant le sens de la comparaison, top-5 atteignait 55.94%. Un test permutant uniquement les correspondances correctes a été répété 20,000 fois. Avec ce nombre de répétitions, la plus petite unité rapportable pour une valeur p unilatérale est 0.00005. Le fichier agrégé public ne contient pas le nombre de répétitions ayant atteint ou dépassé la valeur observée ; il ne permet donc pas, à lui seul, de recalculer la valeur p observée.

Un bootstrap rééchantillonnant uniquement les personnes requêtes, tout en gardant les 202 candidats fixes, donnait pour top-5 un intervalle conditionnel à 95% de 48.51–61.88%, proche de l’intervalle de Wilson. Aucun de ces intervalles ne garantit toutefois les performances auprès de futurs utilisateurs ou en situation réelle.

Résultat négatif important : le sommeil et l’éveil ne fonctionnaient pas de la même manière

Un autre modèle non évalué de Paper 3 n’a pas satisfait la condition prédéfinie selon laquelle la « ressemblance personnelle » devait se maintenir entre sommeil et éveil. Ce modèle et la procédure ci-dessus ne sont pas directement comparables. Chez 15 personnes de MMASH disposant des deux états :

• enregistrement pendant le sommeil, comparaison pendant l’éveil : top-5 56.13% ;
• enregistrement pendant l’éveil, comparaison pendant le sommeil : top-5 42.99%.

Les critères internes fixés à l’avance n’ont pas été atteints. Leurs valeurs précises et les règles de décision ne sont pas publiques. Respiration, posture, activité et régulation nerveuse du cœur changent notamment entre sommeil et éveil. Ces résultats ne confirment aucune possibilité de liaison stable entre états et ne démontrent pas l’existence d’une « empreinte cardiaque » immuable.

Ce que nous savons de l’Apple Watch — et ce que nous ignorons

Cette étude n’a pas testé directement l’Apple Watch. Les 6 cohortes comprennent ECG, intervalles RR, enregistrements liés au sommeil et données Fitbit de longue durée, recueillis dans des conditions différentes. Il n’existe pas de données Apple Watch prospectives recueillies selon un protocole unique.

Il serait donc incorrect d’affirmer :

• « La VFC de l’Apple Watch permet d’identifier une personne avec une grande précision » ;
• « L’Apple Watch permet une authentification biométrique » ;
• « Feelmo identifie les utilisateurs grâce à leur rythme cardiaque ».

Avec l’Apple Watch, le capteur optique, le calendrier d’échantillonnage, les données manquantes liées aux mouvements et le traitement par l’OS peuvent influencer le résultat. Une mesure directe des performances nécessiterait une validation prospective propre à l’Apple Watch, avec appareil, posture et horaire contrôlés.

Pourquoi est-ce important pour la confidentialité ?

Une possibilité de liaison inférieure à 100% peut malgré tout poser problème. Des fragments peuvent réduire un groupe de candidats ; combinés aux horaires de sommeil, à l’âge, à l’activité ou à la localisation, ils pourraient le réduire davantage. Les 55.45% observés ici ne permettent cependant pas de conclure que cela fonctionne réellement entre des jours ou appareils différents.

Ces résultats justifient au moins les précautions suivantes :

• ne pas considérer comme « anonymes » des intervalles RR fins ou des caractéristiques de VFC au seul motif que le nom a été retiré ;
• traiter les vecteurs de caractéristiques et les représentations d’IA, comme les intervalles bruts, en tant que données de santé potentiellement identifiantes ;
• ne conserver que la durée et la granularité nécessaires, puis supprimer ce qui ne sert plus ;
• traiter autant que possible sur l’appareil et limiter l’envoi au serveur et le partage avec des tiers ;
• ne pas diffuser tels quels, dans un jeu de recherche, les représentations individuelles, tableaux de voisins proches ou séries temporelles permettant un rapprochement ;
• interdire le rapprochement et la réidentification dans les accords de partage des données.

Comment cela influence-t-il la conception de Feelmo ?

Feelmo traite la VFC et le sommeil comme des données sensibles susceptibles d’être reliées à une personne, et non comme de simples chiffres d’affichage. Par défaut, elles sont traitées et conservées sur l’appareil et ne sont pas envoyées automatiquement aux serveurs du Fournisseur. Voir Données et confidentialité.

Cette recherche ne justifie pas une fonction qui devinerait une identité par la VFC. Elle soutient au contraire le principe suivant : plus une information est analysable, plus il importe de la garder sur l’appareil de la personne et de ne pas la transmettre inutilement.

Limites et prochaines validations

• Analyse secondaire interne non évaluée par les pairs ; une reproduction indépendante est nécessaire
• Capteurs, environnements de mesure et prétraitements diffèrent entre les cohortes publiques
• Le résultat principal concerne des segments différents d’un même ECG au repos et ne démontre pas une persistance d’un jour à l’autre
• Parmi les 211 personnes mises de côté, 9 ont été exclues faute de satisfaire les critères d’éligibilité prédéfinis ; les conditions précises ne sont pas publiques
• Les méthodes d’acquisition, notamment les dérivations, diffèrent entre cohortes et ont pu influencer les résultats
• Une autre évaluation interne n’a pas non plus atteint les critères et n’a pas établi d’invariance entre sommeil et éveil
• Il s’agit de top-5 en ensemble fermé, pas d’une évaluation de l’authentification en pratique
• L’Apple Watch n’a pas été testée directement
• Il faut ensuite des données prospectives propres à l’Apple Watch, des cohortes externes, des évaluations par état et des évaluations ouvertes comprenant des inconnus

Ressources de recherche

• Réévaluation publique : JSON agrégé sans information personnelle. Il ne contient ni identifiant individuel, ni classement par personne, ni caractéristique, ni code de prétraitement, ni procédure de comparaison
• Analyse interne : Paper 3 (non évalué, avant publication générale). La conception des caractéristiques, les conditions de qualité, le prétraitement, la formule de comparaison, les tableaux individuels et les résultats intermédiaires ne sont pas publics
• Taille de l’analyse : 6 cohortes, 1,227 personnes
• Résultat principal public : parmi 211 personnes mises de côté dans Autonomic Aging, 202 étaient éligibles ; top-5 au sein du même enregistrement 55.45% (112/202)
• Données principales : Schumann A, Bär KJ. Autonomic Aging. Article doi:10.1038/s41597-022-01202-y et données doi:10.13026/2hsy-t491
• Données par état : Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091 et MMASH v1.0.0 doi:10.13026/cerq-fc86
• Stade de la recherche : analyse secondaire interne non évaluée de données publiques

※ Cette recherche interne ne valide pas l’efficacité de l’application Feelmo.