A VFC é um “dado anônimo”? — variabilidade do ritmo cardíaco e risco de reidentificação

Remover o nome e o e-mail transforma a variabilidade da frequência cardíaca (VFC) em um dado de saúde anônimo? Em uma nova auditoria interna com dados públicos, observamos a possibilidade de vincular trechos de VFC separados do mesmo registro entre 202 candidatos. Os detalhes de implementação, como a forma de criar os trechos, não são públicos.

Isso, porém, não significa que “qualquer pessoa pode ser autenticada pelo Apple Watch” ou que a VFC “substitui uma impressão digital”. O resultado veio de uma busca em um conjunto fechado de candidatos dentro da mesma sessão de medição. Não verificamos se seria possível acompanhar a pessoa em outro dia ou outro dispositivo. A validação de um modelo interno separado, entre sono e vigília, também falhou.

O que a pesquisa investigou?

A VFC resume as variações no intervalo entre um batimento e outro. Em produtos de bem-estar, às vezes aparece relacionada ao sono ou à recuperação, mas não mede diretamente esses estados. Idade, composição corporal, regulação autonômica do coração, respiração, postura, hábitos e condições de medição influenciam o valor; por isso, ele também pode conter características relativamente estáveis de uma mesma pessoa.

Assim, o estudo examinou a seguinte pergunta:

Uma comparação de pesquisa baseada em informações derivadas da VFC consegue vincular, entre vários candidatos, trechos separados do mesmo registro de ECG em repouso?

Não foi um teste de autenticação para desbloquear uma senha, e sim um teste de possibilidade de vinculação dentro do mesmo registro: fragmentos anonimizados podem ser relacionados entre si? Essa pergunta vem antes da reidentificação que descobre o nome de alguém.

Dados e métodos

O Paper 3 completo reuniu registros de 1.227 pessoas em seis coortes públicas: Autonomic Aging, Fitbit PMData, MMASH, Fantasia, MIT-BIH Normal Sinus Rhythm e CinC 2018. Os dados incluíam ECG em repouso, intervalos RR durante caminhada, registros relacionados ao sono e registros de longo prazo de dispositivos vestíveis.

Foram produzidas várias informações derivadas da VFC, e os dados foram separados por participante para que registros da mesma pessoa não se misturassem entre treinamento e avaliação.

A nova auditoria pública usou a coorte Autonomic Aging. Entre 211 pessoas reservadas do treinamento, 202 pessoas atenderam às condições de elegibilidade definidas previamente. Foram usados trechos diferentes do mesmo registro, mas as regras específicas de divisão, seleção e comparação não são públicas.

A comparação de pesquisa usou informações derivadas da VFC. “Top-5” é a proporção em que a resposta correta apareceu entre os cinco candidatos apresentados. Detalhes de implementação, como desenho das características, criação dos trechos, critérios de qualidade e seleção, pré-processamento e fórmula de comparação, não são públicos. Portanto, o fato de terceiros não conseguirem reproduzir integralmente a análise também é uma limitação do estudo.

Principais resultados

Avaliação	Observado	Probabilidade por ordenação aleatória	Intervalo de Wilson de 95%
top-1	62 / 202 (30,69%)	0,50%	24,74–37,36%
top-5	112 / 202 (55,45%)	2,48%	48,55–62,13%
top-10	133 / 202 (65,84%)	4,95%	59,06–72,03%

Na análise de sensibilidade que inverteu a direção da comparação, o top-5 foi 55,94%. O teste que trocou apenas os pareamentos corretos foi repetido 20.000 vezes. Com esse número de repetições, a menor unidade relatável para o valor p unilateral é 0,00005. O arquivo agregado público não inclui quantas repetições chegaram a um valor igual ou superior ao observado; portanto, ele não permite recalcular o valor p observado sozinho.

Em um bootstrap que manteve fixos os 202 candidatos e reamostrou apenas as pessoas consultadas, o intervalo condicional de 95% do top-5 foi 48,51–61,88%, próximo do intervalo de Wilson. Nenhum deles, porém, garante o desempenho em usuários futuros ou em uso real.

Um resultado negativo importante — o método não funcionou da mesma forma entre sono e vigília

Outro modelo do Paper 3, ainda não revisado por pares, não atingiu a condição de avaliação previamente definida de que “as características da pessoa permanecem entre sono e vigília”. Esse modelo não pode ser comparado diretamente com o procedimento acima. Entre 15 participantes do MMASH que tinham registros nos dois estados, os resultados foram:

• cadastro com sono e comparação durante vigília: top-5 56,13%
• cadastro durante vigília e comparação com sono: top-5 42,99%

Os resultados ficaram abaixo do critério interno predefinido. O valor específico do critério e as regras de decisão não são públicos. Respiração, postura, atividade e regulação neural da frequência cardíaca, entre outras condições, mudam entre sono e vigília. Assim, não foi possível confirmar uma possibilidade de vinculação estável entre estados. Também não é possível afirmar que exista uma “impressão digital cardíaca” que nunca muda.

O que aprendemos — e o que não aprendemos — sobre o Apple Watch

Este estudo não avaliou diretamente o Apple Watch. As seis coortes incluem diferentes condições de coleta, como ECG, intervalos RR, registros relacionados ao sono e registros de longo prazo derivados do Fitbit, mas não contêm dados prospectivos do Apple Watch obtidos com um único protocolo.

Por isso, não é válido reformular o resultado assim:

• “A VFC do Apple Watch identifica uma pessoa com alta precisão”
• “É possível fazer autenticação biométrica com o Apple Watch”
• “A Feelmo identifica o usuário pelo ritmo cardíaco”

No Apple Watch, o sensor óptico, o momento da amostragem, a ausência de dados causada pelo movimento e o processamento do sistema operacional influenciam os resultados. Para conhecer o desempenho direto, seria necessária uma validação prospectiva específica do Apple Watch, com dispositivo, postura e horário padronizados.

Por que isso importa para a privacidade?

A possibilidade de vinculação pode ser relevante mesmo sem chegar a 100%. Um fragmento pode reduzir a lista de candidatos e, combinado a outras informações — horário de sono, idade, atividade ou localização —, talvez reduzi-la ainda mais. No entanto, o valor de 55,45% deste estudo não permite concluir que isso realmente funcionaria entre dias ou dispositivos diferentes.

O resultado sustenta ao menos os seguintes princípios de precaução:

• Não presumir que intervalos RR detalhados ou características de VFC sejam “anônimos” apenas porque o nome foi removido
• Tratar não só os intervalos cardíacos brutos, mas também vetores de características e embeddings de IA como dados de saúde que podem ter poder de identificação
• Guardar apenas a duração e a granularidade necessárias e apagar os dados quando deixarem de ser necessários
• Processar no dispositivo sempre que possível e minimizar o envio a servidores e o compartilhamento com terceiros
• Em publicações científicas, não distribuir diretamente embeddings individuais, tabelas de vizinhos mais próximos ou séries temporais que permitam comparação
• Incluir nos acordos de compartilhamento de dados a proibição de comparação e reidentificação

Como isso se reflete no desenho da Feelmo?

A Feelmo trata dados corporais como VFC e sono não como simples números de exibição, mas como dados sensíveis que podem ser associados a uma pessoa. Por padrão, eles são processados e armazenados no dispositivo e não são enviados automaticamente aos servidores do fornecedor. Consulte Dados e privacidade para saber mais.

O que este estudo sustenta não é uma “função para reconhecer alguém pela VFC”. Ao contrário, ele reforça o princípio de manter fora de servidores as informações que podem ser analisadas e usá-las no próprio dispositivo da pessoa.

Limitações e próximas validações

• É uma análise secundária interna ainda não revisada por pares e precisa ser reproduzida por pesquisadores independentes
• Os sensores, ambientes de medição e pré-processamentos variam entre as coortes públicas
• O resultado principal usa trechos distintos do mesmo ECG em repouso e não demonstra persistência entre dias
• Das 211 pessoas reservadas, nove foram excluídas por não atenderem às condições de elegibilidade predefinidas. Os critérios específicos de seleção não são públicos
• Há diferenças nos métodos de coleta entre coortes públicas, como a configuração das derivações do ECG, e elas podem ter influenciado os resultados
• Outra avaliação interna também não atingiu o critério e não mostrou invariância entre sono e vigília
• É uma avaliação top-5 em conjunto fechado, não uma avaliação de autenticação em uso real
• O Apple Watch não foi testado diretamente
• Estudos futuros precisam de dados prospectivos específicos do Apple Watch, coortes externas, avaliações por estado e avaliações em conjunto aberto com pessoas desconhecidas

Materiais da pesquisa

• Nova auditoria pública: JSON agregado sem informações pessoais. Não inclui IDs individuais, classificações por pessoa, características, código de pré-processamento ou procedimento de comparação
• Análise interna: Paper 3 (ainda não revisado por pares nem publicado). O desenho das características, as condições de qualidade, o pré-processamento, a fórmula de comparação, matrizes individuais e produtos intermediários não são públicos
• Escala da análise: seis coortes, 1.227 pessoas
• Principal resultado público: entre 211 pessoas reservadas do Autonomic Aging, 202 atenderam às condições de elegibilidade. Top-5 dentro do mesmo registro: 55,45% (112/202)
• Dados principais: Schumann A, Bär KJ. Autonomic Aging. Artigo doi:10.1038/s41597-022-01202-y · Dados doi:10.13026/2hsy-t491
• Dados por estado: Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091 · MMASH v1.0.0 doi:10.13026/cerq-fc86
• Estado da pesquisa: não revisada por pares; análise secundária interna de dados públicos

※ Esta pesquisa interna não avaliou a eficácia do app Feelmo.