Terveydenhuollon tietojen kautta henkilöiden uudelleenmäärittely ja koneoppiminen

Uudenlainen yksityisyyden loukkaus, joka perustuu terveydenhuollon laitteiden tietoihin, on löydetty Massachusettsin yliopiston Lowellin tutkimuskeskuksessa. Henkilön uudelleenmäärittelyhyökkäys (PRI-Attack) käyttää HIPAA-sääntöjen mukaisia, julkisesti saatavilla olevia terveydenhuollon laitteiden tietoja, kuten sydämenlyöntitiheyttä, hengitystaajuutta ja käden eleitä, henkilöiden tunnistamiseen.

Tämä haavoittuvuus on mahdollista Yhdysvalloissa, koska Terveydenhuollon laitteiden tietosuojalaki (HIPAA) vaatii, että lääketieteelliset tiedot säilytetään anonyymeinä, mutta ei pidä raakaa anturidataa (kuten ihon lämpötilaa ja kiihtyvyysanturidataa) yksityisyyden suojaa vaativana tiedona, eikä vaadi, että julkisesti jaettavaa tietoa tällaisesta tiedosta salata tai suojata samalla tavalla kuin perinteisiä potilastietoja, kuten terveydenhuollon tietoja.

Veektorista visuaaliseen

PRI-Attack käyttää tulkittua kuvadataa yleisten mallien tunnistamiseen, jotka liittyvät muihin terveydenhuollon tietoihin. Esimerkiksi ihon reaktio voidaan arvioida videosta (valokuvauksen avulla), ja korreloidaan sellaisiin anonyymeihin vektortietoihin, jotka saadaan terveydenhuollon laitteista, kuten rannekelloista ja muista seurantalaitteista. Valokuvauksen avulla saadaan sydämenlyöntitiheyden tiedot, jotka voidaan yhdistää tunnistamattomiin sydämenlyöntitiheyden tietoihin terveydenhuollon laitteista.

Eleiden tunnistaminen on toinen “avain”, jota voidaan helposti kääntää vektortiedosta visuaaliseen matriisiin, joka sallii tulkittujen kuvatietojen korreloimisen anonyymien kiihtyvyysanturitietojen kanssa terveydenhuollon tiedoissa.

Käden eleiden tiedot terveydenhuollon laitteista. Lähde: https://arxiv.org/pdf/2106.11900.pdf

Anturidata henkilötiedon kaltaiseksi

Tutkimus, jonka on tehnyt UML:n apulaisprofessori Mohammad Arif Ul Alam, väittää, että fysiologiset anturitiedot voivat todella olla henkilötietoa, ja ovat biologinen vastine selaimeen perustuville sormenjäljentekniikoille, jotka uskotaan vaikuttavan uusiin aloitteisiin, joilla suojellaan käyttäjien yksityisyyttä internetissä.

Tutkimuksen hypoteesin testaamiseksi tutkija kehitti käden eleiden tunnistamis- ja lokalisaatiopohjaisen kehyksen, joka tulkkaa eleiden tietoja (rekisteröityä vektorigraafista liikettä) rannekellon kiihtyvyysanturista, ja kääntää liikkeet visuaaliseksi rekisteriksi, jota voidaan korreloida terveydenhuollon laitteiden rekisteröimiin liikkeisiin.

Monimodaalinen Siamese Neural Network (mm-SNN) rakennettiin tulkkaamaan eleiden tietoja, jotka on luokiteltu Support Vector Machine (SVM) -menetelmällä. Yksi verkko käsittelee vektortietoja (jotka tulkataan kuvatiedoksi 3D-avaruudessa) ja toinen verkko käsittelee fysiologisia tietoja, jotka on rekisteröity anturitiedoista.

Testaus

Järjestelmää testattiin eri tietojoukoissa, mukaan lukien “Gamer’s Fatigue Dataset”, joka koostui viidestä vapaaehtoisesta opiskelijasta, jotka pelasivat videopelit seitsemän päivän ajan Empatica E4 -rannekellon kanssa. Rannekello sisälsi kiihtyvyysanturin, elektrodermaalisen kontekstin (EDA), ihon lämpötilan ja valokuvauksen (PPG) anturit.

Rannekelloa käytettiin myös “ravintola-aineistossa”, jossa kahdeksan vapaaehtoista valmistivat ja söivät voileipiä 20 minuutin ajan, ja “vanhempien aikuisten aineistossa”, jossa 22 vanhempaa koehenkilöä, jotka olivat 75-95-vuotiaita, suorittivat 13 käsikirjoitettua toimintaa rannekellon kanssa.

Lopuksi tutkijat käyttivät julkisesti saatavilla olevaa “Terveiden aikuisten uupumusaineistoa”, joka seurasi 28 terveen miehen ja naisen, joiden keski-ikä oli 42 vuotta, 1-219 peräkkäisen päivän ajan, kun he käyttivät monianturista rannekelloa, joka oli samankaltainen kuin E4:n tietojenkeruuominaisuudet, mukaan lukien 3-akselin kiihtyvyysanturi, galvaninen ihon reaktioanturi, lämpötila- ja valoanturit sekä barometri.

Tulokset osoittavat, että sydämenlyöntitiheys ja hengitystaajuus ovat varmin tapa tunnistaa henkilö, ja niiden keskimääräinen osumatarkkuus on yli 66 %.

Tulokset PRI-Attack-menetelmän testauksesta. Selite: PPG: valokuvauksen avulla; HR: sydämenlyöntitiheys; BR: hengitystaajuus; PVP: Veren tilavuus pulsaatio (saatu PPG:stä); IBI: Sydämenlyöntien välinen aika (saatu PPG:stä); TC: Tonninen komponentti EDA-signaaleista; Faasinen komponentti EDA-datasta (Ibid); Temp: Lämpötila.

Tutkimus johtaa siihen, että:

‘Vaikka moderni tietokoneen näkötekniikka voidaan helposti käyttää käden eleiden ja fysiologisen signaalin (sydämenlyöntitiheys, hengitystaajuus) oppimiseen julkisista valvontakameroista, nämä suuret määrät tallennettuja videoita voidaan helposti käyttää hyväksi tunnistamaan käyttäjien yksilöllisiä biometrisiä tietoja paljastamaan henkilöllisyys HIPAA-sääntöjen mukaisesti säilytetyistä terveydenhuollon laitteiden tietoista.’

HIPAA pitää PHR-tietoja “anonyymeinä oletuksena”

Yhdysvaltain hallitus on tunnustanut henkilökohtaisten terveydenhuollon tietojen (PHR) kasvun, ja luokittelee tällaisen tiedon (mukaan lukien terveydenhuollon laitteiden tiedot) ‘yksilön terveydenhuollon tiedon sähköiseksi rekisteriksi, jota yksilö hallitsee ja johon hänellä on mahdollisuus osallistua terveydenhuoltoonsa’.

Kuitenkin, koska tämä on yksityisen sektorin ilmiö, hallitus myöntää, ettei ole virallista valvontaa tällaisia tietoja, ja on päättänyt, ettei niissä ole henkilötietoja. Raportti kesäkuulta 2016 ei-HIPAA-yhtiöistä Yhdysvaltain terveydenhuollon ja sosiaalipalvelujen ministeriöstä toteaa:

‘[Suuret] aukot pääsy-, turvallisuus- ja yksityisyyden politiikassa jatkuvat, ja sekaannus jatkuu sekä kuluttajien että innovaattoreiden keskuudessa. Liikuntarannekkeet, terveydenhuollon sosiaalimedia ja mobiiliterveydenhuollon sovellukset perustuvat kuluttajien osallistumiseen. Kuitenkin lakimme ja säännöksemme eivät ole kehittyneet näiden uusien teknologioiden mukana.’