Reidentificando Pessoas por meio de Dados de Saúde de Dispositivos Vestíveis e Aprendizado de Máquina

Um novo tipo de ataque de privacidade baseado em dados de saúde de dispositivos vestíveis foi identificado por pesquisadores da Universidade de Massachusetts Lowell. Ataque de Reidentificação de Pessoas (PRI-Attack) usa dados públicos e conformes à Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA) de dispositivos vestíveis de saúde para estabelecer a identidade de indivíduos a partir de dados de frequência cardíaca, respiração e gestos manuais, entre outros.

A vulnerabilidade é possível nos EUA devido ao fato de que a Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA), embora exija que os dados médicos permaneçam anônimos, não considera os dados brutos dos sensores (como temperatura da pele e dados do acelerômetro) como sensíveis à privacidade, e portanto não exige que os dados públicos compartilhados desse tipo sejam criptografados ou sujeitos às mesmas proteções gerais que afetam os registros de saúde tradicionais, como registros de saúde.

De Vetor para Visual

Um ataque de reidentificação de pessoas usa dados de imagem interpretados para discernir padrões comuns que se correlacionam com outros tipos de dados de saúde. A resposta da pele de uma pessoa, por exemplo, pode ser avaliada a partir de um vídeo (fotopletismografia), e correlacionada com o que deveria ser informações vetoriais completamente anônimas de dispositivos de monitoramento de saúde, como relógios vestíveis, e outros tipos de aparelhos de monitoramento. A fotopletismografia fornece dados de frequência cardíaca, que podem ser combinados com dados cardíacos não identificados de dispositivos vestíveis.

O reconhecimento de gestos é outra “chave” que pode ser facilmente traduzida de dados vetoriais para uma matriz visual que, novamente, permite que os dados de imagem/vídeo interpretados sejam correlacionados com informações aparentemente anônimas do acelerômetro nos dados de saúde.

Informações de gestos manuais a partir de dados de dispositivos vestíveis. Fonte: https://arxiv.org/pdf/2106.11900.pdf

Dados de Sensores como Informações de Identificação Pessoal

A pesquisa, do professor assistente Mohammad Arif Ul Alam, da UML, sustenta que os dados de sensores fisiológicos podem constituir informações de identificação pessoal e são, na verdade, um análogo biológico das técnicas de impressão digital do navegador atualmente consideradas como uma ameaça às novas iniciativas para proteger a privacidade dos usuários na web.

Para testar a hipótese, o pesquisador desenvolveu um quadro de reconhecimento e localização de gestos manuais que interpreta os dados de gestos (movimentos vetoriais registrados) de um acelerômetro vestível e traduz os movimentos em um registro visual que pode ser correlacionado com movimentos registrados por dispositivos de saúde vestíveis.

Uma rede neural siamês multi-modal (mm-SNN) foi construída para interpretar as informações de gestos classificadas por meio de uma máquina de vetores de suporte (SVM). Uma rede lida com as informações vetoriais (interpretadas como informações de imagem em um espaço 3D) e a segunda rede lida com os dados fisiológicos registrados a partir dos dados dos sensores.

Testes

O sistema foi testado em vários conjuntos de dados, incluindo um conjunto de dados de “fadiga de jogadores” obtido coletando dados de cinco estudantes voluntários, com idades entre 19 e 25 anos, que jogaram videogames por sete dias enquanto usavam a pulseira Empatica E4 wristband. O relógio apresenta sensores de acelerômetro (ACC), contexto eletrodermal (EDA), temperatura da pele e fotopletismografia (PPG).

A E4 também foi usada em um conjunto de dados de “restaurante” novo, no qual oito voluntários prepararam e comeram sanduíches por vinte minutos, e em um conjunto de dados de “adultos mais velhos”, no qual 22 sujeitos mais velhos, com idades entre 75 e 95 anos, realizaram 13 atividades scriptadas enquanto usavam o relógio.

Finalmente, os pesquisadores usaram o conjunto de dados públicos “Healthy Adults Fatigue Dataset”, que monitorou 28 homens e mulheres saudáveis com uma idade média de 42 anos durante 1-219 dias consecutivos enquanto usavam um dispositivo vestível multissensores semelhante às capacidades de coleta de dados da E4, incluindo um acelerômetro de 3 eixos, eletrodo de resposta galvânica da pele, temperatura e foto sensores e um barômetro.

Os resultados indicam que a frequência cardíaca e a frequência respiratória são os meios mais seguros para reidentificação, alcançando uma taxa de precisão média superior a 66%.

Resultados dos testes da metodologia do ataque de reidentificação de pessoas. Crib: PPG: fotopletismografia; HR: frequência cardíaca; BR: frequência respiratória; PVP: Pulso de Volume Sanguíneo (obtido a partir da PPG); IBI: Intervalo entre Batimentos (obtido a partir da PPG); TC: Componente Tônico do sinal EDA; Componente Fásico dos dados EDA (Ibid); Temp: Temperatura.

A pesquisa conclui:

‘Embora a tecnologia de visão computacional moderna possa ser facilmente utilizada para aprender gestos manuais e sinais fisiológicos correspondentes (frequência cardíaca, frequência respiratória) a partir de câmeras de vigilância pública, esses grandes volumes de vídeos registrados podem ser facilmente utilizados por atacantes para aprender biometrias específicas de usuário e revelar a identidade a partir de dados de sensores de saúde armazenados em servidores conformes à HIPAA.’

A HIPAA Considera Dados de Registros de Saúde Pessoal ‘Anonimizados por Padrão’

O governo dos EUA reconheceu o crescimento dos registros de saúde pessoal (PHR) e classifica esse tipo de registro (incluindo dados de dispositivos vestíveis de saúde) como ‘um registro eletrônico de informações de saúde de um indivíduo, pelo qual o indivíduo controla o acesso às informações e pode ter a capacidade de gerenciar, acompanhar e participar de seu próprio cuidado de saúde’.

No entanto, como esse é um fenômeno do setor privado, o governo admite não ter supervisão oficial desses dados, tendo estabelecido que eles não contêm informações de identificação pessoal (PII). Um relatório de junho de 2016 sobre entidades não cobertas pela HIPAA do Departamento de Saúde e Serviços Humanos dos EUA afirma:

‘[Grandes] lacunas nas políticas de acesso, segurança e privacidade continuam, e a confusão persiste entre consumidores e inovadores. Dispositivos vestíveis de fitness, mídia social de saúde e aplicativos móveis de saúde são baseados na ideia de engajamento do consumidor. No entanto, nossas leis e regulamentos não acompanharam essas novas tecnologias.’