Um estudo de caso comparando dados anonimizados e sintéticos de sinistros de seguros de saúde para avaliações de segurança de medicamentos

Por que isso importa para os dados de saúde do dia a dia

Toda vez que você consulta um médico ou retira uma receita, vestígios digitais do seu atendimento acabam em grandes bases de dados de seguradoras. Esses registros são minas de ouro para identificar efeitos colaterais raros de medicamentos e aprimorar diretrizes de tratamento — mas também são profundamente pessoais. Este estudo faz uma pergunta simples, porém crucial: quando tentamos proteger a privacidade dos pacientes alterando esses dados, os pesquisadores ainda podem confiar nas conclusões médicas obtidas?

Duas maneiras diferentes de se misturar na multidão

Os pesquisadores se concentraram em um conjunto real de sinistros de seguro sobre pessoas tratadas por coágulos sanguíneos nas veias (tromboembolismo venoso) que usaram anticoagulantes junto com antiplaquetários. Um método, chamado anonimização, mantém os registros reais, mas desfoca ou remove detalhes para que os indivíduos fiquem mais difíceis de identificar. O outro, dados sintéticos, treina um modelo computacional nos registros originais e depois gera um conjunto de dados inteiramente novo que segue os mesmos padrões gerais sem reproduzir pessoas reais. A equipe criou três versões protegidas dos mesmos dados: uma versão anonimizadíssima e muito cautelosa que protegeu todas as variáveis, uma versão anonimizadora mais direcionada baseada em uma análise detalhada de risco, e uma versão totalmente sintética.

Quão próximas as cópias ficaram dos pacientes reais?

Para avaliar quanto os conjuntos protegidos ainda se assemelhavam ao original, os autores compararam características básicas como idade, sexo e doenças comuns, e também analisaram como as variáveis se relacionavam entre si. Os dados anonimizados de forma muito cautelosa perderam mais de um terço de todos os registros e eliminaram muitos indicadores de saúde por completo, o que distorceu o equilíbrio entre os grupos de tratamento. A anonimização modelada por ameaça removeu menos registros e preservou a maioria dos padrões com maior fidelidade. Os dados sintéticos mantiveram o número original de pacientes e capturaram bem muitos padrões, mas às vezes alteraram proporções para certas condições ou exposições a medicamentos. Quando a equipe aplicou verificações estatísticas mais avançadas, tanto a anonimização baseada em ameaças quanto os dados sintéticos mostraram forte similaridade geral com o original, enquanto a anonimização extremamente rígida foi a que menos se parecia com os dados de origem.

O estudo original de segurança pôde ser reproduzido?

A questão clínica original por trás desses dados era se uma classe de anticoagulantes orais diretos era mais segura ou mais arriscada do que os antagonistas da vitamina K mais antigos quando combinada com antiplaquetários. O estudo avaliou dois desfechos: mortes por qualquer causa e episódios de sangramento major. Usando cada conjunto protegido, os pesquisadores reexecutaram as mesmas análises de tempo até o evento que estimam quanto um tratamento altera o risco em comparação com o outro. Todas as estimativas de razão de riscos que puderam ser calculadas ficaram dentro da faixa de incerteza do estudo original, sugerindo que não reverteram fundamentalmente a conclusão médica. Mas a versão de anonimização estrita perdeu tantos eventos que alguns riscos de sangramento não puderam ser estimados, e a incerteza estatística aumentou muito. A anonimização direcionada e os dados sintéticos se saíram melhor, mas ainda deslocaram as estimativas de risco e alargaram as barras de erro, especialmente para eventos hemorrágicos raros.

Quão seguros estão os conjuntos protegidos contra olhares curiosos?

Em seguida, a equipe investigou quão difícil seria para um atacante determinado reidentificar alguém ou inferir detalhes sensíveis sobre a saúde. Eles usaram testes de “red team” de ponta que tentam correlacionar registros com informações externas, isolar indivíduos, adivinhar atributos faltantes ou detectar se o registro de uma pessoa foi usado para construir o conjunto de dados. Contra os dados originais, esses ataques foram altamente bem-sucedidos, reforçando a necessidade de proteção adicional antes de qualquer compartilhamento mais amplo. As três versões protegidas reduziram fortemente esses riscos de privacidade tanto em um cenário realista de atacante limitado quanto em um cenário agressivo de pior caso. A anonimização estrita ofereceu a proteção mais robusta no geral, mas ao custo da maior perda de informação. A anonimização baseada em ameaças e os dados sintéticos forneceram um equilíbrio mais equilibrado, embora cada uma tenha apresentado pequenas áreas em que certos atributos ou registros incomuns ficaram um pouco mais expostos.

O que isso significa para o uso de dados de saúde protegidos

Para este conjunto de sinistros pequeno, porém complexo, nenhuma estratégia de proteção venceu claramente em todos os aspectos. Maior privacidade quase sempre veio acompanhada de sinal científico mais fraco, especialmente para eventos raros que são importantes em estudos de segurança. Os autores concluem que tanto a anonimização cuidadosamente planejada quanto dados sintéticos bem executados podem tornar os dados de seguradoras muito mais seguros para compartilhar, mas conjuntos protegidos deste tamanho são mais adequados para testar métodos e realizar verificações de viabilidade do que para tirar conclusões clínicas finais. Sempre que possível, achados médicos-chave ainda devem ser confirmados nos dados originais, rigorosamente governados, usando as versões protegidas como ferramentas complementares em vez de substitutos completos.

Citação: Halilovic, M., Meurers, T., Alibone, M. et al. A case study comparing anonymized and synthetic health insurance claims data for medication safety assessments. npj Digit. Med. 9, 321 (2026). https://doi.org/10.1038/s41746-026-02622-5

Palavras-chave: privacidade de dados de saúde, dados sintéticos, anonimização de dados, pesquisa com sinistros de seguros, segurança de medicamentos