Differentially Private Modeling of Disease Transmission within Human Contact Networks

1. Il Problema

Gli studi epidemiologici sulle malattie infettive dipendono spesso da modelli di reti di contatto per comprendere la dinamica di diffusione dei patogeni. Tuttavia, i dati sulle reti di contatto umani (ad esempio, reti sessuali o di uso di droghe) contengono informazioni estremamente sensibili che possono portare alla ri-identificazione degli individui, con gravi conseguenze sociali o legali.
Il problema centrale è bilanciare la necessità di proteggere la privacy degli individui (specialmente in contesti di reti complesse dove la struttura stessa può rivelare l'identità) con la necessità di mantenere l'utilità scientifica dei dati per simulare la diffusione delle malattie. Le tecniche di anonimizzazione tradizionali si sono rivelate insufficienti, e l'aggiunta di rumore per la privacy (Differential Privacy) su dati di rete è tecnicamente impegnativa a causa dell'alta sensibilità globale delle statistiche di rete (un singolo nodo può cambiare drasticamente la struttura della rete).

2. Metodologia

Gli autori propongono una pipeline di analisi privacy-preserving che integra la Differential Privacy (DP) a livello di nodo con modelli statistici di rete e simulazioni di epidemie basate su agenti. La pipeline si articola in tre fasi principali:

1. Calcolo di statistiche di rete con DP:

   • Viene calcolata una statistica di sintesi della rete osservata (es. matrici di mixing, distribuzioni dei gradi).
   • Per gestire l'alta sensibilità globale (dove la rimozione di un nodo potrebbe cambiare il numero di archi da 0 a $N-1$), viene applicato un preprocessing di troncamento del grado (degree truncation). I gradi dei nodi vengono limitati a un valore massimo $\Delta$. Questo riduce la sensibilità globale da $N-1$ a $\Delta$.
   • Viene aggiunto rumore calibrato (meccanismo di Laplace) alle statistiche per garantire la Node-DP (protezione di un intero nodo e di tutti i suoi archi).

2. Adattamento del modello statistico:

   • Le statistiche rumorose vengono utilizzate per adattare modelli generativi di rete, nello specifico Stochastic Block Models (SBM) e Exponential Random Graph Models (ERGM).
   • Questi modelli apprendono i parametri strutturali della rete originale (come l'omofilia per età o razza, la distribuzione dei gradi) basandosi sui dati privati.

3. Simulazione dell'epidemia:

   • Vengono generati reti sintetiche dai modelli adattati.
   • Su queste reti sintetiche viene eseguita una simulazione di diffusione della malattia basata su un modello Agent-Based (ABM) con dinamica SIS (Susceptible-Infected-Susceptible).
   • Vengono calcolate metriche epidemiologiche come prevalenza, incidenza e l'efficacia di interventi (es. test e trattamento).

Dati Sperimentali:
Lo studio utilizza dati reali dal progetto ARTNet (una ricerca sulle reti sessuali di uomini che fanno sesso con uomini - MSM negli USA). I dati sono stati utilizzati per generare una rete "ground truth" di 10.000 nodi tramite un ERGM, su cui sono state condotte le sperimentazioni.

3. Contributi Chiave

1. Pipeline Privacy-Preserving: Implementazione di un flusso di lavoro completo che permette di eseguire simulazioni di diffusione di malattie su dati di rete sensibili garantendo la Node-DP.
2. Framework di Valutazione Completo: Un design sperimentale che scompone e misura separatamente le diverse fonti di errore:
   • Errore di specificazione del modello (model misspecification).
   • Errore di trasformazione (dovuto al troncamento del grado).
   • Errore di rumore (dovuto alla DP).
   • Varianza di campionamento (rete ed epidemia).
3. Risultati Empirici: Dimostrazione che, in condizioni realistiche, il rumore aggiunto per la privacy ha un impatto trascurabile rispetto ad altre fonti di incertezza standard nell'epidemiologia.

4. Risultati Principali

Gli esperimenti hanno portato a quattro scoperte fondamentali:

• Dominio dell'Errore di Specificazione del Modello: Se il modello statistico scelto non riesce a catturare la complessità della rete reale (es. un SBM che usa solo l'età e ignora la razza o la concordanza dei partner), questo errore di specificazione è la fonte di bias più grande. Questo errore è indipendente dalla Differential Privacy.
• Impatto Limitato della DP: L'introduzione della DP (con budget $\epsilon$ ragionevoli, es. 1-10) non introduce un bias significativo nelle analisi epidemiche assolute o relative, purché il parametro di troncamento del grado $\Delta$ sia sufficientemente alto (es. $\Delta > 2$). Le statistiche epidemiche (prevalenza, rapporto di prevalenza) rimangono accurate.
• Accuratezza a Livello Granulare: Anche a livello di sottogruppi demografici (per età e razza), l'analisi rimane accurata quando il modello è correttamente specificato. La DP non degrada la capacità di analizzare gruppi specifici.
• Varianza Trascurabile: La varianza introdotta dalla DP è minore rispetto alla varianza intrinseca presente nelle pratiche epidemiologiche standard, come il campionamento di diverse reti sintetiche dallo stesso modello o la varianza stocastica delle simulazioni di epidemia stesse. In molte configurazioni, la varianza di campionamento della rete è la fonte dominante di incertezza.

5. Significato e Implicazioni

Questo lavoro dimostra che è tecnicamente fattibile condurre studi epidemiologici avanzati su reti di contatto sensibili senza compromettere significativamente l'accuratezza dei risultati, proteggendo al contempo la privacy degli individui.

• Per i Curatori di Dati: Fornisce un metodo per condividere dati di rete sensibili in modo sicuro, permettendo alla comunità scientifica di ottenere intuizioni epidemiologiche preziose senza violare la privacy.
• Per la Ricerca Epidemiologica: Suggerisce che la preoccupazione principale per l'accuratezza non dovrebbe essere l'aggiunta di rumore per la privacy, ma piuttosto la scelta di modelli statistici adeguati (es. ERGM vs SBM) e la qualità dei dati di input.
• Futuro: Il lavoro apre la strada all'uso di dati di rete longitudinali e dinamici sotto DP e all'ottimizzazione dei budget di privacy e dei parametri di troncamento per bilanciare meglio bias e varianza.

In sintesi, il paper valida l'uso della Differential Privacy a livello di nodo come strumento pratico per l'epidemiologia moderna, spostando il focus dalla "impossibilità" di proteggere i dati di rete alla "gestione" delle fonti di errore, dove la privacy risulta essere un costo accettabile e gestibile.