Diferentes criterios para planear una salida ordenada de la pandemia y el impacto sobre la protección de datos personales en las aplicaciones de rastreos de contactos

La gravedad de la pandemia del COVIT 19 ha motivado, además de la aparición de diferentes aplicaciones que permitan encontrar una forma de proteger a la población y salir de la crisis de la forma más coordinada posible, la discusión sobre la cultura de vigilancia informática que se avecina frente la imposibilidad de controlar al virus.

Resulta extraña la demora en aparición de soluciones tecnológicas para controlar la pandemia, frente al actual desarrollo de la inteligencia artificial y el análisis masivo de datos, más cuando hubo  experiencias recientes de enfermedades que generaron alarma mundial, como el ébola y los SARS. Sin embargo la complejidad del corona virus es que a diferencia de las otras, sus síntomas no se detectan rápidamente entre los infectados, pese a la gran propagación que tiene la enfermedad en ese estadio de incubación.

Las aplicaciones surgidas en estas semanas están basadas ya sea en la localización de los ciudadanos, estén anonimizados o no, o en su defecto en lo que se conoce como la modalidad de rastreo de contactos. 

Cada una de estas alternativas se implementaron en diferentes jurisdicciones en arreglo a las particularidades de cada país, primordialmente en lo que hace a la mayor tolerancia de la ciudadanía  a la vigilancia estatal y la tradición social respecto a la protección de los datos personales. 

A tales fines la Comisión de la Unión Europea acaba de emitir algunas recomendaciones con medidas para desarrollar un enfoque europeo común para el uso de aplicaciones móviles así como de los datos móviles en respuesta a la pandemia de coronavirus. Recomendaciones de la Comisión de UE sobre aplicaciones y datos móviles respecto a la pandemia.

La característica distintiva de estas recomendaciones está dada por el hincapié que se realiza en la seguridad de los datos y el respeto de los derechos fundamentales de la UE, como la privacidad y la protección de los datos personales. 

Establecer herramientas comunes para todos los miembros de la Unión Europea busca aprovechar las últimas soluciones tecnológicas de mejora de la privacidad para contactar a las personas en riesgo, realizar un testeo lo antes posible sin perjuicio de dónde se encuentre y qué aplicación se encuentre utilizando el usuarios. 

Las aplicaciones que cualquier país europeo miembro puede apoyar, deben indefectiblemente cumplir con los siguientes recaudos:

i) que el uso de la aplicación por los ciudadano sea voluntaria. Lo que sin duda requerirá de la confianza de la ciudadanía para la difusión de su uso. Se apuesta a que la confianza sea lograda a través de un estricto cumplimiento de principios de protección de datos personales. Más teniendo en cuenta que para que la aplicación cumpla su cometido la misma debe ser de uso masivo.

ii) que sea aprobada por la autoridad nacional de salud;

iii) preservación de la privacidad, lo que trae aparejada la adopción de varias medidas específicas, como ser:

1.  Evaluación de impacto de protección de datos donde se podrá considerar riesgos específicos  (disparo de falsos positivos, posibilidad que el interesado pueda borrar sus datos, preservar  anonimato de los datos que identifique a los positivos, impacto de almacenar datos en el dispositivo y no en forma centralizada) así como la inclusión de nociones de privacidad desde el diseño y por default; 
2.  No requiera tareas de seguimiento del usuario ya que la principal función es descubrir eventos (contactos que se pudieron haber dado con personas que dieron positivas) y reforzando la idea de minimización de los datos a recolectar; 
3. Establecer la base que justifica el tratamiento en el desarrollo por parte de las autoridades estatales de tareas de interés público, o en caso de dictarse una norma específica, en lo que disponga dicha autorización legal, pero no basarse en el consentimiento por más que la aplicación sea de uso voluntario;
4.  Cese de la operación y funcionamiento de la aplicación y destrucción de los datos recolectados una vez que la pandemia termina; 
5.  Determinación de una finalidad acotada del tratamiento de datos que podría detallarse como aquella en que las autoridades sanitarias puedan identificar las personas que han estado en contacto con COVID 19 y solicitarle su auto cuarentena, testearlos rápidamente así como asesorarlo en los próximos pasos de ser necesario;

Aún hay cuestiones con definiciones pendientes por parte de los científicos respecto a cuáles son los eventos a compartir, dónde y cuándo ocurren los mismos. Debiendo emplearse para llegar a dichas respuestas un test de necesidad estricto. 

Resulta sumamente auspicioso que la Unión Europea siendo una de las regiones más urgidas por los efectos devastadores de la pandemia haya respetado al derecho humano de nueva generación de protección de los datos personales para buscar la forma de salir en forma coordinada e inteligente de la situación que más grave nos haya tocado vivir. 

En este contexto resulta sumamente auspicioso que dos de los cinco grandes plataformas, como Apple y Google, hayan decidido juntarse para trabajar en un proyecto que alerta a los usuarios de su exposición al coronavirus acotando el riesgo de exposición a una vigilancia generalizada. 

La unión de estos gigantes tecnológicos conlleva el acuerdo respecto a compatibilidades de sistemas informáticos de datos móviles indispensables, generando una expectativa respecto a su continuidad  con la incipiente portabilidad, que representa un flamante derecho para los ciudadanos europeos respecto a los datos aportados a diferentes aplicaciones y redes sociales y, a la vez, la generación de  entradas para nuevos operadores en mercados consolidados, como el sector bancario minorista. 

Para asegurarse el uso masivo de la aplicación y su consecuente utilidad, en Estados Unidos se ha evaluado la alternativa de comprar los datos móviles almacenados de aquel que ha dado positivo, de  los contactos de las personas que estuvieron próximas e individualizadas a través de un código. Estas prácticas de venta de datos se encuentran previstas legalmente, como por ejemplo en la reciente ley aprobada, California Consumer Privacy Act, más conocida por sus siglas, CCPA.

En la Unión Europea y en varios países latinoamericanos de tradición jurídica europea les resulta repugnante a su sistema legal permitir comercializar datos personales, al estar fuera del comercio por tratarse de derechos humanos.  

En tanto China ha establecido otra modalidad de control de la pandemia consistente en la fijación de códigos de colores como el semáforo. El color rojo del código QR en la aplicación de pago de     AliPay (perteneciente al gigante tecnológico Alibaba) implica estar desobedeciendo 14 días de auto cuarentena que le correspondía cumplir, si el código hubiera sido amarillo, habría significado un riesgo menor y aislarse durante siete días. Para el paso libre por la ciudad, las personas deben presentar sus teléfonos en los puntos de control y mostrar que tienen un código QR verde.

Aunque un reciente análisis del código del software por parte del New York Times descubrió que el sistema hace más que decidir en tiempo real si alguien presenta un riesgo de contagio, al también  compartir información con la policía, estableciendo una plantilla para nuevas formas de control social automatizado que existe un serio riesgo de persistir después de que la epidemia desaparezca.

El mundo estará observando como logra salir China de la pandemia, a través del aprovechamiento del actual sistema gubernamental de rastreo de los movimientos de las personas y de comportamiento en línea, que podrá ser reperfilado para explotar sus capacidades más intensamente en pos de controlar la propagación del virus, y sin límites en cuanto a su actividad de vigilancia, al no  respetar las mínimas garantías individuales de sus ciudadanos. 

En China se propician criterios únicos de compartimiento de datos entre las empresas de Internet y el gobierno, los cuales en el mundo occidental constituyen una práctica claramente prohibida.