La geolocalización de móviles no sería una amenaza con una gestión "cuidadosa", según la AEPD

Con una gestión "cuidadosa, el acceso apropiadamente anonimizado" a la información sobre la geolocalización de los móviles recogida por los operadores de telecomunicaciones "no debería de representar una amenaza mayor que la que ya representaban antes".

Así lo indica la Agencia Española de Protección de Datos (AEPD), que ha publicado un análisis preliminar de algunas tecnologías ya puestas en marcha o cuya implementación se está valorando en la lucha contra el coronavirus, examinando la relación entre los posibles beneficios para el control de la pandemia y los riesgos para la privacidad.

"Siempre cabe la posibilidad de una anonimización incompleta, una subcontratación poco rigurosa o un ciberataque que pusiera en manos de un tercero la localización de los móviles de los usuarios, aunque este riesgo ya existía antes de la pandemia", indica el organismo.

En este sentido, la Agencia opina que conocer los patrones de movilidad de la población "puede ser beneficioso para una administración en cualquier tiempo". "Ahora bien, hay que evaluar de forma continua su utilidad frente a los escenarios cambiantes de confinamiento global o parcial", avisa.

Respecto a la geolocalización de móviles a partir de los datos de redes sociales, el organismo estatal señala que "no es una novedad", ya que las direcciones IP desde las que se accede a Internet pueden ser conocidas por los administradores de las páginas web, y se usan habitualmente con fines de publicidad.

"En la medida de que el tratamiento realiza la localización de los interesados, esta práctica puede ser una amenaza a la privacidad, pero no exclusiva de este momento ni de esta situación", avisa la AEPD.

A juicio de la Agencia, estos datos podrían ser una ayuda para las autoridades "siempre que la información recogida esté de acuerdo con un propósito y un fin previamente definido por las autoridades sanitarias y sean estas las que puedan definir desde la granularidad al formato necesario para aplicarlos a sus estrategias de prevención y control".

Respecto a las aplicaciones o apps, webs y chatbots que implementan test de preguntas y respuestas, consultas de información, o incluso registro de citas previas en los servicios sanitarios, la Agencia indica que, "dependiendo de cómo estén realizadas y de cuáles sean sus objetivos, pueden surgir amenazas a la privacidad".

"Estas pueden aparecer por la urgencia en ofrecer soluciones en funcionamiento que relajen los controles y requisitos para proteger los datos de los ciudadanos", manifiesta Protección de Datos.

En este caso, la AEPD considera que, "en general, cuando están bien construidas sí representan un gran beneficio puesto que acercan información y servicios de salud a las personas que hacen uso de sus servicios".

APPS DE INFORMACIÓN VOLUNTARIA

En relación con las aplicaciones de información voluntaria sobre contagios (COVAPPS), la Agencia alerta de que podrían suponer una amenaza para la privacidad en caso de que los fines que declaran no sean "tan altruistas como los que promueven o las prisas conducen a desarrollos sin garantías para la privacidad".

Asimismo, considera que, "desde el principio del uso voluntario y descontrolado, no es posible saber nunca la fiabilidad de la información que contienen, por lo que pueden contribuir a divulgar noticias erróneas y resultar un perjuicio".

Sobre las apps de seguimiento de contactos por bluetooth (contact trace apps), el análisis apunta que las apps utilizan el bluetooth para enviar la 'tarjeta' correspondiente al usuario con los móviles que se va encontrando en su camino, y a la vez recolecta las 'tarjetas' de esos mismos móviles. Cada 'tarjeta' no tiene una identificación real del usuario, sino un apodo de su identidad.

Si un determinado usuario averigua que está infectado, puede "declararlo" a través de la app a un servidor central; y aquellas personas con las que estuvo en contacto recibirán un aviso para que valoren qué acciones tomar.

Según Protección de Datos, las principales amenazas a la privacidad de este tipo de soluciones vienen de la realización de mapas de relaciones entre personas, reidentificación por localización implícita, de la fragilidad de los protocolos a la hora construir 'tarjetas' casi anónimas, y de dispersar las señales de los contagios de forma que no se identifique en ningún caso la identidad de los contagiados.

"Debe tenerse en cuenta que el tratamiento de la información no solo afecta al usuario de la aplicación sino también la de todos los terceros con los que ha estado en contacto, por lo que este tratamiento ha de cumplir los principios de protección de datos", subraya.

De este modo, opina que "en la situación actual de España y de otros países europeos, no parece que estas aplicaciones vayan a tener éxito a corto plazo como una estrategia global de lucha contra la pandemia".

No obstante, explica que en un escenario futuro, ""cuando la enfermedad esté mucho más controlada, sí podría tener su éxito en colectivos concretos como estudiantes de un centro, profesionales de una compañía o grupos de amigos que deciden voluntariamente usar la aplicación.

PASAPORTES DE INMUNIDAD

En su estudio, la Agencia indica que algunos países han comenzado a considerar el uso de apps equivalentes a lo que sería un pasaporte o un salvoconducto en papel, mostrando en pantalla un código de colores o un código QR, para que un vigilante o un sistema de control de acceso pueda dejar pasar o no al portador.

"Estas aplicaciones móviles están anticipando lo que puede ser un futuro documento de identidad en el móvil, con el riesgo añadido de incluir y mostrar un dato de salud, e incluyendo todos los riesgos que se derivan de las vulnerabilidades de dichos sistemas: acceso a manos de ciberdelincuentes, cruce con otros datos como la localización, incorporación de metadatos, lectura remota o simplemente no estar al alcance de muchas personas que no pueden usar teléfonos inteligentes", detalla.

Desde su punto de vista, "un uso bien gestionado de apps para certificaciones o registros de salud, que los mantuviera actualizados, seguros e interoperables tendrá cierta utilidad en ámbitos concretos siempre que el acceso a dicha información sea realizado por personal vinculado al cumplimiento de las finalidades relacionadas con políticas públicas para el control de la pandemia".

"Sin embargo, como en todas las aplicaciones que requieren el uso de smartphones y la evidencia de una prueba fiable de infección o de anticuerpos, estamos lejos de alcanzar a una totalidad de la población, por lo que solo podemos preguntarnos por los beneficios que podrían tener en ámbitos muy concretos", apostilla.

Ante el debate sobre las cámaras con capacidad de tomar la temperatura a los individuos que cruzan un área, sin requerir en muchos casos ninguna acción por su parte, la AEPD ha reiterado su preocupación sobre el uso de estos dispositivos y "la necesidad de contar con el criterio previo de las autoridades sanitarias antes de proceder a su instalación" ya que existe un riesgo de "discriminación, estigmatización y tal vez difusión pública de datos de salud".

Finalmente, el organismo defiende que "hay que ser especialmente cuidadoso a la hora de tomar medidas que pueden tener consecuencias irreversibles y pueden estar guiadas únicamente por la urgencia, el miedo o, lo que es peor, otros intereses".