I. INTRODUCCIÓN
La realidad supera a la ficción, ¿Cuántas veces no se ha escuchado esta frase? Pues, aunque suele ser verdad, en ocasiones la ficción también parece predecir la realidad, incluso en aquellas situaciones más complicadas de atisbar. Así, cuando en el año 1981 el novelista Dean Koontz lanzó su obra titulada, «En los ojos de la oscuridad», cualquiera de sus lectores no apostaría nada a que, su escenario aterrador se cumpliera, aunque fuera en parte. Pues bien, cuando uno lee su obra y, observa como describe que a finales del año 2019 y principios del año 2020, en la ciudad de Wuhan (China), se crearía un virus que provocaría neumonía a gran parte de la población, la reacción que acontece en el lector, es de intenso estupor.
Aunque en la novela de Koontz ese virus se denominó Wuhan-400, como es sabido, la pandemia a la que se enfrenta en la actualidad el mundo, está protagonizada por un virus que se supone, apareció de una manera desconocida en la misma ciudad de China que la descrita en la novela y, se denomina COVID-19. Para luchar contra el virus, en la mayoría de países se ha optado, en un primer lugar por confinar a su población, pero para la siguiente fase, la denominada de desescalada, los gobiernos quieren utilizar un arma invisible contra el virus, como es el tratamiento de los datos personales de sus ciudadanos.
En el presente trabajo, se analizará el régimen jurídico del tratamiento de datos relativo a la salud, prestando especial atención a las recomendaciones realizadas por los organismos comunitarios y nacionales sobre la cuestión. También, se analizará el desarrollo de aplicaciones basadas en el rastreo de los movimientos de sus ciudadanos, al objeto de identificar posibles situaciones de exposición al virus, es decir, las denominadas aplicaciones de contact tracing. En último lugar, se expondrán las aplicaciones desarrolladas por España, Polonia, Noruega y Francia, al objeto de realizar una visión importante, del estado de desarrollo de estas tecnologías en Europa.
II. EL TRATAMIENTO DE LOS DATOS ESPECIALES DE LA SALUD DURANTE LA PANDEMIA
La importancia de los datos personales de las personas se encuentra en la sociedad actual fuera de toda duda, lejos queda ya la interpretación del respeto a la vida privada que realizó el Tribunal de Justicia de las Comunidades Europeas en el año 1969, en el denominado caso Stauder (1) , donde un ciudadano alemán para obtener cupones descuentos en el supermercado, debía de suministrar una serie de datos personales, como su nombre, documento de identidad o condiciones económicas (2) .
Resultaría difícil imaginarse que, 50 años después del citado pronunciamiento, en la actualidad incluso se pudieran realizar contratos de suministros y servicios digitales, donde el usuario o la usuaria (3) , a cambio de la utilización de un determinado servicio digital, pudiera pagar el mismo mediante la entrega voluntaria de una serie de datos personales (4) , aunque parte de la doctrina se cuestiona si el citado negocio jurídico cuenta o no, en base a lo establecido por el artículo 1261 del Código civil (LA LEY 1/1889), con un objeto cierto, ya que, podría considerarse a los datos personales como un derecho de carácter extrapatrimonial (5) . En este sentido, aunque existen notables argumentos para la discusión jurídica, parece razonable otorgar a los datos personales la cualidad de la patrimonialidad, siempre que medie el consentimiento expreso e inequívoco del interesado, en caso contrario, muchos de los «famosos» que entretienen a nuestros mayores y lo que es más paradigmático, cada día más a los jóvenes también, se quedarían sin negocio, al no poder publicar sus fotos, claro ejemplo de sus datos personales, en las incorrectamente denominadas revistas del corazón.
Otros de los importantes avances en este terreno, se ha experimentado en relación con los datos de la salud, ya que, su captación, procesamiento y uso posterior, puede ayudar significativamente a mejorar la vida de los ciudadanos (6) . Ahora bien, el citado tratamiento de los datos de la salud, se encuentra basado fundamentalmente en sistemas de inteligenciar artificial (7) o Big Data (8) , es decir, mediante procedimientos de extracción de datos personales a gran escala, donde en ocasiones, se puede obviar, sin malicia se ha de suponer, aunque quizás sea un importante ejercicio de suposición, el cumplimiento de todos los principios y requisitos exigidos por la normativa comunitaria y, por ende, la nacional.
La tecnología Big Data es fundamental, pero la privacidad y los datos de salud de las personas pueden verse bastante comprometidos
Con la llegada del cruel COVID-19, el debate y relieve de los citados datos personales de la salud, todavía ha alcanzado un significado mayor. En efecto, parece que no existen dudas, en considerar que la captación de una serie de datos relativos a la salud de los individuos, en concreto, el conocimiento de si tienen o no el coronavirus y, además, si ya han generado los anticuerpos necesarios para no contagiarse, combinados con los datos de geolocalización de los mismos, constituiría una importante herramienta para frenar cadenas de contagios, sobre todo en las conocidas como fases de desescalada. Para ello, parece evidente que la tecnología Big Data es fundamental, pero tampoco parece que se le escape a nadie que, las promesas anteriores, vendrán acompañadas de una serie de importantes riesgos, ya que, la privacidad de las personas puede verse bastante comprometida (9) .
El Reglamento General de Protección de Datos europeo (LA LEY 6637/2016) (en adelante RGPD), actualizó el concepto tradicional de datos personales (10) , considerando a los mismos como aquellos que permiten identificar o hacer identificable a una persona, como por ejemplo, un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona (11) . Dentro de este concepto amplio de datos personales, se encuentran los denominados datos relativos a la salud, definidos en el artículo 4.15 RGPD (LA LEY 6637/2016), como aquellos, «datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud». También, deben destacarse dentro de la crisis sanitaria originada por el COVID-19, los denominados como datos genéticos (12) , siendo definidos en el apartado 13 del artículo citado con anterioridad como, «datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona».
Para conseguir crear posibles aplicaciones o herramientas que basadas en sistemas de Big data, permitan localizar a los pacientes positivos en COVID-19 y, alertar al resto de ciudadanos sobre si han estado en contacto con algún paciente positivo, será esencialmente necesario, tratar tanto los datos relativos a la salud como, datos genéticos, ya que, si tras extraer una muestra biológica de una persona, se demuestra que la misma es inmune a los efectos del virus, podría realizar sus actividades al mismo ritmo que, las realizaba con anterioridad. Pero para ello, habrá que encontrar la base que legitime a las administraciones públicas a tratar los citados datos personales, ya que, ostentan un régimen jurídico especial, debido a su carácter sensible (13) .
Efectivamente, los datos relativos a la salud, desde la primera regulación comunitaria, siempre han estado sometidos a una serie de salvaguardias especiales (14) , bajo el prisma de una etiqueta: la de considerarlos como especiales que, quizás en el futuro debiera sustituirse por otras denominaciones menos estigmáticas (15) . En la actualidad, el artículo 9.1 RGPD (LA LEY 6637/2016) impide el tratamiento de los mismos, incluidos los genéticos citados anteriormente, aunque como se expondrá, tanto en el mismo artículo como en distintos textos legales, pueden encontrarse bases legales que justifiquen su tratamiento. En concreto, el citado precepto establece que, quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.
La propia Agencia Española de Protección de Datos (en adelante AEPD), ha emitido el informe jurídico 17/2020 donde ha establecido una serie de bases jurídicas para justificar el tratamiento de los datos personales en cuestión (16) , partiendo para ello de lo establecido en el considerando número 46 del RGPD (LA LEY 6637/2016)que, realiza una mención expresa a una posible situación de epidemia, considerando que en dicha situación el tratamiento de datos personales puede ser lícito tanto por motivos de interés público como por motivos, de protección de los intereses vitales de los interesados.
Como es sabido, de acuerdo a lo establecido en el artículo 6.1 a) RGPD (LA LEY 6637/2016), la principal fuente de legitimación del tratamiento de datos es el consentimiento del afectado, consentimiento que debe ser expreso, ya que en la actualidad, no se encuentran permitidos los consentimientos tácitos previsto en la anterior regulación (17) . Ahora bien, en la situación de crisis actual, podría justificarse un tratamiento de los citados datos personales bien, en el interés de vital de una persona física u otra distinta, en virtud de lo establecido en el artículo 6.1 d) RGPD, es decir, para intentar averiguar que personas han estado contagiadas y la posible cadena de contagios que han podido producir y, se podrá justificar en base al interés público, regulado en el artículo 6.1 e), también exactamente partiendo de la consecución del anterior objetivo.
Además, para tratar estos datos personales de carácter especial, será necesario recurrir a una de las posibles habilitaciones legales (18) o, expresado de otra forma, a alguna de las excepciones previstas en el artículo 9 RGPD (LA LEY 6637/2016) que permitirán tratar datos como los relativos a si una persona se encuentra contagiada o, es inmune. En concreto, el apartado 2. i) del citado precepto, permite tratar los citados datos por razones de interés público en el ámbito de la salud, cuando entre otros motivos, concurran situaciones de amenazas transfronterizas graves en el ámbito sanitario, situación de sobra acreditada en la actualidad, donde prácticamente toda la totalidad del mundo, se ha visto afectado, en mayor o menor medida, en ésta primera oleada del COVID-19.
Como se observa, la propia AEPD desde el inicio de la pandemia en España, ha justificado, con acierto debe notarse, un posible tratamiento de datos personales en base a la normativa de protección de datos existentes. Ahora bien, debe precisarse que también en parte de la legislación sanitaria se pueden encontrar habilitaciones expresas que facultan a las administraciones públicas a tratar datos relativos a la salud, así, la Ley Orgánica de Medidas Especiales en Materia de Salud Pública (19) permite en su artículo tercero controlar a los afectados por enfermedades transmisibles, como sin ninguna dudas es la actual, posibilidad recalcada en los artículos 5 (LA LEY 18750/2011) y 54 de la Ley General de Salud Pública (LA LEY 18750/2011) (20) .
Además, resulta evidente que, si una administración pública quiere comprobar si un ciudadano ha sido sometido ya alguna prueba sobre el virus, deberá consultar su historial clínico y, de acuerdo con el artículo 16.3 de la Ley de Autonomía del Paciente (LA LEY 1580/2002) (21) , podrá realizarlo en situaciones de grave peligros para la salud por razones epidemiológicas, aunque eso sí, dicho acceso deberá motivarse. Debe recordarse en este extremo, la problemática judicial que se ha producido, en distintos ámbitos como el civil, por accesos a historiales clínicos de manera injustificada, aunque eso sí, todos ellos se produjeron en situaciones distintas a la actual (22) .
Además, debe citarse la Ley de Investigación Biomédica (23) , donde se establece que los datos de carácter genético, como serían los relativos a saber si una persona se encuentra inmunizada o no ante el virus, solo podrían ser tratados por motivos de salud pública cuando medie el consentimiento del interesado (24) . Ahora bien, su artículo 50 permite en situaciones excepcionales acceder a los mismos por razones de salud pública, previo informe favorable de la AEPD. Parece evidente que, la premura de la agencia en emitir su informe avalando el tratamiento de los datos relativos a la salud y de carácter genético, parte del cumplimiento de la obligación legal descrita.
Por tanto, en virtud de lo descrito con anterioridad, parece evidente que existen diferentes caminos para justificar algo que debe ser lógico, la anteposición de la vida a los datos personales de los ciudadanos. De nada serviría prohibir con carácter general el tratamiento de los datos relativos a los posibles contagios del COVID-19, o de la situación de inmunidad, todo ello en aras de salvaguardar el derecho fundamental a la protección de datos, si antes los estados no pueden proteger el derecho fundamental a la vida. Los datos personales sin vida, no forman una ecuación deseable.
El comité de bioética español ha emitido un informe con recomendaciones para el tratamiento de datos relativos a la salud, donde dan importancia al consentimiento del afectado
El comité de bioética español también, en relación a la pandemia actual, ha emitido un informe con recomendaciones para el tratamiento de datos relativos a la salud y datos de carácter biológico, donde ensalzan la importancia del consentimiento del afectado como principal fuente legitimadora del tratamiento, aunque en ocasiones, como ha quedado acreditado con anterioridad, podrán existir otras bases legales que justifiquen el mismo (25) . Como nota negativa a resaltar, es de nuevo, su preocupación excesiva por el derecho a la intimidad, en vez de hacer referencia al principal derecho afectado, es decir, al derecho fundamental de protección de datos personales, cuyo núcleo de acción, aunque conectado, es distinto del resto de derechos de la personalidad clásicos.
Ahora bien, las administraciones públicas, deberán respetar en el tratamiento de estos datos, todos las garantías y principios regulados en el artículo 5 RGPD (LA LEY 6637/2016), es decir, deberán tratarse con licitud, lealtad, transparencia, de acuerdo a la finalidad perseguida, permitir su acceso, rectificación, cancelación, portabilidad y, su posible olvido y, deberán tratarse solo absolutamente los necesarios, de acuerdo a lo establecido al principio de minimización de datos (26) . Además, debe recordarse el considerando 54 RGPD (LA LEY 6637/2016) que establece una importante advertencia, ya que, no se debe permitir a terceros, acceder a los datos que se están analizando en la presente obra, pudiendo solo destinarse y tratarse para la finalidad de protección de la salud pública.
Sin embargo, podría ocurrir que esos datos acabaran en entidades privadas con cierta facilidad. Piénsese por ejemplo, en el supuesto que, por otra parte, parece cercano, donde un ciudadano tenga que someterse a pruebas térmicas para poder acceder a un determinado restaurante, cine o exposición. Sobre estos tratamientos, como ha advertido la AEPD (27) en una reciente comunicación, se deberá en primer lugar encontrar una justificación legal, ya que, por ejemplo, el interés legítimo esgrimido por el dueño de un restaurante, no parece suficientemente importante como para desmontar la necesidad del consentimiento expreso y libre de un individuo. Evidentemente, también debe resaltarse que, el consentimiento prestado en estos casos, tampoco será válido, ya que, no es libre, porque si el individuo se negará a realizarse la prueba, no podría entrar al establecimiento en cuestión. Y, como no, deberá delimitarse muy precisamente, como se conservarán y trataran esos datos especialmente protegidos.
Distintos serán los supuestos donde las pruebas se realizan en el seno de una relación laboral (28) , donde la norma sobre prevención de riesgos laborales, puede utilizarse como título justificante del tratamiento de los citados datos por parte de los empleadores. Lo anterior no quiere decir que, no se deban respetar los principios y salvaguardias sobre los datos personales mencionados con anterioridad y, se tendrán como no, que adoptar unas medidas de protección y cifrados de los datos, mediante técnicas como la seudonimización. Piénsese por ejemplo en el caso polémico de la vuelta al trabajo por parte del futbol profesional, donde se ha establecido un protocolo por el que cada jugador deberá someterse a una serie de pruebas tanto para reanudar la competición, como durante el desarrollo de la misma, ¿quién conservará los resultados de la prueba de Messi, por ejemplo?, y, ¿durante cuánto tiempo? Dichas preguntas todavía, no tienen respuesta.
III. EL RASTREO COMO BASE PARA EL DESARROLLO DE LAS APLICACIONES DE CONTACT TRACING
Constatadas ya las bases legales que permiten a las administraciones públicas tratar los datos personales de la salud de sus administrados en la situación actual de pandemia, es el momento, de hacer referencia a las tecnologías de geolocalización, ya que, de la combinación de ambas tipologías de datos y, mediante el uso de los procesos de Big data (29) , se podría monitorizar los movimientos de ciudadanos infectados por el virus y, advertir a las personas que hubieran tenido contacto con algún paciente positivo, de la posible situación de riesgo en la que se encuentran.
A través de las técnicas de geolocalización, se puede ubicar un dispositivo en un punto exacto, ya que, se rastrean sus coordinadas de posicionamiento, situación que evidentemente puede provocar una serie de beneficios, ya que, por ejemplo, se podría localizar a un sujeto que estuviera en un posible paradero desconocido pero, también puede provocar una serie de controversias jurídicas, ya que, la afectación a derechos como la intimidad (30) , aquí sí y, como no, al de protección de datos, es evidente.
Esta geolocalización que, incluso, se está empezando a plantear para el rastreo de personas fallecidas (31) , será distinta cuando se realiza sobre la base de una conexión IP física, es decir, cuando se investigue el rastro que ha dejado una determinada persona conectada desde el ordenador de su casa (32) , donde evidentemente se podrá localizar esa vivienda habitual, pero quizás no a la persona en concreto en un determinado momento hecho que si ocurrirá cuando la geolocalización se realice a través de un teléfono móvil inteligente, ya que, como estableció el extinto Grupo de Trabajo del artículo 29, en su dictamen sobre servicios de geolocalización en los teléfonos móviles, a través de los mismos se puede realizar una localización exacta (33) .
No resultara raro, imaginarse un supuesto cotidiano para el ciudadano medio del siglo XXI, como es el relativo a la descarga de aplicaciones para sus teléfonos. Pues bien, aunque se basan en una falsa idea de gratuidad, lo normal será que cuando se produzca esa descarga, se solicite permiso al usuario para acceder a los contactos, a la cámara y, como no, a los datos sobre geolocalización (34) . Conductas tan simples y cotidianas como compartir una ubicación con WhatsApp, conllevan inevitablemente la cesión de datos a terceros trascendentales, como es el caso de la situación actual de la persona. En el mejor de los casos, se utilizaría esa ubicación con fines publicitarios, como por ejemplo para potenciar técnicas de geomarketing (35) , pero, es difícil intentar atisbar cual sería el peor de los escenarios (36) .
En relación al régimen jurídico existente sobre la geolocalización, debe resaltarse la Directiva 2002/58/CE (LA LEY 9590/2002) sobre privacidad y comunicaciones electrónicas (37) , cuyo artículo segundo define a los datos de localización, como cualquier datos tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público. También, puede citarse la Directiva 2018/1972 (LA LEY 20019/2018) que establece el Código Europeo de las Comunicaciones electrónicas (38) , que en la definición establecida en su artículos segundo, relativa a la información sobre la localización del llamante, establece que en una red pública de telefonía móvil, los datos procesados, procedentes tanto de la infraestructura de la red como del terminal, indican la posición geográfica del equipo terminal móvil de un usuario final, es decir, que se puede localizar el punto exacto donde una persona realiza una llamada o se encuentra en cada momento.
Una vez puntualizado los aspectos básicos de la técnica de la geolocalización, es el momento, de analizar cómo se está aplicando la misma, como mecanismo para reducir el número de contagiados de un determinado territorio. En este sentido, el Comité Europeo de Protección de Datos, emitió un comunicado mostrando su preocupación por la utilización de distintas técnicas de rastreo de los ciudadanos por los distintos países de la Unión (39) , situación que, provocó que la Comisión europea emitiera el 17 de abril, una comunicación con orientaciones sobre las aplicaciones móviles de apoyo a la lucha contra la pandemia de covid-19 en lo referente a la protección de datos (40) .
El objetivo primordial perseguido por la comisión ha sido establecer una serie de directrices básicas, tanto para aquellas aplicaciones que se basen en el contact tracing, como aquellas otras, que ayuden para identificar posibles síntomas pero no geolocalicen a sus ciudadanos. Las aplicaciones de contact tracing, intentan identificar los movimientos que han realizado las personas, de una manera anonimizada, para poder alertar a algunos sujetos sobre si han podido estar expuestos a una distancia corta, con otra persona que se encuentre infectada por el COVID-19, es decir, el objetivo de estas aplicaciones es sustituir las cuarentenas tradicionales basadas en el confinamiento de territorios en su conjunto, por una cuarentena selectiva de aquellas personas que hubieran dado positivo en la prueba y, aquellas que hubieran estado cerca de las anteriores (41) .
En relación a comunicación de la Comisión citada con anterioridad deben resaltarse una serie de cuestiones importantes. En primer lugar, se recuerda expresamente que el uso de estas aplicaciones debe ser voluntario y, nunca de carácter obligatorio, situación que se observará posteriormente como no ha ocurrido, por ejemplo, en el caso de Polonia. También, debe destacarse como se recomienda expresamente no solo el uso de un tipo de aplicación de las dos descritas, sino que ambas deben combinarse, es decir, deben servir para poder ayudar a los ciudadanos para identificar los síntomas del virus y a su vez, rastrear la posible cadena de contagios, favoreciendo así la cuarentena de los casos sospechosos y confirmados. Evidentemente, se recomienda que los datos puedan transferirse entre los estados miembros, aunque para ello, las aplicaciones desarrolladas por los mismos, deberán ser compatibles unas con otras. Cuestión compleja y delicada, la de la transferencia internacional de datos de datos especialmente protegidos (42) .
En el desarrollo de estas aplicaciones, los responsables del tratamiento deberán ser las autoridades sanitarias nacionales
En el desarrollo de estas aplicaciones, los responsables del tratamiento, no tiene ninguna duda la Comisión, deberán ser las autoridades sanitarias nacionales. En relación al consentimiento, se debería primar un consentimiento de carácter específico para cada funcionalidad de la aplicación, es decir, debería existir un consentimiento para geolocalizar y otro para medir los síntomas del usuario, aunque sería válido un consentimiento de carácter general. También, se debe informar a los ciudadanos, de las posibilidades de ejercer los derechos permitidos en la actual normativa de protección de datos (43) , en concreto, se menciona el derecho de acceso, rectificación y supresión, es decir, se reconoce en relación a éste último, un derecho al olvido en el ámbito sanitario, respecto a contenidos que probablemente nunca estarían indexados en ninguna base de datos pública, lo que supone de facto, una extensión del ámbito de aplicación de este derecho de nueva generación.
También, la comisión ha dado un paso más allá que la AEPD y, aunque reconoce que existen bases jurídicas que justifican el tratamiento de estos datos, recomienda a los estados miembros que, dicten leyes nacionales al respecto, para aclarar y especificar con forma de ley, los aspectos relativos al tratamiento de estos datos en la lucha contra la pandemia. En relación con las aplicaciones de comprobación de síntomas, las mismas deberían contar con un listado de los datos personales tratados y, en principio, solo deberían exigir que el usuario aportara directamente como dato personal, su número de teléfono, situación esta última que, como posteriormente se observará, se cumple en el caso de España.
En relación a las aplicaciones de contac tracing, se recomienda no el uso del rastreo de los usuarios mediante el GPS, sino a través del Bluetooth, ya que, se trataría de una medida menos agresiva y, el ahorro de energía sería bastante menor. Además, no se recomienda recopilar el momento ni el lugar exacto del contagio, pero si el día, para fijar el período de tiempo donde se recomendaría a los posibles sujetos que hubieran estado expuestos, pasar un determinado período de cuarentena. Debe recordarse que, ya el Dictamen 2/2013 del Grupo de Trabajo del artículo 29, sobre aplicaciones en dispositivos móviles, hacía referencia al uso del Bluetooth como un mecanismo o sensor de proximidad (44) .
En las anteriores aplicaciones, podrían existir dos sistemas, uno de carácter descentralizado, donde los identificadores de Bluetooth de cada persona se almacenan directamente en sus teléfonos y que solo en el caso de que se compartan voluntariamente con la autoridad sanitaría está dispusiera de ellos y, una solución de carácter centralizada donde directamente, los identificadores de Bluetooth estuvieran en disposición de un servidor central de la autoridad nacional. Aunque la comisión parece decantarse con el primer sistema, parece que la solución centralizada podría tener más éxito en el objetivo común de todos, es decir, ganar la batalla al COVID-19.
Dos cuestiones más deben destacarse de la comunicación objeto de análisis, las relativas a la finalidad del tratamiento y la conservación de los datos afectados. En relación al principio de finalidad, el mismo siempre ha exigido que los datos personales solo sean tratados para una finalidad en concreto y, no para otras (45) , y por eso, la Comisión considera que la finalidad de las distintas aplicaciones debe determinarse claramente. En concreto en el caso de las aplicaciones de comprobación de síntomas, la finalidad debería ser la del ofrecimiento de herramientas a la personas para que puedan valorar por sí mismas si tienen o no el virus y, la posibilidad de ofrecerles ayuda sanitaria. En el supuesto de las aplicaciones de contact tracing, la finalidad literal que se les aconseja introducir es la siguiente, «mantener los contactos de las personas que utilizan la aplicación y que pueden haber estado expuestas a la infección de la COVID-19 con el fin de alertar a aquellas que podrían haber sido infectadas».
En relación, ya por último, con el período de conservación de los datos en cuestión, cuestión también que ha generado en los últimos tiempos en el ámbito de la protección de datos una enorme controversia (46) , se establece que en el caso de las aplicaciones de comprobación de síntomas, los datos personales deberían ser suprimidos, pasado un mes desde que la persona se hubiera sometido a una prueba con resultado negativo. No se especifica si esa prueba debe desarrollarse de forma presencial una vez que se acceda a la aplicación, o valdría con que la aplicación emitiera un resultado, matiz importante que debería matizarse. Eso sí, si los datos se anonimizaran correctamente, podrán ser utilizados por un período de tiempo superior, a efectos de investigación. En el supuesto de las aplicaciones de rastreo, se establecen los mismos límites temporales.
Las recomendaciones establecidas por la Comisión, parece que han sido fundamentalmente las seguidas por Google y Apple que han decidido aliarse para ofrecer en sus terminales una aplicación de contact tracing de carácter descentralizado, es decir, donde las comunicaciones o códigos emitidos por el Bluetooth de los móviles de los usuarios, se almacenarían directamente en sus terminales y, no se integrarían en ninguna base de datos común (47) . En realidad no se trataría de una propia aplicación creada por ellos, sino la creación de una estructura que permita desarrollarla a las autoridades nacionales que decidan, utilizar sus modelos, en vez de crear un sistema propio. En concreto, parece ser que Reino Unido ha rechazado expresamente la idea de aplicar las herramientas, mientras que Alemania lo ha considerado un sistema óptimo (48) .
El Consejo de Europa también ha emitido un informe sobre las aplicaciones de contact tracing y, al ser posterior que la recomendación de la Comisión europea analizada, prácticamente repite la mayor parte de su argumentación. Eso sí, el Consejo de Europa, plante albergar dudas en relación a la efectividad de estas aplicaciones, ya que, deberán venir acompañadas de otra serie de estrategias o planes y, recomienda expresamente que el funcionamiento de las aplicaciones se haga público y, de una manera entendible para toda la población (49) .
IV. APUNTES Y REFLEXIÓN CRÍTICA SOBRE LAS APLICACIONES MÁS INTERESANTES DESARROLLADAS EN EUROPA
Es el momento de analizar algunas de las aplicaciones que se han desarrollado en el territorio europeo con el objetivo de poder tratar datos de la salud de sus ciudadanos y, poder reducir así el número de contagiados. En el caso de España, aunque prácticamente no existe comunidad autónoma que no quiera crear su propia aplicación (50) , a nivel nacional existe la denominada aplicación Asistencia Covid-19, donde por el momento, no se realizan técnicas de rastreo sobre los usuarios de la misma, sino que, sería una aplicación de autodiagnóstico, es decir, una de las modalidades previstas por parte de la Comisión europea.
Cuando se accede a ella, se observa como en primer lugar para poder realizar un autodiagnóstico, solicita al usuario un requisito de edad, en concreto, 16 años, cumpliendo por tanto una de las recomendaciones expresas de la comisión en este sentido. Por tanto, se observa cómo se cumple a rajatabla el contenido del artículo 8.1 RGPD (LA LEY 6637/2016), que eleva el consentimiento para tratar los datos personales de los menores a los 16 años, aunque como es sabido, se permite que los estados miembros puedan rebajar esa edad con el límite de 13 años, de hecho, en España esa edad se encuentra fijada legalmente en 14 años (51) . Sin embargo, se observa que aunque pudiera existir habilitación legal, en un aspecto tan comprometido como el relativo al tratamiento de datos de la salud o genéticos, se mantiene una garantía más elevada, cuestión que debe aplaudirse.
Para poder continuar, una vez salvada la cuestión de la edad, es necesario introducir un dato personal, en concreto el número de teléfono móvil, es decir, se observa de nuevo que, se cumple con otra de las orientaciones de la comisión, ya que, establecía que el único dato personal que debería solicitarse era precisamente éste. En relación a su política de privacidad (52) , se observa que es relativamente corta, en comparación con las que suelen establecer, por ejemplo, los gigantes tecnológicos como Facebook o Google, articulándose la misma solo en diez puntos. Evidentemente se define al ministerio de Sanidad como responsable del tratamiento, cumpliendo de nuevo otra de las recomendaciones analizadas anteriormente.
También, se incluye una lista detallada de los datos personales que se tratan, en concreto: Nombre y apellidos, número de teléfono, DNI, dirección, fecha de nacimiento, género, datos de la salud (síntomas) y, sorprendentemente, o quizás no tanto, datos sobre la geolocalización. Debe precisarse que, al no tratarse de una aplicación de rastreo, estos últimos datos, «sólo se utilizarán a la hora de registrarte y realizar tus autoevaluaciones, para poder conocer en qué Comunidad Autónoma te encuentras y poder conectarte con el sistema de atención sanitaria que te corresponda. No se rastrea tu localización para finalidades distintas de las señaladas».
¿Es realmente necesario conservar los datos personales relativos a la salud de un usuario que se realice un autodiagnóstico y su resultado sea negativo, durante más tiempo que un mes?
La nota discordante con la recomendación de la Comisión europea, se encuentra en relación con el período de conservación de los datos personales. Como se expuso, la citada recomendación establecía que pasado un mes desde que el usuario se realizara la prueba de autodiagnóstico en la aplicación, esos datos deberían dejar de ser conservados, solo pudiendo ser utilizados posteriormente con fines de investigación, siempre y cuando se adoptaran las correspondientes técnicas de anonimización (53) . Pues bien, la aplicación española, establece que los datos de sus usuarios, se conservarán durante todo el tiempo que dure la crisis sanitaria y, en relación con fines de investigación, podrán ser tratados por un período de dos años, ¿Es realmente necesario conservar los datos personales relativos a la salud de un usuario que, por ejemplo, se realice un autodiagnóstico y su resultado sea negativo, durante más tiempo que un mes? Cuanto menos, es discutible la posición de la aplicación española en este asunto.
Debe precisarse que en la fecha de redacción del presente trabajo (54) , en España no se han articulado medidas de rastreo individuales, pero si a nivel colectivo, a través del desarrollo de los denominados mapas de calor (55) . En concreto, a través de la Orden Ministerial SND/297/2020 de 27 de marzo (LA LEY 4276/2020), por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de nuevas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19, se ha permitido cruzar los datos de los operadores móviles, para que de una manera anonimizada, se puedan realizar análisis de movilidad, pero en principio, dicha información se ha usado para controlar las posibles cadenas de contagios (56) .
Otra de las aplicaciones a nivel europeo que se debe destacar es la desarrollada por Polonia, denominada «Home quarantine» (57) , es decir, la cuarentena en casa. Se trata de una aplicación que tampoco se encuentra desarrollada todavía bajo el prisma del contact tracing, pero alberga una serie de aspectos muy peculiares que deben ser destacados. Sin duda, su aspecto más controvertido es que, de manera aleatoria, puede solicitarle que subas dos selfies, con la intención de que evalúen las autoridades sanitarias, la posible concurrencia de síntomas, todo ello, por tu aspecto. En caso de que no se realizara ese envío, las fuerzas de seguridad se encuentran habilitadas para poder acceder al domicilio de la persona en cuestión y, comprobar su estado de salud. Parece evidente, que el requisito del consentimiento para la utilización de la aplicación no se está cumplimiento, ya que, de acuerdo con la recomendación de la comisión, no se pueden establecer consecuencias de ningún tipo, para las personas que se negaran a utilizar las citadas aplicaciones.
De la lectura de su política de privacidad (58) se extrae que la aplicación podrá acceder al listado de búsquedas en Internet, a las fotos, a los vídeos, y a la ubicación del dispositivo. También se describe el proceso de envío del selfie: En concreto, deberá enviarse dentro de la ubicación donde el usuario ha declarado que está realizando la cuarentena y, se dispondrá de 20 minutos para enviarlo desde que se recibe la notificación por parte de la aplicación. En caso contrario, se podrán enfrentar a sanciones e incluso, incurrir en posibles delitos penales. También se puede solicitar comida o artículos por la aplicación, recopilándose por tanto, esos datos por parte del ministerio de digitalización quien aparece como responsable del tratamiento, es decir, de nuevo se incumple otro aspecto de la recomendación comunitaria, donde se recomendaba que el responsable fuera el ministerio de sanidad.
Los datos tratados son: Identificación del ciudadano, número de teléfono, dirección declarada para pasar la cuarentena, ubicación exacta y fotos. También, es cierto que, se ejemplifica la lista de derechos que pueden ejercer los ciudadanos en relación al tratamiento de sus datos personales, no todo iba a ser negativo de la aplicación polaca. En relación a la conservación de los datos, se establece con carácter general que los mismos se tratarán durante 6 años, salvo las fotos enviadas por los usuarios que se borrarían en el momento en el que el mismo, se diere de baja de la aplicación. Ciertamente, parece desmesurado ese período de tiempo, si se compara por ejemplo, con los dos años que ha establecido España, por ejemplo.
El caso de las aplicaciones española y polaca, son dos ejemplos de las primeras actuaciones a nivel tecnológico que han desarrollado los países europeos, pero, como es evidente, el sistema de contact tracing iba a acabar llegando a Europa, aunque todavía, no a niveles tan sofisticados como el alcanzado, entre otro, por Singapur. Efectivamente, a través de su aplicación «TraceTogether», pionera en la utilización del Bluetooth, como método de rastreo de los usuarios, actúa identificando el conjunto de personas con las que otro usuario se ha cruzado, al objeto de poder advertirle si ha estado en contacto o no con un sujeto infectado con COVID-19, alertando a los usuarios que hubieran estado en contacto en menos de 2 metros, durante al menos 30 minutos, con otra persona infectada (59) .
Debe analizarse la app desarrollada por Noruega, que recibe el nombre de «Smittestopp» (60) , tratándose de una aplicación de contact tracing que, alerta a los usuarios que hubieran estado a menos de 2 metros durante un tiempo de 15 minutos o superior de una persona positiva en COVID-19, del riesgo de que pudieran estar contagiados, al objeto de que soliciten hacerse la prueba y, se autoimpongan una cuarentena de 14 días mientras tanto. Entre las principales cuestiones controvertidas de la aplicación es que no solo usa la tecnología Bluetooth, sino que la combina con la funcionalidad del GPS, ya que, permitiría obtener datos más precisos, pero como advirtió la Comisión europea, ésta técnica es bastante más intrusiva en la privacidad de los ciudadanos. También, incumple otras de las recomendaciones, ya que, los datos de los usuarios se almacenan de manera centralizada, es decir, no se quedan en los terminales de los mismos, sino que directamente se guardan en los servidores propios públicos.
De su política de privacidad se extrae que en ningún momento se revelará la identidad de la persona infectada con la que se hubiera estado en contacto, simplemente se indicará el día en concreto, cumpliendo así con las recomendaciones europeas. Los datos serán almacenados durante 30 días, es decir, los movimientos de los ciudadanos realizados hace 31 días, serán directamente suprimidos y, en cualquier momento, cualquier ciudadano puede solicitar que los mismos se supriman. Resulta interesante destacar que, no se recomienda su uso durante la jornada laboral, recomendando incluso que se desactive el GPS y el Bluetooth, precisión quizás comprensible, por la posible situación de caos que pudiera producirse si todos los trabajadores de una determinada organización, recibieran alertas de posibles contagios, sin saber claramente si ese riesgo se produjo o no en el lugar del trabajo.
La aplicación, ha empezado desarrollándose solo en una serie de municipios, para probar su validez y, posteriormente, aplicarse en el país en su totalidad. Ha de notarse que el éxito de estas aplicaciones en países europeos como el analizado, donde la población no alcanza los 5,5 millones de habitantes, será complicado extrapolarlo por ejemplo a España, donde la población es 9 veces mayor. El responsable del tratamiento si es en éste caso el Ministerio de Sanidad y, en relación al listado de datos tratados, no se encuentra el mismo tras el estudio y examen de la página oficial que, al no tener versión en inglés, dificulta también la labor de investigación.
En último lugar, se va a realizar una mención a la situación en Francia, país vecino y por tanto, cuya posible aplicación de contact tracing, debe interesar bastante a España. En concreto, aunque todavía no está disponible para descargar la aplicación en concreto desarrollada por Francia, se denomina «StopCovid» y, ha sido objeto de un reciente informe por parte de la agencia de protección de datos francesa (61) . Como no existe todavía, no se puede localizar de manera oficial la información de la misma, pero del contenido del informe mencionado, se pueden extraer los pilares básicos del proyecto de la aplicación.
Se trataría de una aplicación de rastreo por Bluetooth, que no utilizaría monitorización por GPS, pero los datos se conservarían de manera centralizada
Se trataría, de una aplicación de rastreo por Bluetooth, que no utilizaría monitorización por GPS, cumpliendo así la recomendación europea pero, los datos se conservarían de manera centralizada, es decir, se almacenarían directamente en los servidores de la administración pública y no, en los dispositivos de los usuarios que, voluntariamente, decidan utilizar la aplicación. En concreto, el sistema utilizado no rastrearía todos los movimientos realizados por la persona infectada, sino los de aquellas personas que hubieran podido estar en contacto con la misma, minimizando así el riesgo de identificar a la persona positiva por COVID-19.
La aplicación podría notificar supuestos falsos de casos positivos para intentar reducir el riesgo de identificación del sujeto infectado, pero para la agencia de protección de datos francesa, dicha funcionalidad resultaría contraría al principio de exactitud. Se declara el ministerio de sanidad como responsable del tratamiento de los datos personales y, se faculta a los usuarios a poder ejercitar sus derechos en cualquier momento. No se establece un período exacto para eliminar los datos personales tratados, sino que se indica que se deberá hacer lo más rápido posible, cuando ya no sean necesarios, es decir, dicha disposición parece convertirse en una importante ambigüedad, ya que, ¿Podría considerarse que hasta que no se acabe la pandemia, dichos datos siguen siendo necesarios? El sistema de eliminación del rastreo por días, como el de Noruega, parece más garantista en este sentido.
V. CONCLUSIONES
A modo de reflexión final del contenido expuesto, debe destacarse una vez más, la importancia de los datos personales de los ciudadanos en pleno siglo XXI que incluso, pueden servir como una importante arma para luchar contra una pandemia despiadada. En Europa, la regulación del derecho fundamental a la protección de datos, es bastante garantista, situación todavía que se agiganta cuando el tratamiento de datos que se realiza es el relativo a los datos de la salud. Ahora bien, tener una legislación garantista y protectora no debe servir como excusa para limitar el uso de los datos personales para el beneficio de la sociedad, es decir, no deben centrarse únicamente los académicos en alertar de los riesgos del tratamiento de datos, sino también en sus posibles beneficios (62) .
Para medir el éxito de las aplicaciones de contact tracing, se necesitará en primer lugar una utilización masiva por parte de los ciudadanos de un determinado territorio, ya que, si en España, por ejemplo solo fuera utilizada por un 20% de la población, difícilmente se podría realizar un verdadero seguimiento de la cadena de contagios y, por tanto, la fiabilidad de la misma sería nula. Quizás, los países que la desarrollen, deberán buscar una especie de incentivos de algún tipo, al objeto de animar a la población usarla, aunque seguro que, si se aplicaran estos incentivos, las críticas por posibles vicios en el consentimiento, serían fuertes y exacerbadas. Realmente, al igual que la población ha sacrificado su libertad individual durante la primera etapa del confinamiento, quizás, pudiera plantearse también la necesidad de que las garantías absolutas del derecho fundamental a la protección de datos, pudieran disminuirse mínimamente durante y exclusivamente, permanezca la lucha contra el COVID-19.
VI. BIBLIOGRAFÍA
- — Álvarez Cortes, J.C., «La protección de datos de carácter personal en el ámbito de la relación laboral como derecho fundamental inespecífico», en la obra colectiva coordinada por López Isua, B., Moreneo Pérez, J,L., y Villa Tierno, F., Derechos laborales fundamentales inespecíficos, editorial Comares, Granada, 2020.
- — Batuecas Caletrío, A., «Intimidad personal, protección de datos personales y geolocalización», en Revista Derecho Privado y Constitución, número 29, 2015.
- — Cabelllo Gil, L.M., «Geolocalización a través de direcciones IP», en Revista de Derecho de la UNED, número 20, 2017.
- — Casanova Asencio, A.S., «Protección de datos en el ámbito de la historia clínica: El acceso indebido por el personal sanitario y sus consecuencias», en InDret: Revista para el análisis del Derecho, número 2, 2019.
- — Concellón Fernández, P, «El concepto de dato personal en la Unión Europea: Una pieza clave en su protección», en Revista General de Derecho Europeo, número 46, 2018.
- — Cotino Hueso, L.,«Big data e inteligencia artificial. Una aproximación a su tratamiento jurídico desde los derechos fundamentales», en Revista Dilemata, número 24, 2017.
- — Faggian, M., Urbani, M., y Zanotto, L., «Proximity: a recipe to break the outbreak», en arXiv:2003.10222, abril, 2020.
- — Fernández Acevedo, J., «Redes sociales y aplicaciones móviles», en Diario La Ley, número 128, 2019.
- — Fernández Antelo, L., «Intimidad y datos genéticos (Filosofía, forum shopping y dispersión normativa)», en la obra colectiva coordinada por Matilla Portilla, F.J,, y López De La Fuente, G., De la intimidad a la vida privada y familiar: Un derecho en construcción, editorial Tirant lo Blanch, Valencia, 2020.
- — Frías Martínez, E., «Covid-19. Medidas limitativas de derechos. Arcas de Noé. Mención a la protección de datos personales. Herramientas de geolocalización», en Diario La Ley, número 9619, 2020.
- — García de Pablos, J.F., «La invalidez de la Directiva europea sobre conservación de datos», en Revista Aranzadi de Derecho y Nuevas Tecnologías, número 35, 2014.
- — García Herrera, V.,» El pago con datos personales. Incoherencias legislativas derivadas de la configuración de los datos como posible contraprestación en el suministro de contenidos y servicios digitales», en Diario La Ley, número 672, 2020.
- — García Marcos, J., «Geolocalización de personas fallecidas», en Diario La Ley, número 9606, 2020.
- — Gil Membrado, C., «Investigación biomédica y datos personales. Una visión crítica del nuevo régimen jurídico», en Actualidad Civil, número 5, 2018.
- — González, M., «Tratamiento de datos personales en la lucha contra el Covid-19», en Revista Aranzadi Digital, número 1, 2020.
- — Herrera Pablo, M., y Garcia Fronti, J., «Tecnologías de Big data y biopolítica: Mecanismos relacionales de procesamiento de datos en época de pandemia mundial viral», en Munich Personal RePec Archive, número 99546, 2020.
- — Hidalgo Cerezo, A., «Protección de datos de carácter personal relativos a la salud del paciente: Fundamentos, protección a la intimidad y comentarios al nuevo Reglamento UE 2016/679», en Revista de Derecho de la UNED, número 19, 2016.
- — Lecuona Rodríguez, I., «El valor y el precio de los datos personales de salud en la sociedad digital», en la obra colectiva coordinada por García Manrique, R., y Beltrán Pedreira, M.E., El cuerpo diseminado: Estatuto, uso, y disposición de los biomateriales humanos, editorial Aranzadi, Pamplona, 2018.
- — Linares Gutiérrez, A., «El chantaje de los ficheros de morosos: el principio de finalidad como requisito para la inclusión de datos en los ficheros sobre solvencia patrimonial y crédito: tratamiento jurisprudencial», en Dereito: Revista xuridica da Universidade de Santiago de Compostela, volumen 23, número 1, 2014.
- — Llaneza González, P., «La adaptación de los consentimientos tácitos y presuntos : el uso del interés legítimo», en la obra colectiva coordinada por López Calvo, J., La adaptación al nuevo marco de protección de datos tras el RGPD y la LOPDGDD, editorial Wolters Kluwer, Madrid, 2019.
- — López Aguilar, J.F., «La protección de datos personales en la más reciente jurisprudencia del TJUE: Los derechos de las CDFUE como parámetro de validez del Derecho europeo, y su impacto en la relación transatlántica UE-EUUU», en Revista Teoría y Realidad Constitucional, número 39, 2017.
- — Martínez Martínez, R., «Big data, investigación en salud y protección de datos personales ¿Un falso debate?», en Revista valenciana d’estudis autonòmics, número 62, 2017.
- — Martínez Martínez, R., «Los tratamientos de datos personales en la crisis del COVID-19. Un enfoque desde la salud pública», en Diario La Ley, número 9604, 2020.
- — Méndez García, M., y Alfonso Farnos, I., «La legitimación para el tratamiento de categorías especiales de datos con finalidades de investigación en el marco del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018», en Revista de derecho y genoma humano: genética, biotecnología y medicina avanzada, número 1, 2019.
- — Millán García, R., «Geolocalización: Legislación y consecuencias de uso», en Actualidad Administrativa, número 4, 2019.
- — Miralles López, R., «Desvinculando datos personales: Seudonimización, desidentificación y anonimización», en I+S: Revista de la Sociedad Española de Informática y Salud, número 122, 2017.
- — Rallo Lombarte, A., «Una nueva generación de derechos digitales», en Revista de Estudios Políticos, número 187, 2020.
- — Recuero Linares, M., «Transferencias internacionales de datos genéticos y datos de salud con fines de investigación», en Revista de derecho y genoma humano: genética, biotecnología y medicina avanzada, número 1, 2019.
- — Romeo Casanova, C.M., «Revisión de las categorías jurídicas de la normativa europea ante la tecnología del big data aplicada a la salud», en Revista de derecho y genoma humano: genética, biotecnología y medicina avanzada, número 1, 2019.
- — Salazar Pico, F.I., «Potencial Estratégico de la Geolocalización de Clientes», en Revista San Gregorio, número 19, 2017.
- — SÁNCHEZ REYERO, D., «El tratamiento de los datos personales y de salud y la protección de datos», en Diario La Ley, número 7043, 2008.
- — Troncoso Reigada, A., «Del principio de seguridad de los datos al derecho a la seguridad digital», en Revista Economía Digital, número 410, 2018.
- — Vilasau Solana, M., «El consentimiento general y de menores», en la obra colectiva coordinada por Rallo Lombarte, A., Tratado de protección de datos: actualizado con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, editorial Tirant lo Blanch, Valencia, 2019.