Carlos B Fernández. La Comisión Europea ha publicado una Recomendación (Recomendación (UE) 2020/518 de 8 de abril de 2020), por la que acuerda la puesta en marcha de un conjunto de instrumentos comunes de la Unión para la utilización de la tecnología y los datos a fin de combatir y superar la crisis de la COVID-19, en particular por lo que respecta a las aplicaciones móviles y a la utilización de datos de movilidad anonimizados.
Su objetivo es desarrollar un conjunto de instrumentos para el uso los medios digitales para hacer frente a la crisis, centrado en: a) un enfoque paneuropeo para el uso de aplicaciones móviles, coordinado a nivel de la Unión, con el fin de capacitar a los ciudadanos para adoptar medidas de distanciamiento social eficaces y más específicas, así como con el fin de alertar, prevenir y hacer un seguimiento de contactos con miras a limitar la propagación de la enfermedad COVID-19, y b) en un plan común para el uso de datos anonimizados y agregados sobre la movilidad de la población.
El enfoque paneuropeo para las aplicaciones móviles relacionadas con la COVID-19 se publicará el 15 de abril y será complementado con orientaciones de la Comisión sobre la protección de la intimidad y de los datos.
Según la Comisión, las tecnologías y los datos digitales tienen un valioso papel que desempeñar en la lucha contra la crisis de la COVID-19, pues ofrecen una herramienta importante para informar al público y ayudar a las autoridades públicas pertinentes en sus esfuerzos por contener la propagación del virus o para permitir que las organizaciones sanitarias intercambien datos sobre la salud.
Sin embargo, un enfoque fragmentado y descoordinado de esa utilización pone en peligro la eficacia de las medidas adoptadas y puede dañar gravemente tanto al mercado único como a los derechos y libertades fundamentales de los ciudadanos.
Y es que dadas las funciones de las aplicaciones para teléfonos inteligentes, su uso es susceptible de afectar al ejercicio de determinados derechos fundamentales como el derecho al respeto de la vida privada y familiar, entre otros. Por ello, y “habida cuenta de que cualquier injerencia en esos derechos debe ser conforme a la ley, las legislaciones de los Estados miembros que establezcan o permitan limitaciones del ejercicio de determinados derechos fundamentales deben estar en consonancia con los principios generales del Derecho de la Unión, tal como se establece en el artículo 6 del Tratado de la Unión Europea (LA LEY 109/1994), sus tradiciones constitucionales y sus obligaciones con arreglo al Derecho internacional”.
En concreto, las pautas previstas para la elaboración de estos instrumentos establecen la adopción de salvaguardias que garanticen el respeto de los derechos fundamentales y eviten la estigmatización, en particular las normas aplicables en materia de protección de los datos personales y la confidencialidad de las comunicaciones; la preferencia por el uso de las medidas menos intrusivas; la transparencia sobre la configuración de privacidad para garantizar la confianza en las aplicaciones; evitar el tratamiento de datos relativos a la localización o los movimientos de personas, así como el uso de datos anonimizados y agregados cuando sea posible; requisitos de ciberseguridad efectivos para proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos; la expiración de las medidas adoptadas y la supresión de los datos personales obtenidos a través de estas medidas a más tardar cuando se declare que la pandemia se encuentra bajo control.
Conveniencia de la utilización de dispositivos móviles para combatir la epidemia
La Comisión explica que desde el inicio de la crisis de la COVID-19, se han desarrollado diversas aplicaciones móviles, tanto por parte de instituciones privadas como por parte de las autoridades públicas (como ha sido el caso de España), para ayudar a combatir la pandemia.
Estas aplicaciones suelen cumplir tres funciones generales: i) informar y asesorar a los ciudadanos, y facilitar la organización del seguimiento médico de las personas con síntomas, a menudo en combinación con un cuestionario de autodiagnóstico; ii) advertir a las personas que han estado cerca de una persona infectada, a fin de interrumpir las cadenas de contagio e impedir que se produzca un resurgimiento de las infecciones durante la fase de relajación de las medidas de confinamiento, y iii) el seguimiento y el control del cumplimiento de la cuarentena de las personas infectadas, eventualmente en combinación con características que permitan determinar su estado de salud durante el período de cuarentena.
Algunas aplicaciones están disponibles para el público en general, mientras que otras solo lo están para grupos cerrados de usuarios a fin de rastrear los contactos en el lugar de trabajo.
La eficacia de estas aplicaciones móviles depende de una serie de factores como la penetración entre los usuarios (es decir, el porcentaje de la población que utiliza un dispositivo móvil) y, dentro de ese grupo, el porcentaje que ha descargado la aplicación, ha otorgado su consentimiento para el tratamiento de sus datos personales y no ha retirado dicho consentimiento. Otros factores importantes son la confianza de la población en que los datos estarán protegidos por medidas adecuadas de seguridad y se utilizarán exclusivamente para alertar a las personas que puedan haber estado expuestas al virus, el refrendo de las autoridades de salud pública, la capacidad de las autoridades sanitarias para tomar medidas basadas en los datos generados por la aplicación, la integración y el intercambio de datos con otros sistemas y aplicaciones, o la interoperabilidad transfronteriza e interregional con otros sistemas.
El dictamen de los expertos apunta a que las aplicaciones destinadas a informar y advertir a los usuarios parecen ser las más prometedoras a la hora de prevenir la propagación del virus, habida cuenta también de su impacto más limitado en la intimidad, y en la actualidad varios Estados miembros están considerando su utilización.
Las apps pueden ser consideradas productos sanitarios
Pero, advierte, la Comisión, algunas de estas aplicaciones móviles podrían considerarse productos sanitarios si están destinadas por el fabricante a ser utilizadas, entre otros fines, para el diagnóstico, la prevención, el seguimiento, la predicción, el pronóstico, el tratamiento o el alivio de una enfermedad, de manera que entrarán en el ámbito de aplicación del Reglamento (UE) 2017/745 (LA LEY 6668/2017) del Parlamento Europeo y del Consejo o en el de la Directiva 93/42/CEE (LA LEY 4879/1993) del Consejo. Por tanto, en el caso de las aplicaciones de autodiagnóstico y análisis de síntomas, se debería determinar su posible calificación como productos sanitarios, de acuerdo con el marco regulador de dichos productos [Directiva 93/42/CEE (LA LEY 4879/1993) o Reglamento (UE) 2017/745 (LA LEY 6668/2017)], en la medida en que proporcionen información relacionada con el diagnóstico, la prevención, el seguimiento, la predicción o el pronóstico.
Objetivo de la Recomendación
A la vista de las anteriores consideraciones, la Recomendación pretende desarrollar un «conjunto de instrumentos» para el uso los medios digitales para hacer frente a la crisis. Este conjunto de instrumentos se centrará en dos aspectos en particular:
1. Un enfoque paneuropeo para el uso de aplicaciones móviles, coordinado a nivel de la Unión, con el fin de capacitar a los ciudadanos para adoptar medidas de distanciamiento social eficaces y más específicas, así como con el fin de alertar, prevenir y hacer un seguimiento de contactos con miras a limitar la propagación de la enfermedad COVID-19.
Ello implicará una metodología para el seguimiento y el intercambio de valoraciones respecto de la eficacia de estas aplicaciones, su interoperabilidad y sus implicaciones transfronterizas, así como en relación con el respeto de la seguridad, la intimidad y la protección de datos, y
2. un plan común para el uso de datos anonimizados y agregados sobre la movilidad de la población a fin de i) modelizar y predecir la evolución de la enfermedad, ii) controlar la eficacia de la toma de decisiones de las autoridades de los Estados miembros en lo referente a medidas como el distanciamiento social y el confinamiento, y iii) obtener información de cara a una estrategia coordinada para la salida de la crisis de la COVID-19.
Sin perjuicio de sus competencias en el ámbito de la salud pública, los Estados miembros deben adoptar estas medidas urgentemente y en estrecha coordinación entre sí, con la Comisión y con otras partes interesadas, garantizando que toda medida adoptada sea conforme con el Derecho de la Unión, en particular el Derecho en materia de productos sanitarios y de protección de datos personales, así como los demás derechos y libertades consagrados en la Carta de los Derechos Fundamentales de la Unión.
Criterios para la adopción de los instrumentos
La Comisión considera que será primordial que, a lo largo de este proceso, se respeten todos los derechos fundamentales, en particular la protección de la intimidad y de los datos, la prevención de la vigilancia y la estigmatización. Por lo tanto, sobre estas cuestiones específicas, el conjunto de instrumentos debe:
1) Limitar estrictamente el tratamiento de datos personales a la lucha contra la crisis de la COVID-19 y velar por que los datos personales no se utilicen para otros fines, como la coerción o con fines comerciales;
2) Garantizar la revisión periódica de la necesidad continuada del tratamiento de datos personales para la lucha contra la crisis de la COVID-19 y establecer cláusulas de extinción adecuadas, con el fin de velar por que el tratamiento no se extienda más allá de lo estrictamente necesario para dichos fines;
3) Adoptar medidas para garantizar que, una vez que el tratamiento ya no sea estrictamente necesario, se ponga realmente fin a este y los datos personales correspondientes sean destruidos de forma irreversible, a menos que, en opinión de los consejos de ética y las autoridades de protección de datos, su valor científico al servicio del interés público sea mayor que la repercusión sobre los derechos en cuestión, sujeto a las salvaguardias adecuadas.
A estos efectos, los Estados miembros, representados en la red de sanidad electrónica, han de reunirse inmediatamente, y de manera frecuente en lo sucesivo, con los representantes de la Comisión y del Centro Europeo para la Prevención y Control de Enfermedades.
Así mismo, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos también han de participar estrechamente para garantizar que el conjunto de instrumentos integra los principios relativos a la protección de datos y la protección de la intimidad desde el diseño.
Requisitos para el uso de las aplicaciones móviles relacionadas con la COVID-19
La prioridad principal del conjunto de herramientas ha de ser un enfoque paneuropeo para las aplicaciones móviles relacionadas con la COVID-19, que deben desarrollar conjuntamente los Estados miembros y la Comisión, a más tardar el 15 de abril de 2020.
Este enfoque consistirá en lo siguiente:
1) Unas Especificaciones que garanticen la eficacia de las aplicaciones móviles de información, alerta y rastreo para combatir la COVID-19 desde el punto de vista médico y técnico;
2) Medidas para prevenir la proliferación de aplicaciones que no sean compatibles con el Derecho de la Unión, desarrollar los requisitos de accesibilidad para las personas con discapacidad y propiciar la interoperabilidad y la promoción de soluciones comunes, sin excluir una eventual aplicación paneuropea;
3) Mecanismos de gobernanza aplicables por las autoridades públicas sanitarias y cooperación con el ECDC;
4) La identificación de buenas prácticas y mecanismos para el intercambio de información sobre el funcionamiento de las aplicaciones, así como
5) El intercambio de datos con los organismos públicos epidemiológicos y las instituciones públicas de investigación en el ámbito de la salud pertinentes, incluidos los datos agregados al ECDC.
Intimidad y la protección de datos derivados del uso de las aplicaciones móviles
La Comisión subraya que los principios de protección de la intimidad y de los datos han de guiar la elaboración del conjunto de instrumentos. Por ello, en lo que atañe específicamente al uso de aplicaciones móviles de alerta y prevención sobre la COVID-19, deben respetarse los principios siguientes:
1) El establecimiento de salvaguardias que garanticen el respeto de los derechos fundamentales y eviten la estigmatización, en particular las normas aplicables en materia de protección de los datos personales y la confidencialidad de las comunicaciones;
2) La preferencia por el uso de las medidas menos intrusivas pero eficaces, como el uso de datos de proximidad y evitar el tratamiento de datos relativos a la localización o los movimientos de personas, así como el uso de datos anonimizados y agregados cuando sea posible;
3) El establecimiento de requisitos técnicos relativos a las tecnologías adecuadas (por ejemplo, Bluetooth de baja energía) para establecer la proximidad del dispositivo, el cifrado, la seguridad de los datos, el almacenamiento de datos en el dispositivo móvil, el posible acceso de las autoridades sanitarias y el almacenamiento de datos;
4) La adopción de requisitos de ciberseguridad efectivos para proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos;
5) La expiración de las medidas adoptadas y la supresión de los datos personales obtenidos a través de estas medidas a más tardar cuando se declare que la pandemia se encuentra bajo control;
6) La carga de datos de proximidad en caso de contagio confirmado y métodos adecuados de alerta a las personas que hayan estado en estrecho contacto con la persona contagiada, que seguirá manteniendo el anonimato, así como
7) Requisitos de transparencia sobre la configuración de privacidad para garantizar la confianza en las aplicaciones.
Utilización de datos de movilidad
La segunda prioridad del conjunto de herramientas ha de ser un enfoque común respecto del uso de los datos agregados y anonimizados de movilidad necesarios para:
1) Modelizar, a fin de cartografiar y predecir la propagación de la enfermedad y su incidencia en las necesidades de los sistemas sanitarios de los Estados miembros, como, por ejemplo, las unidades de cuidados intensivos en los hospitales y los equipos de protección individual, y
2) Optimizar la eficacia de las medidas para contener la propagación de la COVID-19 y hacer frente a sus efectos, en particular el confinamiento (y el desconfinamiento), así como para obtener y utilizar dichos datos.
Este enfoque debe incluir:
a) La aplicación de salvaguardias para prevenir la desanonimización y evitar la reidentificación de personas, en particular garantías de unos niveles adecuados de seguridad de los datos y seguridad informática, y evaluación de los riesgos de reidentificación en caso de que los datos anonimizados se pongan en correlación con otros datos;
b) La supresión inmediata e irreversible de todos los datos tratados accidentalmente que permitirían identificar a las personas, y notificación a los proveedores de datos, así como a las autoridades competentes, de este tratamiento accidental y de la supresión de los datos;
c) La supresión de los datos, en principio, tras un período de 90 días o, en cualquier caso, a más tardar cuando la pandemia se declare bajo control, y
d) La restricción del tratamiento de los datos exclusivamente a los fines antes mencionados, y exclusión del intercambio de datos con terceros.
Al elaborar este enfoque, los Estados miembros, representados en la red de sanidad electrónica, que se coordinará con el Comité de Seguridad Sanitaria, la Red Epidemiológica, el ECDC y, en caso necesario, la Agencia de la Unión Europea para la Ciberseguridad (ENISA), deben intercambiar las mejores prácticas sobre el uso de los datos de movilidad, compartir y comparar la modelización y las previsiones sobre la propagación del virus, y controlar la repercusión de las medidas destinadas a limitar su propagación.
A más tardar el 31 de mayo de 2020, los Estados miembros deberán informar a la Comisión acerca de las medidas adoptadas con arreglo a la presente Recomendación.