Carlos B Fernández. La posibilidad de disponer de medios tecnológicos para controlar el avance de la pandemia de COVID19 ha sido objeto de intensos debates a lo largo de los últimos días. El recelo que levanta la gestión masiva de datos por parte de entidades privadas o públicas, especialmente cuando son tan sensibles como los relativos a la salud, es evidente. Pero la urgencia de la situación reclama aplicar sin tardanza todos los medios técnicos y científicos disponibles para detener la enfermedad.
Y a este respecto, la opinión de los expertos consultados es coincidente: las normas en protección de datos son “compatibles y conciliables” con otros derechos fundamentales e intereses públicos, como son la protección de la salud de los ciudadanos, especialmente en casos de epidemia y siempre asegurando el respeto a los derechos y libertades de los ciudadanos.
Después de que diversas autoridades autonómicas hayan lanzado diversas aplicaciones informáticas para el diagnóstico de la enfermedad, el gobierno central ha fijado sus propias pautas.
La Orden SND/297/2020, de 27 de marzo (LA LEY 4276/2020) (BOE del 28), que encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19), autoriza el desarrollo de soluciones tecnológicas y aplicaciones móviles para la recopilación de datos con el fin de mejorar la eficiencia operativa de los servicios sanitarios, así como la mejor atención y accesibilidad por parte de los ciudadanos.
En concreto, la norma plantea el desarrollo de una app, un chatbot y una página web, además de la realización de un estudio por geoposicionamiento de la evolución de la enfermedad.
Una app, un chatbot y una página web
El punto primero de la Orden encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital:
1. El desarrollo urgente y operación de una aplicación informática (app) para el apoyo en la gestión de la crisis sanitaria ocasionada por el COVID-19.
Esta aplicación debe permitir, al menos:
a. Realizar al usuario la autoevaluación en base a los síntomas médicos que comunique, acerca de la probabilidad de que esté infectado por el COVID-19,
b. Ofrecer información al usuario sobre el COVID-19 y proporcionarle consejos prácticos y recomendaciones de acciones a seguir según la evaluación.
La aplicación puede incluir dentro de sus contenidos enlaces con portales gestionados por terceros con el objeto de facilitar el acceso a información y servicios disponibles a través de Internet.
c. La aplicación debe permitir también la geolocalización del usuario a los solos efectos de verificar que se encuentra en la comunidad autónoma en que declara estar.
La Orden precisa que esta aplicación no constituirá, en ningún caso, un servicio de diagnóstico médico, de atención de urgencias o de prescripción de tratamientos farmacológicos, ni su utilización sustituirá en ningún caso la consulta con un profesional médico debidamente cualificado.
Por otra parte, el responsable del tratamiento será el Ministerio de Sanidad y el encargado del tratamiento y titular de la aplicación será la Secretaría General de Administración Digital. El Ministerio de Sanidad, como responsable del tratamiento, autoriza a la Secretaría General de Administración Digital a recurrir a otros encargados en la ejecución de lo previsto en este apartado.
2. El desarrollo de un asistente conversacional/chatbot para ser utilizado vía whatsapp y otras aplicaciones de mensajería instantánea.
Este asistente proporcionará información oficial ante las preguntas de la ciudadanía. El diseño estará basado en información oficial del Ministerio de Sanidad.
El responsable del tratamiento será el Ministerio de Sanidad y el encargado del tratamiento y titular del chatbot será la Secretaría de Estado de Digitalización e Inteligencia Artificial a través de la Subdirección General de Inteligencia Artificial y Tecnologías Habilitadoras Digitales.
3. El desarrollo de una web informativa con los recursos tecnológicos disponibles.
Análisis de la movilidad de las personas en los días previos y durante el confinamiento
En su punto Segundo, la Orden encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial la realización de un estudio de la movilidad de las personas en los días previos y durante el confinamiento.
Este estudio deberá seguir “el modelo emprendido por el Instituto Nacional de Estadística en su estudio de movilidad y a través del cruce de datos de los operadores móviles, de manera agregada y anonimizada”.
Para la ejecución de este estudio, la Orden establece que se velará por el cumplimiento de lo establecido en el Reglamento general de protección de datos (LA LEY 6637/2016), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018) y los criterios interpretativos dados por la Agencia Española de Protección de Datos.
El responsable del tratamiento será el Instituto Nacional de Estadística. Los encargados del tratamiento serán los operadores de comunicaciones electrónicas móviles, con los que se llegue a un acuerdo. El Instituto Nacional de Estadística, como responsable del tratamiento, autoriza a los operadores a recurrir a otros encargados en la ejecución de lo previsto en este apartado.
Se trata de una norma que, como indica Leandro Núñez, socio de Audens, se basa en la Ley Orgánica 3/1986 (LA LEY 924/1986), que se aprobó en su momento para permitir reaccionar al Estado "cuando así lo exijan razones sanitarias de urgencia o necesidad", como epidemias o graves contaminaciones, y proteger mejor la salud de la población en este tipo de situaciones. Y es evidente, añade, que estamos en una de esas emergencias, por lo que esta Ley sirve de soporte para llevar a cabo el tratamiento de datos que prevé la app, con el interés público como base de legitimación. A partir de ahí, quienes desarrollen la aplicación deberán aplicar los principios de privacidad previstos en la normativa, e integrarlos en su funcionamiento (es lo que se conoce como “protección de datos desde el diseño y por defecto”).
Sin embargo, explica Alejandro Padín, abogado socio de Garrigues, “aunque todas las líneas de trabajo están relacionadas con el uso de la tecnología, el uso y tratamiento de datos personales es muy limitado, ya que solo se usan datos anonimizados, o bien datos de geolocalización para confirmar la ubicación del usuario de una app. No se contempla el uso de datos de geolocalización o geotracking. Se designa a la SEDIA como punto central de coordinación para cualquier desarrollo relacionado con esta materia y se establece que, en todo caso, deberá cumplirse la normativa de protección de datos y las directrices de la Agencia Española de Protección de Datos”.
Innovación en salud y privacidad son compatibles y complementarios
En relación con el tema de fondo, Javier Fernández-Samaniego, socio-director de Samaniego Law, recuerda, en primer lugar, que si bien el Considerando 4 RGPD establece que “el tratamiento de datos personales debe estar concebido para servir a la humanidad”, también añade que “el derecho a la protección de los datos personales no es un derecho absoluto sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad”.
Y como añade Leandro Núñez, “en estos momentos, en los que la contención de la Covid-19 debe ser absolutamente prioritaria, las iniciativas surgidas desde las instituciones para emplear medios tecnológicos que contribuyan a prevenir contagios, salvar vidas y optimizar el funcionamiento sistema sanitario de nuestro país merecen todo nuestro apoyo.” Este experto subraya que “el derecho a la vida es el más básico de todos los derechos fundamentales”, y que la privacidad “no tiene sentido si no se puede garantizar la integridad física y moral de los individuos, por lo que, de entrada, mi opinión es favorable a este tipo de iniciativas”.
En palabras de Lorena Pérez Campillo, abogada y consultora experta en privacidad en el ámbito de la salud, el mensaje que hay que dejar claro es que “las normas en protección de datos son “compatibles y conciliables” con otros derechos fundamentales e intereses públicos”. No podemos caer en el error de desincentivar el impulso tecnológico y social de solidaridad, que está provocando que en estos momentos de urgencia, “muchas iniciativas tecnológicas se están viendo frenadas por la presión, el desconocimiento y rigidez de la norma”. Pérez Campillo menciona a este respecto aplicaciones como “#EscudoSanitario”, impulsada y desarrollada por el Dr. Pérez-Mañanes del Hospital Gregorio Marañón de Madrid, orientada al control de la salud del personal sanitario (médicos, enfermeros, auxiliares,ect..), controlando si cuentan con EPIS, si tienen síntomas y su geolocalización. Esta aplicación se está encontrando con la dificultad de que, incluso contando con un equipo de expertos de protección de datos que les asesora, le está siendo difícil encontrar a quien se responsabilice como responsable del tratamiento.
La necesidad de garantizar el derecho a la privacidad
Ahora bien, como añade Leandro Núñez, todas las medidas que se adopten en este sentido deben buscar igualmente la mínima afectación a los demás derechos fundamentales protegidos por nuestro ordenamiento, entre los que se encuentra la protección de datos: los expertos en este área debemos permanecer atentos y vigilantes, pero siempre con responsabilidad, evitando generar alarma y contribuyendo a que estas iniciativas puedan salir adelante.”
Y Javier Fernández-Samaniego precisa el alcance de las medidas que de modo imperativo y en la mejor medida posible, se deben adoptar para la protección de ese derecho por parte de los responsables designados en la Orden (Ministerio de Sanidad e INE respectivamente).
En concreto y por lo que se refiere al análisis de la movilidad de las personas en los días previos y durante el confinamiento del que se ha hecho responsable al INE, es crucial que, como dice la norma, el cruce de datos de los operadores móviles se haga de manera agregada y anonimizada. Pero, además, considera imprescindible que no se omita la preceptiva realización de la evaluación de impacto relativa a la protección de datos que exige el art. 35 RGPD (LA LEY 6637/2016). Esta evaluación deberá incluir como mínimo: a) una descripción sistem ática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento; b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad; c) una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.
Pero este experto considera necesario que, de forma simultánea, se formule consulta previa a la Agencia Española de Protección de Datos y se tenga en todo momento presente el asesoramiento que presta la Agencia a la que se refiere el art. 36 RGDP. De hecho, el propio RGPD dejaba ya previsto que la legislación nacional de los estados Miembros tuviera que recabar su autorización previa en relación con el tratamiento por un responsable en el ejercicio de una misión realizada en interés público, en particular el tratamiento en relación con la protección social y la salud pública.
Y lo mismo cabe predicar del desarrollo de soluciones tecnológicas y aplicaciones móviles para la recopilación de datos con el fin de mejorar la eficiencia operativa de los servicios sanitarios, así como la mejor atención y accesibilidad por parte de los ciudadanos. Respecto de estos desarrollos también deben tenerse en cuenta esas medidas de responsabilidad activa que exige la Ley de Protección de Datos y el RGPD (evaluaciones de impacto y consulta a la AEPD).
Sin embargo, Lorena Pérez Campillo recuerda que los datos anónimos, en vigilancia epidemiológica, no están cubiertos por los requisitos de protección de datos. Ya lo señalan, “el uso de información de localización agregada para indicar los movimientos de las personas que se alejan de una zona gravemente afectada (en términos de número de personas positivas para COVID-19) no se vería impedido por los requisitos de protección de datos”.