Protección de Datos PersonalesAplicaciones de notificación de exposición: The BIOS app vs Apple/Google API (III) Adalid Medrano - Abogado especialista en derecho informático - Costa Rica.

La tecnología es cada día más importante en nuestras vidas, los avances en la ciencia y la tecnología son increíbles, por lo que no deja de  sorprendernos que las medidas sanitarias para luchar contra COVID-19, que utilizan nuestras autoridades y muchas en el mundo, siguen pareciéndose demasiado a las que se pudieron tomar hace un siglo con la mal llamada “gripe española”.  De la misma forma como hemos aprendido a no llamar un virus por su origen y no generar así actos discriminatorios  -aunque Trump no recibiera el memo-, tendríamos que estar utilizando la mejor tecnología para luchar contra una despiadada pandemia que está arrasando nuestras economías y tomando cada día que pasa más vidas.

Por lo anterior, es que considero que nuestro país debe dar un paso adelante en el uso de aplicaciones de notificación de exposición para ayudarle al ciudadano a medir su riesgo en sus interacciones, de esta forma darle datos sobre cada cuánto incumple el distanciamiento social y que de forma privada pueda tomar decisiones.

Desde mi perspectiva, no tenemos que ceder en privacidad y poner en riesgo nuestra democracia para luchar contra la pandemia con medios tecnológico y como  lo relaté en los dos artículos anteriores, la única opción viable en nuestro país es un sistema descentralizado donde las autoridades no conozcan quién fue notificado por un incidente de riesgo, ni pueda saber quiénes son los contactos de este, ya que si se recopilara esta información, podría convertirse en una oportunidad para la vigilancia gubernamental.

En esa línea, hay dos opciones que pueden analizarse en nuestro país:

1. Aplicación gubernamental que usa el API de Apple y Google: este sistema funciona utilizando la tecnología de Bluetooth y permite que dos personas  que tienen el app instalado, intercambien códigos generados aleatoriamente que sirven como prueba de interacción y las alojan en sus respectivos dispositivos. Por otro lado, a partir de la segunda etapa, los sistemas operativos vendrán con el sistema pre-instalado, por lo que si la persona lo acepta, puede intercambiar códigos anónimos, aun cuando todavía no haya instalado la aplicación gubernamental y estos códigos no son transmitidos a ningún servidor salvo un evento de infección.

Una vez que uno de los dos es diagnosticado con Covid-19, con el consentimiento del usuario, sube los códigos de los últimos 14 días, por lo que la otra persona que estuvo en contacto al descargar los códigos anónimos que están vinculados con la persona infectada, puede cotejarla con su base de datos que tiene en el dispositivo y se le aparece alguno de esos códigos significa que tuvo un contacto de riesgo, por lo que debe ser notificado por la autoridad.

Para mayor claridad puede verse este gráfico que explica cómo funciona la tecnología.

1.1 ¿Protege la privacidad del ciudadano?

Sí, a diferencia de los sistemas centralizados, la autoridad de salud no puede saber quiénes han recibido una notificación de riesgo, por lo que la notificación únicamente le sirve al individuo para medir el riesgo al que se ha enfrentado.

1.2 ¿Protege al usuario de gobiernos que quieran ser vigilantes?

Sí, las aplicaciones gubernamentales, que tienen control sobre el código,  para usar este API deben cumplir criterios básicos sobre privacidad, seguridad y control de los datos. En este sentido, las aplicaciones gubernamentales no pueden obtener la ubicación del usuario, ya que esto permitiría que el gobierno pueda saber los movimientos de los ciudadanos lo que podría tener nefastas consecuencias para la democracia de un país. 

1.3 ¿Dónde se aloja la información de los usuarios?

Los códigos aleatorios se alojan en el dispositivo y si se da un efecto de infección, los códigos se suben al servidor en control de las autoridades, para que otros usuarios puedan descargarlas y verificar si han estado en contacto con otras personas. Estos códigos aleatorios no pueden identificar a una persona, aunque se encuentren en un servidor gubernamental.

1.4 ¿El servidor almacena las direcciones IP de los usuarios?

No encontré información sobre esto en los documentos que son públicos.  Sin embargo, bajo este sistema hasta donde se sabe los usuarios tendrían contacto con los servidores únicamente cuando suben los códigos en casos de un evento de infección.

1.5 ¿Apple y Google acceden a mi información personal con este sistema?

No, con este sistema no. Las empresas tecnológicas no recopilan información del usuario vinculada con los eventos de infección o la ubicación generada con la aplicación.  Sin embargo, debe tomar en cuenta que Apple y Google a nivel de sistema operativo, sí le solicitan permiso para acceder a su ubicación precisa y en el caso de Google en conjunto con otras fuentes lo hacen de una forma muy precisa, pero que con este tipo de aplicaciones que usen su API no se les permite acceder a la ubicación, lo que transmite confianza  a la población.

1.6 ¿Se pueden seguir las trayectorias de los usuarios?

No, de la forma como está creado el sistema no se pueden seguir trayectorias de los usuarios ya que los códigos aleatorios no identifican al individuo, ni tampoco ubicación alguna.

1.7 ¿Se pueden reconstruir los contactos de una persona través de este sistema?

No, los códigos que se intercambian entre individuos no permiten reconstruir las interacciones de una persona ya que cada código que se comparte va cambiando con el tiempo y no está construido de forma que pueda identificar al usuario, ni a sus contactos

1.8 ¿Se borran los datos después de que dejen de ser útiles para el propósito que fueron recolectados? 

No encontré información sobre este tema en la información oficial. Aunque como se ha indicado, la información en los servidores no permite identificar individuos, aunque es posible que recolecten las direcciones IP de los usuarios, como se mencionó arriba.

1.9 De ser adoptada por las autoridades ¿la instalaría en el teléfono inteligente?

Sí la instalaría, ya que al ser un sistema creado por Apple y Google para que los gobiernos no tengan acceso a más datos de los necesarios, transmite confianza.

Con respecto a las aplicaciones tecnológicas ya recopilan importante información sobre nosotros por lo que la preocupación no está por ese lado.


2. The BIOS APP:  este sistema es de una empresa canadiense llamada Micron Digital, el cual se está presentando en nuestro país recientemente
quienes aprovecharon tecnologías que habían desarrollado tras 5 años de investigación que permite proteger la privacidad de los usuarios, al mismo tiempo que presenta datos estadísticos a las autoridades.

Al igual que el sistema anterior, se basa en el consentimiento del usuario, quien al instalar la aplicación debe establecer una clave segura  -la cual no podrá restablecer si la llega a perder y deberá iniciar de cero – y a partir de ese momento el sistema se encargará de medir el distanciamiento social en las interacciones del individuo, generar tokens anónimos de las interacciones inferiores al distanciamiento social establecido por las autoridades.

Estos tokens anónimos se suben a un servidor controlado por las autoridades de salud y representan la interacción en un radio de 20-30 km, lo que no permite identificar individuos o interacciones, pero sí le permite a las autoridades obtener información estadística sobre las conductas de riesgo, relacionadas con el distanciamiento social, en diferentes zonas del país. Por ejemplo, se podría saber que en qué cantones y qué horas se respeta más el distanciamiento social, lo que deberá ser tomado en cuenta para establecer las alertas sanitarias.

Al mismo tiempo, al usuario se le presenta información estadística que le permite establecer si ha tenido muchas interacciones de riesgo  (distancias menores al distanciamiento social) y eventualmente avisarle si una de esas interacciones ha sido con una persona infectada con Covid-19 -sin identificar a esta-.

Si un usuario es diagnosticado con Covid-19, su estado se le activa en la aplicación, para que sus tokens anónimos de interacción de los últimos 14 días  se suban de forma anónima y puedan ser descargados  de forma automática  para que BIOS en el dispositivo del usuario pueda cotejar si corresponde a alguno que tenga en su base de datos interna.

Los usuarios que estuvieron en contacto riesgoso con una persona infectada son notificados,  se le abre un formulario para que decida si quiere dar sus datos para establecer una comunicación con las autoridades, pero este puede rechazar esta petición y seguir usando el app como un sistema para medir el riesgo de sus interacciones diarias (al igual que el sistema anterior las autoridades no saben qué personas han rechazado ponerse en contacto, pero sí cuentan con datos estadísticos). Para mayor claridad puede verse este gráfico que explica cómo funciona la tecnología.

2.1 ¿Es respetuoso de la privacidad este sistema?

Sí, a diferencia de los sistemas centralizados, la autoridad de salud no puede saber quiénes han recibido una notificación de riesgo, por lo que la notificación únicamente le sirve al individuo para medir el riesgo al que se ha enfrentado. A diferencia del sistema anterior, el usuario sí sube un token que representa una interacción de riesgo que tuvo que se representará en un mapa como un punto de 20-30 km de distancia, lo que no incluye datos que identifiquen a la persona, ni los dispositivos que participan en la interacción.

El sistema utiliza tecnología patentada (GEOSHASH) y protocolos criptográficos con el fin de poder compartir datos estadísticos sobre ubicación, proteger la privacidad del individuo y borrar la información una vez ya no es útil para el propósito para el que fue recolectada.

2.2 ¿Protege al usuario de gobiernos que quieran ser vigilantes?

Sí, Micron Digital creó BIOS de tal forma que para un gobierno no sea posible recopilar las ubicaciones de ciudadanos, sus contactos y sus trayectorias. El gobierno en este caso no tiene el control del código, porque este es propiedad intelectual de la empresa canadiense.

2.3 ¿Dónde se aloja la información de los usuarios?

Los datos anónimos se encuentran en control de las autoridades de salud, quien puede establecer medidas de seguridad que se aseguren que ningún actor no autorizado se apropiará de los datos, los cuales aunque sean robados no tienen ninguna función útil, ya que en el formato que se encuentran no pueden ser utilizados ni con fines estadísticos.

2.4 ¿El servidor almacena las direcciones IP de los usuarios?

No, en los servidores en control de las autoridades  no se recopila esta información  y mucho menos relacionada con tokens anónimos, ya que esto podría debilitar la privacidad de los usuarios.

2.5 ¿BIOS recopila mi información personal con este sistema?

No, la empresa canadiense es una empresa de hardware/software, le cobrarían al gobierno por sus servicios y según me han manifestado de forma contundente no les interesa recopilar datos de ningún tipo, pero además tienen muy claro las implicaciones penales y civiles que esto conlleva.

Como los servidores se encontrarán en control del gobierno, este se puede asegurar que esta información no salga de su control. Aunque como se ha manifestado, no es mucho lo que podrían hacer con esta información.

2.6 ¿Se pueden seguir las trayectorias de los usuarios o establecer sus contactos?

Como el sistema genera tokens anónimos de interacción, los cuales tienen una firma distinta para cada una – aunque los mismos dispositivos se encuentren múltiples veces en el mismo lugar – hace que sea imposible usarse para recopilar trayectorias de usuarios o encontrar sus contactos..

2.7 ¿Se borran los datos después de que dejen de ser útiles para el propósito que fueron recolectados? 

, el sistema está creado para que la información sea borrada de forma automática, una vez haya cumplido su propósito.  Esta información la decidirán las autoridades de Salud y deberá ser de conocimiento público.

2.8 ¿Si yo no uso el app y alguien con BIOS escanea una interacción con mi dispositivo el gobierno puede saber dónde estuve?

No,  el código que se genera de la interacción no permite identificar a su dispositivo, ni a usted. El token anónimo de interacción que se genera es algo así: SITqW3b, lo que no permite reconstruir la información de los dispositivos que interactuaron, pero sí generar datos estadísticos útiles para las autoridades.

2.9 De ser adoptada por las autoridades ¿la instalaría en el teléfono inteligente?

, ya que no me genera dudas con respecto a que va a ser utilizada por el gobierno para vigilarnos.

Conocí la tecnología de la empresa ya que me contrataron un análisis legal sobre el funcionamiento su funcionamiento en el país, lo que me ha permitido conocer la documentación técnica y sobre la filosofía de la empresa.

En ese sentido, la empresa no solo ya ha desarrollado un hackaton internacional para probar la seguridad de su tecnología, sino que piensan organizar otro en el que podrán participar expertos nacionales, lo que da confianza de que la empresa se toma la seguridad en serio, no solo en el cumplimiento legal sino con respecto a la ciberseguridad.


¿Son legales estos sistemas?

Ambos sistemas se basan en el consentimiento del usuario, ya que se requiere que el usuario decida participar en el sistema y  en el caso de BIOS que registra interacciones con otros dispositivos, se debe decir que el mismo se hace para fines estadísticos, garantizándole al usuario que no podrá ser identificado por las autoridades, ni por otros usuarios.

Sobre el tema legal haré un artículo más adelante, para no hacer todavía más extenso el actual.

¿Podrían ser cualquiera de estas dos opciones la próxima UPAD?

Sin lugar a dudas, no. Cualquiera de las dos opciones que elija el gobierno, le pueden dar tranquilidad al ciudadano con respecto a la protección de su privacidad.

Lo que sí hay que decir que el sistema centralizado que se analizó en el artículo anterior, sí podía presentar peligros graves con respecto a la privacidad y todavía más si se quisiera proponer la compartición de las ubicaciones que tienen las empresas de telecomunicaciones cada vez que nos conectamos con ellos.  Por esto, es que ni siquiera lo analizo como una opción en este artículo y solo se analizan las opciones que sí respetan la privacidad del usuario.

¿Cuál de las dos tecnologías es mejor?

Como se ha podido desarrollar, ambas soluciones tecnológicas tienen importantes salvaguardas para proteger la privacidad del ciudadano, por lo que lo que hace la diferencia son los elementos más vinculados con factores que influyen de forma directa en cómo combatir la pandemia:

1- Porcentaje de adopción: Cada sistema puede requerir que un porcentaje de la población instale la aplicación para ser efectivo.

En este sentido, de acuerdo a la información disponible, se dice que sistemas de rastreo de contactos como el que permiten Apple y Google con su API, requieren un 60% de adopción para ser efectivos, aunque se afirme que con un porcentaje menor puede ofrecer algún tipo de ayuda. 

The BIOS APP por otro lado, de acuerdo a sus investigaciones, indica que requiere entre un 10-20% de adopción para ser efectivo. Esto es así, porque el sistema sí mide distanciamiento social con dispositivos que no tengan el app instalado, lo que enriquece las bitácoras de interacciones riesgosas, al mismo tiempo que  brinda datos estadísticos que pueden servir para la toma de decisiones de política pública.

2. Datos estadísticos sobre interacciones de riesgo: cada sistema puede tener formas de recolectar, o no, datos estadísticos para el uso de la pandemia.

Las aplicaciones gubernamentales que usen el API de Apple y Google no generan datos estadísticos y las autoridades no saben ni cuántas personas están recibiendo notificaciones. En el caso de Uruguay, duraron 36 días para que se dieran las primeras notificaciones a usuarios de interacciones de riesgo.

En el caso de BIOS, desde el día 1 está generando datos estadísticos que pueden ser utilizados por las autoridades para medir qué nivel de cumplimiento se está dando en zonas con un área de 20-30 km. En estos casos, las autoridades cada 24 horas se les indica, por zonas, cuáles horas se generaron más interacciones riesgosas y en cuáles las más seguras. Por lo que si los ciudadanos instalan la aplicación de forma masiva en una zona, tendrían cómo probarle a la autoridad sanitaria que se cumplen con las medidas. Este tipo de información sería importantísima como un factor adicional para incorporar para decretar una zona con alerta amarilla, naranja o roja, lo que da facilidades para permitirle operar a los comercios.

3. Medición de distanciamiento social: cada sistema utiliza tecnologías para medir la distancia entre dispositivos y su precisión dependerá de la tecnología que utilice.

En este sentido las aplicaciones que usan el API de Apple y Google usan Bluetooth para medir la distancia entre dispositivos y así determinar un riesgo, pero esta tecnología no fue pensada para medir distancias lo que genera muchos falsos positivos.

Por otro lado, BIOS utiliza diversas fuentes para medir la distancia de forma más precisa, lo que hace que como sistema de medición de distanciamiento social sea superior ya que fue creada para hacerlo de forma efectiva, al mismo tiempo que protege la privacidad, lo que le da más herramientas no solo al usuario sino que a las autoridades al obtener datos estadísticos más fiables. 

Conclusión: 

Con base en las tres variables mencionadas junto con toda la información que se ha analizado en este artículo me parece que BIOS sí es mejor solución, ya que es la única que además le permite acceso a las autoridades a información estadística que podrían crear una estrategia para derrotar una pandemia que está destruyendo nuestra economía y está cobrando muchas vidas.

Como lo indicó la doctora María Luisa Ávila en su artículo de ayer, la estrategia actual debe replantearse:

“La estrategia de el Martillo y la Danza, parecía una buena alternativa, sin embargo, los efectos colaterales de la misma hacen necesario replantear la estrategia y adaptarla considerando las variantes epidemiológicas, sociales, políticas y económicas del país

Y me parece que los datos y la ayuda que pueden dar este tipo de aplicaciones puede resultar esencial para mitigar los efectos de la pandemia en nuestro país.

Me parece sano que el debate inicie y que se escoja la mejor opción para nuestro país.

Quedo atento a sus comentarios.

Leer los artículos anteriores sobre este tema:

I. El camino hacia la protección de la privacidad en Costa Rica. 
III. Aplicaciones de notificación de exposición: Sistema centralizado vs descentralizado (II)

José Adalid Medrano Melara

Abogado especialista en derecho informático, conferencista internacional, consultor y capacitador sobre ciberdelincuencia, ciberseguridad y protección de datos personales. Co-redactor de las reformas al Código Penal costarricense sobre delitos informáticos ( Leyes № 9048 y № 9035) y del más reciente proyecto de ley de lucha contra la Ciberdelincuencia (Proyecto № 21187).

Leave a Reply

Your email address will not be published. Required fields are marked *