El coronavirus y la app Cuidar: ¿están protegidos nuestros datos?

Última actualización: 30/05/2020.

Desde el comienzo de la pandemia por la COVID-19 surgieron numerosas iniciativas de los Estados para utilizar las tecnologías de la información en favor de la crisis sanitaria. En nuestro país, la herramienta se llama Cuidar y le permite al Estado recopilar información sanitaria sobre los ciudadanos que la descargan en sus celulares.

Cinco organizaciones llevan adelante un proyecto para aclarar asuntos legales en el contexto de pandemia. Son el Centro de Derechos Humanos de la Facultad de Derecho UBA, Universidad Torcuato Di Tella (UTDT), Asociación Civil por la Igualdad y la Justicia (ACIJ), Centro para la Implementación de Derechos Constitucionales (CIDC) y el Centro de Estudios de Libertad de Expresión y Acceso a la Información de la Facultad de Derecho de la Universidad de Palermo (CELE-UP). Aquí, publicamos su análisis sobre esta aplicación.

Cuidar

En la Argentina, el tema apareció públicamente en marzo con la Decisión Administrativa 432/2020 del Gobierno nacional que reconoció la necesidad de “hacer uso de la tecnología con el fin de facilitar a las autoridades argentinas el cuidado de la población en su totalidad”. En esa decisión, instó a la Dirección Nacional de Migraciones (DNM) a requerir la utilización de la aplicación “COVID 19-Ministerio de Salud” -luego actualizada y renombrada como “Cuidar”- a los viajeros que regresen al país desde el exterior. Esto fue efectivizado 2 días después por la DNM, que dispuso su obligatoriedad para los repatriados. Estas regulaciones están respaldadas por la emergencia sanitaria.

Desde sus inicios, la app fue promocionada como una aplicación de autodiagnóstico para el público en general, a voluntad de aquellos interesados en un diagnóstico rápido y una alerta temprana a las autoridades sanitarias. Desde esta semana, además, es posible tramitar el permiso de circulación para trabajadores esenciales a través de la app.

Al descargar esta aplicación, el usuario responde un cuestionario sobre su estado de salud y síntomas compatibles con el virus, para luego recibir un diagnóstico, además de instrucciones en caso de ser necesarias. Al aceptar los términos y condiciones de servicio, el usuario proveerá voluntariamente su nombre completo, DNI, CUIT/CUIL, fecha de nacimiento, domicilio, género, correo electrónico, datos sobre el dispositivo y de manera automática la app registra los datos de geolocalización, aunque esto último puede ser desactivado por el usuario.

La cuestión se tornó confusa cuando el presidente de la Nación, Alberto Fernández, el 8 de mayo último señaló por cadena nacional que “todo el que vuelva a trabajar” tendrá la obligación de descargarla. Esto, en palabras del Presidente, permitiría a los funcionarios “hacer un seguimiento de la persona en lo que hace a su calidad sanitaria”. A raíz de algunas críticas de especialistas, la secretaria de Innovación Pública de la Nación, Micaela Sánchez Malcolm, se reunió con el equipo de ciberseguridad y políticas de datos de la mesa nacional de Juntos por el Cambio y con la diputada Karina Banfi (UCR), quienes le acercaron algunas objeciones y sugerencias técnicas para modificar y mejorar la aplicación.

El 23 de mayo último se señaló nuevamente la obligatoriedad de la medida y el gobernador de la Provincia de Buenos Aires, Axel Kicillof, lo indicó específicamente para su jurisdicción. Según confirmaron a Chequeado desde el Ministerio de Salud porteño, la app también será obligatoria en la Ciudad.

Sin embargo, el gobernador bonaerense salió este sábado, 30 de mayo, a realizar aclaraciones: “Los permisos [de circulación] son obligatorios en la Provincia, por supuesto. Nosotros vamos hacia la obligatoriedad de la app, pero para eso hace falta, por lo que estuvimos viendo, algunos ajustes, porque hay algunos teléfonos en los que no se pueden conectar y cosas por el estilo. Por lo tanto, vamos en un futuro a que la app sea obligatoria. Ese es el objetivo”, dijo en un reportaje que le concedió a Radio Provincia.

Kicillof sostuvo que “la app, para los que la pueden cargar y ejecutar, es realmente práctica, cómoda y permite la renovación de los permisos” y prometió que “va a tener muchísimas funcionalidades que van a servir a todo el trabajo epidemiológico con la pandemia”. Insistió en que sí es obligatorio el permiso de circulación y que, en caso de no hacerlo mediante la app, “se puede obtener también en la página web“.

En cambio, en el Gobierno de la Ciudad todavía no aclararon si la app Cuidar ya es obligatoria en este distrito o si, como sostuvo Kicillof, es por ahora tan solo un objetivo.

Marco normativo

En la Argentina, el derecho a la privacidad está previsto en los artículos 18 y 19 de la Constitución nacional. Varios tratados internacionales de derechos humanos con jerarquía constitucional desde 1994 en nuestro país tienen implicancias en términos de privacidad y datos personales, como el Pacto Internacional de Derechos Civiles y Políticos y la Convención Americana sobre Derechos Humanos.

El tratamiento de datos personales está regulado por la Ley 25.326 de Protección de Datos Personales (LPDP), aplicable tanto a organismos públicos como privados. Los datos relativos a la salud son considerados “datos personales” y, además, están expresamente mencionados en la definición de “datos sensibles”. Esta categoría de datos refiere a aquellos que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual de las personas.

Los datos sensibles gozan de una protección especial en la ley. Como regla general, ninguna persona puede ser obligada a proporcionarlos. Esta regla tiene 2 excepciones: se los podrá requerir sólo cuando existan razones de interés general autorizadas por ley y se garantice el anonimato de los datos; o bien, cuando se cuente con el consentimiento de su titular para ser utilizados con finalidades estadísticas o científicas. Además, la ley prohíbe su almacenamiento en bancos de datos o registros.

De todas maneras, el consentimiento libre e informado del titular es un requisito obligatorio para el procesamiento de los datos personales en general. Existen excepciones cuando se trate de funciones propias de los poderes del Estado o ante la existencia de una obligación legal. También se prevén excepciones a la exigencia del consentimiento cuando sea necesario por razones de salud pública, de emergencia o para la realización de estudios epidemiológicos, en tanto se preserve la identidad de los titulares de los datos. La forma de cesión de datos que establece la excepción legal es fundamental ya que estos mecanismos de disociación permiten anonimizar los datos y su procesamiento sin atribución a su titular, por lo que el dato deja de ser “personal”.

Al respecto, la Agencia de Acceso a la Información Pública de Argentina advierte que toda información referida a la ubicación o el desplazamiento de las personas constituye, en efecto, un dato personal y que su recolección y tratamiento requiere necesariamente de su adaptación a la ley. En concreto, los datos personales requieren siempre el consentimiento de su titular, salvo que estén anoniminizados. La forma de garantizarlo es a través del uso de mecanismos de disociación de información.

Al día de hoy, 2 aspectos de la app Cuidar podrían resultar problemáticos desde el punto de vista legal. Por un lado, se trata de una aplicación que recoge datos de carácter personal y sensible -por tratarse de datos de salud- y, por el otro, para algunos casos es de uso obligatorio. Por el otro, podría estar sujeta a cuestionamientos en base al principio de legalidad.

Consideraciones para diseño de políticas públicas con uso de tecnologías

Agustina Del Campo, directora del Centro de Estudios de Libertad de Expresión (CELE) de la Universidad de Palermo, afirma que “en el desarrollo e implementación de tecnología es fundamental la inclusión de análisis de derechos humanos. La lógica no puede ser avanzar en los fines, por nobles que sean, a costa de nuestros derechos. Es una falsa dicotomía”.

Desde el CELE proponen una serie de pautas o criterios que deberían tenerse en cuenta a la hora de diseñar políticas públicas en las que se promueve el uso de tecnologías que pueden afectar la protección de datos personales y/o sensibles con el fin de garantizar la plena vigencia de nuestros acuerdos constitucionales:

• Idoneidad de la medida. No está del todo claro que la geolocalización sea un mecanismo eficaz para los fines para los que suele utilizarse. Hay opiniones que cuestionan este tipo de tecnología tanto desde el sector privado como desde la sociedad civil. En este sentido, las medidas excepcionales que se adopten en el contexto de la COVID-19 deberían ser evaluadas periódicamente en cuanto a eficacia, resultados, riesgos e impacto.
• Principio de legalidad. Cualquier limitación al derecho a la privacidad -y libertades fundamentales en general- debe ser autorizada mediante una ley dictada por el Congreso. Debido a su importancia en sociedades democráticas, no es suficiente la emisión de un decreto, resolución o decisión administrativa para restringir los derechos. En este sentido, Eduardo Bertoni, director de la Agencia de Acceso a la Información Pública de Argentina, señaló recientemente que “el tratamiento de datos de salud es una actividad que puede llevarse adelante, valiéndonos o no de herramientas tecnológicas, pero debe hacerse con especial cuidado teniendo en cuenta que la protección de nuestros datos personales es un derecho fundamental incluso ante una pandemia”.
• Necesariedad de las medidas. Cualquier despliegue de tecnologías de geolocalización y de tratamiento de datos en general por parte del Estado requiere que la finalidad esté claramente definida y con un plazo determinado, y que terminada tal “finalidad” que lo amerita cese el derecho a tratarlos.
• Información clara sobre los términos y condiciones. Las personas tienen derecho a saber la finalidad por la que las autoridades adoptaron la medida y en qué términos la llevarán a cabo. Toda la información relativa a las políticas de privacidad también debe estar disponible de manera clara y accesible.
• Consentimiento. En la Argentina, la normativa en materia de protección de datos personales exige el consentimiento del titular. Más aún, en el caso de tratarse de datos sensibles.
• Proporcionalidad. La medida que indique el uso de la app con fines preventivos, deberá limitar el uso de datos de los organismos estatales a su competencia específica. Esta competencia deberá ser interpretada en sentido estricto.
• Preservar la identidad de la persona. La LPDP reconoce ciertas excepciones para el tratamiento de datos de salud justamente por su importancia en determinados escenarios sociales. Sin embargo, exige la preservación de la identidad de la persona mediante mecanismos de disociación adecuados. Esto quiere decir que a través del tratamiento de estos datos no debería ser posible identificar, asociar o individualizar al titular de los mismos.
• Gestión transparente y rendición de cuentas. Existen ciertas limitaciones en cuanto a cómo se comparte la información: (i) entre dependencias públicas entre sí y (ii) con actores no estatales. Al respecto, para compartir datos entre distintas dependencias públicas resultan aplicables los principios de consentimiento y necesariedad. La colección de datos y las bases de datos creadas al efecto deben estar separadas de acuerdo al propósito para el cual la información se recolectó en primer lugar. El Estado debe brindar información sobre cómo se está ejecutando este tipo de tecnologías y demostrar la efectividad de las medidas restrictivas de la privacidad, contribuyendo así a la confianza y el contralor de la sociedad civil.
• Seguridad de los datos. Los Estándares de Protección de Datos Personales de la Red Iberoamericana de Protección de Datos, de la cual la Argentina forma parte, disponen que los responsables del tratamiento de datos deben establecer y mantener medidas de carácter administrativo, físico y técnico suficientes para garantizar la confidencialidad, integridad y disponibilidad de los datos personales. Esto requerirá que las autoridades revisen continuamente las medidas de seguridad pertinentes para el tratamiento de los datos personales.

Micaela Sánchez Malcom, secretaria de Innovación Pública de la Nación, explicó en una entrevista en Radio con Vos que el pedido de ubicación es sólo para el momento que se cargan los datos en la aplicación, “después no continúa enviando información sobre tu ubicación”. “Esto nos permite corroborar si tu domicilio habitual es el mismo en el que trabajás, porque hay mucha gente que se mueve de jurisdicción para trabajar. Por eso, sólo se pide esa vez la ubicación, y si uno no quiere brindarla, puede decir que no”, agregó.

Respecto al almacenamiento de los datos personales, explicó: “Los términos y condiciones establecen que los datos son recabados y guardados con el fin de analizar la pandemia y durante el contexto de emergencia. Una vez que esto finalice, se eliminarán los datos bajo supervisión de la Agencia de Acceso a la Información Pública”.

Actualización 30/05/2020: esta nota fue actualizada a raíz de nuevas declaraciones de Axel Kicillof, quien precisó que la app Cuidar no es obligatoria aún en la Provincia de Buenos Aires

Si querés estar mejor informado sobre la pandemia, entrá al Especial Coronavirus.