La AEPD investigará la app de rastreo de contagios que el Gobierno quiere probar en Canarias

Nadia Calviño insistió en que será "totalmente respetuosa con los derechos individuales y la protección de la intimidad de las personas". Pero aun así la Agencia Española de Protección de Datos (AEPD) va a investigar lo que anunció la vicepresidenta económica este miércoles en el Congreso: una aplicación móvil para rastrear posibles contagios de coronavirus.

Calviño avanzó poco más de esta iniciativa (una idea en la que sin embargo el Gobierno lleva tiempo trabajando), salvo que se tomará a las Islas Canarias como laboratorio de pruebas.

La ministra de Asuntos Económicos respondía así a la diputada de Coalición Canaria Ana Oramas, que quiso saber qué medidas preparaba el Ejecutivo para paliar el impacto del coronavirus en el sector turístico. Calviño explicó entonces que Canarias es "idónea" para este piloto, una app de apoyo al sistema sanitario y a la red de seguimiento de la posible expansión del virus.

Un día después, la AEPD ha comunicado en redes sociales que ha iniciado actuaciones para obtener información sobre este proyecto de la Secretaría de Estado de Digitalización e Inteligencia Artificial.

¿Cómo será esta aplicación?

A falta de más información, parece que la aplicación usará la tecnología que Apple y Google han puesto a disposición de los desarrolladores para crear aplicaciones con esa API (interfaz de programación de aplicaciones), que se basa en Bluetooth y no en la geolocalización para detectar contactos cercanos entre dispositivos. En caso de que permanezcamos durante el tiempo suficiente cerca de una persona que dé positivo en las pruebas de Covid-19, recibiremos una alerta.

La iniciativa conjunta entre las dos compañías que anidan en el corazón de la inmensa mayoría de dispositivos móviles del mundo recibió aplausos de desarrolladores, expertos y ciudadanos en general. Pero no así de los gobiernos, no demasiado satisfechos con la letra pequeña del proyecto: nada de recopilar ubicación de los usuarios, nada de centralizar la información (los datos permanecen en los dispositivos, no se envían a servidores centrales controlados por las compañías o los gobiernos) y respeto estricto a la intimidad y la privacidad de los usuarios. A cada dispositivo se asigna un identificador aleatorio y temporal.

Entre las condiciones impuestas por Apple y Google figuraba además que los desarrolladores de las apps creadas con esta API debían contactar con las autoridades sanitarias, encargadas de seleccionar una sola por país. Serían esas autoridades las que determinarían parámetros como qué distancia se considera segura y cuánto debe ser el tiempo de exposición para establecer el riesgo de contagio.

El protocolo D3PT

Unas semanas antes de que Apple y Google anunciaran que estaban trabajando juntas en esto, en Europa nació un proyecto propio, conocido como D3PT (Decentralized Privacy-Preserving Proximity Tracing o Rastreo de proximidad descentralizado y respetuoso con la privacidad). En este protocolo de código abierto (competidor, por cierto, del PEPP-PT, Pan-European Privacy-Preserving Proximity Tracing o Rastreo por proximidad paneuropeo con respeto a la privacidad) trabajan diversas universidades europeas y estaba sirviendo de base a varios gobiernos del continente para desarrollar aplicaciones para medir la evolución de la pandemia y la expansión de los contagios.

Reticencias de varios países y dudas

Pese a la reticencia inicial de Francia o Alemania, entre otros, sus respectivos gobiernos han decidido combinar este protocolo D3PT con la posibilidad que la API de Apple y Google les proporciona de entrar en los dos sistemas operativos móviles más populares del mundo: iOS y Android.

Todo esto plantea sin embargo varias cuestiones. En primer lugar, el dúo de Silicon Valley insiste en que la instalación y el uso de estas aplicaciones debe ser voluntario y que no se puede obligar ni coaccionar de ningún modo a los usuarios. Algo positivo, sin duda. Sin embargo, para que estas aplicaciones sean de verdad efectivas, lo cierto es que deben contar con una implantación amplia entre la sociedad.

La otra cuestión es cómo conseguir que apps desarrolladas en cada país, por mucho que utilicen la misma API, el mismo protocolo y, en definitiva, la misma base, sean interoperables en todo el territorio comunitario, como pretende la Comisión Europea.

Pero para que todo esto salga adelante primero hay que saber cómo es la app del Gobierno español, cómo funciona y si, como investigará la AEPD, cumple con las normativas española y europea de protección de datos.