COVID-19: recomendaciones éticas y legales acerca del tratamiento de los datos personales:

Las tecnologías de recolección y análisis masivo de datos para contener la pandemia son tan eficaces como peligrosas. ¿Cómo evitar un estado de vigilancia permanente?

Julián Riaño*  Laura Valderrama**

El peligro

La recolección y el análisis masivo de datos son recursos muy valiosos para contener la pandemia. Comenzando por China, Corea del Sur, Singapur o Taiwán, un gran número de países han utilizado herramientas tecnológicas para aplanar la curva del contagio. De esta forma, su desarrollo y aplicación se convierte en una intervención en salud equiparable a la producción de una vacuna o un tratamiento para la COVID-19.

Pero, al igual que cualquier intervención médica, estas herramientas son tan eficaces como peligrosas, en tanto pueden poner en riesgo a las personas, en este caso, comprometiendo los derechos a la privacidad y a la protección de datos de las personas.

En ese contexto, reconocer que existen límites legales y derechos que deben ser respetados, incluso en estado de emergencia, permitirá preservar la confianza de la ciudadanía, lo cual es fundamental para garantizar la implementación de otras medidas de mitigación propuestas y minimizar el riesgo de instaurar un estado de vigilancia tecnológica permanente.

La Coronapp

El 8 de marzo, el gobierno colombiano lanzó la aplicación “Coronapp”, una herramienta para “focalizar los puntos de contagio y controlar la propagación del virus”.

Aunque al principio parecía un medio para obtener información en tiempo real, la aplicación ha tomado otro rumbo, y se ha vuelto una herramienta riesgosa. Por ejemplo, la Coronapp:

La recolección y el análisis masivo de datos son recursos muy valiosos para contener la pandemia.

• Usa el bluetooth de los teléfonos móviles para identificar si los usuarios se encuentran cerca de una persona diagnosticada con COVID-19;
• Solicita a los usuarios compartir su ubicación en todo momento;
• Y, según la ministra de Tecnologías de la Información y Comunicaciones, podría convertirse en un “pasaporte de movilidad” para identificar quién puede y quién no puede salir de su domicilio.

Varios analistas han planteado dudas sobre la seguridad y la confiabilidad de la aplicación. Samir Estefan, por ejemplo, afirma que los términos y condiciones de la aplicación no incluyen “ninguna provisión de protección para la información que entregan los usuarios, ni un timeframe de por cuánto tiempo la tendrán almacenada, ni un listado de usos aceptables de la información”.

A pesar de lo anterior, el 14 de abril, la aplicación ya tenía más de un millón de descargas.

Otras medidas

Mediante Circular 001 del 23 de marzo, la Superintendencia de Industria y Comercio (SIC) como medida de excepción, informó los operadores móviles y demás entidades privadas que la Ley 1581 de 2012 les permitía suministrar datos personales al Departamento Nacional de Planeación (DNP), sin la autorización de los titulares, pues se trata de “casos de urgencia médica o sanitaria”.

Otras entidades públicas y privadas en Colombia están desarrollando tecnologías que utilizan datos personales para hacer seguimiento y contener la pandemia. Entre sus usos e instrumentos se encuentran aplicaciones para triage, diagnóstico clínico, predicción del curso de enfermedad, autodiagnóstico, o vigilancia y seguimiento.

Pero la percepción de necesidad, urgencia y bajo un estado de excepción muchas se están implementando sin cumplir con los estándares de eficacia, estudios piloto o evaluación de riesgo que cualquier otra intervención en salud amerita.

Los principios del tratamiento de datos

En un país donde son comunes las chuzadas y la persecución de activistas sociales, es necesario mantener una actitud reflexiva acerca de los principios éticos y legales que guían el tratamiento de datos personales, más allá de los sugeridos por la SIC. Entre estos principios se destacan cuatro principales, a saber:

1. Transparencia

Esta es la facultad que tienen los titulares de los datos para solicitar información acerca de su tratamiento. Sin embargo, dada la emergencia de la Covid-19, hoy los titulares no necesariamente están en condiciones de preguntar o de saber quién obtiene, solicita o utiliza sus datos.

De tal manera, los recolectores, procesadores y utilizadores de estos datos deberían entregar directamente esta información a los titulares, sin necesidad de que lo soliciten. Además, debería incluirse información acerca de los períodos de uso o retención de los datos y el propósito del procesamiento. Esa información debe ser fácilmente accesible  y debe estar disponible en lenguaje que sea claro para los titulares.

2. Caducidad

Según la Corte Constitucional, este principio obliga a definir el período de uso o de conservación de los datos por parte de las autoridades o de terceras personas. Por ejemplo, la aplicación “TraceTogether”, de Singapur, establece que los datos se conservan únicamente durante 21 días. Pero en Colombia no hay claridad al respecto.

Esto es indispensable en los escenarios que se plantean durante el estado de pandemia y post-pandemia, dada la necesidad de reutilización de la información para investigación y desarrollo de estrategia de contención o distribución de recursos.

3. Proporcionalidad

La gestión de los datos debe reducirse a la finalidad estipulada y por ningún motivo debería extenderse más allá de ella.

Los datos recolectados durante esta pandemia deben tener un fin específico de salud pública o de investigación, siempre con un soporte científico. Deben además recolectarse de la manera menos intrusiva posible y suspender su uso al acabarse la emergencia. Tampoco entre nosotros existe plena claridad a este respecto.

Respecto a esto se propone dos estrategias:

3.1 Anonimato

Los datos han de ser procesados de manera que sea imposible identificar al propietario individual, comenzando por la información más sensible –e incluyendo la de geolocalización-. Esta “anonimización” debe ser explícita y fácilmente verificable por parte de los usuarios.

Los datos recolectados durante esta pandemia deben tener un fin específico de salud pública o de investigación

3.2 Descentralización

Pero las iniciativas que hoy operan en Colombia no ofrecen garantías al respecto. Y también convendría evaluar medidas de descentralización para aplicaciones de seguimiento y proximidad o que utilicen datos de geolocalización, como la Coronapp.

4. Precaución

En momentos de incertidumbre y de riesgos para los derechos humanos, debe seguirse el principio de precaución en su formulación fuerte o según la cual: “si existe la posibilidad de daño por una actividad y existe incertidumbre acerca de la magnitud de los impactos o la causalidad, entonces se deben tomar medidas anticipatorias para evitar daños”.

Puede leer: COVID-19 en perspectiva: análisis de las cifras de mortalidad

Medidas preventivas

Estados de excepción ameritan medidas excepcionales de protección. De manera que, para evitar vulnerar los derechos de las personas -y al igual que con cualquier otra intervención en salud-, se deberían adoptarse protocolos sobre protección de datos personales e iniciativas que pueden superar en alguna medida la normatividad vigente, para minimizar los abusos eventuales.

Esta es una oportunidad para involucrar a la comunidad civil en un ejercicio de co-gobernanza de los datos personales, al permitir la promoción y selección de términos y condiciones acerca del acceso a esta información y regular de forma segura su tratamiento específico y finito. Esto es posible, a través del cada vez más urgente debate público de estos asuntos y estrategias de descentralización.

Convendría crear comités interdisciplinares con la participación de grupos académicos y expertos en tecnologías de la información para orientar la toma de decisiones y velar por un uso ético de los datos, combatiendo las iniciativas fraudulentas. Estos comités podrían coordinarse con instancias ya existentes, como la delegatura para la Protección de Datos Personales y el Consejo Nacional de Bioética.

Finalmente, es fundamental que el Gobierno haga claras y explícitas sus medidas para proteger los datos en el marco de la pandemia. Esto a su vez necesita de un espacio en los medios de comunicación dedicado a explicar las políticas de privacidad y uso de datos personales, además de las medidas de “anonimización” y de especificar quiénes están encargados de proteger la información mientras dure la emergencia.

*Médico Genetista. Profesor área biogenética y ética médica Universidad Cooperativa de Colombia. Profesor del departamento Bioética Universidad El Bosque. 

**Médico Interno, Universidad El Bosque.

Necesitamos tu ayuda para seguir realizando un cubrimiento responsable de la COVID-19. Apóyanos con tu donación y suscríbete a nuestro boletín. ¡Muchas gracias!