Aplicación móvil para frenar la propagación del covid19 y derecho a la protección de los datos de carácter personal: ¿son compatibles?

Tal y como expusimos en nuestro artículo Estados de Alarma, de Excepción y de Sitio: Conceptos y Regulación , la declaración del Estado de alarma a raíz de la crisis del coronavirus no puede suponer -a diferencia del Estado de excepción y sitio- una suspensión de los derechos fundamentales, sino solamente una limitación aquellos, de manera proporcionada y siempre que sea como consecuencia de la aplicación de las medidas permitidas por la Ley Orgánica 4/1981. 

Con la puesta en marcha por parte de los Gobiernos europeos de una aplicación móvil para prevenir y evitar la propagación del coronavirus, ¿que quedará del derecho a la protección de los datos de carácter personal?  

Analizaremos en este artículo la compatibilidad de las aplicaciones móviles desarrolladas para frenar la propagación del Covid19 con el derecho de protección de los datos de carácter personal.

Derecho a la protección de los datos de carácter personal.

El derecho a la protección de los datos de carácter personal está previsto en el art. 18.4 de la Constitución Española, como un derecho fundamental independiente del derecho a la intimidad, que vincula directamente a los poderes públicos sin necesidad de desarrollo normativo (ver Sentencia del Tribunal Constitucional núm. 254/1993).

A nivel europeo, el derecho a la protección de los datos de carácter personal está establecido en el artículo 16 del Tratado de Funcionamiento de la Unión Europea y en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea.

Dicho derecho se encuentra actualmente regulado en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos personales y garantía de los derechos digitales, la cual incorpora al ordenamiento jurídico estatal aquello previsto en el Reglamento de la Unión Europea 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Respecto de lo que nos interesa, el artículo 9 del Reglamento Europeo establece, para los datos relativos a la salud de las personas, una prohibición general de su tratamiento, con excepciones: entre otras, cuando el interesado da su consentimiento explícito, cuando el tratamiento resulta necesario por razones de interés público esencial o en el ámbito de la salud pública. 

Propuesta de desarrollo de una aplicación móvil de “contact tracing” al nivel europeo.

Con el objetivo de recuperar una situación “normal” de la economía mundial -levantar el confinamiento prolongado de las personas para que puedan volver a trabajar-, evitando a la vez un nuevo pico de casos de infectados -y así una nueva congestión del sistema sanitario con las consecuencias que implicaría-, los Gobiernos se están planteando la posibilidad de utilizar medios tecnológicos para hacer frente a la pandemia del Covid19. Entre dichos medios destaca el sistema de “contact tracing” o seguimiento de contactos.

Muchos países ya han hecho efectiva la utilización de estas aplicaciones móviles. Así, a título de ejemplo, en Corea del Sur la aplicación desarrollada permite geolocalizar a las personas que se encuentran en cuarentena, y permite así sancionar las violaciones de dicha cuarentena. 

A nivel de la Unión Europea, se ha adoptado un documento desarrollado por la red de sanidad electrónica (en inglés, eHealth Network, creada por el artículo 14 de la Directiva 2011/24/UE sobre la aplicación de los derechos de los pacientes en la asistencia sanitaria en las fronteras), que establece los requisitos esenciales para el desarrollo de aplicaciones móviles de “contact tracing” en los Estados miembros: 

• Deben cumplir plenamente con las normas de protección de datos y privacidad de la UE.
• Deben implementarse en estrecha coordinación con las autoridades de salud pública y contar con su aprobación.
• Deben instalarse voluntariamente y deshabilitarse tan pronto como ya no sea necesario.
• Deben aspirar a explotar las últimas soluciones tecnológicas para mejorar la privacidad. Probablemente basándose en la tecnología de proximidad Bluetooth, no permiten el seguimiento de las ubicaciones de las personas.
• Deben basarse en datos anónimos: pueden alertar a las personas que han estado próximas a una persona infectada durante un cierto tiempo para que se realicen la prueba o se aíslen por sí mismas, sin revelar la identidad de las personas infectadas.
• Deben ser interoperables en toda la UE para que los ciudadanos estén protegidos incluso cuando crucen fronteras.
• Deben estar anclados en la orientación epidemiológica aceptada y reflejar las mejores prácticas sobre seguridad cibernética y accesibilidad.
• Deben ser seguros y efectivos.

De manera resumida y comprensible, la aplicación proyectada consiste en utilizar el Bluetooth (es decir, sin geolocalizar a las personas) para determinar los contactos físicos que ha tenido cada persona con otras, para que, una vez se detecte una persona infectada, sus anteriores contactos estén alertados de ello y puedan hacerse un test, o confinarse, todo ello de manera anónima. Dicha aplicación deberá ser compatible con todos los países de la Unión Europea y entre los móviles Apple y Android. Además, la Unión Europea exige que la descarga de dicha aplicación sea voluntaria por parte de los ciudadanos.

Por tanto, el objetivo de la Unión Europea es desarrollar una aplicación móvil que sea la menos intrusiva posible y proteger los datos personales de los ciudadanos europeos. Sin embargo, se plantean problemas para su efectiva puesta en marcha: 

• Al ser voluntaria la descarga de dicha aplicación (además de exigir la tenencia de un smartphone), puede provocar que no haya una gran parte de la población que la tenga y, por tanto, que no sea eficaz.

• En el mismo sentido, si no se obliga a cumplir lo que prevé la aplicación en caso de posible infección (hacer un test o confinarse), puede que la medida no tenga efectos concretos. Al respecto, cabe señalar que la percepción de los ciudadanos, y por tanto su actuación, no es la misma cuando sabe que un familiar, amigo o compañero de trabajo ha sido contaminado que cuando sabe que alguien (una persona desconocida) con quien haya tenido algún contacto físico (como podría ser dos personas esperando en el paso de peatones durante un minuto a menos de un metro de distancia) ha sido contaminada. 

• Finalmente, cabe asegurarse que la aplicación permita única y exclusivamente lo que se pretende (detectar los contactos físicos entre personas), y que no permita, de manera voluntaria o por defecto de desarrollo, otras actuaciones que podrían conllevar una vulneración de la protección de los datos personales. Para ello, algunos se plantean la posibilidad de que la Unión Europea publique el código informático de la aplicación para que los expertos en la materia puedan comprobar el perfecto funcionamiento de la aplicación para los objetivos previstos.

En definitiva, la exigencia de determinados requisitos para el desarrollo de esta aplicación, con la finalidad de proteger los derechos de carácter personal, añadiendo que se deberá realizar en un tiempo récord, hace que su ejecución parezca misión imposible, y, en todo caso, con poca eficacia. En las próximas semanas, podremos comprobar si las aplicaciones móviles desarrolladas por los países miembros respetan efectivamente los requisitos establecidos por la Unión Europea, y si resultan eficaces para evitar la propagación del Covid19. 

Otros artículos de interés:

• Indemnización por requisa y ocupación temporal con motivo del Estado de Alarma a raíz de la crisis del Coronavirus o Covid 19
• Régimen Jurídico de las medidas adoptadas durante del Estado de Alarma en atención a la CE y la Ley 4/1.981, de 1 de Julio
• Recurso de amparo Constitucional: aproximación al concepto de Especial Transcendencia Constitucional