Las aplicaciones de rastreo de contactos son una forma eficaz de seguir la propagación del virus, pero es esencial contar con una gobernanza adecuada de los datos.
Los mecanismos de gobernanza deben abordar tres factores básicos: los derechos individuales, como la privacidad; los intereses de quienes poseen los datos; y el interés público general.
Un enfoque equilibrado es el acceso autorizado con fines públicos, un marco para gobernar el uso de los datos que puede ayudar a abordar problemas graves, como las pandemias.
El uso de aplicaciones de rastreo de contactos durante la pandemia de COVID-19 ha suscitado un debate sobre el impacto de estas herramientas en la privacidad y los derechos humanos. Las aplicaciones de rastreo de contactos pueden ser armas poderosas contra el virus, pero también pueden servir como herramientas de vigilancia estatal.
En respuesta a las iniciativas gubernamentales, han surgido varias iniciativas del sector privado que prometen prestar más atención a la privacidad. Entre ellas se encuentra una plataforma de notificación de exposición desarrollada por Google y Apple (Marco de notificación de exposición de Apple y Google, o AGF). La plataforma protege a los usuarios de la vigilancia gubernamental, pero, al hacerlo, coloca efectivamente a los desarrolladores tecnológicos (los titulares de los datos) en el papel del Estado. Esto aumenta la importancia de regular cómo estas empresas privadas utilizan los datos que recopilan.
Además, AGF incorpora a los participantes mediante un modelo basado en el consentimiento, que en ocasiones ha resultado insuficiente para controlar la propagación de enfermedades infecciosas; en general, los países que han hecho un uso activo de los datos personales han tenido más éxito a la hora de contener el virus. El desafío, especialmente durante una pandemia mortal, consiste en equilibrar los derechos de las personas con las necesidades de la sociedad en su conjunto.
En términos generales, las aplicaciones de rastreo de contactos se dividen en tres categorías:
1. Herramientas centralizadas para aislar a las personas infectadas y restringir el acceso a instalaciones y otras zonas, según el estado de infección del usuario o el grado de contacto con personas infectadas o potencialmente infectadas. Estas aplicaciones suelen utilizarse para imponer restricciones determinadas por el Estado a los desplazamientos y la conducta de las personas, y las autoridades exigen la participación. Algunos ejemplos son la aplicación de China para limitar el acceso a instalaciones y la aplicación de Corea del Sur para aislar a las personas infectadas.
2. Herramientas descentralizadas concebidas para que las autoridades de salud pública identifiquen a los contactos cercanos de las personas infectadas. Se emplean diversos medios normativos y tecnológicos para proteger la privacidad y garantizar que la participación sea voluntaria. Algunos ejemplos son las aplicaciones que utilizan datos de ubicación (India, Islandia y Ghana) o Bluetooth (Singapur, Australia, Reino Unido y Francia).
3. Herramientas descentralizadas concebidas para promover cambios de conducta en las personas mediante notificaciones sobre posibles contactos con personas infectadas. Las identidades de los contactos cercanos no se comparten con las autoridades. Algunos ejemplos son las aplicaciones que utilizan datos completamente anonimizados (Alemania, Suiza y Estonia) o solo datos de ubicación (Israel).
Un enfoque descentralizado basado en el consentimiento resuelve el problema de los datos de los usuarios, pero podría ser ineficaz para combatir el virus. Para ser eficaces, estas aplicaciones necesitan una tasa de participación superior al 60 % de la población. TraceTogether, de Singapur —una de las aplicaciones de rastreo de contactos más avanzadas y promovidas con mayor insistencia del mundo— tiene una tasa de penetración del 37 %, y COVIDSafe, de Australia, una tasa de penetración del 22 %. Si el uso de la aplicación no es obligatorio, probablemente será difícil alcanzar la tasa de participación necesaria.
Los críticos sostienen que los enfoques que dependen demasiado del consentimiento de los usuarios para proteger la privacidad no pueden abordar adecuadamente enfermedades infecciosas como la COVID-19. Por otro lado, crece la preocupación de que los enfoques centralizados basados en datos conduzcan a una «sociedad de vigilancia».
Más allá del «consentimiento o la anonimización»
Hasta ahora, el debate sobre el rastreo de contactos se ha planteado como una elección entre dos opciones: consentimiento o anonimización. Es decir, las aplicaciones de rastreo deben obtener el consentimiento explícito de cada persona o eliminar de los datos que recopilan toda información personal que permita identificarla.
¿Son realmente esas las únicas opciones?
Creemos que hay otras soluciones posibles. El marco de acceso autorizado con fines públicos (APPA), desarrollado para un reciente informe técnico del Foro Económico Mundial no se basa en el consentimiento ni recurre a la anonimización de los datos cuando no hay consentimiento. Aborda —y busca equilibrar— tres factores clave: los derechos individuales, los intereses de quienes poseen los datos y el interés público.
En el marco de APPA, en ocasiones se puede acceder a los datos personales y utilizarlos sin el consentimiento explícito de cada persona, siempre que sea para un fin público específico y ampliamente acordado. La pregunta clave sobre la gobernanza pasa de «¿quién es dueño de un dato determinado?» a «¿quién debería tener permiso para acceder a los datos y en qué circunstancias?».
En el caso de la COVID-19, el amplio fin público que justifica acceder a los datos y utilizarlos —información sobre la salud y los desplazamientos de las personas, entre otros— es frenar la propagación del virus y salvar vidas. Los objetivos y enfoques específicos de salud pública variarán inevitablemente de un país a otro, pero APPA puede abarcar una amplia gama de valores. El marco presupone que el fin está «autorizado» legítimamente: que es fruto de un consenso social y está supervisado por entidades en las que el público confía. La gobernanza solo puede considerarse adecuada cuando se cumplen esas condiciones.
Cómo podría APPA ayudar a combatir la COVID-19
La gobernanza de datos basada en APPA ofrece una visión general de cómo una herramienta que utilice este marco accedería a los datos. Los pasos son los siguientes:
Comprobar si hay información personal. ¿Contienen los datos información personal sensible que normalmente estaría sujeta a restricciones de privacidad?
Comprobar si existe consentimiento. Si los datos son personales, ¿ha consentido la persona a la que se refieren que se utilicen?
Consultar la lista blanca de APPA. ¿Es el dato de un tipo cuyo acceso para el fin designado se haya aprobado específicamente (por ejemplo, mediante una ley especial)?
Garantizar una revisión por parte de terceros. Un comité de ética independiente u otro organismo de supervisión verifica el cumplimiento de los criterios de APPA.
Con este marco, las aplicaciones de rastreo de la COVID-19 que no utilicen datos con información personal recibirían luz verde. Como no hay restricciones de privacidad, ese uso de los datos no requeriría una revisión adicional.
En cambio, las aplicaciones que rastrean los contactos entre personas necesitan inevitablemente información personal. Esto nos lleva al segundo paso: comprobar si existe consentimiento. Si la persona a la que se refieren los datos ha consentido que se utilicen, eso constituye otra luz verde. Muchas aplicaciones de rastreo de contactos, incluida la plataforma de Google y Apple, utilizan este modelo.
El marco distintivo de gobernanza de APPA entra en juego en el tercer paso. Hasta este punto, el proceso de revisión ha sido coherente con los enfoques actuales basados en el consentimiento para gestionar información personal. Sin embargo, las medidas basadas en el consentimiento no bastan para frenar la propagación de la enfermedad. En el marco de APPA, sería posible abrir el acceso a los datos personales necesarios para rastrear la COVID-19, siempre que ese fin cuente con un amplio consenso y que se defina claramente el tipo de datos que se utilizará.
Una «lista blanca» de APPA con los datos aprobados podría crearse mediante la aprobación de leyes especiales. (En esencia, este es el enfoque adoptado por Corea del Sur, que modificó su ley de privacidad en 2015 para abordar las emergencias de salud pública emergencias.
El enfoque de APPA también incluye la supervisión por parte de terceros. Las nuevas plataformas de gestión de datos, como Data Commons, pueden proteger los derechos individuales mediante la integración de auditorías independientes. Una tarea importante que aún corresponde a los gobiernos y otros órganos decisorios es determinar cómo se establecerán y certificarán las organizaciones independientes y exactamente qué tipos de acceso a los datos estarán facultadas para auditar.
¿Qué está haciendo el Foro Económico Mundial para gestionar los riesgos emergentes de la COVID-19?
Por ahora, no está claro cómo se pondrá fin a la pandemia de COVID-19. En una situación que cambia constantemente, un mayor diálogo entre una amplia variedad de partes interesadas podría hacer realidad APPA.
Este cambio no será fácil y exigirá un nuevo consenso social que acepte el uso de la tecnología para resolver problemas en beneficio de todos. Esta nueva mentalidad equilibraría las preocupaciones sobre la privacidad y otras cuestiones con la posibilidad de crear valor y mejorar vidas.
Aun así, la pandemia ha demostrado que pueden producirse cambios enormes con rapidez y que es posible una colaboración amplia. APPA no solo contribuiría a salvar vidas en la lucha contra la COVID-19, sino que también podría impulsar una nueva mentalidad tecnológica. Ese cambio podría dar paso a una nueva era de gobernanza de datos que equilibre los derechos individuales, los intereses de quienes poseen los datos y el interés público para desarrollar soluciones tecnológicas en el futuro.
Entre quienes contribuyeron a este artículo figuran: Chizuru Suga, directora del Centro para la Cuarta Revolución Industrial de Japón del Foro Económico Mundial; Seiichiro Yamamoto, responsable del proyecto de políticas sobre datos sanitarios; Jonathan Soble, responsable de edición y comunicación; Shigehiro Muraki, director de administración; Fumiko Kudo, responsable de estrategia del proyecto; Yusuke Inoue, investigador del proyecto de políticas sobre datos sanitarios; Reiko Onodera, investigadora del proyecto de políticas sobre datos sanitarios; Yasunori Suzue, investigador del proyecto de políticas sobre datos sanitarios.
