La Comunidad de Madrid modifica el aviso de privacidad de su app móvil para COVID-19: amplía las finalidades de uso de los datos y cuándo los anonimiza*

La Comunidad de Madrid ha lanzado este martes su app de autodiagnóstico para COVID-19 para móviles, a la que ha llamado "CoronaMadrid". En una primera versión de la aplicación, disponible solo en navegadores, la aplicación se llamaba Asistencia Covid-19, que además es el nombre que el Gobierno va a poner a su propia aplicación y que lanzará a nivel nacional. La versión web sigue disponible en este enlace.

Junto con el lanzamiento de la aplicación, la Comunidad de Madrid ha actualizado el Aviso de Privacidad (la nueva versión, la 2.0, está vigente desde el 22 de marzo) que se aplica a la nueva app. En Maldita Tecnología os hablamos de la primera versión de esa política de privacidad, sobre todo a raíz de que nos preguntaseis si la aplicación de la Comunidad era oficial, si era segura de utilizar y si compartía nuestros datos. Hemos actualizado este artículo con el nuevo Aviso de Privacidad.

Os recordamos que la app es oficial: la ha puesto en marcha la Comunidad de Madrid para "aliviar la congestión de las llamadas telefónicas a los centros de asistencia", y que participan varias empresas privadas, según consta en la propia web de la aplicación: Google, Telefónica, Goggo Network, Ferrovial, Carto, Forcemanager y Mendesaltren. Os contamos cuáles son las novedades.

Se especifica qué datos se recogen, cuál es su finalidad y cómo se comparten

El nuevo Aviso de Privacidad detalla para qué se recogen cada uno de los datos que piden a lo largo del formulario: nombre y apellidos, teléfono, dirección completa, código postal y comunidad autónoma, DNI, geolocalización del móvil (si es con autorización) y datos de salud. Por ejemplo, especifican que el DNI es para hacer un seguimiento personalizado de la enfermedad y que la fecha de nacimiento es para establecer si eres población de riesgo o no. Antes también pedían el correo electrónico.

Se especifica que los datos que se recogen se tratan con fines "estrictamente de interés público", en el ámbito de la salud pública, pero que además se hace enmarcado en la actual "situación de emergencia sanitaria derectada por las Autoridades Públicas" debido a la pandemia del coronavirus, "la necesidad de su control y propagación" y así "proteger y salvaguardar el interés para la vida de las personas". El apartado referente a la finalidad del uso de datos era mucho más laxa antes y nada detallada.

El objetivo principal se mantiene: "reducir el volumen de llamadas al número de emergencias sanitarias que trata las dudas sobre la enfermedad infecciosa COVID-19". Sin embargo, ahora introducen un nuevo objetivo del que no se había hablado con claridad antes, que es usar la geolocalización para "entender dónde están los focos, con un fin estadístico". Ahora os hablamos de ello en profundidad.

También te cuentan ahora que esos datos que recogerán de la app servirán para un futuro, para hacer un análisis "descriptivo" de la pandemia (qué síntomas estamos experimentando, cómo aumentan los casos, etc.) y también uno "predictivo" (cómo podría evolucionar en el futuro), incluidas investigaciones médicas, cientificas e históricas.

Uno de los temas que más preocupaban en la anterior versión, el de las empresas que tenían acceso a los datos, se ha solventado añadiendo un párrafo que aclara que solo lo tendrán "eventualmente", "siguiendo las instrucciones de la Comunidad" y que en "ningún momento" podrán utilizarlo para fines propios. Es decir, para nada que se salga del funcionamiento de la app. Se sigue hablando de las empresas que "subcontraten" estas compañías, pero sin especificar cuáles son.

La geolocalización del móvil es opcional y se precisa que no se utiliza para vigilar las cuarentenas

El tema de la geolocalización no era tanto un problema antes, cuando solo estaba la versión de la aplicación para el navegador, como ahora, que ya hay app para el móvil y es cuando se empezará a recoger datos de localización a través de él. ¿Cómo? Preguntándote si pueden acceder a la ubicación de tu dispositivo. Esto se puede gestionar a través de los permisos de las aplicaciones, de los cuales ya os hemos hablado en Maldita Tecnología.

El nuevo Aviso de Privacidad recalca que la ubicación se pedirá de forma "opcional" en el formulario para "entender la distribución de los síntomas con datos lo más fiables posibles". Y que si no la das, utilizarán los datos de tu dirección para realizar este estudio estadístico.

Lo más importante y que no estaba en la primera versión: aclaran que la aplicación no se utiliza para hacer "geofencing", que es una técnica que les permitiría saber si alguien está cumpliendo la cuarentena o no al delimitar ciertas zonas geográficas según los datos que tengan.

Se pone límite a la conservación de los datos y se aclara cuándo se anonimizan

Algo que no hacía tampoco anteriormente: poner límite a cuánto tiempo conservarán los datos y en qué período se anonimizan. La Comunidad de Madrid, como responsable del tratamiento de datos de esta aplicación (que significa que es la entidad que recoge los datos y que los administra), los tratará sin anomizar durante el período que "dure la emergencia sanitaria".

Cuando se de por terminada, aclara que los datos pasarán a ser anonimizados mientras tengan "interés científico, histórico y médico". Es decir, para poder seguir investigando la pandemia con las conclusiones y las estadísticas que se hayan obtenido ahora, que la estamos viviendo.

Todas estas aclaraciones no venían recogidas en la primera versión del Aviso de Privacidad, por lo que no se sabía en qué momento se podían tratar anonimizados y cuando no.

¿Qué decía la primera versión del Aviso de Privacidad sobre la recogida de datos, la anonimización y el acceso a terceros?

Anteriormante, nos habíais preguntado si era cierto que los datos que pide la aplicación para hacer la evaluación se comparten con terceros. En la primera versión del Aviso de Privacidad, se especificaba que a los datos tenían acceso “nuestros proveedores [de la Comunidad de Madrid] y colaboradores, así como, en su caso, los profesionales sanitarios y las autoridades con las que colaboramos y nos relacionamos para el cumplimiento de las finalidades”.

Ponía a continuación, que los datos que piden (nombre y apellidos, número de teléfono móvil, DNI, fecha de nacimiento, correo electrónico, dirección completa y código postal, género y localización vía GPS del teléfono) se podían compartir con los cuerpos y fuerzas de seguridad del Estado u órganos judiciales (tanto nacionales como internacionales), y nuestros “proveedores y colaboradores, así como a las empresas que estos subcontraten”. Ahora tampoco se especifica cuáles son esas compaías subcontratadas.

En el Aviso de Privacidad (ni el nuevo ni el anterior) no se especifica quiénes son esas empresas y colaboradores (no aparece su nombre concreto), pero en un apartado de Preguntas Frecuentes que ha habilitado la página web sí que se hace mención a las empresas que hemos citado arriba.

Ese apartado de Preguntas Frecuentes se añadió un día después de que se lanzara la aplicación para aclarar dudas, y algunas de las cosas que planteaban en él se terminaron por añadir al Aviso.

En esa primera versión, la aplicación web, tal y como estaba descrita en el Aviso de Privacidad, no estaba respetando el principio de minimización de datos que recoge el reglamento europeo y no hablaba de anonimizar los datos que cedemos.

“Los datos tienen que ser proporcionales para la finalidad que pretenden perseguir o al menos la que dicen que van a hacer”, explicó a Maldita Tecnología Samuel Parra, abogado en ePrivacidad especializado en protección de datos. “No dicen para qué quieren cierta información. El consentimiento, para que sea válido, tiene que ser informado, y eso es lo que casi nunca se cumple”.

Esto quiere decir que entre las finalidades recogidas en el Aviso de Privacidad no estaban recogidas todas por las que podría estar justificado pedir tanta información. También se incluyen “finalidades estadísticas”, “investigación biomédica, científica o histórica”  y “archivo en interés público”. Tres categorías que no estaban desglosadas o detalladas, teniendo en cuenta que aparte de los datos personales se recogen datos de salud. Como ya os hemos explicado aquí, los datos de salud son una categoría especial del reglamento europeo de protección de datos y requieren mucha más protección.

Como os hemos explicado arriba, los datos que se recogen serán “anonimizados” o “borrados” cuando finalice la emergencia sanitaria, para "prevenir tu reidentificación directa, como indirecta", según se explica en el actual Aviso de Privacidad. Una clarificación que no se hacía en la versión anterior.

“Se van a poder ceder los datos a colaboradoras pero en ningún lugar te dicen quiénes son. ¿Qué datos se van a comunicar? ¿Todos? Entendería que solo se comunicasen los del test, para tener una base de datos estadística. Sería un test anónimo. Pero, ¿vas a compartir mi ubicación y mi número de teléfono? ¿Mi número de DNI?", afirmó Parra.

* Este artículo ha sido modificado con respecto a su original una vez que la propia Comunidad de Madrid actualizó el Aviso de Privacidad de la aplicación, especificando la limitación del uso de acceso de datos y la conservación y anonimización de los mismos. Hemos actualizado en la propia URL del artículo con el fin de preservar la información más actualizada: puedes leer el artículo viejo aquí.