Telefónica tracta per al Govern espanyol les dades de salut i geolocalització del COVID-19

En el BOE del día 5 de mayo de 2020 se publica la Resolución de 30 de abril de 2020, de la Secretaría General de Administración Digital, por la que se publica el “Convenio entre la Secretaría de Estado de Digitalización e Inteligencia Artificial y Telefónica Digital España, SLU, para la operación de la Aplicación ASISTENCIACOVID19 en el contexto de la situación de crisis sanitaria ocasionada por el COVID-19” suscrito el 4 de abril de 2020.

Muchas han sido las carreras para desarrollar aplicaciones (“apps”) relativas al COVID-19. Algunas bajo iniciativas privadas, otras gubernamentales tanto de los estados centrales de cada país como a nivel regional/federal. Algunas criticadas por no resolver bien los aspectos jurídicos esenciales alrededor de las mismas (privacidad, regulatorio y propiedad intelectual). Otras, huyendo de soluciones que pudieren considerarse sujetas a la regulación de los “productos sanitarios”. De hecho, primero en EEUU (ya antes de nuestro estado de alarma) y luego en la UE (bastante después a nuestro estado de alarma), se han relajado los requisitos regulatorios, pero no en materia de privacidad ni en seguridad en lo que a ello atañe.

La solución del Gobierno Español es una app denominada «ASISTENCIACOVID19» que escapa de poder ser considerada como “producto sanitario” (a pesar de que ciertamente está en un margen muy fronterizo) y en la que el Gobierno Español (su Ministerio de Sanidad) es el único responsable del tratamiento de los datos de salud y de geolocalización que dicha app trata. Se legitima su uso bajo el interés público, el consentimiento del interesado y su interés vital.

Asimismo, y como se lleva ya anunciando y en línea a lo publicado tanto en el DOUE como en el BOE, la app «ASISTENCIACOVID19» trata los datos en lo que considera un justo equilibrio de los derechos confrontados puestos en juego, respetándose la privacidad bajo lo que proclama y que articula en los textos legales y documentación legal conforme a las normas de protección de datos al efecto. En materia de propiedad intelectual, la titularidad de la misma y de sus contenidos se establecen del estado, sin perjuicio de los contenidos sujetos a licencia libre como Creative Commons y de su código que en su caso el Gobierno Español liberará y hará público bajo un esquema de código abierto («open source») una vez acreditado su correcto funcionamiento.

La app «ASISTENCIACOVID19» permitirá, al menos, realizar al usuario la autoevaluación en base a los síntomas médicos que comunique, acerca de la probabilidad de que esté infectado por el COVID-19, ofrecer información al usuario sobre el COVID-19 y proporcionar al usuario consejos prácticos y recomendaciones de acciones a seguir según la evaluación. En todo caso, permitirá otras muchas funcionalidades. Con ello, se pretende reducir el volumen de llamadas a los números telefónicos que se han puesto a disposición de los ciudadanos para resolver las dudas al respecto, permitir un triaje inicial de posibles casos y un seguimiento posterior, aliviar la carga de los Servicios de Emergencia de las distintas Administraciones Públicas con competencia en materia de salud y contribuir así a la gestión de la referida crisis, la tranquilidad de la población y, en general, al restablecimiento del bienestar común.

Para ello, el Gobierno Español (vía la Secretaría de Estado de Digitalización e Inteligencia Artificial, que es el encargado de tratamiento del Ministerio de Sanidad que es el responsable de los datos) firma con Telefónica Digital España, S.L.U. (“Telefónica”) un Convenio al efecto de asegurar que los datos no salen del Espacio Económico Europeo y considerarla una subencargada de tratamiento de los datos responsabilidad del Ministerio de Salud, en forma en que se exime a Telefónica de cualquier tipo de responsabilidad que no sea en materia de protección de datos o de no seguir las buenas prácticas en el desarrollo del código de la app «ASISTENCIACOVID19» que se debe poner en el mercado en tan brevísimo tiempo y dada su aportación gratuita (claro está, salvo en caso de dolo o negligencia grave). La seguridad de los datos se enmarca a lo dispuesto en el anexo II del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica.

A su vez, se autoriza a Telefónica (y se incluyen los correspondientes contratos al efecto en lo que afecta al tratamiento de datos) para que Telefónica pueda subcontratar los servicios de CARTODB Inc. Sucursal en España, Mendesaltaren, S.L. y Tritium Software, S.L., las cuales junto con Telefónica han desarrollado los distintos componentes de la app «ASISTENCIACOVID19» y cediendo todas ellas la totalidad de los derechos de propiedad intelectual de explotación al Estado Español.

A fecha 4 de abril de 2020, la app «ASISTENCIACOVID19» ya tenía las siguientes funcionalidades mínimas:

1. Realizar la autoevaluación en base a los síntomas médicos que el usuario comunique acerca de la probabilidad de que esté infectado por el COVID-19.
2. Realizar la autoevaluación continua diaria: Monitorización de la temperatura y parámetros básicos, cada doce horas desde que se inicie la aplicación, incluyendo un recordatorio en forma de alarma.
3. Ofrecer información al usuario sobre el COVID-19, incluyendo el envío de notificaciones a través de la aplicación en relación con las mejores medidas preventivas y de evaluación en cada momento.
4. Proporcionar al usuario consejos prácticos y recomendaciones de acciones a seguir según la evaluación.
5. Geolocalizar al usuario mediante la información de geolocalización vía GPS disponible en su teléfono móvil. Dicha geolocalización únicamente se utilizará en el momento el registro de los usuarios, así como cuando estos realicen sus autoevaluaciones, para poder conocer en qué Comunidad Autónoma se encuentran y poder conectarles con el sistema de atención sanitaria que les corresponda.
6. Acceso a la información de los ciudadanos por parte de las autoridades sanitarias competentes, a través de una pasarela de intercambio de información y un protocolo de datos definido con cada una de las Administraciones.
7. Así mismo, la aplicación se desarrolla en formato web, formato móvil (IoS, Android) y permitirá también realizar autoevaluaciones en otros dispositivos o interfaces de visualización como televisión o asistentes virtuales, accesible por los usuarios que dispongan del equipamiento y de las aplicaciones necesarias para ello.

Telefónica, somo subencargada de tratamiento de los datos bajo la app «ASISTENCIACOVID19», asume las siguientes obligaciones:

1. La gestión operativa de la aplicación.
2. El alojamiento («hosting») de la aplicación.
3. La implementación y despliegue de la aplicación.
4. El tratamiento de los datos personales de los usuarios de la aplicación en su condición de Subencargado del Tratamiento, en los términos previstos en este Convenio y la normativa vigente sobre protección de datos personales.
5. La adopción de las medidas técnicas y organizativas apropiadas, de acuerdo con el correspondiente análisis de riesgos, para evitar la pérdida, alteración o acceso no autorizado de los datos manejados por la aplicación, según lo establecido en el artículo 32 del Reglamento (UE) 2016/679, en la disposición adicional primera de la Ley Orgánica 3/2018 y en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica.
6. El mantenimiento correctivo y la operación por el espacio máximo de un mes.

Si bien los datos de la app sólo podrán ser accedidos por el Ministerio de Sanidad y, entre otros, los profesionales sanitarios y las autoridades competentes (cada uno de ellos en el ejercicio de sus funciones o competencias en el cumplimiento de las obligaciones en materia sanitaria o de salud pública que les encomienda la normativa vigente) necesarios para el cumplimiento de las finalidades de la aplicación, también se permitirá para las siguientes finalidades no directamente relacionadas con las funcionalidades de la aplicación, adoptando las medidas técnicas y organizativas necesarias, en particular, para garantizar el respeto al principio de minimización de datos personales, incluyendo su anonimización:

1. Para finalidades estadísticas.
2. Para investigación biomédica, científica o histórica.
3. Para archivo en interés público.

En todo caso, se establece la firma de convenios con los siguientes terceros que pueden tener acceso a los datos:

1. Los profesionales sanitarios, para contactar directamente con el usuario en caso de que, del resultado de la autoevaluación realizada a través de la aplicación, se determine que necesita atención médica ante la posibilidad de estar infectado por el coronavirus.
2. Las autoridades competentes de las Comunidades Autónomas en materia de sanidad, INGESA, MUFACE, ISFAS y MUGEJU y otras autoridades nacionales y/o internacionales (por ejemplo, órganos judiciales), con las que sea necesario compartir los datos del usuario.

Finalmente, el Convenio también detalla los textos legales que deberán incluirse en la app. Entre ellos, las Condiciones de Uso, la Política de Privacidad y la Política de Cookies (sin el desarrollo esperado en esta última).