CoronApp Colombia será amigable con la privacidad… ¿de verdad?

Colombia decidió usar la solución de Google y Apple para su CoronApp Colombia. Esta decisión cambia un protocolo centralizado por uno descentralizado para el rastreo digital de contacto. ¿Entiende el Gobierno que esta decisión le impone un diseño y arquitectura diferentes a los que desarrollaba? ¿Sabe que los cambios son estructurales?

Desde hace dos meses —antes que Alemania, Reino Unido o Estados Unidos—, Colombia tiene funcionando una aplicación con funcionalidades de rastreo digital de contacto. La “solución” criolla se saltó las preguntas importantes sobre eficacia y utilidad, asume la necesidad y la proporcionalidad, y nos pone a hablar de privacidad casi exclusivamente, aunque deberíamos discutir también las dos características esenciales del diseño de estas aplicaciones: (i) que son complementarias, una herramienta más para asistir el rastreo de contacto epidemiológico, y (ii) que desarrollan una hipótesis, porque no hay todavía evidencia de su eficiencia y por tanto deben manejarla como un experimento.

En el texto  “Aplicaciones de rastreo digital de contactos ¿para qué zapatos si no hay casa?”, el K+Lab de Karisma (donde trabajo) se preguntó ¿cuál es el alcance de esta tecnología?, ¿cuáles son los protocolos internacionales? y, ¿cómo lo hace CoronApp?

En el documento que proyecta las funcionalidades que el Gobierno desarrolla para CoronApp Colombia —un cuadro comparativo con las apps de Corea, Singapur y EE.UU.—, encontramos que para el rastreo digital de contacto CoronApp tendrá georreferenciación, bluetooth, contacto con las personas que estuvieron en contacto (sic) con pacientes con casos confirmados, monitoreo y vigilancia de la cuarentena, generación de mapas de datos para el Gobierno y entrega de datos a médicos para profundizar cuadro clínico. En la última versión de los términos de uso se listan sobre todo las primeras funciones de esta lista.

Que la app podía hacer esto estaba reflejado desde principios de abril en la aplicación a través de la solución de Hypelabs que permite incorporar todos esos juguetes. Sin embargo, Reuters informó que debido a fallos de esa solución el Gobierno decidió mejor usar la API de Google y Apple.

Lo que en Colombia se decide porque falló la fase del desarrollo, en el mundo es la gran discusión que tiene como eje la privacidad y el diseño de la tecnología. De un lado están países como Corea del Sur, Singapur y Reino Unido, que apuestan por un sistema “centralizado”. De otro, un protocolo desarrollado mayoritariamente en Europa que incorpora la privacidad por diseño y que es la base para la API de Google y Apple es un sistema que llaman “descentralizado” y que va ganando adeptos alrededor del globo.

Al irse por el protocolo de Apple y Google, Colombia se unió a España, Alemania y Ecuador. Ya el cuadro comparativo no le sirve. Sí tendrá bluetooth, pero no puede usar GPS ni ningún otro dato de localización ya que los términos de uso de ese sistema lo prohíben.

Para quienes apuestan por incorporar rastreo digital de contacto, el API de Google y Apple es más amigable con la privacidad de las personas pero viene a un costo: la autoridad sanitaria pierde capacidad para identificar los posibles casos que han sido expuestos al virus. Con esta API el sistema descansa en las personas que reciben la alerta de exposición al contagio. A partir de ese momento son ellas las que pueden decidir seguir la ruta voluntariamente, presentarse donde les digan, hacerse los test o compartir los identificadores anonimizados que sus teléfonos han estado transmitiendo las últimas dos semanas.

Entonces, hay que regresar a lo importante: discutir cómo se integra CoronApp Colombia como complemento del plan epidemiológico y cómo probará su hipótesis, ¿cuáles son los parámetros del experimento que nos convencerán para participar en él y hacerlo bien? Además, exige que la aplicación sea verdaderamente voluntaria y obliga a que sea transparente.

Tendrán que explicar cómo la inversión en la aplicación no afecta los recursos que se destinan a medidas que no son experimentales, como los test masivos. Deberán abrir el debate con los epidemiólogos sobre cómo se van a articular con el algoritmo operacionalmente; por ejemplo, cómo van a integrar a todas las EPS o IPS para generar los tokens que permiten subir los identificadores del contagiado y cómo lo harán en forma segura —sin facilitar un mercado negro—. Deberán discutir sobre el contenido y las instrucciones que entrega CoronApp en la alerta a quien es notificado de la exposición al contagio; por ejemplo, ¿cómo harán con los menores de edad?

Deberán reflexionar sobre todo esto porque si la ruta no funciona bien, si no hay recursos para la atención de las personas, la aplicación es inservible. ¿Se acuerdan de cómo el registro de celulares iba a evitar el hurto de estos dispositivos? Sí, ese experimento cuesta mucho dinero —también a los privados a los que el Gobierno les asigna tareas: en ese proyecto, a las operadoras de telecomunicaciones; en el de la aplicación, al sistema de EPS privadas—, creó una base de datos centralizada con información sensible y nunca tuvo parámetros para medir su eficacia. Fue una política de “ensayo y error” que no modificó las cifras del delito o bajó la tasa de homicidios relacionados.