PS-00222-2021

1/212  Expediente N.º: PS/00222/2021 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de mayo de 2020 la directora de la AEPD, siguiendo el mismo criterio utilizado ante cualquier noticia publicada en los medios de comunicación que afectase al tratamiento de datos de salud por parte de las Administraciones Públicas, y, ante las noticias aparecidas en medios de comunicación relativas al proyecto del Gobierno de España acerca de la implantación de una aplicación (o App) de rastreo de posibles infectados de COVID-19, encargado a la SECRETARIA DE ESTADO DE DIGITALIZACIÓN E INTELIGENCIA ARTIFICIAL (en lo sucesivo, la SEDIA), del MINISTERIO DE ASUNTOS ECONÓMICOS Y TRANSFORMACIÓN DIGITAL (en adelante, el METD), que usará una interfaz de programación de aplicaciones (en adelante, API) de Google y Apple, un protocolo para ser interoperable entre países, que se lanzará como piloto en Canarias a comienzos de junio, conectándose a los sistemas informáticos sanitarios de las Comunidades Autónomas, insta a la Subdirección General de Inspección de Datos (en lo sucesivo, SGID) a que inicie las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 6 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), con relación a las actuaciones realizadas por la SEDIA, por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la AEPD. SEGUNDO: A.A.A. (en adelante, la parte reclamante uno) con fecha 7 de septiembre de 2020 interpone una reclamación ante la AEPD contra la SEDIA. En particular, basa su reclamación en las siguientes circunstancias: “1. Investigar si la aplicación RadarCovid cumple con los principios de licitud, lealtad, transparencia y responsabilidad proactiva del RGPD (Art. 5), de conformidad con las directrices del EDPB (Art. 70 RGPD), en la medida en que: (

1. a)SGAD no ha publicado el contenido de la EIPD, a pesar de la “encarecida” recomendación del EDPB, así como confirmar si SGAD ha elaborado la EIPD y, en su caso, planteado la Consulta previa a la AEPD antes de efectuar el tratamiento de datos personales (Art. 35 y 36 RGPD); (
2. b)SGAD no ha publicado el código fuente, tal y como requiere el EDPB en sus directrices; (
3. c)SGAD no ha definido en la Política de privacidad las funciones y responsabilidades de las autoridades sanitarias de las CC.AA. que han completado los procesos técnicos necesarios para integrar la aplicación en sus sistemas sanitarios (Art. 13 y 14 RGPD); (
4. d)SGAD no ha especificado de forma suficientemente clara las distintas finaliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/212 dades del tratamiento y sus respectivas bases legitimadoras, en atención a lo dispuesto en el apartado “5. ¿Para qué y por qué utilizamos tus datos?” y “10. ¿Cuál es la legitimación para el tratamiento de tus datos?” de la Política de privacidad (Art. 13 y 14 RGPD); y (
5. e)SGAD no ha especificado los plazos de conservación de los datos para fines de investigación científica o histórica o fines estadísticos en la Política de privacidad (Art. 9.2j y 89.1 RGPD). 2. Ordenar a SGAD que las operaciones de tratamiento en el marco de RadarCovid se ajusten al RGPD y las directrices del EDPB; y 3. Sancionar a SGAD con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el RGPD o las directrices del EDPB.” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 5 de octubre de 2020, en el expediente con núm. de referencia E/07823/2020. Con fecha 24 de enero de 2021, la parte reclamante uno, amplía su reclamación y traslada a la AEPD unas alegaciones complementarias basadas en las siguientes circunstancias: “1. Incorporar dichas ALEGACIONES COMPLEMENTARIAS a la investigación que está llevando a cabo la AEPD por una posible vulneración de la normativa en materia de protección de datos; PRIMERO: Publicación tardía e incompleta del código fuente SEGUNDO: Modificación del responsable del tratamiento TERCERO: Brecha de seguridad CUARTO: Comunicaciones de datos al “EU interoperability gateway” QUINTO. Modificación de la Política de Privacidad de RadarCOVID 2. Hacer extensiva la reclamación a los nuevos responsables del tratamiento de la aplicación RadarCOVID identificados en la misma (i.e. Ministerio de Sanidad y Consejerías de Sanidad de las correspondientes Comunidades y Ciudades Autonómicas) por ostentar éstos la legitimación pasiva en el presente procedimiento; 3. En su caso, ordenar a los responsables o encargados del tratamiento de RadarCOVID que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado, de conformidad con las expresas directrices e interpretaciones efectuadas por el EDPB sobre la materia; y 4. En su caso, sancionar a todo responsable o encargado del tratamiento de RadarCOVID con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el RGPD, de conformidad con las expresas directrices e interpretaciones efectuadas por el EDPB sobre la materia.” TERCERO: B.B.B. junto a diez profesores más (en adelante, la parte reclamante dos), con fecha 1 de octubre de 2020, interpone una reclamación ante la AEPD, con el siguiente tenor: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/212 “Por la presente le informamos de una brecha de seguridad en la App Radar COVID, reportada a la SEDIA e Indra S.A, el 16 de septiembre del 2020. Le adjuntamos el reporte técnico así como la valoración jurídica en la nota legal que enviamos a la Vicepresidenta Nadia Calviño y a la Secretaria de Estado Carme Artigas este lunes 28 de septiembre”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 5 de octubre de 2020, en el expediente con núm. de referencia E/07905/2020. CUARTO: C.C.C. (en adelante, la parte reclamante tres) con fecha 5 de octubre de 2020, interpone una reclamación ante la AEPD. En particular, informa de cómo una decisión de diseño en la aplicación de rastreo de contactos Radar COVID pone en riesgo la privacidad de sus usuarios. “En concreto, el riesgo proviene de que solo los usuarios positivos de COVID suben las claves TEK (claves con el resultado de un test) al servidor de radar-covid-backenddp3t-server ( https://radarcovid.covid19.gob.es , con IP ***IP.1, ***IP.2, ***IP.3, ***IP.4 accesible a través de CloudFront CDN). Por lo tanto, cada vez que se observa una subida de la clave desde un teléfono al endpoint ' /v1/gaen/expuesto ' de este servidor, se puede inferir que el propietario del teléfono es COVID-positivo. La encriptación entre la aplicación y el servidor no ayuda a encubrir esa información: incluso si el endpoint y el contenido de la subida no son observables, la longitud de los mensajes revelará una subida de la clave TEK al servidor.” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 16 de octubre de 2020, en el expediente con núm. de referencia E/08295/2020. QUINTO: RIGHTS INTERNATIONAL SPAIN (en adelante, la parte reclamante cuatro) con fecha 26 de febrero de 2021 interpone una reclamación ante la AEPD. En particular, basa su reclamación en las siguientes circunstancias: “- Tras tener conocimiento de la tramitación, por parte de esta Agencia, de un procedimiento de oficio que investiga la aplicación de rastreo de contactos Radar COVID, y habiendo detectado una serie de potenciales riesgos para la privacidad e incumplimiento de las directrices aplicables, la asociación RIGHTS INTERNATIONAL SPAIN presenta un escrito para su incorporación al procedimiento, en el cual se denuncian irregularidades con respecto a la publicación del código de la aplicación. - En este sentido, se llama la atención sobre el hecho de que, a pesar de poder ser descargada la aplicación en diversas Comunidades Autónomas (incluso se liberó una versión para un proyecto piloto), el código no se publicó hasta el 9 de septiembre de 2020, y el mismo difería del que tuvo la aplicación en su versión inicial. Además, hasta la fecha, no se ha publicado el histórico de desarrollo de la app, es decir, el historial con todos los datos y pasos que se han dado desde el principio de su desarrollo. - En relación con el piloto, la asociación critica que, al no encontrarse publicado el código fuente, se desconoce su alcance concreto, aunque las descargas no se encontraban geolocalizadas, y, por tanto, la app podía ser descargada e instalada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/212 desde cualquier zona geográfica. Los índices utilizados para cuantificar el éxito de la acción iban más allá del territorio delimitado para las pruebas, pudiendo afectar a usuarios no informados o conscientes del uso de información de sus terminales - La asociación considera que la mencionada ausencia de transparencia provocó un retraso en la detección de una brecha de datos personales en la app, ya que, como luego se descubrió, únicamente enviaba información al servidor en caso de detectar un positivo. - Finalmente, la asociación llama la atención sobre algunas deficiencias relativas al documento de Evaluación de Impacto, el cual se publicó recientemente, en enero de 2021, a pesar de que la aplicación estuvo disponible ya en junio de 2020. Según su control de cambios, la versión publicada es la de noviembre de 2020, no indicando nada al respecto de las versiones anteriores, los cambios realizados, y los riesgos que puedan haber sido detectados con posterioridad a la evaluación inicial. Cuestionan la utilidad de una evaluación de impacto presentada y elaborada de esta manera.” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 12 de marzo de 2021, en el expediente con núm. de referencia E/02649/2021. SEXTO: En el marco de las actuaciones previas de investigación se practicaron cinco requerimientos de información dirigidos a la SEDIA, en distintas fechas: Requerimiento Código Seguro de Verificación Fecha requerimiento Fecha notificación requerimiento Primero ***CSV.1 26/05/2020 07/06/2020 Segundo ***CSV.2 18/08/2020 29/08/2020 Tercero ***CSV.3 18/09/2020 29/09/2020 Cuarto ***CSV.4 02/10/2020 13/10/2020 Quinto ***CSV.5 26/10/2020 06/11/2020 En el primer requerimiento, de fecha 26 de mayo de 2020, se solicitaba la siguiente información: (…) Respecto a los tratamientos 1.- Información sobre las finalidades concretas de la app y de los tratamientos de datos personales previstos en el marco de la citada app. 2.- Información sobre las tipologías de datos personales que pudieran ser recabados de los usuarios por estos tratamientos, especificando concretamente los datos de salud, datos de ubicación e identificativos, en cuestión. Indicar el carácter obligatorio o voluntario de facilitarlos. Periodo de conservación previsto para cada uno de los datos o tipos de datos anteriormente citados. 3.- Sobre los datos de ubicación que se recaben, información sobre los trataC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/212 mientos posteriores previstos con dichos datos y sus finalidades. Adicionalmente, información sobre los procesos de anonimización y/o seudonimización aplicados. 4.- Detalle de la previsión de uso de la app en términos de obligatoriedad y de alcance: 4.1.- Información sobre la obligatoriedad de uso de la App. 4.2.- Información sobre la compatibilidad de la App con las distintas versiones de los sistemas operativos (ANDROID e IOS). 4.3.- Soluciones contempladas para los usuarios de sistemas incompatibles y otros sistemas operativos (Windows Mobile, etc…). 4.4.- Medidas previstas para su utilización por parte de menores de edad y garantías. 5.- Terceras entidades previstas intervinientes en los tratamientos, públicas y privadas. Identificación de éstas y copia de los contratos/acuerdos suscritos por la SEDIA y las sucesivas subcontrataciones. 6.- Información sobre las cesiones previstas e identificación de las categorías de destinatarios y marco legitimador en el que se van a realizar 7.- Información sobre el cumplimiento de los principios de protección de datos, principalmente del principio de proporcionalidad, limitación de finalidad, así como del de minimización de los datos recabados, según las finalidades previstas. Copia de los informes que reflejen los estudios realizados en su caso. Respecto al almacenamiento y seguridad de los datos 8.- Descripción de las bases de datos o ficheros que intervienen en el proceso, tanto en los terminales móviles como en los servicios centrales y comunidades autónomas. Estructura de registro y descripción de los contenidos. Descripción de los metadatos, IP, puerto, IMEI, Identificación del dispositivo, etc… así como la finalidad para la que se hace uso de estos datos. Información sobre si los datos relativos a las pruebas diagnósticas son incluidos en estas bases de datos y son asociados a los usuarios de las aplicaciones. Información sobre la localización de los servidores de recogida de información y las entidades a cargo de la gestión de dichos servidores. 9.- Copia del análisis de riesgos sobre los derechos y libertades de los usuarios de la app realizado sobre el posible tratamiento de datos y la evaluación de impacto relativa a protección de datos a realizar sobre esta iniciativa. 10.- Descripción de las medidas técnicas y organizativas implementadas que garanticen la seguridad de los datos personales, tanto de la parte cliente descargada por los usuarios como de la información tratada en la parte del servidor, incluyendo, al menos, la gestión de usuarios, control de acceso, ficheros de registro de acceso (logs), copia de seguridad y procedimiento de gestión de brechas de seguridad. Información sobre si los datos se almacenan cifrados y, en su caso, tipo de cifrado. 11.- Copia del análisis y gestión de riesgos de seguridad en el contexto del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/212 Esquema Nacional de Seguridad. Respecto a la App y APIs de Google y Apple 12.- Copia de la Política de Privacidad de la app. Copia de cualquier otra evaluación de los tratamientos de datos previstos en la app realizada por su parte hasta la fecha, si la hubiere. 12.- Fecha de puesta en funcionamiento prevista para la mencionada app. 13.- Copia de la documentación técnica tanto de la app como de las APIs utilizadas en el desarrollo de ésta que incluya información sobre la estructura de datos y procesos. 14.- Información sobre si dicha aplicación y las interfaces (API) son de código abierto y si dichas APIs han sido sometidas a una auditoría por una tercera entidad independiente nacional o internacional y resultado de ella. 15.- Información sobre los recursos de los dispositivos móviles a los que accede la app y la finalidad de cada acceso. Información que se facilita al usuario sobre estos accesos. 16.- Información sobre los recursos de los dispositivos móviles a los que acceden las APIs y la finalidad de cada acceso. Información que se facilita al usuario sobre estos accesos. 17.- Descripción del procedimiento de rastreo y alerta incluyendo: - Descripción del procedimiento de rastreo. Procedimiento de generación de identificadores, frecuencia de cambio, ubicaciones en las que se almacenan y periodo de conservación de estos en cada ubicación. - Descripción detallada del procedimiento de comunicación a los usuarios que han estado próximos a un usuario al que se ha constatado la infección, detallando la información que se le comunica. - Autoridades y/o terceros a los que se facilitan los identificadores. - Descripción del procedimiento mediante el que se comunica un positivo contagiado de COVID-19. Quién lo introduce en el circuito. Descripción del procedimiento que garantiza que es un positivo constatado por las autoridades sanitarias y no un falso positivo. Respecto a las transmisiones de datos 18.- Descripción de las transmisiones de datos especificando las redes, protocolos y cifrado. 19.- Descripción de las tramas de datos que se transmiten, estructura y contenido. Descripción de los metadatos, IP, puerto, IMEI, Identificación del dispositivo, ubicación, etc… así como la finalidad para la que se hace uso de estos datos y cuáles de ellos son registrados en los ficheros. La suspensión de plazos administrativos prevista en la Disposición adicional tercera del Real Decreto 463/2020, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19, en su apartado 4 establece: “Sin perjuicio de lo dispuesto en los apartados anteriores, desde la entrada en vigor del presente real decreto, las entidades del sector público podrán acordar motivadamente la continuación de aquellos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/212 procedimientos administrativos que vengan referidos a situaciones estrechamente vinculadas a los hechos justificativos del estado de alarma, o que sean indispensables para la protección del interés general o para el funcionamiento básico de los servicios”. Atendiendo a la naturaleza especialmente sensible de los datos en cuestión, esta Agencia considera que se trata de un supuesto de urgencia inaplazable, en el que resulta necesario salvaguardar el derecho fundamental a la protección de los datos personales, por lo que se desvirtuaría su carácter urgente si se viera afectado por la suspensión de plazos decretada (…). En el segundo requerimiento, de fecha 18 de agosto de 2020, se solicitaba la siguiente información: (…) 1.- Actualización de la información y documentación aportada relativa al sistema RADAR COVID que pudiera haber cambiado con respecto a la versión piloto. 2.- Copia de los contratos de servicios que presta Amazon Web Services (AWS). 3.- Información sobre el rol que desempeña la Secretaría de Estado de Digitalización e Inteligencia Artificial, así como el Ministerio de Sanidad en la gestión del sistema RADAR COVID, y en su caso, copia de los contratos o convenios suscritos entre ambos. 4.- Respecto a los tratamientos realizados por la Comunidades Autónomas: • Información sobre el rol que desempeñan las Comunidades Autónomas en la gestión del sistema RADAR COVID, y en su caso, copia de los contratos o convenios suscritos. • Descripción de los tratamientos que realizan. • Descripción detallada del procedimiento establecido para la comunicación de los identificadores positivos de COVID 19. Copia de los protocolos y documentación al respecto. • Descripción del sistema de información utilizado por las CCAA para la gestión de los códigos de diagnóstico. • Descripción de las medidas de seguridad de este sistema, incluyendo la gestión de usuarios y contraseñas (procedimiento de altas y bajas) y tipo de cifrado de las comunicaciones. 5.- Respecto al almacenamiento y seguridad de los datos 5.1.-Descripción de las bases de datos del back-end: Estructura de la base de datos, descripción de las tablas y de cada uno de los campos. Copia impresa de un registro completo de cada tabla incluyendo la descripción de los contenidos de los campos. Información sobre si los datos se almacenan cifrados y, en su caso, tipo de cifrado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/212 5.2.- Copia del análisis de riesgos sobre los derechos y libertades de los usuarios de la app realizado sobre los posibles tratamientos de datos de carácter personal y la evaluación de impacto relativa a protección de datos a realizar sobre esta iniciativa. 5.3.- Descripción de las medidas técnicas y organizativas implementadas que garanticen la seguridad de los datos personales, incluyendo la gestión de usuarios, control de acceso, ficheros de registro de acceso (logs), copia de seguridad y procedimiento de gestión de brechas de seguridad. 5.4- Copia del análisis y gestión de riesgos de seguridad en el contexto del Esquema Nacional de Seguridad. 6.- Descripción del procedimiento de interoperabilidad con otras Apps desarrolladas con la misma finalidad por terceros países. 6.1.- Datos que se comparten o se tienen previsto compartir de los usuarios. 6.2.- Descripción del procedimiento establecido para compartir dichos datos. 6.3.- Descripción del procedimiento de identificadores de usuarios de otras Apps. recopilación de datos de 6.4.- Descripción del procedimiento de comunicación a usuarios de otras Apps de que han estado en contacto con usuarios positivos. (…) En el tercer requerimiento, de fecha 18 de septiembre de 2020, se solicitaba la siguiente información: (…) 1.- Finalidades para las que se utilizan librerías de software Firebase de Google tras concluir la fase piloto, y en particular las que utilizan el servicio Google analytics, según se desprende del código de la app recientemente hecho público en hithub.com (En las líneas 198-199:// Recommended: Add the Firebase SDK for Google Analytics. implementation 'com.google.firebase:firebase-analytics-ktx:17.5.0').(…) En el cuarto requerimiento, de fecha 2 de octubre de 2020, se solicitaba la siguiente información: Ha tenido entrada en esta Agencia un escrito en el que se reporta una incidencia de seguridad detectada en relación con la app Radar COVID que se expone literalmente: “sólo los usuarios positivos de COVID suben las claves TEK (claves con el resultado de un test) al servidor de radar-covid-backend-dp3t-server, https:// radarcovid.covid19.gob.es/ (con IP: ***IP.1, ***IP.2, ***IP.3, ***IP.4 accesible a través de CloudFront CDN). Por lo tanto, cada vez que se observa una subida de la clave desde un teléfono al endpoint de este servidor '/v1/gaen/expuesto', se puede inferir que el propietario del teléfono es COVIDpositivo. La encriptación entre la aplicación y el servidor no ayuda a encubrir esa información: incluso si el endpoint y el contenido de la subida no son observables, la longitud de los mensajes revelará una subida de la clave TEK al servidor. La comunicación puede ser observada por diversas entidades. Por ejemplo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/212 el proveedor de telecomunicaciones (si la conexión se hace a través de GSM); el proveedor de servicios de Internet si la conexión se hace a través de Internet; o cualquier persona con acceso a la misma red (WiFi o Ethernet) que el usuario. En el caso de la appRadar COVID, en la que las subidas se hacen utilizando el endpoint de Cloudfront que se utiliza para la descarga de las claves TEKs, Amazon también tiene la capacidad de observar las direcciones IP de los usuarios de Radar COVID y asociarlas al hecho de que esos usuarios comunican un test de COVID positivo. Las direcciones IP observables constituyen datos personales ya que "contienen información concerniente a personas físicas 'identificadas o identificables'" (ya lo entendió así la Sentencia de la Sala Tercera del Tribunal Supremo, Secc. 6, de 23 de Octubre 2014, ECLI: ES:TS:2014:3896, interpretando la antigua LOPD). Pero, además del hecho de comunicar la dirección IP, habida cuenta de que, como se muestra en el informe técnico, sólo los usuarios positivos de COVID suben las claves al servidor de radar-covid-backend-dp3t-server, esa IP queda asociada a los datos de claves TEK subidos, que corresponden siempre a la comunicación de un test positivo de COVID. De este modo, el funcionamiento de la app permite vincular de modo inequívoco una IP con el hecho de que su titular está subiendo un test positivo de COVID. Así pues, sin que el usuario sea consciente de ello, la app hace posible que terceros conozcan que el titular de una IP está infectado por el virus, lo que implica la comunicación de un dato sensible, al tratarse de un dato de salud (dato especialmente protegido conforme al art. 9 RGPD). Mientras que el tratamiento de la dirección IP es necesario para el funcionamiento de la aplicación, la posibilidad de asociar la IP con la subida de un test positivo no lo es.” En uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), y el Art. 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se solicita que en el plazo de diez días hábiles, nos informen si tienen cocimiento de este hecho y, en su caso, las medidas adoptadas para su resolución. En el quinto y último requerimiento, de fecha 26 de octubre de 2020, se solicitaba la siguiente información: (…) 1.- Número de identificadores que se han visto afectados por la vulnerabilidad. 2. Descripción detallada de las acciones realizadas para su resolución incluyendo fecha de las medidas adoptadas y fecha de su implantación. 3.- Información respecto de si tiene conocimiento de la utilización por terceros de los datos expuestos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/212 4.- Protocolo de comunicaciones utilizado entre la app y el backend y descripción detallada del tipo de cifrado utilizado. (…) SÉPTIMO: A la vista de las alegaciones aportadas por la SEDIA en respuesta a los requerimientos practicados, la SGID emitió un informe de actuaciones previas de investigación en el marco del expediente con número de referencia E/03936/2020, de fecha 26 de febrero de 2021, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el artículo 67 de la LOPDGDD, con el siguiente tenor: “ANTECEDENTES Con fecha de 21 de mayo de 2020 la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación en relación con las noticias aparecidas en medios de comunicación sobre el proyecto del Gobierno de implantación de una app de rastreo por bluetooth de posibles infectados de COVID-19. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: Ministerio de Asuntos Económicos y Transformación Digital - SEDIA- Secretaría de Estado de Digitalización e Inteligencia Artificial- con NIF S2833002E con domicilio en Calle Poeta Joan Maragall 41 - 28071 Madrid. Ministerio de Sanidad -SGSDII- Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud con domicilio en PASEO DEL PRADO, 18-20 - 28071 Madrid. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Con fechas de 26/5, 17/8, 18/9, 2/10 y 26/10 de 2020, se notificó por la Inspección de Datos sendos requerimientos de información a la Secretaría de Estado de Digitalización e Inteligencia Artificial solicitando diversa información y documentación en relación con la aplicación móvil (app) que permitirá el rastreo de contactos por Bluetooth con objeto de la detección precoz de posibles contagiados por la COVID-19 (RADAR COVID). Con fechas 5/6, 18/6, 3/7, 21/7, 28/7, 1/9, 22/9, 23/9, 9/10, 15/10, 27/10, 30/10 y 5/11 de 2020 se recibieron respectivos escritos de respuesta completando los requerimientos de información efectuados. De la información y documentación aportada se desprende lo siguiente: 1.1.- Con fecha 9 de octubre de 2020 se firmó el “Acuerdo entre el Ministerio de Asuntos Económicos y Transformación Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) y el Ministerio de Sanidad acerca de la aplicación “RADAR COVID”.”, cuyo objeto es:
6. a)Delegar en la Secretaría General de Administración Digital (en adelante, SGAD) del Ministerio de Asuntos Económicos y Transformación Digital, todas las competencias de diseño, desarrollo, implantación y evolución de la aplicación “RADAR COVID” que correspondan a la Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud en virtud de lo previsto en el artículo 8.2.
7. a)del Real Decreto 735/2020, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/212 4 de agosto, por el que se desarrolla la estructura orgánica básica del Ministerio de Sanidad, la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. La Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud ha aprobado previamente la delegación de todas estas competencias en la SGAD de acuerdo con lo previsto en el artículo 9.1 de la Ley 40/2015, de 1 de octubre.
8. b)Delegar en la SGAD la competencia del Ministro de Sanidad para suscribir con las comunidades y ciudades autónomas los convenios de colaboración para la adhesión de estas al uso de la aplicación “RADAR COVID”, de acuerdo con lo previsto en el Capítulo VI del Título Preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. sin perjuicio del apoyo que para facilitar su tramitación le prestará la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. La parte expositiva del Convenio recoge en el sexto punto lo siguiente: “Sexto.- Que, desde el mes de mayo de 2020, la SGAD ha venido desarrollando, con el conocimiento y la conformidad del Ministerio de Sanidad, una aplicación para la trazabilidad de contactos en relación con la pandemia ocasionada por la COVID-19 denominada “RADAR COVID”. Durante el mes de julio de 2020, con la conformidad de la Dirección General de Salud Pública, Calidad e Innovación del Ministerio de Sanidad, la SGAD llevó a cabo con éxito el proyecto piloto de la misma, cuyo éxito garantiza la viabilidad de la solución propuesta para el rastreo de contactos estrechos.” 1.2 El representante de la SGAD manifiesta, en escrito de fecha 1/9/2020, respecto al sistema RADAR COVID que el Ministerio de Sanidad tiene la condición de responsable del tratamiento, y cada Comunidad Autónoma será responsable de tratamiento de los datos de su ámbito respectivo, mientras que la Secretaría General de Administración Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) tiene la condición de encargado del tratamiento. 1.3.- El sistema “RADAR COVID” lo constituye: • Una app para dispositivos móviles denominada “RADAR COVID” que recoge identificadores de proximidad de usuarios de esta y utiliza la interfaz de programación de aplicaciones (API) desarrollada por Google y Apple. • Un servicio Web que se pone a disposición de los gobiernos de las Comunidades Autónomas (CCAA) para distribuir los códigos que permiten a los usuarios de la app que han dado positivo en un test COVID-19, enviar los identificadores de proximidad de los últimos 14 días conservados en el terminal móvil al servidor. • Además, los servicios de salud de las CCAA han de establecer los procesos y procedimientos necesarios para facilitar a los usuarios que han dado positivo en la prueba de COVID-19 un código de seguridad que es la llave para subir al servidor los identificadores de proximidad que conservan en los dispositivos móviles. Las dos primeras han sido desarrolladas por el Gobierno de España con la finalidad de ayudar a evitar la propagación de la COVID-19 identificando los poC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/212 sibles contactos que una persona que resulte infectada haya podido tener en los últimos 14 días y la tercera es responsabilidad del Servicio de Salud de cada CCAA. 1.4.- Con fecha 15 de junio de 2020 se acordó por el Secretario General de la Administración Digital la contratación de los servicios para la trazabilidad de contactos con relación a la pandemia ocasionada por la COVID 19 a Indra Tecnologías de la Información S.L. (en adelante INDRA). Según consta en el objeto del contrato recogido en el “Pliego de condiciones para el diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación con la pandemia ocasionada por la covid-19” de fecha 12 de junio de 2020, el proyecto de implantación tendría tres fases: fase pre-piloto, fase piloto y fase post-piloto. 1.5.- El Gobierno lanzó el proyecto piloto el 29 de junio y finalizó el 29 de julio de 2020 en la isla de La Gomera en coordinación con el Gobierno de Canarias, con el Gobierno del Cabildo de La Gomera y con el Ayuntamiento de San Sebastián de La Gomera, así como con el Servicio Canario de la Salud. Posteriormente se han ido incorporando al proyecto las Comunidades Autónomas en fase de pruebas hasta la firma del convenio a suscribir con cada una de ellas, en las siguientes fechas: Andalucía, Aragón, Cantabria y Extremadura el 19 de agosto, Canarias y Castilla y León el 20 de agosto, Baleares el 24 de agosto, Murcia el 25 de agosto, Madrid y Navarra el 1 de septiembre, La Rioja el 3 de septiembre, Asturias el 4 de septiembre, Com. Valenciana el 8 de septiembre, Melilla y Galicia el 14 de septiembre, Castilla-la Mancha el 18 de septiembre, País Vasco el 21 de septiembre, Ceuta el 24 de septiembre de 2020. La implantación y utilización en pruebas en todo el territorio nacional de la aplicación está amparada por un Acuerdo del Consejo interterritorial del Sistema Nacional de Salud adoptado en fecha 19 de agosto de 2020, con la secuencia temporal que acuerden con la SEDIA. Respecto de los principios de proporcionalidad, limitación de finalidad, así como de minimización de los datos recabados según las finalidades previstas. 1.6.- Manifiestan que la principal finalidad de la aplicación es permitir alertar a las personas que han estado en contacto con alguien infectado por la COVID19 e informarles de las medidas que conviene adoptar después, como someterse a auto cuarentena o a pruebas diagnósticas, o proporcionar asesoramiento sobre qué hacer en caso de experimentar algún síntoma. Esto es, pues, útil tanto para los ciudadanos como para las autoridades sanitarias públicas. También puede desempeñar un papel importante en la gestión de las medidas de confinamiento durante las posibles situaciones de desescalada. 1.7.- Manifiestan que se recaban exclusivamente los datos que se requieren para las finalidades indicadas. No se lleva a cabo el almacenamiento ni el momento exacto ni el lugar de contacto, sin embargo, consideran útil almacenar el día del contacto para saber si se produjo cuando la persona experimentaba síntomas (o cuarenta y ocho horas antes) y definir con mayor precisión el mensaje de seguimiento en el que se ofrezcan consejos relacionados, por ejemplo, con la duración de la auto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/212 cuarentena. 1.8.- Respecto a si la medida es necesaria, en el sentido de que no exista otra más moderada para la consecución de tal propósito con igual eficacia, manifiestan: “Es muy importante considerar la utilidad real, la necesidad y efectividad de esta Aplicación, así como su impacto en el sistema social más amplio, incluidos los derechos fundamentales y libertades, considerando que estas aplicaciones sientan un precedente para el uso futuro de tecnologías invasivas similares, incluso después de la crisis COVID-19. La situación de emergencia no puede suponer una suspensión del derecho fundamental a la protección de datos personales. Pero, al mismo tiempo, la normativa de protección de datos no puede utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades competentes, especialmente las sanitarias, en la lucha contra la epidemia, ya que en ella se prevén soluciones que permiten compatibilizar el uso lícito de los datos personales con las medidas necesarias para garantizar eficazmente el bien común. Los fundamentos que legitiman/hacen posible dichos tratamientos son la necesidad de atender las misiones realizadas en interés público, así como la de garantizar los intereses vitales de los propios afectados o de terceras personas, en virtud de lo expuesto en el Considerando 46 del RGPD, donde se reconoce que en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física. El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. Por tanto, si procedemos a realizar un juicio de necesidad, es decir, determinar si el tratamiento es necesario, en el sentido de que no existe otra alternativa menos invasiva para la privacidad para conseguir este propósito con la misma eficacia o con una eficacia razonable, conviene apuntar que la legislación sectorial en materia sanitaria no cuenta en la actualidad con instrumentos suficientemente precisos que permitieran afrontar una situación como la de crisis sanitaria en la que el país aún se encuentra inmerso. En este sentido, se han aprobados medidas específicas, como es el desarrollo de una aplicación como la que se está evaluando, que refuerzan los instrumentos de coordinación y cooperación en materia de salud pública a la vista de las características globales de la epidemia.” 1.9.- Respecto a la proporcionalidad, añaden: “En este caso, el beneficio tendrá que medirse en función de una menor proC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/212 pagación de la infección en términos globales, con la posibilidad de recuperar la libertad de acción, y una protección de la salud de los individuos. Los datos de salud tienen un alto valor, por lo que hay que prevenir que, aprovechando la incertidumbre que provoca una situación de emergencia, se produzcan abusos por parte de terceros que conduzcan a situaciones de pérdida de libertades, discriminación u otros daños en la situación personal de los ciudadanos. Se trata por tanto de realizar una valoración de los beneficios que este tratamiento promete aportar en la lucha frente a la pandemia y de los costes en la privacidad de los individuos que pueden acarrear. En cuanto a los posibles perjuicios o amenazas que puede suponer una aplicación como esta para la privacidad habrá que tener en cuenta cómo se ha realizado la aplicación que estamos evaluando y de cuáles son sus objetivos. Estas amenazas pueden aparecer por la urgencia en ofrecer soluciones en funcionamiento que relajen los controles y requisitos para proteger los datos de los ciudadanos. Por ejemplo, se pueden encontrar posibles amenazas a la privacidad en la implementación de esta. Por otra parte, no hay que olvidar que una app o una web es solamente un interfaz para mostrar y llevar datos a un servidor. Las principales amenazas a la privacidad de este tipo de soluciones vienen de la realización de mapas de relaciones entre personas, reidentificación por localización implícita, de la fragilidad de los protocolos a la hora construir “tarjetas” casi anónimas, y de dispersar las señales de los contagios de forma que no se identifique en ningún caso la identidad de los contagiados. Debe tenerse en cuenta que el tratamiento de la información no solo afecta al usuario de la aplicación sino también la de todos los terceros con los que ha estado en contacto, por lo que este tratamiento ha de cumplir los principios de protección de datos. Hay estudios sobre la robustez de los protocolos de criptografía y anonimización (ver documento anexo 12. DP3T - Data Protection and Security), y siempre existe una posibilidad de que aplicando suficiente tiempo y capacidad de cómputo puedan romperse y asociar los apodos anónimos con números de teléfono y personas. Desde el punto de vista de la privacidad, cuanto más cálculo se haga en la parte de servidor, menos control tienen los usuarios, por lo que las soluciones centralizadas siempre parecen menos respetuosas con la privacidad que las distribuidas. La posibilidad de que, debido a la acumulación de los datos de forma centralizada, se produjese un abuso en una empresa poco ética, se ampliarán los propósitos del tratamiento o se fuera víctima de un ciberataque constituye otra de las mayores amenazas de este tipo de soluciones. En cuanto los beneficios que puede representar este tipo de tratamiento, es importante traer a colación, el análisis realizado por la propia AEPD sobre si el uso de estos datos representa en la crisis de la pandemia un beneficio importante, determinando que el éxito de este tipo de soluciones se basa en muchos factores que no dependen de la tecnología. En primer lugar, es necesaria la implicación de un elevado número de usuarios, algunos estudios hablan de al menos el 60% de una población que, teniendo en cuenta a los niños y los ancianos, suponen casi todos los usuarios de móvil. Por otro lado, depende de que se realice una declaración responsable de la situación personal de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/212 infección, preferiblemente supervisada por un profesional para evitar estrategias de desinformación. Finalmente, es necesario disponer de acceso a test, no solo para todos los usuarios, sino para poder actualizar la información periódicamente y para que aquellos que sean notificados de haber estado en contacto con un infectado puedan realizar la prueba con prontitud. No obstante, y siempre bajo un uso respetuoso con la privacidad de los usuarios, se pueden deducir los siguientes beneficios: Beneficios para los interesados .- Las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus serán informadas al respecto, a fin de romper las cadenas de transmisión lo antes posible. Asimismo, se les informará de las medidas que conviene adoptar después, como someterse a autocuarentena o a pruebas diagnósticas, o proporcionar asesoramiento sobre qué hacer en caso de experimentar tal o cual síntoma. .- La instalación de la aplicación en el dispositivo es voluntaria, sin consecuencia negativa alguna para quien decida no descargar o no usar la aplicación. .- El usuario mantiene el control sus datos personales. .- El uso de la Aplicación no requiere un seguimiento de la ubicación de los usuarios a título individual; en su lugar, se utilizan datos de proximidad .- La información recogida se aloja en el equipo terminal del usuario y solo se recoge la información pertinente cuando sea absolutamente necesario. Beneficios para la Administración .- Las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus serán informadas al respecto, a fin de romper las cadenas de transmisión lo antes posible. .- Tecnología sencilla. .- La normativa de protección de datos personales contiene una regulación para el uso de casos como lo es el tratamiento que se lleva a cabo con esta Aplicación, que compatibiliza y pondera los intereses y derechos en liza para el bien común. .- Desempeña un papel importante en la gestión de las medidas de confinamiento durante las posibles situaciones de desescalada. .- No es necesario que una autoridad almacene información de contacto real. .- Su repercusión puede reforzarse mediante una estrategia que favorezca la ampliación de las pruebas a las personas que presenten síntomas leves. Alternativas al tratamiento y por qué no se han elegido: Como conclusión, cabe señalar que esta Aplicación no puede sustituir, sino meramente complementar, el rastreo manual de contactos realizado por personal sanitario cualificado, que puede determinar si los contactos estrechos pueden o no dar lugar a una transmisión del virus. Esta labor de rastreo es compleja, principalmente porque exige a los profesionales sanitarios disponer de información rápida y fiable de los contactos de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/212 pacientes, por lo que se puede concluir que el uso de esta Aplicación cumple con los principios de idoneidad ya que el tratamiento evaluado consigue los objetivos propuestos y el juicio de necesidad ya que, actualmente, no existe otra alternativa menos invasiva para la privacidad para conseguir este propósito con la misma eficacia o con una eficacia razonable. La aplicación se constituye como una herramienta complementaria de las técnicas tradicionales de rastreo de contactos (en particular, de las entrevistas con personas infectadas), es decir, forma parte de un programa de salud pública de mayor alcance y el objetivo es que sea utilizada exclusivamente hasta el momento en que las técnicas de localización manual de contactos puedan gestionar por sí solas el volumen de nuevas infecciones.” Respecto a las finalidades concretas de la app y los tratamientos de datos personales: 1.10.- Manifiestan que los objetivos perseguidos con esta aplicación de alerta de contagios son los siguientes: • Preservar la salud pública sin renunciar a la privacidad de los ciudadanos. • Ir un paso por delante de la COVID-19, alertando de forma proactiva a personas en riesgo de estar incubando el virus. • Minimizar el impacto económico de la COVID-19, al controlar la pandemia sin medidas drásticas y facilitando el movimiento de personas. La principal funcionalidad de la aplicación es permitir alertar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a auto cuarentena o a pruebas diagnósticas. La finalidad última es que las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus sean informadas al respecto, a fin de romper las cadenas de transmisión lo antes posible. 1.11.- La aplicación móvil implementa una versión de alerta de contactos (“contact tracing”) de acuerdo con el protocolo “Decentralized Privacy-Preserving Proximity Tracing” (DP-3T), haciendo uso del API desarrollado conjuntamente por Apple y Google de este protocolo, mediante el conocido como API “Exposure Notification”. La app no geolocaliza al usuario ni permite el rastreo de su ubicación, sino que se basa en el intercambio de identificadores pseudoaleatorios, anónimos y efímeros entre el dispositivo del usuario y otros teléfonos móviles próximos, todo ello vía Bluetooth de baja energía. La app tampoco requiere del proceso de identificación o login, ni solicita ningún dato personal. De acuerdo con este protocolo, cuando una persona da positivo en el test de COVID-19 y decida compartir este dato, únicamente se envían al servidor los pseudocódigos anónimos que él ha emitido y no los que ha detectado de otros móviles cercanos, a diferencia del modelo centralizado que envía todos. Por lo tanto, el cotejo y análisis de datos se lleva a cabo en el móvil de cada usuario y no en el servidor. Respecto a las tipologías de datos recabados de los usuarios 1.12.- La aplicación no requiere registro y no solicita al usuario ningún dato de carácter personal, solamente se almacenan en el equipo terminal del usuario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/212 los códigos pseudo-aleatorios o Identificador de proximidad, que son datos generados mediante el intercambio de señales de Bluetooth de baja energía (BLE) entre dispositivos dentro de una distancia relevante desde el punto de vista epidemiológico y durante un tiempo relevante también desde el punto de vista epidemiológico. La app no recoge datos de ubicación. Estos identificadores de proximidad se comunican únicamente cuando se haya confirmado que un usuario en cuestión está infectado de COVID-19 y a condición de que la persona opte por que así se haga. Estos datos de proximidad son generados a través de las APIs de Google y Apple sin referenciar a ningún dato de usuario ni de dispositivo. Respecto al periodo de conservación previsto para los datos: 1.13.- Los datos de proximidad se suprimirán cuando dejen de ser necesarios para alertar a las personas y como máximo tras un período de un mes (período de incubación más el margen). Los datos se almacenan en el dispositivo del usuario, y solo aquellos que hayan sido comunicados por los usuarios y que sean necesarios para cumplir la finalidad se cargan en el servidor central de validación de positivos a disposición de las autoridades sanitarias cuando se haya elegido tal opción (es decir, solo se cargarían los datos en el servidor de «contactos estrechos» de una persona que hubiera dado positivo a la infección de COVID-19). La aplicación no solicita datos personales y los datos de claves infectadas almacenados en el servidor, se conservarán durante el tiempo que dure la crisis de la COVID-19. Respecto a la previsión de uso de la app en términos de obligatoriedad y de alcance 1.14.- La descarga de la app es voluntaria, el usuario puede apagar el Bluetooth y desinstalarla en todo momento. La app estará disponible en dispositivos con sistema operativo iOS, a partir de la versión 13.5, y Android, a partir de la versión 6.0 y posteriores, lo que se estima que cubre el 99% de los teléfonos móviles inteligentes, según la cuota de mercado publicada por revistas especializadas. La app advierte que los menores de 18 años no podrán usar los servicios disponibles a través de la App sin la previa autorización de sus padres, tutores o representantes legales, quienes serán los únicos responsables de todos los actos realizados a través de la App por los menores a su cargo. Respecto al procedimiento de rastreo y alerta: 1.15.- El procedimiento de generación de identificadores sigue la implementación del protocolo DP-3T en el API “Exposure Notification” de Apple y Google. Los identificadores efímeros se rotan cada 10-20 minutos, y se descartan al cabo de 14 días. 1.16.- Las alertas de notificación solo presentan información sobre: el tiempo de exposición, la fecha en que ocurrió y el nivel de severidad, en una escala de alto y bajo. Se presenta como una notificación en la aplicación, que puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/212 ser consultada en todo momento a través del histórico de notificaciones. En ningún momento se ofrecen datos personales sobre la persona con la que se mantuvo contacto. 1.17.- El procedimiento mediante el que se comunica un positivo contagiado de COVID-19 es el siguiente: 1.- El paciente realiza un test a través de su Servicio Público de Salud. 2.- Si el resultado del test es positivo, desde el servicio de salud se informa de la detección de un positivo y se solicita una clave única de un solo uso. 3.- Se genera un código de confirmación de positivo que se comunica al responsable sanitario autorizado. 4.- Cuando el paciente recibe el resultado positivo en el test de Covid-19, se le proporciona el código de confirmación de un solo uso, que puede introducir en su App. 5.- Con el consentimiento del paciente, su teléfono envía el código de confirmación de un solo uso, que es verificado por el servidor, y se carga el histórico de los últimos 14 días de claves Bluetooth en el servidor central. Respecto a los tratamientos realizados por la Comunidades Autónomas: 1.18.- Las CCAA, como responsables del tratamiento en su respectivo ámbito, tienen la responsabilidad de entregar un código (PIN de 12 dígitos) a los pacientes que resultan positivos en prueba PCR para COVID19 y que tienen la app RADAR COVID instalada en su dispositivo móvil. En este sentido, desde el sistema de gestión de alertas centralizado se ha habilitado un servicio Web a partir del que se pone a disposición de las CCAA un conjunto de códigos positivos. A partir de ahí, cada CCAA debe definir un procedimiento de custodia y distribución de esos códigos positivos a los pacientes diagnosticados con COVID19 garantizando la custodia de esos códigos y su distribución atendiendo al procedimiento definido en cada CCAA en virtud de sus competencias en el ámbito sanitario. 1.19.- El envío de identificadores positivos entre el servidor central y las CCAA no usa certificados, sino pares de claves (pública-privada) que se generan en las CCAA. Las CCAA incluyen en la petición un token JWT (procedimiento que permite el proceso de autenticación entre un proveedor de identidad y un proveedor de servicio a través de una URL, que generan firmado con su clave privada). Desde el servidor central se valida la firma del token JWT de la petición con la clave pública que previamente han compartido. Adicionalmente, se incluye en la respuesta un campo que contiene la firma en base64 de la concatenación de todos los códigos facilitados y se utiliza para generar dicha firma la clave privada del servidor. Las CCAA validan esa firma con clave pública del servidor, que está incluida en el documento de integración, para garantizar que no ha habido alteración de los códigos facilitados. La entrega de claves públicas se hace de manera privada entre la CCAA y el prestatario del servicio y se definirá un procedimiento ad-hoc en el caso de que una clave pública de una CCAA se haya podido ver comprometida ya que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/212 una vez que se identifique que una clave en una CCAA ha sido comprometida, se puede dar de baja del sistema o reemplazarla por otra. Por el mismo motivo, no hay un procedimiento de revocación de códigos, pero igualmente podrían eliminarse o hacer que caduquen. Respecto de las terceras entidades intervinientes en los tratamientos: 1.20.- Indra Tecnologías de la Información S.L: El “Pliego de condiciones para el diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación con la pandemia ocasionada por la covid-19”, aceptado por INDRA, recoge en el objeto del contrato las necesidades a cubrir y entre otras, las siguientes cláusulas: “5.4. Infraestructura en la nube (cloud). Se precisará que los desarrollos del Backend se realicen en una infraestructura en la nube en modo de autogestión, para facilitar la agilidad en el desarrollo de la solución. No obstante, lo anterior, tanto el almacenamiento como cualquier actividad de tratamiento de datos se ubicarán en el territorio de la Unión Europea, ya sean éstos provistos y gestionados por la empresa adjudicataria o por sus contratistas y colaboradores, y se alojarán en servidores y/o centros de proceso de datos de la propia empresa adjudicataria o de sus contratistas. … En la medida de lo posible, se procurará la utilización de componentes en la infraestructura cloud que permitan la migración futura de la solución a la nube SARA de la AGE. 6.1. Confidencialidad en general El contratista se compromete a garantizar la más estricta confidencialidad y reserva sobre cualquier dato o información a los que pueda tener acceso o pudiera conocer con ocasión de la ejecución del contrato, así como sobre los resultados obtenidos de su tratamiento, y a que únicamente se utilizarán para la consecución del objeto del contrato, no pudiendo comunicarlos, utilizarlos, ni cederlos a terceros bajo ningún concepto, ni siquiera para su conservación. Estas obligaciones se extienden a todas las personas que, bajo la dependencia del contratista o por su cuenta, hayan podido intervenir en cualquiera de las fases de ejecución del contrato. La obligación de confidencialidad y reserva conlleva la de custodia e impedir el acceso a la información y documentación facilitadas y a las que resulten de su tratamiento de cualquier tercero ajeno al servicio contratado, entendiéndose como tal tanto cualquier persona ajena a la empresa contratista como cualquiera que, aun no siéndolo, no esté autorizada para acceder a tal información. Asimismo, el contratista se compromete a velar por la integridad de los datos, es decir, a la protección de la información facilitada y a la que resulte de su tratamiento contra la modificación o destrucción no autorizada de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/212 6.2. Protección de datos personales Se deberá cumplir lo estipulado en la ley orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, adaptada al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y por el que se deroga la Directiva 95/46/CE(Reglamento General de Protección de Datos), incluyendo lo dispuesto en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre y en el Real Decreto 3/2010, de 8 de enero. Conforme a la Disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Medidas de seguridad en el ámbito del sector público, las medidas de seguridad a aplicar en el marco de los tratamientos de datos personales se corresponderán con las de la Administración púbica de origen y se ajustarán al Esquema Nacional de Seguridad. Se requerirá a INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN, SLU la manifestación expresa del sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos conforme a los artículos 35.1d y 122.2 de la LCSP modificado por artículo 5 del Real Decreto Ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. 6.3. Seguridad INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN, SLU implementará las medidas técnicas y organizativas de seguridad apropiadas y elaborará la documentación pertinente, de acuerdo con el correspondiente análisis de riesgos, según lo establecido en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica. 7 PROPIEDAD INTELECTUAL Sin perjuicio de lo dispuesto en la legislación vigente en materia de propiedad intelectual, el adjudicatario acepta expresamente que la propiedad de todos los productos que sean elaborados por el adjudicatario, incluidos sus empleados y en su caso cualquier empresa subcontratada, en ejecución del Contrato y, en particular, todos los derechos de propiedad intelectual y/o industrial que deriven de los mismos, corresponde únicamente a la administración contratante, con exclusividad y sin más limitaciones que las que vengan impuestas por el ordenamiento jurídico. A los efectos previstos en el párrafo anterior, la empresa adjudicataria se compromete a la entrega a la SGAD de toda la documentación técnica, trabajos y materiales generados, en cuyo poder quedarán a la finalización del Contrato sin que el contratista pueda conservarla, ni obtener copia de esta, ni utilizarla o facilitarla a terceros sin la expresa autorización de la SGAD, que la daría, en su caso, previa petición formal del contratista con expresión del fin.” Aportan los siguientes certificados emitidos a favor de INDRA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/212 o ISO 27018 Certificado de Privacidad en la Nube: Los sistemas de información que soportan los procesos de negocio y activos de información necesarios para la prestación de servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según la declaración de aplicabilidad en vigor a fecha de emisión del certificado. o ISO 27001 Certificado del Sistema de Gestión de Seguridad de la Información: Los sistemas de información que soportan los procesos de negocio y activos de información necesarios para la prestación de servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según la declaración de aplicabilidad en vigor a fecha de realización de la auditoría. o STI-0014/2009 Certificado del Sistema de Gestión de Servicio de Tecnologías de la Información: El SGS de los servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según el catálogo de servicios en vigor. Certificado del Sistema de Gestión de Servicio de Tecnologías de la Información.Para la gestión del sistema RADAR COVID, INDRA ha contratado los servicios de Amazón Web Services INC. Para la gestión del sistema RADAR COVID, INDRA ha contratado los servicios de Amazón Web Services INC. 1.21.- Amazon Web Services INC: - Amazon Web Services (AWS) es un conjunto de servicios que ofrece Amazon Web Services INC, e incluye entre otros, servicios de servidores virtuales en la nube, almacenamiento escalable en la nube y gestión de bases de datos relacionales. El sitio web de AWS informa de que Todos los servicios de AWS cumplen con el Reglamento General de Protección de Datos. No existe un contrato especifico suscrito entre AWS e INDRA, los servicios se contratan on-line, y es condición necesaria aceptar las condiciones contractuales haciendo clic en la opción “contratar el producto”. Durante el proceso de contratación on-line el contratante debe elegir la zona geográfica en la que residirán sus datos. El contrato incluye, entre otras, las siguientes cláusulas: “3.1 Seguridad de AWS. Sin limitación a lo dispuesto en la sección 10 a sus obligaciones contenidas en la sección 4.2, implementaremos medidas adecuadas y razonables diseñadas para ayudarle a asegurar su contenido contra cualquier pérdida, acceso o revelación accidental o ilícita. 3.2 Protección de Datos. Usted podrá especificar las regiones AWS en las cuales se conservará su contenido. Usted aceptará la conservación de su contenido en las regiones AWS de su elección y la transferencia de su contenido a las mismas. Nosotros no accederemos o usaremos su contenido, salvo cuando ello sea necesario para mantener o proporcionar los servicios ofrecidos, o para dar cumplimiento a una disposición legal u orden judicial de una autoridad gubernamental. Nosotros no (
9. a)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/212 revelaremos su contenido a ninguna autoridad gubernamental o tercero (
10. b)según lo dispuesto por la sección 3.3, trasladaremos su contenido de las regiones AWS seleccionadas por usted; salvo, en cada caso, cuando sea necesario para cumplir con una disposición legal u orden judicial de autoridad gubernamental. A menos que ello viole la ley o una orden judicial de una autoridad gubernamental, le daremos aviso de cualquier requerimiento legal u orden según se menciona en esta sección 3.2. Únicamente haremos uso de la información de cuenta de conformidad con el aviso de privacidad, y usted consiente dicho uso. El aviso de privacidad no se aplica a su contenido. “ - Ley aplicable: “13.4 Ley aplicable. Este Contrato, así como cualquier controversia que pueda surgir en virtud de este, se regirá por las Leyes Aplicables, excluyendo cualquier referencia a las reglas sobre conflicto de leyes. La Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías no se aplicará a este Contrato. 13.5 Controversias. Cualquier controversia o reclamación relacionada en cualquier forma con su utilización de los Servicios Ofrecidos, o cualquier producto o servicio vendido o distribuido por AWS, serán resueltos por los Tribunales Competentes, y usted acepta la jurisdicción y competencia exclusiva de los Tribunales Competentes, conforme a las disposiciones adicionales a continuación. (
11. a)cuando la Parte Contratante AWS correspondiente sea Amazon Web Services, Inc., las partes acuerdan que resultarán partes aplicables las disposiciones de la presente Sección 13.5(a). Las controversias se resolverán a través de arbitraje vinculante, de conformidad con lo dispuesto en la Sección 13.5, en lugar de ser resueltas en un tribunal, salvo que usted podrá presentar reclamaciones en un tribunal de menor cuantía si estas califican para ello. La Ley Federal de Arbitraje y la legislación federal en materia de arbitraje se aplica a este Contrato. No hay jueces o jurados en el arbitraje, y la revisión por parte de un tribunal de un laudo arbitral es limitada. Sin embargo, un árbitro puede conceder de manera individual las mismas indemnizaciones y medidas que un tribunal (incluidas medidas cautelares o declarativas o indemnización por daños y perjuicios), y debe observar los términos de este Contrato como lo haría un tribunal. Para iniciar un procedimiento de arbitraje, usted deberá enviar una carta solicitando el arbitraje y describiendo su reclamación a nuestro agente Corporation Service Company, 300 Deschutes Way SW, Suite 304, Tumwater, WA 98501. El arbitraje será efectuado por la Asociación Americana de Arbitraje (AAA) bajo sus reglas, que están disponibles enwww.adr.org o llamando al 1-800-7787879. El pago por la presentación, administración y los honorarios del árbitro se regirá por las reglas de la AAA. Nosotros reembolsaremos esos cargos por reclamaciones menores a 10 000 USD, a menos que el árbitro determine que las reclamaciones son frívolas. No reclamaremos gastos de abogados y costas del arbitraje a menos que el árbitro determine que las reclamaciones sean frívolas. Usted podrá elegir que el arbitraje se lleve a cabo por teléfono, mediante comunicaciones por escriC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/212 to, o en una ubicación convenida por las partes. Usted y nosotros acordamos que cualquier procedimiento de resolución de controversias se llevará a cabo individualmente y no mediante una demanda colectiva, consolidada o representativa. Si por cualquier motivo, la reclamación se llevara a juicio ante un tribunal en lugar de resolverse mediante arbitraje, usted y nosotros renunciamos a cualquier derecho a un juicio con jurado. Sin perjuicio de lo anterior, usted y nosotros acordamos que usted o nosotros podremos entablar demanda en un tribunal para que se prohíba la infracción o cualquier uso indebido de derechos de propiedad intelectual.…” - Manifiestan que los datos del sistema RADAR COVID son almacenados en los servidores de AWS ubicados en la zona geográfica de Irlanda. Aportan el documento “Arquitectura AWS Cloud: Definición de Servicios” elaborado por INDRA en el que se especifica que la zona en la que residen los servidores de AWS para dar servicio a la app RADAR COVID se encuentra en Irlanda. Aportan copia de un certificado emitido por AWS a petición de INDRA en el que se certifica que: “El cliente o partner puede elegir las regiones de AWS en las que se almacenará su contenido y el tipo de almacenamiento. Puede replicar y respaldar el contenido en más de una región de AWS. AWS no transferirá ni replicará su contenido fuera de las regiones de AWS elegidas sin su consentimiento salvo exigencia legal o la necesidad de mantener los servicios de AWS. (para más información visite: https://aws.amazon.com/es/compliance/data-privacy-faq/) Dentro de la UE, el cliente o partner puede elegir las siguientes regiones operativas actualmente: Francfort, Irlanda, Milán, París, Estocolmo.” - Aportan un certificado de fecha 13 de marzo de 2020 emitido por BDO Auditores, S.L.P., en el que se certifica que los sistemas de información reseñados, todos ellos de categoría ALTA, y los servicios que se relacionan en el Anexo al certificado han sido auditados y encontrados conforme con las exigencias del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica, según se indica en el correspondiente Informe de Auditoría del Esquema Nacional de Seguridad de fecha 06 de marzo de 2020. El anexo contiene una relación de 105 servicios auditados entre los que se encuentran servicios de nube, alojamiento, gestión de bases de datos, seguridad, backup, etc.… Respecto a la información facilitada a los usuarios: 1.22.- Aportan copia de las distintas versiones de la política de privacidad de la app que además está disponible en https://radarcovid.gob.es/. La primera versión fue publicada el día 7 de agosto de 2020 junto con la versión 1.0 de la app “Radar COVID” (versión piloto), en la cual se informa respecto a los derechos de protección de datos: “Dado que la aplicación Radar COVID no almacena datos personales, no son de aplicación los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/212 zado de sus datos. En todo caso, tenemos obligación de indicarte que te asiste en todo momento el derecho para presentar una reclamación ante Agencia Española de Protección de Datos (www.aepd.es). La política de privacidad publicada en octubre de 2020 informa de los siguientes aspectos: .- Qué es la aplicación y cómo funciona. .- Quiénes son los responsables del tratamiento: La aplicación tiene como responsables de tratamiento tanto al Ministerio de Sanidad, como a las Comunidades Autónomas. Así mismo, la Secretaría General de Administración Digital ejerce como encargada del tratamiento.” .- Qué datos tratan: Los datos manejados por la aplicación no permiten la identificación directa del usuario o de su dispositivo, y son solo los necesarios para el único fin de informarte de que has estado expuesto a una situación de riesgo de contagio por la COVID-19, así como para facilitar la posible adopción de medidas preventivas y asistenciales. En ningún caso se rastrearán los movimientos de los USUARIOS, excluyendo así cualquier forma de geolocalización. No se almacenará ni tratará la dirección IP de los USUARIOS. No se almacenarán los códigos de confirmación de positivo junto con otros datos personales de los usuarios. Como parte del sistema de alerta de contactos de riesgo de la COVID19, se procesarán los siguientes datos para los usuarios que hayan dado positivo por COVID-19 para los fines especificados a continuación: o Las claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios enviados (identificadores efímeros Bluetooth), a los dispositivos con los que el usuario ha entrado en contacto, hasta un máximo de 14 días anteriores. Estas claves no guardan relación alguna con la identidad del USUARIO, y se suben al servidor para que puedan ser descargadas por aplicaciones Radar COVID en poder de otros usuarios. Con estas claves, mediante un procesamiento que tiene lugar en el teléfono móvil de forma descentralizada, se puede advertir al USUARIO sobre el riesgo de contagio por haber estado en contacto reciente con una persona que ha sido diagnosticada por COVID-19, sin que la aplicación pueda derivar su identidad o el lugar donde tuvo lugar el contacto. o Un código de confirmación de un solo uso de 12 dígitos facilitado por las autoridades sanitarias al USUARIO en caso de prueba positiva por COVID-19. Este código debe ser introducido a continuación por el usuario en la aplicación para permitir la carga voluntaria al servidor de las claves de exposición temporal. o C/ Jorge Juan, 6 28001 – Madrid El consentimiento del usuario, si aplica, para la remisión de www.aepd.es sedeagpd.gob.es 25/212 claves de exposición temporal al nodo europeo de interoperabilidad de aplicaciones de rastreo de contactos. Toda la información se recogerá con fines estrictamente de interés público en el ámbito de la salud pública, y ante la situación de emergencia sanitaria decretada, a fin de proteger y salvaguardar un interés esencial para la vida de las personas, en los términos descritos en esta política de privacidad, y atendiendo a los artículos 6.1.a), 9.2.a), 6.1.c), 6.1.d), 6.1.e), 9.2.c), 9.2.
12. h)y 9.2.
13. i)- La legislación aplicable: o Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). o Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. o Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública. o Ley 33/2011, de 4 de octubre, General de Salud Pública. o Ley 14/1986, de 25 de abril, General de Sanidad. o Real Decreto ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19. o Acuerdo de 9 de octubre de 2020, entre el Ministerio de Asuntos Económicos y Transformación Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) y el Ministerio de Sanidad acerca de la aplicación “Radar COVID”. - Cómo se obtienen y de dónde proceden los datos: El código de confirmación de positivo por COVID-19 facilitado por el Servicio Público de Salud. Esto permitirá la subida al servidor de las claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios enviados (identificadores efímeros Bluetooth) a los dispositivos con los que el usuario ha entrado en contacto, hasta un máximo de 14 días anteriores. Estas claves únicamente se suben al servidor con el consentimiento explícito e inequívoco del USUARIO, al haber introducido un código de confirmación de positivo por COVID-19. - Para qué y por qué se utilizan los datos: La recogida, almacenamiento, modificación, estructuración y en su caso, eliminación, de los datos generados, constituirán operaciones de tratamiento llevadas a cabo por el Titular, con la finalidad de garantizar el correcto funcionamiento de la App, mantener la relación de prestación del servicio con el Usuario, y para la gestión, administración, información, prestación y mejora del servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/212 La información y datos recogidos a través de la Aplicación serán tratados con fines estrictamente de interés público en el ámbito de la salud pública, ante la actual situación de emergencia sanitaria como consecuencia de la pandemia del COVID-19 y la necesidad de su control y propagación, así como para garantizar intereses vitales tuyos o de terceros, de conformidad con la normativa de protección de datos vigente. A tal efecto, utilizamos tus datos para prestarte el servicio de “Radar COVID” y para que puedas hacer uso de sus funcionalidades de acuerdo con sus condiciones de uso. De conformidad con el Reglamento General de Protección de Datos (RGPD) así como cualquier legislación nacional que resulte aplicable, la Secretaría General de Administración Digital tratará todos los datos generados durante el uso de la App para las siguientes finalidades: o Ofrecerte información sobre contactos considerados de riesgo de exposición a la COVID-19. o Proporcionarte consejos prácticos y recomendaciones de acciones a seguir según se produzcan situaciones de riesgo de cara a la cuarentena o auto-cuarentena. Se utilizarán los datos siempre y sólo de forma anonimizada para fines estadísticos y epidemiológicos. Este tratamiento se llevará a cabo a través de la funcionalidad de alerta de contagios que permite identificar situaciones de riesgo por haber estado en contacto estrecho con personas usuarias de la aplicación que se encuentran infectadas por la COVID-19. De esta manera se te informará de las medidas que conviene adoptar después. - Durante cuánto tiempo se conservan los datos: Las claves de exposición temporal y los identificadores efímeros de Bluetooth son almacenados en el dispositivo por un periodo de 14 días, después de los cuales son eliminados. Asimismo, las claves de exposición temporal que hayan sido comunicadas al servidor por los USUARIOS diagnosticados como positivos por COVID-19 también serán eliminadas del servidor al cabo de 14 días. En todo caso, ni las claves de exposición temporal ni los identificadores efímeros de Bluetooth contienen datos de carácter personal ni permiten identificador los teléfonos móviles de los usuarios. - Quién tiene acceso a los datos Los datos gestionados por la aplicación móvil (claves diarias de exposición temporal e identificadores efímeros Bluetooth) se almacenan únicamente en el dispositivo del usuario a los efectos de poder hacer cálculos y avisar al USUARIO sobre su riesgo de exposición a la COVID-19. Solo en el caso de reportar un diagnóstico positivo por COVID-19, las claves de exposición temporal de los últimos 14 días generadas en el dispositivo, y bajo el consentimiento explícito e inequívoco del USUARIO, son subidas al servidor para su difusión al conjunto de USUARIOS de este sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/212 Estas claves no guardan relación alguna con la identidad de los dispositivos móviles ni con datos personales de los USUARIOS de la Aplicación. - Cuáles son tus derechos y cómo puedes controlar tus datos: La normativa vigente te otorga una serie de derechos en relación con los datos e información que tratamos sobre ti. Concretamente, los derechos de acceso, rectificación, supresión, limitación y oposición. Puedes consultar el alcance y detalle completo de los mismos en la página web de la Agencia Española de Protección de Datos (AEPD) aquí. Con carácter general, podrás ejercitar todos estos derechos en cualquier momento y de forma gratuita. Puedes dirigirte a los Responsables de Tratamiento por vía electrónica, bien Ministerio de Sanidad o Comunidad Autónoma de residencia. En el caso del Ministerio de Sanidad, puede hacerlo a través de este formulario [pinchando en el formulario enlaza con la web del Ministerio de Sanidad, Consumo y Bienestar Social ( https://sede.mscbs.gob.es/canalesAcceso/oficinas.htm)],o presencialmente a través de la red de oficinas de asistencia en materia de registros utilizando este modelo de solicitud [enlaza con el formulario de solicitud de ejercicio de derechos Reglamento General de Protección de Datos del MSCBS] Asimismo, te asiste en todo momento el derecho para presentar una reclamación ante Agencia Española de Protección de Datos - Cómo protegemos tus datos Los Responsables, así como la SGAD en condición de encargada del tratamiento, garantizan la seguridad, el secreto y la confidencialidad de tus datos, comunicaciones e información personal y han adoptado las más exigentes y robustas medidas de seguridad y medios técnicos para evitar su pérdida, mal uso o su acceso sin tu autorización. Las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Finalmente, te informamos que tanto el almacenamiento como el resto de las actividades del tratamiento de datos no personales utilizados estarán siempre ubicados dentro de la Unión Europea. - Qué debes tener especialmente en cuenta al utilizar "Radar COVID” Has de tener en cuenta determinados aspectos relativos a la edad mínima de utilización de Aplicación, la calidad de los datos que nos proporcionas, así como la desinstalación de la Aplicación en tu dispositivo móvil. Edad mínima de utilización: para poder utilizar “Radar COVID” tienes que ser mayor de 18 años o contar con la autorización de tus padres y/o tutores legales. Por tanto, al darte de alta en la Aplicación, garantizas al Titular que eres mayor de dicha edad o, en caso contrario, que cuentas con la mencionada autorización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/212 Calidad de los datos que nos proporcionas: la información que nos facilites en el uso de los servicios de la Aplicación deberá de ser siempre real, veraz y estar actualizada. Desinstalación de la Aplicación: en general, puede haber dos situaciones en las que se proceda a la desactivación técnica de la Aplicación en tu dispositivo: 1) que lo realices voluntariamente, y 2) que desde el Titular se proceda a la desactivación técnica de la Aplicación en tu dispositivo (p.ej. en casos en los que detectemos que has incumplido las condiciones de uso de la Aplicación). - Transferencia de datos a países de la Unión Europea: Radar COVID participa en la plataforma de integración de aplicaciones de la unión europea, de manera que se compartirán las claves positivas con terceros países de la UE y viceversa. Cuando el dispositivo del usuario descarga las claves positivas para analizar posibles contactos estrechos, descargará también las claves positivas de terceros países adheridos al proyecto europeo. Esto permitirá identificar posibles contactos estrechos tanto si el usuario ha estado visitando alguno de estos países como si ha estado en contacto estrecho con un visitante procedente de estos países. Cuando el usuario introduce un código de confirmación de diagnóstico positivo por COVID-19, se solicitará el consentimiento del usuario libre, específico, informado e inequívoco para compartir sus claves infectadas con terceros países a través de la plataforma de interoperabilidad europea facilitando el rastreo digital de posibles contactos estrechos. La comunicación de tus claves infectadas a la red de países europeos adheridos a este proyecto es completamente voluntaria. No se efectuarán transferencias de datos fuera de la Unión Europea. - Política de cookies Utilizamos solamente cookies técnicas que permiten al usuario la navegación y la utilización de las diferentes opciones o servicios que se ofrecen en la Aplicación como, por ejemplo, acceder a partes de acceso restringido o utilizar elementos de seguridad durante la navegación. Respecto al almacenamiento y seguridad de los datos: 1.23.- En los terminales móviles se almacenan las claves diarias que permiten la generación de los identificadores de proximidad efímeros (Rolling Proximity Identifiers o RPI). A su vez, se almacenan los identificadores efímeros recibidos desde los teléfonos móviles cercanos. Esta información se almacena un máximo de 14 días. 1.24.- El servidor almacena las claves de personas “infectadas” para su posterior descarga por parte de las aplicaciones móviles. Los datos son almacenados en base de datos relacionales y para cada positivo reportado se almacenará, la fecha de inicio de síntomas, y las 14 claves diarias tomadas a partir de la fecha de inicio de síntomas. Toda esta información reside en el dispositivo móvil. No se almacena ni gestiona ningún dato sobre las pruebas diagnósticas realiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/212 zadas a ninguna persona. Se recolectan las balizas de los usuarios que hayan sido diagnosticados de Covid-19 pero no hay relación entre estas balizas y datos concretos de ningún usuario. Los datos se almacenan cifrados en base a los algoritmos de cifrados definidos para bases de datos Aurora (AES-256). Aportan la estructura de la base de datos y descripción de tablas y campos, de lo que se desprende que la base de datos no incorpora datos identificativos de personas físicas (Teléfono, imei, MAC, IP, etc.…). 1.25.- Respecto a las medidas técnicas y organizativas implementadas que garanticen la seguridad de los datos personales manifiestan: La aplicación RADAR COVID, así como toda su infraestructura forma parte de los sistemas de información gestionados a través de los servicios de outsourcing de TI de la empresa INDRA, para Administración, Soporte, Explotación e Infraestructura tanto en entornos físicos como virtualizados cloud. Como ya se ha expuesto en el punto “Respecto a las terceras entidades intervinientes” de este informe, aportan certificados de cumplimiento de los estándares ISO 27018, ISO 27001 y STI-0014/2009. 1.26.- Aportan copia del informe de auditoría de seguridad de la app piloto de fecha 15 de julio de 2020 elaborado por Minsait, unidad de negocio de tecnología y consultoría de INDRA, en el que se especifica que no se han realizado pruebas sobre el propio protocolo Bluetooth y las comunicaciones realizadas por el mismo, y que las versiones analizadas, el reporte de positivos se realiza de forma directa, no implicando a Sanidad en este proceso al tratarse de un entorno de pruebas, por lo que los resultados presentados no aplicaran al nuevo sistema si difiere del comprobado en este entorno. Tras el análisis de los hallazgos obtenidos mediante las distintas pruebas ejecutadas, la seguridad global es considerada como Baja, debido a la existencia de al menos una vulnerabilidad catalogada como Alta. Atendiendo a las vulnerabilidades de severidad alta, el informe concluye que:  La aplicación hace uso de contraseñas débiles. Y entre las vulnerabilidades de severidad media y baja, el informe recoge:  El canal de comunicación se encuentra cifrado con protocolos y algoritmos de cifrado débiles. 1.27.- Aportan el documento elaborado por el Centro Criptológico Nacional (CCN) que es el resultado obtenido de la auditoria de seguridad de la aplicación móvil Radar COVID y de sus conexiones, con objeto de evaluar su nivel de seguridad y cumplimiento. El análisis ha tenido como objetivo la verificación del nivel de cumplimiento de los requisitos y medidas de seguridad contemplados en la normativa CCN-STIC. La revisión análisis estático de la aplicación Android Radar COVID se ha realizado entre los días 20 y 21 de agosto de 2020. El análisis de las conexiones llevadas a cabo por las aplicaciones se ha realizado posteriormente en el entorno de producción y preproducción. La revisión de las conexiones en el entorno de preproducción se ha llevado a realizado entre los días 28 de septiembre y 2 de octubre de 2020. A la finalización del análisis, el estado de exposición del sistema es el siguienC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/212 te: • 14 vulnerabilidades encontradas. • 4 corregidas. • 10 quedan pendientes de corregir: - 3 son de criticidad MEDIA. - El resto BAJA. Las vulnerabilidades de criticidad MEDIA pendientes de corregir afectan a la falta de medios de protección ante la posibilidad de terceros de hacer ingeniería inversa a la aplicación con la intención de obtener datos sensibles o manipular su funcionamiento, evadir restricciones y/o comprender el funcionamiento interno de la misma. En esta misma línea, también se han detectado deficiencias en la protección de las comunicaciones de la aplicación con el backend de la misma. Estas deficiencias se han encontrado durante el análisis en preproducción, recomendándose su comprobación en el entorno final, es decir, en el backend en producción. El resultado de la inspección es considerado APTO: la evaluación de la seguridad dentro de esta área no ha encontrado desviación alguna cuantificable que pudiera impedir la validación con respecto a la configuración de seguridad requerida. El informe concluye que en la revisión de la aplicación móvil Radar COVID, en los términos de seguridad de las TIC, no se ha encontrado deficiencias con gravedad CRÍTICA para impedir el correcto funcionamiento en el campo de la ciberseguridad, quedando excluidos los análisis y comportamientos funcionales, sin perjuicio de las actuaciones que lleve a cabo el Ministerio de Asuntos Económicos y Transformación Digital. 1.28.- Aportan dos documentos denominados “Informe de Análisis de riesgos. Servicio RADAR COVID 19” elaborado en cumplimiento del Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la administración electrónica, de fecha de septiembre de 2020. El primero utiliza el catálogo de salvaguardas del ENS, implementado por PILAR, el segundo incorpora además el catálogo de salvaguardas del Reglamento General de Protección de Datos (RGPD) implementado por PILAR. Del informe del análisis de riesgos que incorpora ambas salvaguardas se desprende lo siguiente: • El alcance del Análisis de Riesgos comprende la infraestructura que se encuentra detallada en el documento “App Bluetooth contra Covid-19 v5.pdf” y que es necesaria para prestar el Servicio Radar Covid de la Secretaria de Estado de Digitalización e Inteligencia Artificial (app contact tracing, backend desplegado en nube AWS, y redes de comunicaciones). • Metodología de Análisis de Riesgos: Identificación de la Fase de desarrollo del Plan de Adecuación al ENS y descripción de las tareas de la Metodología MAGERIT, utilizada para realizar las actividades y tareas del Análisis de Riesgos y la descripción del trabajo realizado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/212 - Categorización de Activos - Categorización de Amenazas - Categorización de Salvaguardas - Estimación del Estado del Riesgo • Se ha realizado la valoración de acuerdo con la información disponible sobre el Sistema de Información RADAR COVID19 en relación con las Dimensiones de Seguridad: Autenticidad, Confidencialidad, Integridad, Disponibilidad y Auditabilidad o Trazabilidad. La valoración del Servicio Radar Covid, debido a la tipología de datos que trata y a lo indicado en la Guía CCN-STIC 803, la valoración en cada una de las dimensiones de seguridad (Autenticidad, confidencialidad, Integridad, Disponibilidad y Trazabilidad) debería ser al menos MEDIO, sin embargo, debido a la situación política y socioeconómica en la que nos encontramos originada por la pandemia Covid 19 y al impacto que supondría una brecha de seguridad de la información que trata, el Servicio Radar Covid ha sido evaluado con una categoría ALTA. • La relación de amenazas que se ha considerado para el Análisis de Riesgos y que constituye el catálogo de amenazas implementadas de forma estándar en la herramienta PILAR son: Desastres naturales, de origen industrial, errores, fallos no intencionados y ataques intencionados. • Los activos contemplados son: Servicio Radar Covid, Teléfono Móvil, Redes de Comunicaciones, App Radar Covid, Administradores / Operadores, Desarrolladores, Desarrollo y Mantenimiento de la App, Ciudadanos, Soportes, Equipos AWS, Instalaciones AWS, Repositorio Descargas (APPLE STORE), Servicio Cloud, Repositorio Descargas (ANDROID STORE). • Se ha identificado el grado de madurez de cada uno de los artículos del RGPD que deben ser tenidos en consideración. • El valor del Riesgo Potencial obtenido de la herramienta PILAR es de 6,3 sobre 10 (Riesgo muy crítico). Los activos que presentan nivel de riesgo crítico son: Redes de comunicaciones, app RADAR COVID, soporte, instalaciones AWS y equipos AWS. - El valor del Riesgo Residual (tras aplicar las salvaguardas) obtenido de la herramienta PILAR es de 2,6 sobre 10 (Riesgo medio). una vez que se han tenido en cuenta las salvaguardas implantadas, el nivel de riesgo de los activos se reduce considerablemente, hay 12 activos con riesgo despreciable, 1 con riesgo bajo y 1 con riesgo medio. - El valor del Riesgo Objetivo (Objetivo a alcanzar tras la implantación de las salvaguardas propuestas) obtenido de la herramienta PILAR es de 1,8 sobre 10 (Riesgo bajo). Para el Servicio RADAR COVID19 se ha propuesto realizar las acciones necesarias para minimizar el riesgo residual de manera que no haya ningún activo con riesgo de nivel MEDIO. Para ello se han seleccionado aquellos riesgos que se encuentran por encima del valor 2 y, sobre ellos, se han identificado las salvaguardas que se encontraban por debajo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/212 valor recomendado por PILAR para el Esquema Nacional de Seguridad para subirlas al valor recomendado. Se recomienda abordar un conjunto de acciones para mejorar las medidas de seguridad existentes actualmente, con el objeto de ajustar el nivel de riesgo del Servicio Radar Covid19 a un nivel BAJO. Estas acciones se han focalizado en las medidas de seguridad que pueden minimizar las amenazas que aportan un nivel de riesgo MEDIO en el presente Análisis de Riesgos. Estas acciones permitirán alcanzar el nivel de Riesgo Objetivo propuesto, ya que aumentarían el grado de madurez de las medidas de seguridad Firma electrónica y Mecanismos de autenticación. Las acciones propuestas en este caso son: - Utilizar certificados cualificados para la firma digital que se utiliza en el servicio de verificación de los positivos. - Aunque el acceso a la consola de AWS se realiza mediante AWS Multi-Factor Authentication (MFA), y por tanto cumple con la medida de utilizar un segundo factor de autenticación, se recomienda verificar que los elementos criptográficos hardware utilizan algoritmos y parámetros acreditados por el CCN. Además, se recomienda revisar el mecanismo control de acceso a la Base de Datos PostgreSQL para concluir que cumple con los requisitos de nivel alto. 1.29.- Aportan el documento “Informe de Evaluación de Impacto relativa a la Protección de Datos del tratamiento RADAR COVID” de fecha septiembre de 2020, cuyo contenido recoge los siguientes aspectos más relevantes: • El objetivo del documento es realizar la Evaluación del Impacto relativa a la Protección de los Datos (EIPD) del tratamiento llevado a cabo por la Aplicación “Radar COVID” (en adelante “la Aplicación”), según lo exigido en el Reglamento (UE) 2016/679 del Parlamento Europeo (RGPD) cuando el tratamiento conlleve un alto riesgo para los derechos y libertades de las personas físicas. • La elaboración del informe sigue las directrices establecidas por la Agencia Española de Protección de Datos (en adelante “AEPD”) en la “Guía práctica para las Evaluaciones de Impacto en la Protección de los Datos sujetas al RGPD”. • Respecto a la necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos en el tratamiento evaluado, el informe indica que concurren factores que contribuyen a generar un nivel de riesgo elevado, debiéndose realizar una EIPD al objeto de determinar un escenario de gestión del riesgo adecuado. • Respecto a los responsables, corresponsable y encargados del tratamiento el informe recoge lo siguiente: El responsable de tratamiento es la Dirección General de Salud Pública, dependiente del Ministerio de Sanidad. El encargado de tratamiento es la Secretaría General de Administración Digital, dependiente del Ministerio de Asuntos Económicos y Transformación Digital, que ha desarrollado la Aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/212 • Respecto a los Datos personales objeto del tratamiento: - La aplicación genera datos de proximidad (claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios o Identificador de proximidad rodante - RPI). Estos datos se comunicarán a las autoridades sanitarias únicamente cuando se haya confirmado que un usuario en cuestión está infectado de COVID-19 y a condición de que la persona opte por que así se haga, es decir, de manera voluntaria. - Dato mediante el que el usuario es advertido previamente de un contacto de riesgo. Estos datos permiten estimar cuántos usuarios son advertidos por la aplicación de un riesgo potencial de contagio, sin poder rastrear su identidad, y le permite al Servicio Nacional de Salud preparar las iniciativas y los recursos necesarios para atender a los usuarios que han recibido la notificación. - El día en que el usuario desarrolló síntomas compatibles con COVID-19. - Código proporcionado por las autoridades sanitarias para permitir al usuario activar una alerta de advertencia. Este número de 12 cifras será proporcionado por las autoridades sanitarias a los usuarios de la aplicación mediante Quick Response code (QR). Los usuarios podrán, voluntariamente, introducir dicho código en la Aplicación para confirmar el diagnóstico positivo y desencadenar el procedimiento de notificación a sus contactos estrechos. Este código es una confirmación de diagnóstico positivo de un usuario. Existe verificación de dicho código para evitar que cualquier usuario envíe pruebas falsas. - La dirección IP que utiliza el dispositivo para conectarse a Internet. Estos datos no permiten la identificación directa del usuario o de su dispositivo, existiendo estudios sobre la robustez de los protocolos de criptografía y anonimización, aunque existe la posibilidad de que puedan romperse y asociarse los identificadores con números de teléfono y personas, aplicando suficiente tiempo y capacidad de cómputo, si bien esto se considera altamente improbable. Por otra parte, debe tenerse en cuenta que el tratamiento de la información no solo afecta al usuario de la aplicación, sino también la de todos los terceros con los que ha estado en contacto. • Respecto a la finalidad del tratamiento: - La finalidad principal de la App es informar a las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus, a fin de romper las cadenas de transmisión lo antes posible. De esta manera, la Aplicación permite identificar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a auto cuarentena o a las pruebas correspondientes. - Para ello la App mantiene los contactos de las personas que utilizan la Aplicación y que pueden haber estado expuestas a la infección de la COVID-19. - Cuando una persona da positivo en el test de COVID-19 y decida comC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/212 partir libremente este dato, la App alerta a aquellas otras personas que podrían haber sido infectadas y con las que se haya tenido contacto los últimos 14 días. Para ello, esta persona deberá compartir un número de 12 cifras que será proporcionado por las autoridades sanitarias. El móvil realiza una comprobación de si los ID aleatorios coinciden con alguno que haya sido marcado como positivo. - Se determina el día en que el usuario desarrolló síntomas compatibles con COVID-19 y fecha de contacto con personas infectadas. Los datos también podrán ser procesados fines de investigación científica o fines estadísticos. En tal caso los datos se encontrarán totalmente anonimizados. • Se hace una descripción de los elementos que intervienen en cada una de las fases del ciclo de vida de los datos del tratamiento (actividad, actores y sistemas). • Se hace una descripción de las tecnologías intervinientes. • Respecto a la licitud y normativa: En virtud de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (artículo 5), el almacenamiento de información en el dispositivo del usuario o la obtención de acceso a la información ya almacenada se permite únicamente si:
14. i)el usuario ha dado su consentimiento, o
15. ii)el almacenamiento o el acceso son estrictamente necesarios para el servicio de la sociedad de la información, en este caso la Aplicación, que el usuario ha solicitado de manera expresa (esto es, mediante la instalación y activación). En el caso de la Aplicación objeto de evaluación, no se cumple el requisito ii), ya que la carga de datos de proximidad para el rastreo de contactos y alerta no es necesaria para el funcionamiento de la Aplicación en sí misma, por tanto, es necesario obtener el consentimiento libre, específico, explícito e informado, mediante una clara acción afirmativa del usuario. Como base jurídica para un tratamiento lícito de datos personales, el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.
16. e)o intereses vitales del interesado u otras personas físicas (art. 6.1.d). Indican que, para el tratamiento de datos de salud no basta con que exista una base jurídica del art. 6 RGPD, sino que de acuerdo con el art. 9.1 y 9.2 RGPD exista una circunstancia que levante la prohibición de tratamiento de dicha categoría especial de datos (entre ellos, datos de salud). LA AEPD entiende que dichas circunstancias cabe encontrarlas, en este caso, en varios de los epígrafes del art. 9.2 RGPD. • Respecto al análisis de la necesidad, proporcionalidad del tratamiento: - Principio de limitación de la finalidad: La finalidad principal de la App es informar a las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus, a fin de romper las cadenas de transmisión lo antes posible. De esta manera, la Aplicación perC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/212 mite identificar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a autocuarentena o a las pruebas diagnósticas correspondientes. - Principio de minimización de datos: indican que se recaban exclusivamente los datos personales que se requieren para las finalidades indicadas. - Principio de limitación del plazo de conservación: Los plazos se basan en la importancia médica y en lapsos realistas para las medidas administrativas que, si procede, deban tomarse. Los datos generados para el rastreo de contactos y alerta: Los datos de proximidad se suprimirán tan pronto como dejen de ser necesarios para alertar a las personas y como máximo tras un período de un mes (período de incubación más el margen). Los datos se almacenan en el dispositivo del usuario, y solo aquellos que hayan sido comunicados por los usuarios y que sean necesarios para cumplir la finalidad se cargan en el servidor central de validación de positivos a disposición de las autoridades sanitarias cuando se haya elegido tal opción (es decir, solo se cargarían los datos en el servidor de «contactos estrechos» de una persona que hubiera dado positivo a la infección de COVID-19). En todo caso, los datos personales solo deben conservarse durante la crisis de la COVID- 19. Después, como regla general, todos los datos personales deberían borrarse o anonimizarse. • Medidas para la reducción del riesgo: - La aplicación no recoge información que no tenga relación con el objeto específico o no sea necesaria — por ejemplo, estado civil, identificadores de las comunicaciones, elementos del directorio del equipo, mensajes, registros de llamadas, datos de localización, identificadores de dispositivos, etc. - Los datos difundidos por las aplicaciones solo incluyen algunos identificadores únicos y seudónimos, generados por la aplicación y específicos de esta. Esos identificadores se renuevan periódicamente, con una frecuencia compatible con el propósito de contener la propagación del virus y suficiente para limitar el riesgo de identificación y de rastreo físico de personas. - Aunque el modelo es descentralizado, siempre va a ser necesario un servidor central, de la autoridad sanitaria, donde registrar los códigos de las personas diagnosticadas con COVID-19. Este servidor de rastreo de contactos debe limitarse a recoger el historial de contactos o los identificadores seudónimos de un usuario que haya sido diagnosticado como infectado como resultado de una evaluación adecuada realizada por las autoridades sanitarias y de una acción voluntaria del usuario. - Se aplicarán técnicas criptográficas avanzadas para garantizar la seguridad de los datos almacenados en los servidores y aplicaciones y los intercambios entre las aplicaciones y el servidor remoto. También se procederá a la autenticación mutua entre la aplicación y el servidor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/212 - La notificación de los usuarios infectados de SARS-CoV-2 en la aplicación se someterá a una autorización adecuada mediante un código de un solo uso unido a una identidad seudónima de la persona infectada y vinculado con un laboratorio de pruebas de detección o con un profesional de atención sanitaria. Si no se puede obtener confirmación de forma segura, no tendrá lugar ningún tratamiento de datos que presuponga la validez del estado del usuario. - El responsable del tratamiento, en colaboración con las autoridades, tiene que facilitar información clara y explícita sobre el enlace que permita descargar la aplicación oficial nacional de rastreo de contactos, con el fin de mitigar el riesgo de que se utilicen aplicaciones de terceros.En virtud de los principios de integridad y confidencialidad, teniendo en cuenta que los datos de salud merecen una protección más elevada, se aplicarán medidas de carácter técnico y organizativo actualizadas adecuadas que garanticen un nivel de seguridad suficiente. Tales medidas consisten en la seudonimización, el cifrado y la celebración de acuerdos de confidencialidad, así como en una distribución estricta de los roles de acceso y el establecimiento de restricciones y registros de acceso. Asimismo, hay que tener en cuenta las disposiciones nacionales que pueden establecer requisitos técnicos concretos u otras garantías, tales como la observancia de las normas de secreto profesional. • Evaluación de riesgos y salvaguardas La evaluación de riesgos realizada para el servicio “Radar COVID” se encuentra recogida en el “Análisis de Riesgos Servicio Radar Covid”, generado con la herramienta “PILAR” mediante el que se ha llevado a cabo la evaluación de riesgos y salvaguardas para el tratamiento “Radar COVID” y toda la infraestructura que se ha implementado para este servicio. • Plan de acción: Para el Servicio Radar COVID se propone en el Informe de AARR, realizar una serie de acciones necesarias para minimizar el riesgo residual de manera que no haya ningún activo con riesgo de nivel MEDIO. para ello se han seleccionado aquellos riesgos que se encuentran por encima del valor {2} y, sobre ellos, se han identificado las salvaguardas que se encontraban por debajo del valor recomendado por PILAR para el Esquema Nacional de Seguridad para subirlas al valor recomendado. • Conclusiones recogidas en el informe de EIPD: Se han propuesto una serie de acciones y recomendaciones en el Informe de AARR cuya implantación supondría que ninguno de los activos alcanzaría un riesgo medio, sino que todos se podrían calificar de riesgo bajo e incluso muchos de ellos de riesgo despreciable. Respecto a la interoperabilidad: 1.30.- El día 16 de junio de 2020 se adopta por consenso del grupo de trabajo de eHealth Network el documento “Directrices de eHealth Network para los Estados miembros de la UE y la Comisión Europea sobre especificaciones de interoperabilidad para cadenas de transmisión transfronterizas entre aplicacioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/212 nes aprobadas. Elementos detallados de interoperabilidad entre soluciones basadas en claves COVID +”, en el que se propone una arquitectura definitiva para implementar del servicio Federation Gateway. El servicio Federation Gateway, acepta claves de diagnóstico de todos los países, las almacena temporalmente y las proporciona para que se descarguen en todos los países. Además, todos los backends pueden ser informados de inmediato si hay nuevos datos disponibles, de modo que los retrasos de transmisión se mantengan mínimos. El día 16 de julio de 2020 se publicó en el DOUE la Decisión de Ejecución (UE) 2020/1023 de la Comisión de 15 de julio de 2020 que modifica la Decisión de Ejecución (UE) 2019/1765 en lo concerniente al intercambio transfronterizo de datos entre las aplicaciones móviles nacionales de rastreo de contactos y advertencia para combatir la pandemia de COVID-19. Esta Decisión establece disposiciones sobre el papel de los Estados miembros participantes y de la Comisión en relación con el funcionamiento de la pasarela federativa para la interoperabilidad transfronteriza de las aplicaciones móviles nacionales de rastreo de contactos y advertencia. El día 2 de septiembre de 2020 se adopta por consenso del grupo de trabajo de eHealth Network el documento “Certificado europeo de interoperabilidad. Gobernanza. Arquitectura de seguridad para el seguimiento y la advertencia de contactos aplicaciones” que establece que el intercambio seguro y confiable de claves de diagnóstico entre países europeos es realizado por el European Federation Gateway Service (EFGS) que distribuye los datos entre los estados miembros. Este intercambio de claves de diagnóstico está asegurado por criptografía firmas transparentes para todos los países que participan en el sistema. Las firmas digitales se pueden utilizar para lograr la integridad y autenticidad de los datos. Una confianza bien definida del modelo es necesario para vincular la clave pública de una entidad a su identidad con el fin de permitir otros participantes para verificar el origen de los datos o la identidad del interlocutor. En el contexto de la EFGS esto significa que las claves públicas de los Estados miembros europeos también ya que la clave pública de los EFGS debe estar vinculada a sus identidades para establecer la confianza entre los participantes. De esta forma, los Estados miembros pueden verificar la integridad y autenticidad de las claves de diagnóstico firmadas proporcionadas por la EFGS. Este documento establece los servicios de confianza y seguridad que se establecerán en la EFGS. 1.31.- Con fecha 15 de octubre de 2020 la SGAD aporta a la inspección de datos copia de la Declaración y carta de intención sobre la conexión de ESPAÑA con el EFGS remitida por el Secretario General de Administración Digital a la Comisión Europea, así como copia del preceptivo formulario de solicitud de intención de participación en el EFGS y anexos (encuesta y check list). Manifiestan que la entrada en servicio de la interoperabilidad con Radar COVID se prevé para el 30 de octubre de 2020. 2.- Con fecha 16 de diciembre de 2020 se solicitó información a la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud (SGSDII), respecto a las instrucciones dadas al encargado del tratamiento, y en particular en relación con la protección de datos desde el diseño y por defecto de la app “RADAR COVID” y copia, en su caso, de los informes elaborados por el DeC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/212 legado de Protección de Datos, y en particular los relativos a la supervisión de los tratamientos y a la necesidad de elaboración de la evaluación de impacto relativa a la protección de datos, así como las medidas llevadas a cabo por la SGSDII en base a los puntos 3 de la segunda y tercera cláusulas del Acuerdo, teniendo entrada con fecha 28 de enero de 2021 escrito de respuesta en el que informan, entre otros, de lo siguiente: El Ministerio de Sanidad ejerce el rol de responsable del tratamiento a través de la Secretaría General de Salud Digital, Innovación e Información del SNS (SGSDII), y la Secretaría General de Administración Digital (en adelante, SGAD), dependiente de la Secretaría de Estado de Digitalización e Inteligencia Artificial (en adelante, SEDIA), del Ministerio de Asuntos Económicos y Transformación Digital, ejerce el rol de encargado del tratamiento desde la firma del Acuerdo suscrito entre ambos ministerios entre el Ministerio de Asuntos Económicos y Transformación Digital y el Ministerio de Sanidad acerca de la aplicación “RADAR COVID”, publicado en el BOE de 15/10/2020. Informan sobre las solicitudes de informes y estadísticas realizadas por parte de la SGSDII a la SGAD desde agosto de 2020 y el seguimiento realizado. Respecto a la evaluación de impacto de los tratamientos que realiza la app Radar COVID, informan que el 15 de diciembre de 2020 se hizo una revisión del EIPD para EFGS, sugiriendo la realización de un test de penetración y/o una auditoría de ciberseguridad externa más amplia tras revisión del documento de análisis de riesgos y análisis de impacto remitido por el encargado del tratamiento. Respecto a la app de GOOGLE: 3.- Se han realizado las siguientes comprobaciones en un dispositivo móvil con sistema operativo Android versión 10.0: 3.1.- Se ha comprobado que el sistema operativo ha instalado un nuevo servicio denominado “Notificaciones de exposición al COVID 19” versión 17203704005. Tras acceder a este servicio se verifica lo siguiente: - Informa de las comprobaciones de exposición que se han realizado en los últimos 14 días (día y hora). - Dispone de una opción que permite eliminar los identificativos aleatorios. - Informa que se comparte con la app la fecha, la duración y la intensidad de la señal asociada a la exposición. - Informa de cómo funciona y cómo utilizar el sistema de exposiciones. - Informa de que el sistema de exposición no usa, guarda ni comparte la ubicación del dispositivo y que es necesario activar la ubicación del dispositivo porque la tecnología de las notificaciones de exposición utiliza la búsqueda de dispositivos Bluetooth para saber cuáles están cerca ya que en todos los teléfonos con Android 6.0 y versiones superiores, para poder usar esa búsqueda Bluetooth, tienen que estar activados los ajustes de ubicación del dispositivo para todas las aplicaciones, no solo para las que usan el sistema de notificaciones de exposición. 3.2.- La versión 1.0 de la app “Radar COVID” (versión piloto) fue subida al repositorio Google Play el día 7 de agosto de 2020, posteriormente se han publiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/212 cado sucesivas actualizaciones (desde la 1.0.1 hasta la 1.0.7 ) hasta la versión 1.1 (a fecha de las comprobaciones realizadas por la inspección de datos) que se actualizó el 29 de octubre de 2020, en la que se han realizado las siguientes comprobaciones: - En el repositorio de aplicaciones de GOOGLE consta que la app a la fecha del informe ha sido descargada por más de un millón de usuarios e incluye un enlace a la política de privacidad. - Informa de los siguientes permisos solicitados por la App: o Ejecutar servicio en primer plano o Acceder a toda la red o Ver conexiones de red o Solicitar permiso para ignorar optimizaciones de la batería. o Evitar que el teléfono entre en modo suspensión o Enlazar con dispositivos bluetooth o Ejecutarse al inicio. Tras instalar la aplicación se accede a la misma, verificando lo siguiente: - La app no requiere registrarse como usuario, ni solicita datos de carácter personal. El único dato solicitado es el idioma. - Informa de las funcionalidades de la aplicación, que funciona sin revelar la identidad del usuario ni del dispositivo. No recoge nombre, teléfono ni geolocalización y que en todo momento se pude dejar de utilizar. - Incluye un enlace a la política de privacidad, debiendo aceptarla para continuar. Incluye un enlace a las condiciones de uso. - Solicita permiso para activar exposición al COVID mediante la activación del bluetooth y para ignorar la optimización de la batería y mantener la ejecución en segundo plano de la app. - Una vez finalizada la instalación, se muestra una ventana con información sobre contactos de riesgos tenidos y con dos botones, uno para activar y desactivar la app y otro para comunicar un positivo COVID-19. - Pulsando el botón para comunicar un positivo, la app solicita la fecha de inicio de los síntomas o la fecha de la toma de la muestra o, si se desconoce dejarla en blanco y un código de 12 dígitos e informa de que la información se tratará siempre anónimamente. Si se desactiva la antena GPS del terminal (geolocalización) el sistema operativo lanza la siguiente notificación: “notificación de exposición inactiva. Para utilizar esta función activa la ubicación” Respecto a la App de APPLE 4.- Se han realizado las siguientes comprobaciones en un dispositivo iPhone SE, con versión software iOS 13.6.1.: - En la actualización previa, iOS 13.5.1 y con motivo de la expansión de la COVID-19, se han incorporado APIs orientadas a intentar detener la propaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/212 gación que aprovechando las funcionalidades del teléfono a nivel de conectividad bluetooth. - En el historial de versiones constan las versiones desde la 1.0 hasta la 1.08. - Se ha procedido a la instalación de la app “RADAR COVID” en el dispositivo, realizándose las siguientes comprobaciones: o La app no requiere registrarse como usuario, ni solicita datos de carácter personal. o Informa de que la aplicación funciona sin revelar la identidad del usuario, y que en todo momento se pude dejar de utilizar. o Incluye un enlace a la política de privacidad, debiendo aceptarla para continuar. Incluye un enlace a las condiciones de uso. o Solicita permiso para activar exposición al COVID mediante la activación del bluetooth y para recibir notificaciones. o Una vez finalizada la instalación, se muestra una ventana con dos botones, uno para activar y desactivar la app y otro para comunicar un positivo COVID-19. o Pulsando el botón para comunicar un positivo, la app solicita la fecha de inicio de los síntomas o la fecha de la toma de la muestra o, si se desconoce dejarla en blanco y un código de 12 dígitos e informa de que la información se tratará siempre anónimamente. o En ningún momento se solicita activación del servicio de ubicación. Respecto al protocolo DP-3T en el que se basa RADAR COVID 19: 5.- DP-3T es una colaboración de investigadores de toda Europa que unieron fuerzas para crear una solución técnica abierta al rastreo de proximidad para la epidemia COVID-19 atendiendo al respeto la privacidad personal. Han diseñado y desarrollamos sistemas de rastreo de proximidad con el objetivo de preservar la privacidad. DP-3T ha hecho pública documentación técnica de este protocolo en el repositorio https://github.com/DP-3T/documents, la cual además es aportada por el inspeccionado como base de los desarrollos del sistema RADAR COVID 19, y del análisis de ésta, se destacan los siguientes puntos relevantes: - El documento “Decentralized Privacy-Preserving. Proximity Tracing .Overview of Data Protection and Security” pone de manifiesto que en este sistema descentralizado hay cinco actores principales relevantes para la protección de datos: usuarios, autoridades sanitarias, un servidor back-end, proyectos de investigación epidemiológica y proveedores de sistemas operativos de telefonía móvil (en este caso, Apple y Google). Apple y Google solo proporcionan un servicio de notificaciones push, el mismo que para cualquier aplicación y son conscientes de que la aplicación se ha instalado, actuando como procesadores, pero no pueden ver ningún contenido o datos. El mismo documento pone de manifiesto que “dado que Apple y Google proporcionan el sistema operativo que se ejecuta en dispositivos móviles, uno tiene que confiar en ellos, ya que potencialmente podrían tener conocimiento de información relacionada con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/212 sistema de rastreo de proximidad (quién está infectado, quién infectó a quién, gráficos sociales, etc.)”. Además, el documento reseña que “el sistema está diseñado de tal manera que ninguna entidad más allá del dispositivo de un usuario procesa o almacena datos personales identificables sobre el usuario. En su conjunto, el sistema cumple los objetivos de tratamiento que normalmente requerirían la transmisión de datos personales. Creemos que, en el marco del funcionamiento normal, ninguno de los datos utilizados para lograr el rastreo de proximidad debe caracterizarse como datos personales, ya que ningún actor titular de los datos tiene la capacidad de volver a identificarlos con medios razonablemente susceptibles de ser utilizados.” En cuanto a los identificadores, los teléfonos móviles con la aplicación de seguimiento de proximidad instalada emiten identificadores bluetooth efímeros (EfIDs) a través de Bluetooth de baja energía. Estos identificadores efímeros son generados pseudo-aleatoriamente por el teléfono, derivado de la clave secre