← España

PS-00233-2021

1/168  Expediente N.º: PS/00233/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de mayo de 2020 la directora de la AEPD, siguiendo el mismo criterio utilizado ante cualquier noticia publicada en los medios de comunicación que afectase al tratamiento de datos de salud por parte de las Administraciones Públicas, y, ante las noticias aparecidas en medios de comunicación relativas al proyecto del Gobierno de España acerca de la implantación de una aplicación (o también, App) de rastreo de posibles infectados de COVID-19, encargado a la SECRETARIA DE ESTADO DE DIGITALIZACIÓN E INTELIGENCIA ARTIFICIAL (en lo sucesivo, la SEDIA), del MINISTERIO DE ASUNTOS ECONÓMICOS Y TRANSFORMACIÓN DIGITAL (en adelante, el METD), que usará una interfaz de programación de aplicaciones (en adelante, API) de Google y Apple, un protocolo para ser interoperable entre países, que se lanzará como piloto en Canarias a comienzos de junio, conectándose a los sistemas informáticos sanitarios de las Comunidades Autónomas, insta a la Subdirección General de (en adelante, SGID) a que inicie las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 6 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), con relación a las actuaciones realizadas por la SEDIA, por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la AEPD. SEGUNDO: A.A.A. (en adelante, la parte reclamante uno) con fecha 7 de septiembre de 2020 interpone una reclamación ante la AEPD. Basa su reclamación -entre otros aspectos-, en las siguientes circunstancias: “6. Que a fecha de la presente reclamación, y de conformidad con la información disponible en su página web y Política de privacidad (***URL.1): (

  1. a)Nombre de la App: RadarCovid (
  2. b)Fecha de publicación: 7 de julio de 2020 (
  3. c)Responsable del tratamiento: Secretaría General de Administración Digital, dependiente del Ministerio de Asuntos Económicos y Transformación Digital Sin embargo, de la Política de privacidad de RadarCovid no queda claro cual es rol de las autoridades sanitarias de las CCAA que han completado los procesos técnicos para integrarse en Radar COVID (ej. encargadas del tratamiento, responsables del tratamiento, co-responsables, etc.). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/168 (
  4. d)Publicación de la EIPD: No (
  5. e)Publicación del código fuente: No (
  6. f)Pronunciamiento de la Autoridad de Control (artículo 36 y/o 57.1c RGPD): No El 23 de junio de 2020, la AEPD aclaró mediante un comunicado, que: - su implicación en la app se rastreo de contactos desarrollada por la SGAD se había limitado a iniciar el pasado 21 de mayo un procedimiento de actuaciones previas de investigación que aún no ha concluido. - el desconocimiento de los detalles de la articulación práctica de la aplicación y de la experiencia piloto, esenciales para analizar su incidencia sobre la privacidad de los ciudadanos, ha dado lugar al requerimiento de solicitudes formales de información a la SGAD y ha impedido valorar su adecuación a la normativa de protección de datos personales con antelación. ***URL.2 (
  7. g)Licitud del tratamiento: De conformidad con el apartado “10. ¿Cuál es la legitimación para el tratamiento de tus datos?” de la Política de privacidad de RadarCovid: - Consentimiento: Artículo 6.1
  8. a)del RGPD. - Interés legítimo: Artículo 6.1
  9. e)del RGPD en base a la normativa nacional aprobada a tal efecto (Orden Ministerial SND/297/2020 de 27 de marzo19 ). Sin embargo, cabe señalar que dicha Orden regula únicamente la creación de la aplicación “Asistencia COVID-19”, no RadarCovid, por lo que restaría pendiente clarificar la legislación nacional que . Artículo 9.2
  10. i)y
  11. j)del RGPD. (
  12. j)Finalidades del tratamiento: De conformidad con el apartado “5. ¿Para qué y por qué utilizamos tus datos?” de la Política de privacidad de RadarCovid: - La recogida, almacenamiento, modificación, estructuración y en su caso, eliminación, de los datos generados, constituirán operaciones de tratamiento llevadas a cabo por SGAD, con la finalidad de garantizar el correcto funcionamiento de la App, mantener la relación de prestación del servicio con el Usuario, y para la gestión, administración, información, prestación y mejora del servicio. - La información y datos recogidos a través de la Aplicación serán tratados con fines estrictamente de interés público en el ámbito de la salud pública, ante la actual situación de emergencia sanitaria como conseC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/168 cuencia de la pandemia del COVID-19 y la necesidad de su control y propagación, así como para garantizar intereses vitales tuyos o de terceros, de conformidad con la normativa de protección de datos vigente. - A tal efecto, utilizamos tus datos para prestarte el servicio de “Radar COVID” y para que puedas hacer uso de sus funcionalidades de acuerdo con sus condiciones de uso. De conformidad con el Reglamento General de Protección de Datos (RGPD) así como cualquier legislación nacional que resulte aplicable, la Secretaría General de Administración Digital tratará todos los datos generados durante el uso de la App para las siguientes finalidades: . Ofrecerte información sobre contactos considerados de riesgo de exposición a la COVID-19. . Proporcionarte consejos prácticos y recomendaciones de acciones a seguir según se produzcan situaciones de riesgo de cara a la cuarentena o auto-cuarentena. - Este tratamiento se llevará a cabo a través de la funcionalidad de alerta de contagios que permite identificar situaciones de riesgo por haber estado en contacto estrecho con personas usuarias de la aplicación que se encuentran infectadas por la COVID-19. De esta manera se te informará de las medidas que conviene adoptar después. 5. Que en virtud del Artículo 58 del RGPD, la Agencia Española de Protección de Datos puede hacer uso de sus facultades de investigación y correctivas contra la SGAD. 6. Por todo lo expuesto anteriormente, y en virtud del Artículo 77 del RGPD, el Reclamante: SOLICITA A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Que tenga por realizadas las anteriores alegaciones a los efectos legales oportunos, y en virtud de las facultades previstas en el artículo 58 del RGPD proceda a: Investigar si la aplicación RadarCovid cumple con los principios de licitud, lealtad, transparencia y responsabilidad proactiva del RGPD (Artículo 5), de conformidad con las directrices del EDPB (Artículo 70 RGPD), en la medida en que: (
  13. a)SGAD no ha publicado el contenido de la EIPD, a pesar de la “encarecida” recomendación del EDPB, así como confirmar si SGAD ha elaborado la EIPD y, en su caso, planteado la Consulta previa a la AEPD antes de efectuar el tratamiento de datos personales (Artículo 35 y 36 RGPD); (
  14. b)SGAD no ha publicado el código fuente, tal y como requiere el EDPB en sus directrices; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/168 (
  15. c)SGAD no ha definido en la Política de privacidad las funciones y responsabilidades de las autoridades sanitarias de las CC.AA. que han completado los procesos técnicos necesarios para integrar la aplicación en sus sistemas sanitarios (Artículo 13 y 14 RGPD); (
  16. d)SGAD no ha especificado de forma suficientemente clara las distintas finalidades del tratamiento y sus respectivas bases legitimadoras, en atención a lo dispuesto en el apartado “5. ¿Para qué y por qué utilizamos tus datos?” y “10. ¿Cuál es la legitimación para el tratamiento de tus datos?” de la Política de privacidad (Artículo 13 y 14 RGPD); y (
  17. e)SGAD no ha especificado los plazos de conservación de los datos para fines de investigación científica o histórica o fines estadísticos en la Política de privacidad (Artículo 9.2j y 89.1 RGPD).” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 5 de octubre de 2020, en el expediente con núm. de referencia E/07823/2020. Con fecha 24 de enero de 2021, la parte reclamante uno, amplía su reclamación y traslada a la AEPD unas alegaciones complementarias basadas -entre otros aspectos-, en las siguientes circunstancias: 1. Incorporar dichas ALEGACIONES COMPLEMENTARIAS a la investigación que está llevando a cabo la AEPD por una posible vulneración de la normativa en materia de protección de datos; PRIMERO: Publicación tardía e incompleta del código fuente Que el pasado 9 de septiembre de 2020, la SGAD publicó el código fuente de la aplicación RadarCOVID, accesible online a través de la plataforma GitHub, tal y como comunicó la SGAD través de su cuenta oficial de Twitter. Sin embargo, el mismo día tras la liberación del código, algunos medios de comunicación se hicieron eco del malestar de la comunidad de desarrolladores, en la medida en que: - el código estaba ofuscado y - no se había publicado el histórico; aspectos esenciales para poder analizar el mismo y que no ocurría en los repositorios de las aplicaciones italiana o alemana publicados desde mayo de 2020. En el contexto descrito, entiende esta Parte que la publicación del código fuente de RadarCOVID fue tardía e incompleta, hecho incompatible nuevamente con los principios de transparencia y responsabilidad proactiva del artículo 5 del RGPD, en atención a la interpretación efectuada por el Comité Europeo de Protección de Datos (en adelante, “EDPB”) en sus Directrices 04/2020. SEGUNDO: Modificación del responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/168 Así pues, a través del citado Acuerdo, el pasado 9 de octubre de 2020 se modificó (
  18. i)el flujo de datos personales y (
  19. ii)el responsable del tratamiento que, hasta entonces, se desprendía de la Política de Privacidad de la aplicación RadarCOVID, en particular: - La SGAD -que inicialmente ocupaba el rol de responsable del tratamiento- pasaba a tener la consideración de encargada del tratamiento; y - La SNS (Ministerio de Sanidad) y las Consejerías de sanidad de las CC.AA. tendrían la consideración de responsables del tratamiento, sin especificar -no obstante- si desempeñaran dichas funciones como corresponsables (Artículo 26 del RGPD) o responsables del tratamiento independientes. En el contexto descrito, entiende esta Parte que en el transcurso de la reclamación se deberá: 1. Verificar si los siguientes aspectos resultan acordes con la normativa de protección de datos:
  20. a)la base jurídica que legitimó el cambio de responsable del tratamiento de los datos obtenidos y tratados a través de la aplicación RadarCOVID;
  21. b)la regulación del tratamiento de datos en los Convenios de Colaboración suscritos con cada CC.AA.; y
  22. c)el hecho de que el citado Acuerdo entre el Ministerio de Sanidad y el Ministerio de Asuntos Económicos y Transformación Digital, no contenga las especificaciones previstas en el artículo 28.3 del RGPD para los encargados del tratamiento o, en su caso, las especificaciones del artículo 26 del RGPD para los corresponsables del tratamiento. TERCERO: Brecha de seguridad De conformidad con la información publicada por EL PAÍS el pasado 22 de octubre de 2020 , la aplicación RadarCOVID habría tenido una brecha de seguridad desde su lanzamiento. Según afirma el citado medio, la SGAD habría notificado la brecha de seguridad a la AEPD durante la semana del 5 de octubre de 2020: La legislación europea y española obliga al Gobierno a comunicar a la Agencia Española de Protección de Datos (AEPD) y al público la existencia de una brecha. La información a la AEPD se hizo, según fuentes de Secretaría de Estado, “la semana del 5 de octubre”. Esa comunicación no se realizó según un procedimiento establecido por la ley para casos graves, pero la AEPD confirma por su lado que esa comunicación se produjo de algún modo. El nivel de notificación, según fuentes de la AEPD, es algo que debe valorar cada responsable del tratamiento según lo que dice el Reglamento de Protección de Datos. Así lo hizo la Secretaría de Estado: “La vulnerabiliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/168 dad no se hizo pública porque no ha habido constancia de una violación de la seguridad de los datos personales, tal como recoge el artículo 33 del Reglamento”, dicen fuentes oficiales del Gobierno. Según su criterio, habría actuado correctamente. En el contexto descrito, entiende esta Parte que durante el transcurso de la reclamación se deberá confirmar si: 1. Efectivamente se produjo una brecha de seguridad en los términos señalados por la AEPD en su Guía para la gestión y notificación de brechas de seguridad; y 2. En su caso, si se notificó la brecha a la AEPD y/o a los interesados, de conformidad con los previsto en los artículos 33 y 34 del RGPD. CUARTO: Comunicaciones de datos al “EU interoperability gateway” Que desde el pasado 30 de octubre de 2020, la aplicación RadarCOVID está conectada al nodo de interoperabilidad de la Comisión Europea, tal y como publicó la SGAD a través de su cuenta oficial de Twitter y se indica en el contenido de la propia aplicación: Que de conformidad con la información publicada por la Comisión Europea en el documento “National Joint Controllers and Privacy policies” , en el caso de España, el corresponsable del tratamiento que efectúa las comunicaciones de los datos obtenidos a través de RadarCOVID a otras aplicaciones de rastreo en la Unión Europea en el marco del “EU interoperability Gateway for contact tracing and warning apps” es: Dirección General de Salud Pública, Unidad de Apoyo, Ministerio de Sanidad. En el contexto descrito, entiende esta Parte que durante el transcurso de la tramitación de la reclamación, se deberá confirmar si la Dirección General de Salud Pública, Unidad de Apoyo, Ministerio de Sanidad, en su condición de corresponsable del tratamiento del nodo de interoperabilidad, cumple con las cuestiones fundamentales fijadas por el EDPB en su Declaración sobre el impacto en la protección de datos de la interoperabilidad de las aplicaciones de rastreo de contactos y, en particular, sobre la seguridad e la información y la necesidad de llevar a cabo una evaluación de impacto sobre la protección de datos (en adelante, “EIPD”) de conformidad con el artículo 35 del RGPD. Conviene recordar, que tal y como esta Parte puso de manifiesto en su reclamación del pasado 07/09/2020, en el caso de RadarCOVID y a fecha del presente escrito, aún no se ha publicado la EIPD, tal y como recomienda encarecidamente el EDPB en sus Directrices 04/2020. QUINTO. Modificación de la Política de Privacidad de RadarCOVID Esta Parte observa que han incluido modificaciones en la Política de Privacidad de la aplicación RadarCOVID respecto a la versión publicada en el momento de efectuar la reclamación el pasado 07/09/2020, accesible a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/168 del siguiente enlace: ***URL.3 (en adelante, “Política de Privacidad actual”). 1. Se ha añadido un nuevo apartado -que no aparecía en la versión anterior- titulado “¿Quiénes son los responsables del tratamiento de tus datos como usuario de “Radar COVID”?”, en el que se establece: 3. ¿Quiénes son los responsables del tratamiento de tus datos como usuario de “Radar COVID”? Esta aplicación tiene como responsables de tratamiento tanto al Ministerio de Sanidad, como a las Comunidades Autónomas. Así mismo, la Secretaría General de Administración Digital ejerce como encargada del tratamiento. A nivel nacional, el responsable del tratamiento de tus datos como usuario de “Radar COVID” es: Como parte del sistema de alerta de contagios de la COVID-19, se procesarán los siguientes datos para los usuarios que hayan dado positivo por COVID-19 para los fines especificados a continuación: - Nombre: Ministerio de Sanidad. - Dirección: Paseo del Prado 18-20, 28014 Madrid La Secretaría General de Administración Digital, en calidad de titular de la aplicación y en base al encargo del tratamiento encomendado por el Ministerio de Sanidad, efectuará las siguientes operaciones del tratamiento: -Generación de códigos para la comunicación de positivos en la aplicación Radar COVID. - Recepción de la información remitida por los usuarios cuando comunican un positivo. Esta información incluye: (
  23. i)Las claves de exposición diaria hasta un máximo de 14 días. El número exacto de claves comunicadas dependerá; (
  24. ii)La preferencia o no por comunicar estas claves de exposición diaria al nodo europeo de interoperabilidad entre aplicaciones de rastreo de contactos. - Composición de un listado actualizado de claves de exposición temporal que son puestas a disposición para su descarga por parte de las aplicaciones Radar COVID. - En relación al nodo europeo de interoperabilidad de contactos (EFGS): (
  25. i)Recepción diaria de los listados de claves de exposición temporal generados por los servidores nacionales de los Estados Miembros adheridos en su caso al proyecto; y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/168 (
  26. ii)Remisión diaria al nodo EFGS de un listado de claves de exposición temporal remitidas por los usuarios de Radar COVID que han consentido explícitamente compartir esta información con el resto de Estados Miembros adheridos al proyecto. Las Comunidades Autónomas adheridas al uso de la aplicación son, así mismo, responsables del tratamiento, llevando a cabo las siguientes operaciones de tratamiento: Solicitud al servidor Radar COVID de generación de códigos de confirmación de positivo. Entrega de estos códigos a las personas diagnosticadas positivas por pruebas PCR. El encargado del tratamiento y titular de la aplicación es la Secretaría General de Administración Digital, órgano directivo de la Secretaría de Estado de Digitalización e Inteligencia Artificial del Ministerio de Asuntos Económicos y Transformación Digital, en virtud al Acuerdo entre el Ministerio de Asuntos Económicos y Transformación Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) y el Ministerio de Sanidad acerca de la aplicación “Radar COVID”. 2. Respecto al apartado “¿Que datos tratamos sobre ti?”, se ha modificado parte de la legislación aplicable que se enumeraba a los efectos de legitimar los tratamientos de datos: (…) 3. Respecto al apartado “¿Quién tiene acceso a tus datos?”, se ha eliminado la afirmación de que RadarCOVID no trata datos personales, toda vez que resulta evidente que la aplicación trata datos seudonimizados, sujetos a la normativa de protección de datos: (…) Sin embargo, en la propia aplicación, se ofrece a los usuarios una información errónea al indicar que RadarCOVID no trata ningún tipo de dato personal: (…) 4. Respecto al apartado “¿Cuáles son tus derechos y cómo puedes controlar tus datos?”, se ha eliminado la mención de que la aplicación RadarCOVID no almacena datos personales y, por ende, no eran de aplicación los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad: (…) 5. Se ha añadido un nuevo apartado -que no aparecía en la versión anterior de la Política de Privacidad- titulado “Transferencia de datos a países de la Unión Europea”, en el que se establece: (…) En el contexto descrito, entiende esta Parte que durante el transcurso de la tramitación de la reclamación, se deberá confirmar si, tras las modificaciones incluidas en la Política de Privacidad, RadarCOVID facilita a los interesados toda la información exigida por el artículo 13 del RGPD, en particular: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/168 1. La identidad y datos de contacto de las Consejerías de Sanidad de las Comunidades Autónomas, en su condición de responsable del tratamiento (artículo 13.1 “a” del RGPD); 2. Los datos de contacto del Delegado de Protección de Datos de todos los responsables del tratamiento (artículo 13.1 “b” del RGPD); 3. Los fines del tratamiento a que se destinan los datos personales y la bases jurídicas del tratamiento (artículo 13.1 “c” del RGPD). En particular, respecto al cumplimiento de:
  27. a)Las directrices del EDPB (…) 9, 10, 11 y 12
  28. b)El artículo 27 del Real Decreto-ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19, referenciado en la Política de Privacidad de RadarCOVID: (…) 4. Sobre la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos (artículo 13.2 “b” del RGPD). En particular, respecto al cumplimiento de lo indicado por el EDPB en su Declaración sobre el impacto en la protección de datos de la interoperabilidad de las aplicaciones de rastreo de contactos: (…) En la anterior versión de la Política de Privacidad de RadarCOVID, se indicaba que no era posible el ejercicio de los derechos con la siguiente afirmación “Dado que la aplicación Radar COVID no almacena datos personales, no son de aplicación los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos”. No obstante, y de conformidad con el nuevo redactado de la cláusula, parece desprenderse que, en la actualidad, se permite el ejercicio de los derechos (excepto el derecho de portabilidad y al de no ser objeto de decisiones basadas únicamente en el tratamiento automatizado): En el contexto descrito, interesa a esta Parte confirmar si:
  29. a)En atención al funcionamiento de la aplicación RadarCOVID y al tratamiento de uso de datos seudonimizados, resulta posible identificar a los interesados y, por consiguiente, es posible el ejercicio de los derechos según señala el EDPB;
  30. b)En su caso, proporcionar medios que permitan el ejercicio de derechos a través de representante legal y voluntario, de conformidad con el artículo 12.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/168
  31. c)En su caso, indicar los medios por los que los interesados pueden ejercer sus derechos ante las Consejerías de Sanidad de cada CC.AA. (en su condición de responsables del tratamiento), de conformidad con el artículo 12.2 de la LOPDGDD. (…) 2. Hacer extensiva la reclamación a los nuevos responsables del tratamiento de la aplicación RadarCOVID identificados en la misma (i.e. Ministerio de Sanidad y Consejerías de Sanidad de las correspondientes Comunidades y Ciudades Autonómicas) por ostentar éstos la legitimación pasiva en el presente procedimiento; 3. En su caso, ordenar a los responsables o encargados del tratamiento de RadarCOVID que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado, de conformidad con las expresas directrices e interpretaciones efectuadas por el EDPB sobre la materia; y 4. En su caso, sancionar a todo responsable o encargado del tratamiento de RadarCOVID con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el RGPD, de conformidad con las expresas directrices e interpretaciones efectuadas por el EDPB sobre la materia.” TERCERO: B.B.B. junto a diez profesores más (en adelante, la parte reclamante dos), con fecha 1 de octubre de 2020 interpone una reclamación ante la AEPD, con el siguiente tenor: “Por la presente le informamos de una brecha de seguridad en la App Radar COVID, reportada a la SEDIA e Indra S.A, el 16 de septiembre del 2020. Le adjuntamos el reporte técnico así como la valoración jurídica en la nota legal que enviamos a la Vicepresidenta P.P.P. y a la Secretaria de Estado C.C.C. este lunes 28 de septiembre”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 5 de octubre de 2020, en el expediente con núm. de referencia E/07905/2020. CUARTO: Una persona física ***RECLAMANTE.3 (en adelante, la parte reclamante tres) con fecha 5 de octubre de 2020 interpone una reclamación ante la AEPD. En particular, informa de cómo una decisión de diseño en la aplicación de rastreo de contactos Radar COVID pone en riesgo la privacidad de sus usuarios. “En concreto, el riesgo proviene de que solo los usuarios positivos de COVID suben las claves TEK (claves con el resultado de un test) al servidor de radar-covid-backenddp3t-server ( ***URL.4, con IP ***IP.1, ***IP.2, ***IP.3, ***IP.4 accesible a través de CloudFront CDN). Por lo tanto, cada vez que se observa una subida de la clave desde un teléfono al endpoint ' /v1/gaen/expuesto ' de este servidor, se puede inferir que el propietario del teléfono es COVID-positivo. La encriptación entre la aplicación y el servidor no ayuda a encubrir esa información: incluso si el endpoint y el contenido de la subida no son observables, la longitud de los mensajes revelará una subida de la clave TEK al servidor.” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 16 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/168 octubre de 2020, en el expediente con núm. de referencia E/08295/2020. QUINTO: RIGHTS INTERNATIONAL SPAIN (en adelante, la parte reclamante cuatro) con fecha 26 de febrero de 2021 interpone una reclamación ante la AEPD. En particular, basa su reclamación en las siguientes circunstancias: “- Tras tener conocimiento de la tramitación, por parte de esta Agencia, de un procedimiento de oficio que investiga la aplicación de rastreo de contactos Radar COVID, y habiendo detectado una serie de potenciales riesgos para la privacidad e incumplimiento de las directrices aplicables, la asociación RIGHTS INTERNATIONAL SPAIN presenta un escrito para su incorporación al procedimiento, en el cual se denuncian irregularidades con respecto a la publicación del código de la aplicación. - En este sentido, se llama la atención sobre el hecho de que, a pesar de poder ser descargada la aplicación en diversas Comunidades Autónomas (incluso se liberó una versión para un proyecto piloto), el código no se publicó hasta el 9 de septiembre de 2020, y el mismo difería del que tuvo la aplicación en su versión inicial. Además, hasta la fecha, no se ha publicado el histórico de desarrollo de la app, es decir, el historial con todos los datos y pasos que se han dado desde el principio de su desarrollo. - En relación con el piloto, la asociación critica que, al no encontrarse publicado el código fuente, se desconoce su alcance concreto, aunque las descargas no se encontraban geolocalizadas, y, por tanto, la app podía ser descargada e instalada desde cualquier zona geográfica. Los índices utilizados para cuantificar el éxito de la acción iban más allá del territorio delimitado para las pruebas, pudiendo afectar a usuarios no informados o conscientes del uso de información de sus terminales - La asociación considera que la mencionada ausencia de transparencia provocó un retraso en la detección de una brecha de datos personales en la app, ya que, como luego se descubrió, únicamente enviaba información al servidor en caso de detectar un positivo. - Finalmente, la asociación llama la atención sobre algunas deficiencias relativas al documento de Evaluación de Impacto, el cual se publicó recientemente, en enero de 2021, a pesar de que la aplicación estuvo disponible ya en junio de 2020. Según su control de cambios, la versión publicada es la de noviembre de 2020, no indicando nada al respecto de las versiones anteriores, los cambios realizados, y los riesgos que puedan haber sido detectados con posterioridad a la evaluación inicial. Cuestionan la utilidad de una evaluación de impacto presentada y elaborada de esta manera.” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 12 de marzo de 2021, en el expediente con núm. de referencia E/02649/2021. SEXTO: En el marco de las actuaciones previas de investigación se practicaron cinco requerimientos de información dirigidos a la SEDIA y uno a la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud (en lo sucesivo, SGSDII). En el requerimiento dirigido a la SGSDII, de fecha 4 de diciembre de 2020, se solicitaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/168 ba la siguiente información: En el marco de las actuaciones de inspección de referencia, iniciadas de oficio por la Agencia Española de Protección de datos en relación con las noticias aparecidas en medios de comunicación sobre el proyecto del Gobierno de implantación de una app de rastreo por bluetooth de posibles infectados de COVID-19, se ha venido solicitando desde el mes de mayo a la Secretaría de Estado de Digitalización e Inteligencia Artificial información y documentación en relación con esta app. El representante de la SGAD manifiesta, en escrito de fecha 1 de septiembre de 2020, respecto a la app “RADAR COVID” que el Ministerio de Sanidad tiene la condición de responsable del tratamiento, y cada Comunidad Autónoma será responsable de tratamiento de los datos de su ámbito respectivo, mientras que la Secretaría General de Administración Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial tiene la condición de encargado del tratamiento). Con fecha 13 de octubre de 2020 se firmó el “Acuerdo entre el Ministerio de Asuntos Económicos y Transformación Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) y el Ministerio de Sanidad acerca de la aplicación “RADAR COVID” publicado en el BOE de 15/10/2020, cuyo objeto es:
  32. a)Delegar en la Secretaría General de Administración Digital (en adelante, SGAD) del Ministerio de Asuntos Económicos y Transformación Digital, todas las competencias de diseño, desarrollo, implantación y evolución de la aplicación “RADAR COVID” que correspondan a la Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud en virtud de lo previsto en el artículo 8.2.
  33. a)del Real Decreto 735/2020, de 4 de agosto, por el que se desarrolla la estructura orgánica básica del Ministerio de Sanidad, la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. La Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud ha aprobado previamente la delegación de todas estas competencias en la SGAD de acuerdo con lo previsto en el artículo 9.1 de la Ley 40/2015, de 1 de octubre.
  34. b)Delegar en la SGAD la competencia del Ministro de Sanidad para suscribir con las comunidades y ciudades autónomas los convenios de colaboración para la adhesión de estas al uso de la aplicación “RADAR COVID”, de acuerdo con lo previsto en el Capítulo VI del Título Preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. sin perjuicio del apoyo que para facilitar su tramitación le prestará la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. La parte expositiva del Convenio recoge en el sexto punto lo siguiente: “Sexto.- Que, desde el mes de mayo de 2020, la SGAD ha venido desarrollando, con el conocimiento y la conformidad del Ministerio de Sanidad, una aplicación para la trazabilidad de contactos en relación a la pandemia ocasionada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/168 por la COVID-19 denominada “RADAR COVID”. Durante el mes de julio de 2020, con la conformidad de la Dirección General de Salud Pública, Calidad e Innovación del Ministerio de Sanidad, la SGAD llevó a cabo con éxito el proyecto piloto de la misma, cuyo éxito garantiza la viabilidad de la solución propuesta para el rastreo de contactos estrechos.” Así mismo, los puntos 3 de la segunda y tercera de las cláusulas del acuerdo establece: 3. Con relación a la delegación de competencias prevista en la letra
  35. a)de la cláusula primera de este Acuerdo, corresponden a la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud, además de sus obligaciones como Responsable del tratamiento de datos de carácter personal, y su Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud, las siguientes obligaciones:
  36. a)El seguimiento del diseño e implementación del sistema «Radar COVID».
  37. b)La recepción de los datos que obren en poder de la SGAD (relacionados con su descarga activa, uso, códigos utilizados, etc.) para el adecuado seguimiento epidemiológico de la Pandemia en España, así como su relación con otros países europeos.
  38. c)El impulso de las medidas necesarias para su correcta aplicación dentro del ámbito de competencias de la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud, así como el impulso de los acuerdos que fuera necesario adoptar al respecto en el Consejo Interterritorial del Sistema Nacional de Salud.
  39. d)El análisis del cumplimiento de objetivos y, en su caso, la propuesta de reformulación de procedimientos e indicadores para ajustarlos a necesidades sobrevenidas.
  40. e)Cualesquiera otras obligaciones necesarias para el correcto funcionamiento de la aplicación. (…) 3. Con relación a la delegación de competencias prevista en la letra
  41. b)de la cláusula primera de este Acuerdo, corresponden a la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud, en su condición de Responsable del tratamiento de datos de carácter personal, dar las indicaciones necesarias a la SGAD en su condición de encargado del tratamiento. Asimismo, corresponden a la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud y su Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud las siguientes obligaciones:
  42. a)La colaboración con la SGAD y las consejerías de las comunidades y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/168 ciudades autónomas competentes en la materia en todas las acciones necesarias para la correcta implantación y desarrollo del sistema «Radar COVID».
  43. b)Velar por el correcto funcionamiento del sistema «Radar COVID», en particular en lo referente a la defensa de los derechos de los interesados.
  44. c)El seguimiento permanente de los resultados del sistema «Radar COVID» para trasladarlos a las autoridades sanitarias de las distintas Administraciones Públicas.
  45. d)El impulso de las medidas necesarias para su correcta desarrollo y ejecución dentro del ámbito de competencias de la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud, así como el impulso de los acuerdos que fuera necesario adoptar al respecto en el Consejo Interterritorial del Sistema Nacional de Salud.
  46. e)Cualesquiera otras obligaciones necesarias para el buen fin de la aplicación que puedan abordarse desde las competencias de la dicha Secretaría General. En uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se solicita que en el plazo de diez días hábiles presente la siguiente información y documentación: 1. Copia, en su caso, de las instrucciones dadas al encargado del tratamiento, y en particular en relación con la protección de datos desde el diseño y por defecto de la app “RADAR COVID”. 2. Copia, en su caso, de los informes elaborados por el Delegado de Protección de Datos, y en particular los relativos a la supervisión de los tratamientos y a la necesidad de elaboración de la evaluación de impacto relativa a la protección de datos. 3. Toda la información y documentación de la que disponga en relación con las medidas llevadas a cabo por la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud en base a los anteriormente citados puntos 3 de la segunda y tercera cláusulas del Acuerdo. 4. Copia del Registro de Actividades de tratamientos efectuadas bajo la responsabilidad del Ministerio de Sanidad. (…) SÉPTIMO: A la vista de las alegaciones aportadas por la SEDIA y la SGSDII en resC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/168 puesta a los requerimientos practicados, la SGID emitió un informe de actuaciones previas de investigación en el marco del expediente con número de referencia E/ 03936/2020, de fecha 26 de febrero de 2021, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el artículo 67 de la LOPDGDD, con el siguiente tenor: “ANTECEDENTES Con fecha de 21 de mayo de 2020 la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación en relación con las noticias aparecidas en medios de comunicación sobre el proyecto del Gobierno de implantación de una app de rastreo por bluetooth de posibles infectados de COVID-19. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: Ministerio de Asuntos Económicos y Transformación Digital - SEDIA- Secretaría de Estado de Digitalización e Inteligencia Artificial- con NIF S2833002E con domicilio en Calle Poeta Joan Maragall 41 - 28071 Madrid. Ministerio de Sanidad -SGSDII- Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud con domicilio en PASEO DEL PRADO, 18-20 - 28071 Madrid. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Con fechas de 26/5, 17/8, 18/9, 2/10 y 26/10 de 2020, se notificó por la Inspección de Datos sendos requerimientos de información a la Secretaría de Estado de Digitalización e Inteligencia Artificial solicitando diversa información y documentación en relación con la aplicación móvil (app) que permitirá el rastreo de contactos por Bluetooth con objeto de la detección precoz de posibles contagiados por la COVID-19 (RADAR COVID). Con fechas 5/6, 18/6, 3/7, 21/7, 28/7, 1/9, 22/9, 23/9, 9/10, 15/10, 27/10, 30/10 y 5/11 de 2020 se recibieron respectivos escritos de respuesta completando los requerimientos de información efectuados. De la información y documentación aportada se desprende lo siguiente: 1.1.- Con fecha 9 de octubre de 2020 se firmó el “Acuerdo entre el Ministerio de Asuntos Económicos y Transformación Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) y el Ministerio de Sanidad acerca de la aplicación “RADAR COVID”.”, cuyo objeto es:
  47. a)Delegar en la Secretaría General de Administración Digital (en adelante, SGAD) del Ministerio de Asuntos Económicos y Transformación Digital, todas las competencias de diseño, desarrollo, implantación y evolución de la aplicación “RADAR COVID” que correspondan a la Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud en virtud de lo previsto en el artículo 8.2.
  48. a)del Real Decreto 735/2020, de 4 de agosto, por el que se desarrolla la estructura orgánica básica del Ministerio de Sanidad, la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. La Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud ha aproC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/168 bado previamente la delegación de todas estas competencias en la SGAD de acuerdo con lo previsto en el artículo 9.1 de la Ley 40/2015, de 1 de octubre.
  49. b)Delegar en la SGAD la competencia del Ministro de Sanidad para suscribir con las comunidades y ciudades autónomas los convenios de colaboración para la adhesión de estas al uso de la aplicación “RADAR COVID”, de acuerdo con lo previsto en el Capítulo VI del Título Preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. sin perjuicio del apoyo que para facilitar su tramitación le prestará la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. La parte expositiva del Convenio recoge en el sexto punto lo siguiente: “Sexto.- Que, desde el mes de mayo de 2020, la SGAD ha venido desarrollando, con el conocimiento y la conformidad del Ministerio de Sanidad, una aplicación para la trazabilidad de contactos en relación con la pandemia ocasionada por la COVID-19 denominada “RADAR COVID”. Durante el mes de julio de 2020, con la conformidad de la Dirección General de Salud Pública, Calidad e Innovación del Ministerio de Sanidad, la SGAD llevó a cabo con éxito el proyecto piloto de la misma, cuyo éxito garantiza la viabilidad de la solución propuesta para el rastreo de contactos estrechos.” 1.2 El representante de la SGAD manifiesta, en escrito de fecha 1/9/2020, respecto al sistema RADAR COVID que el Ministerio de Sanidad tiene la condición de responsable del tratamiento, y cada Comunidad Autónoma será responsable de tratamiento de los datos de su ámbito respectivo, mientras que la Secretaría General de Administración Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) tiene la condición de encargado del tratamiento. 1.3.- El sistema “RADAR COVID” lo constituye: • Una app para dispositivos móviles denominada “RADAR COVID” que recoge identificadores de proximidad de usuarios de esta y utiliza la interfaz de programación de aplicaciones (API) desarrollada por Google y Apple. • Un servicio Web que se pone a disposición de los gobiernos de las Comunidades Autónomas (CCAA) para distribuir los códigos que permiten a los usuarios de la app que han dado positivo en un test COVID-19, enviar los identificadores de proximidad de los últimos 14 días conservados en el terminal móvil al servidor. • Además, los servicios de salud de las CCAA han de establecer los procesos y procedimientos necesarios para facilitar a los usuarios que han dado positivo en la prueba de COVID-19 un código de seguridad que es la llave para subir al servidor los identificadores de proximidad que conservan en los dispositivos móviles. Las dos primeras han sido desarrolladas por el Gobierno de España con la finalidad de ayudar a evitar la propagación de la COVID-19 identificando los posibles contactos que una persona que resulte infectada haya podido tener en los últimos 14 días y la tercera es responsabilidad del Servicio de Salud de cada CCAA. 1.4.- Con fecha 15 de junio de 2020 se acordó por el Secretario General de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/168 Administración Digital la contratación de los servicios para la trazabilidad de contactos con relación a la pandemia ocasionada por la COVID 19 a Indra Tecnologías de la Información S.L. (en adelante INDRA). Según consta en el objeto del contrato recogido en el “Pliego de condiciones para el diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación con la pandemia ocasionada por la covid-19” de fecha 12 de junio de 2020, el proyecto de implantación tendría tres fases: fase pre-piloto, fase piloto y fase post-piloto. 1.5.- El Gobierno lanzó el proyecto piloto el 29 de junio y finalizó el 29 de julio de 2020 en la isla de La Gomera en coordinación con el Gobierno de Canarias, con el Gobierno del Cabildo de La Gomera y con el Ayuntamiento de San Sebastián de La Gomera, así como con el Servicio Canario de la Salud. Posteriormente se han ido incorporando al proyecto las Comunidades Autónomas en fase de pruebas hasta la firma del convenio a suscribir con cada una de ellas, en las siguientes fechas: Andalucía, Aragón, Cantabria y Extremadura el 19 de agosto, Canarias y Castilla y León el 20 de agosto, Baleares el 24 de agosto, Murcia el 25 de agosto, Madrid y Navarra el 1 de septiembre, La Rioja el 3 de septiembre, Asturias el 4 de septiembre, Com. Valenciana el 8 de septiembre, Melilla y Galicia el 14 de septiembre, Castilla-la Mancha el 18 de septiembre, País Vasco el 21 de septiembre, Ceuta el 24 de septiembre de 2020. La implantación y utilización en pruebas en todo el territorio nacional de la aplicación está amparada por un Acuerdo del Consejo interterritorial del Sistema Nacional de Salud adoptado en fecha 19 de agosto de 2020, con la secuencia temporal que acuerden con la SEDIA. Respecto de los principios de proporcionalidad, limitación de finalidad, así como de minimización de los datos recabados según las finalidades previstas. 1.6.- Manifiestan que la principal finalidad de la aplicación es permitir alertar a las personas que han estado en contacto con alguien infectado por la COVID19 e informarles de las medidas que conviene adoptar después, como someterse a auto cuarentena o a pruebas diagnósticas, o proporcionar asesoramiento sobre qué hacer en caso de experimentar algún síntoma. Esto es, pues, útil tanto para los ciudadanos como para las autoridades sanitarias públicas. También puede desempeñar un papel importante en la gestión de las medidas de confinamiento durante las posibles situaciones de desescalada. 1.7.- Manifiestan que se recaban exclusivamente los datos que se requieren para las finalidades indicadas. No se lleva a cabo el almacenamiento ni el momento exacto ni el lugar de contacto, sin embargo, consideran útil almacenar el día del contacto para saber si se produjo cuando la persona experimentaba síntomas (o cuarenta y ocho horas antes) y definir con mayor precisión el mensaje de seguimiento en el que se ofrezcan consejos relacionados, por ejemplo, con la duración de la auto cuarentena. 1.8.- Respecto a si la medida es necesaria, en el sentido de que no exista otra más moderada para la consecución de tal propósito con igual eficacia, manifiestan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/168 “Es muy importante considerar la utilidad real, la necesidad y efectividad de esta Aplicación, así como su impacto en el sistema social más amplio, incluidos los derechos fundamentales y libertades, considerando que estas aplicaciones sientan un precedente para el uso futuro de tecnologías invasivas similares, incluso después de la crisis COVID-19. La situación de emergencia no puede suponer una suspensión del derecho fundamental a la protección de datos personales. Pero, al mismo tiempo, la normativa de protección de datos no puede utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades competentes, especialmente las sanitarias, en la lucha contra la epidemia, ya que en ella se prevén soluciones que permiten compatibilizar el uso lícito de los datos personales con las medidas necesarias para garantizar eficazmente el bien común. Los fundamentos que legitiman/hacen posible dichos tratamientos son la necesidad de atender las misiones realizadas en interés público, así como la de garantizar los intereses vitales de los propios afectados o de terceras personas, en virtud de lo expuesto en el Considerando 46 del RGPD, donde se reconoce que en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física. El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física ***RECLAMANTE.3 cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. Por tanto, si procedemos a realizar un juicio de necesidad, es decir, determinar si el tratamiento es necesario, en el sentido de que no existe otra alternativa menos invasiva para la privacidad para conseguir este propósito con la misma eficacia o con una eficacia razonable, conviene apuntar que la legislación sectorial en materia sanitaria no cuenta en la actualidad con instrumentos suficientemente precisos que permitieran afrontar una situación como la de crisis sanitaria en la que el país aún se encuentra inmerso. En este sentido, se han aprobados medidas específicas, como es el desarrollo de una aplicación como la que se está evaluando, que refuerzan los instrumentos de coordinación y cooperación en materia de salud pública a la vista de las características globales de la epidemia.” 1.9.- Respecto a la proporcionalidad, añaden: “En este caso, el beneficio tendrá que medirse en función de una menor propagación de la infección en términos globales, con la posibilidad de recuperar la libertad de acción, y una protección de la salud de los individuos. Los datos de salud tienen un alto valor, por lo que hay que prevenir que, aprovechando la incertidumbre que provoca una situación de emergencia, se produzcan abuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/168 sos por parte de terceros que conduzcan a situaciones de pérdida de libertades, discriminación u otros daños en la situación personal de los ciudadanos. Se trata por tanto de realizar una valoración de los beneficios que este tratamiento promete aportar en la lucha frente a la pandemia y de los costes en la privacidad de los individuos que pueden acarrear. En cuanto a los posibles perjuicios o amenazas que puede suponer una aplicación como esta para la privacidad habrá que tener en cuenta cómo se ha realizado la aplicación que estamos evaluando y de cuáles son sus objetivos. Estas amenazas pueden aparecer por la urgencia en ofrecer soluciones en funcionamiento que relajen los controles y requisitos para proteger los datos de los ciudadanos. Por ejemplo, se pueden encontrar posibles amenazas a la privacidad en la implementación de esta. Por otra parte, no hay que olvidar que una app o una web es solamente un interfaz para mostrar y llevar datos a un servidor. Las principales amenazas a la privacidad de este tipo de soluciones vienen de la realización de mapas de relaciones entre personas, reidentificación por localización implícita, de la fragilidad de los protocolos a la hora construir “tarjetas” casi anónimas, y de dispersar las señales de los contagios de forma que no se identifique en ningún caso la identidad de los contagiados. Debe tenerse en cuenta que el tratamiento de la información no solo afecta al usuario de la aplicación sino también la de todos los terceros con los que ha estado en contacto, por lo que este tratamiento ha de cumplir los principios de protección de datos. Hay estudios sobre la robustez de los protocolos de criptografía y anonimización (ver documento anexo 12. DP3T - Data Protection and Security), y siempre existe una posibilidad de que aplicando suficiente tiempo y capacidad de cómputo puedan romperse y asociar los apodos anónimos con números de teléfono y personas. Desde el punto de vista de la privacidad, cuanto más cálculo se haga en la parte de servidor, menos control tienen los usuarios, por lo que las soluciones centralizadas siempre parecen menos respetuosas con la privacidad que las distribuidas. La posibilidad de que, debido a la acumulación de los datos de forma centralizada, se produjese un abuso en una empresa poco ética, se ampliarán los propósitos del tratamiento o se fuera víctima de un ciberataque constituye otra de las mayores amenazas de este tipo de soluciones. En cuanto los beneficios que puede representar este tipo de tratamiento, es importante traer a colación, el análisis realizado por la propia AEPD sobre si el uso de estos datos representa en la crisis de la pandemia un beneficio importante, determinando que el éxito de este tipo de soluciones se basa en muchos factores que no dependen de la tecnología. En primer lugar, es necesaria la implicación de un elevado número de usuarios, algunos estudios hablan de al menos el 60% de una población que, teniendo en cuenta a los niños y los ancianos, suponen casi todos los usuarios de móvil. Por otro lado, depende de que se realice una declaración responsable de la situación personal de infección, preferiblemente supervisada por un profesional para evitar estrategias de desinformación. Finalmente, es necesario disponer de acceso a test, no solo para todos los usuarios, sino para poder actualizar la información periódicamente y para que aquellos que sean notificados de haber estado en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/168 contacto con un infectado puedan realizar la prueba con prontitud. No obstante, y siempre bajo un uso respetuoso con la privacidad de los usuarios, se pueden deducir los siguientes beneficios: Beneficios para los interesados .- Las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus serán informadas al respecto, a fin de romper las cadenas de transmisión lo antes posible. Asimismo, se les informará de las medidas que conviene adoptar después, como someterse a autocuarentena o a pruebas diagnósticas, o proporcionar asesoramiento sobre qué hacer en caso de experimentar tal o cual síntoma. .- La instalación de la aplicación en el dispositivo es voluntaria, sin consecuencia negativa alguna para quien decida no descargar o no usar la aplicación. .- El usuario mantiene el control sus datos personales. .- El uso de la Aplicación no requiere un seguimiento de la ubicación de los usuarios a título individual; en su lugar, se utilizan datos de proximidad .- La información recogida se aloja en el equipo terminal del usuario y solo se recoge la información pertinente cuando sea absolutamente necesario. Beneficios para la Administración .- Las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus serán informadas al respecto, a fin de romper las cadenas de transmisión lo antes posible. .- Tecnología sencilla. .- La normativa de protección de datos personales contiene una regulación para el uso de casos como lo es el tratamiento que se lleva a cabo con esta Aplicación, que compatibiliza y pondera los intereses y derechos en liza para el bien común. .- Desempeña un papel importante en la gestión de las medidas de confinamiento durante las posibles situaciones de desescalada. .- No es necesario que una autoridad almacene información de contacto real. .- Su repercusión puede reforzarse mediante una estrategia que favorezca la ampliación de las pruebas a las personas que presenten síntomas leves. Alternativas al tratamiento y por qué no se han elegido: Como conclusión, cabe señalar que esta Aplicación no puede sustituir, sino meramente complementar, el rastreo manual de contactos realizado por personal sanitario cualificado, que puede determinar si los contactos estrechos pueden o no dar lugar a una transmisión del virus. Esta labor de rastreo es compleja, principalmente porque exige a los profesionales sanitarios disponer de información rápida y fiable de los contactos de los pacientes, por lo que se puede concluir que el uso de esta Aplicación cumple con los principios de idoneidad ya que el tratamiento evaluado consigue los objetivos propuestos y el juicio de necesidad ya que, actualmente, no existe otra alternativa menos invasiva para la privacidad para conseguir este propósito con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/168 la misma eficacia o con una eficacia razonable. La aplicación se constituye como una herramienta complementaria de las técnicas tradicionales de rastreo de contactos (en particular, de las entrevistas con personas infectadas), es decir, forma parte de un programa de salud pública de mayor alcance y el objetivo es que sea utilizada exclusivamente hasta el momento en que las técnicas de localización manual de contactos puedan gestionar por sí solas el volumen de nuevas infecciones.” Respecto a las finalidades concretas de la app y los tratamientos de datos personales: 1.10.- Manifiestan que los objetivos perseguidos con esta aplicación de alerta de contagios son los siguientes: • Preservar la salud pública sin renunciar a la privacidad de los ciudadanos. • Ir un paso por delante de la COVID-19, alertando de forma proactiva a personas en riesgo de estar incubando el virus. • Minimizar el impacto económico de la COVID-19, al controlar la pandemia sin medidas drásticas y facilitando el movimiento de personas. La principal funcionalidad de la aplicación es permitir alertar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a auto cuarentena o a pruebas diagnósticas. La finalidad última es que las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus sean informadas al respecto, a fin de romper las cadenas de transmisión lo antes posible. 1.11.- La aplicación móvil implementa una versión de alerta de contactos (“contact tracing”) de acuerdo con el protocolo “Decentralized Privacy-Preserving Proximity Tracing” (DP-3T), haciendo uso del API desarrollado conjuntamente por Apple y Google de este protocolo, mediante el conocido como API “Exposure Notification”. La app no geolocaliza al usuario ni permite el rastreo de su ubicación, sino que se basa en el intercambio de identificadores pseudoaleatorios, anónimos y efímeros entre el dispositivo del usuario y otros teléfonos móviles próximos, todo ello vía Bluetooth de baja energía. La app tampoco requiere del proceso de identificación o login, ni solicita ningún dato personal. De acuerdo con este protocolo, cuando una persona da positivo en el test de COVID-19 y decida compartir este dato, únicamente se envían al servidor los pseudocódigos anónimos que él ha emitido y no los que ha detectado de otros móviles cercanos, a diferencia del modelo centralizado que envía todos. Por lo tanto, el cotejo y análisis de datos se lleva a cabo en el móvil de cada usuario y no en el servidor. Respecto a las tipologías de datos recabados de los usuarios 1.12.- La aplicación no requiere registro y no solicita al usuario ningún dato de carácter personal, solamente se almacenan en el equipo terminal del usuario los códigos pseudo-aleatorios o Identificador de proximidad, que son datos generados mediante el intercambio de señales de Bluetooth de baja energía (BLE) entre dispositivos dentro de una distancia relevante desde el punto de vista epidemiológico y durante un tiempo relevante también desde el punto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/168 vista epidemiológico. La app no recoge datos de ubicación. Estos identificadores de proximidad se comunican únicamente cuando se haya confirmado que un usuario en cuestión está infectado de COVID-19 y a condición de que la persona opte por que así se haga. Estos datos de proximidad son generados a través de las APIs de Google y Apple sin referenciar a ningún dato de usuario ni de dispositivo. Respecto al periodo de conservación previsto para los datos: 1.13.- Los datos de proximidad se suprimirán cuando dejen de ser necesarios para alertar a las personas y como máximo tras un período de un mes (período de incubación más el margen). Los datos se almacenan en el dispositivo del usuario, y solo aquellos que hayan sido comunicados por los usuarios y que sean necesarios para cumplir la finalidad se cargan en el servidor central de validación de positivos a disposición de las autoridades sanitarias cuando se haya elegido tal opción (es decir, solo se cargarían los datos en el servidor de «contactos estrechos» de una persona que hubiera dado positivo a la infección de COVID-19). La aplicación no solicita datos personales y los datos de claves infectadas almacenados en el servidor, se conservarán durante el tiempo que dure la crisis de la COVID-19. Respecto a la previsión de uso de la app en términos de obligatoriedad y de alcance 1.14.- La descarga de la app es voluntaria, el usuario puede apagar el Bluetooth y desinstalarla en todo momento. La app estará disponible en dispositivos con sistema operativo iOS, a partir de la versión 13.5, y Android, a partir de la versión 6.0 y posteriores, lo que se estima que cubre el 99% de los teléfonos móviles inteligentes, según la cuota de mercado publicada por revistas especializadas. La app advierte que los menores de 18 años no podrán usar los servicios disponibles a través de la App sin la previa autorización de sus padres, tutores o representantes legales, quienes serán los únicos responsables de todos los actos realizados a través de la App por los menores a su cargo. Respecto al procedimiento de rastreo y alerta: 1.15.- El procedimiento de generación de identificadores sigue la implementación del protocolo DP-3T en el API “Exposure Notification” de Apple y Google. Los identificadores efímeros se rotan cada 10-20 minutos, y se descartan al cabo de 14 días. 1.16.- Las alertas de notificación solo presentan información sobre: el tiempo de exposición, la fecha en que ocurrió y el nivel de severidad, en una escala de alto y bajo. Se presenta como una notificación en la aplicación, que puede ser consultada en todo momento a través del histórico de notificaciones. En ningún momento se ofrecen datos personales sobre la persona con la que se mantuvo contacto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/168 1.17.- El procedimiento mediante el que se comunica un positivo contagiado de COVID-19 es el siguiente: 1.- El paciente realiza un test a través de su Servicio Público de Salud. 2.- Si el resultado del test es positivo, desde el servicio de salud se informa de la detección de un positivo y se solicita una clave única de un solo uso. 3.- Se genera un código de confirmación de positivo que se comunica al responsable sanitario autorizado. 4.- Cuando el paciente recibe el resultado positivo en el test de Covid-19, se le proporciona el código de confirmación de un solo uso, que puede introducir en su App. 5.- Con el consentimiento del paciente, su teléfono envía el código de confirmación de un solo uso, que es verificado por el servidor, y se carga el histórico de los últimos 14 días de claves Bluetooth en el servidor central. Respecto a los tratamientos realizados por la Comunidades Autónomas: 1.18.- Las CCAA, como responsables del tratamiento en su respectivo ámbito, tienen la responsabilidad de entregar un código (PIN de 12 dígitos) a los pacientes que resultan positivos en prueba PCR para COVID19 y que tienen la app RADAR COVID instalada en su dispositivo móvil. En este sentido, desde el sistema de gestión de alertas centralizado se ha habilitado un servicio Web a partir del que se pone a disposición de las CCAA un conjunto de códigos positivos. A partir de ahí, cada CCAA debe definir un procedimiento de custodia y distribución de esos códigos positivos a los pacientes diagnosticados con COVID19 garantizando la custodia de esos códigos y su distribución atendiendo al procedimiento definido en cada CCAA en virtud de sus competencias en el ámbito sanitario. 1.19.- El envío de identificadores positivos entre el servidor central y las CCAA no usa certificados, sino pares de claves (pública-privada) que se generan en las CCAA. Las CCAA incluyen en la petición un token JWT (procedimiento que permite el proceso de autenticación entre un proveedor de identidad y un proveedor de servicio a través de una URL, que generan firmado con su clave privada). Desde el servidor central se valida la firma del token JWT de la petición con la clave pública que previamente han compartido. Adicionalmente, se incluye en la respuesta un campo que contiene la firma en base64 de la concatenación de todos los códigos facilitados y se utiliza para generar dicha firma la clave privada del servidor. Las CCAA validan esa firma con clave pública del servidor, que está incluida en el documento de integración, para garantizar que no ha habido alteración de los códigos facilitados. La entrega de claves públicas se hace de manera privada entre la CCAA y el prestatario del servicio y se definirá un procedimiento ad-hoc en el caso de que una clave pública de una CCAA se haya podido ver comprometida ya que una vez que se identifique que una clave en una CCAA ha sido comprometida, se puede dar de baja del sistema o reemplazarla por otra. Por el mismo motivo, no hay un procedimiento de revocación de códigos, pero igualmente podrían eliminarse o hacer que caduquen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/168 Respecto de las terceras entidades intervinientes en los tratamientos: 1.20.- Indra Tecnologías de la Información S.L: El “Pliego de condiciones para el diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación con la pandemia ocasionada por la covid-19”, aceptado por INDRA, recoge en el objeto del contrato las necesidades a cubrir y entre otras, las siguientes cláusulas: “5.4. Infraestructura en la nube (cloud). Se precisará que los desarrollos del Backend se realicen en una infraestructura en la nube en modo de autogestión, para facilitar la agilidad en el desarrollo de la solución. No obstante, lo anterior, tanto el almacenamiento como cualquier actividad de tratamiento de datos se ubicarán en el territorio de la Unión Europea, ya sean éstos provistos y gestionados por la empresa adjudicataria o por sus contratistas y colaboradores, y se alojarán en servidores y/o centros de proceso de datos de la propia empresa adjudicataria o de sus contratistas. … En la medida de lo posible, se procurará la utilización de componentes en la infraestructura cloud que permitan la migración futura de la solución a la nube SARA de la AGE. 6.1. Confidencialidad en general El contratista se compromete a garantizar la más estricta confidencialidad y reserva sobre cualquier dato o información a los que pueda tener acceso o pudiera conocer con ocasión de la ejecución del contrato, así como sobre los resultados obtenidos de su tratamiento, y a que únicamente se utilizarán para la consecución del objeto del contrato, no pudiendo comunicarlos, utilizarlos, ni cederlos a terceros bajo ningún concepto, ni siquiera para su conservación. Estas obligaciones se extienden a todas las personas que, bajo la dependencia del contratista o por su cuenta, hayan podido intervenir en cualquiera de las fases de ejecución del contrato. La obligación de confidencialidad y reserva conlleva la de custodia e impedir el acceso a la información y documentación facilitadas y a las que resulten de su tratamiento de cualquier tercero ajeno al servicio contratado, entendiéndose como tal tanto cualquier persona ajena a la empresa contratista como cualquiera que, aun no siéndolo, no esté autorizada para acceder a tal información. Asimismo, el contratista se compromete a velar por la integridad de los datos, es decir, a la protección de la información facilitada y a la que resulte de su tratamiento contra la modificación o destrucción no autorizada de los datos. 6.2. Protección de datos personales Se deberá cumplir lo estipulado en la ley orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/168 digitales, adaptada al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y por el que se deroga la Directiva 95/46/CE(Reglamento General de Protección de Datos), incluyendo lo dispuesto en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre y en el Real Decreto 3/2010, de 8 de enero. Conforme a la Disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Medidas de seguridad en el ámbito del sector público, las medidas de seguridad a aplicar en el marco de los tratamientos de datos personales se corresponderán con las de la Administración púbica de origen y se ajustarán al Esquema Nacional de Seguridad. Se requerirá a INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN, SLU la manifestación expresa del sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos conforme a los artículos 35.1d y 122.2 de la LCSP modificado por artículo 5 del Real Decreto Ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. 6.3. Seguridad INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN, SLU implementará las medidas técnicas y organizativas de seguridad apropiadas y elaborará la documentación pertinente, de acuerdo con el correspondiente análisis de riesgos, según lo establecido en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica. 7 PROPIEDAD INTELECTUAL Sin perjuicio de lo dispuesto en la legislación vigente en materia de propiedad intelectual, el adjudicatario acepta expresamente que la propiedad de todos los productos que sean elaborados por el adjudicatario, incluidos sus empleados y en su caso cualquier empresa subcontratada, en ejecución del Contrato y, en particular, todos los derechos de propiedad intelectual y/o industrial que deriven de los mismos, corresponde únicamente a la administración contratante, con exclusividad y sin más limitaciones que las que vengan impuestas por el ordenamiento jurídico. A los efectos previstos en el párrafo anterior, la empresa adjudicataria se compromete a la entrega a la SGAD de toda la documentación técnica, trabajos y materiales generados, en cuyo poder quedarán a la finalización del Contrato sin que el contratista pueda conservarla, ni obtener copia de esta, ni utilizarla o facilitarla a terceros sin la expresa autorización de la SGAD, que la daría, en su caso, previa petición formal del contratista con expresión del fin.” Aportan los siguientes certificados emitidos a favor de INDRA: o ISO 27018 Certificado de Privacidad en la Nube: Los sistemas de información que soportan los procesos de negocio y activos de información necesarios para la prestación de servicios de outsourcing de TI Administración, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/168 Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según la declaración de aplicabilidad en vigor a fecha de emisión del certificado. o ISO 27001 Certificado del Sistema de Gestión de Seguridad de la Información: Los sistemas de información que soportan los procesos de negocio y activos de información necesarios para la prestación de servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según la declaración de aplicabilidad en vigor a fecha de realización de la auditoría. o STI-0014/2009 Certificado del Sistema de Gestión de Servicio de Tecnologías de la Información: El SGS de los servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según el catálogo de servicios en vigor. Certificado del Sistema de Gestión de Servicio de Tecnologías de la Información. Para la gestión del sistema RADAR COVID, INDRA ha contratado los servicios de Amazón Web Services INC. Para la gestión del sistema RADAR COVID, INDRA ha contratado los servicios de Amazón Web Services INC. 1.21.- Amazon Web Services INC: - Amazon Web Services (AWS) es un conjunto de servicios que ofrece Amazon Web Services INC, e incluye entre otros, servicios de servidores virtuales en la nube, almacenamiento escalable en la nube y gestión de bases de datos relacionales. El sitio web de AWS informa de que Todos los servicios de AWS cumplen con el Reglamento General de Protección de Datos. No existe un contrato especifico suscrito entre AWS e INDRA, los servicios se contratan on-line, y es condición necesaria aceptar las condiciones contractuales haciendo clic en la opción “contratar el producto”. Durante el proceso de contratación on-line el contratante debe elegir la zona geográfica en la que residirán sus datos. El contrato incluye, entre otras, las siguientes cláusulas: “3.1 Seguridad de AWS. Sin limitación a lo dispuesto en la sección 10 a sus obligaciones contenidas en la sección 4.2, implementaremos medidas adecuadas y razonables diseñadas para ayudarle a asegurar su contenido contra cualquier pérdida, acceso o revelación accidental o ilícita. 3.2 Protección de Datos. Usted podrá especificar las regiones AWS en las cuales se conservará su contenido. Usted aceptará la conservación de su contenido en las regiones AWS de su elección y la transferencia de su contenido a las mismas. Nosotros no accederemos o usaremos su contenido, salvo cuando ello sea necesario para mantener o proporcionar los servicios ofrecidos, o para dar cumplimiento a una disposición legal u orden judicial de una autoridad gubernamental. Nosotros no (
  50. a)revelaremos su contenido a ninguna autoridad gubernamental o tercero (
  51. b)según lo dispuesto por la sección 3.3, trasladaremos su contenido de las regiones AWS seleccionadas por usted; salvo, en cada caso, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/168 cuando sea necesario para cumplir con una disposición legal u orden judicial de autoridad gubernamental. A menos que ello viole la ley o una orden judicial de una autoridad gubernamental, le daremos aviso de cualquier requerimiento legal u orden según se menciona en esta sección 3.2. Únicamente haremos uso de la información de cuenta de conformidad con el aviso de privacidad, y usted consiente dicho uso. El aviso de privacidad no se aplica a su contenido. “ - Ley aplicable: “13.4 Ley aplicable. Este Contrato, así como cualquier controversia que pueda surgir en virtud de este, se regirá por las Leyes Aplicables, excluyendo cualquier referencia a las reglas sobre conflicto de leyes. La Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías no se aplicará a este Contrato. 13.5 Controversias. Cualquier controversia o reclamación relacionada en cualquier forma con su utilización de los Servicios Ofrecidos, o cualquier producto o servicio vendido o distribuido por AWS, serán resueltos por los Tribunales Competentes, y usted acepta la jurisdicción y competencia exclusiva de los Tribunales Competentes, conforme a las disposiciones adicionales a continuación. (
  52. a)cuando la Parte Contratante AWS correspondiente sea Amazon Web Services, Inc., las partes acuerdan que resultarán partes aplicables las disposiciones de la presente Sección 13.5(a). Las controversias se resolverán a través de arbitraje vinculante, de conformidad con lo dispuesto en la Sección 13.5, en lugar de ser resueltas en un tribunal, salvo que usted podrá presentar reclamaciones en un tribunal de menor cuantía si estas califican para ello. La Ley Federal de Arbitraje y la legislación federal en materia de arbitraje se aplica a este Contrato. No hay jueces o jurados en el arbitraje, y la revisión por parte de un tribunal de un laudo arbitral es limitada. Sin embargo, un árbitro puede conceder de manera individual las mismas indemnizaciones y medidas que un tribunal (incluidas medidas cautelares o declarativas o indemnización por daños y perjuicios), y debe observar los términos de este Contrato como lo haría un tribunal. Para iniciar un procedimiento de arbitraje, usted deberá enviar una carta solicitando el arbitraje y describiendo su reclamación a nuestro agente Corporation Service Company, 300 Deschutes Way SW, Suite 304, Tumwater, WA 98501. El arbitraje será efectuado por la Asociación Americana de Arbitraje (AAA) bajo sus reglas, que están disponibles enwww.adr.org o llamando al 1-800-7787879. El pago por la presentación, administración y los honorarios del árbitro se regirá por las reglas de la AAA. Nosotros reembolsaremos esos cargos por reclamaciones menores a 10 000 USD, a menos que el árbitro determine que las reclamaciones son frívolas. No reclamaremos gastos de abogados y costas del arbitraje a menos que el árbitro determine que las reclamaciones sean frívolas. Usted podrá elegir que el arbitraje se lleve a cabo por teléfono, mediante comunicaciones por escrito, o en una ubicación convenida por las partes. Usted y nosotros acordamos que cualquier procedimiento de resolución de controversias se llevará a cabo individualmente y no mediante una demanda colectiva, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/168 consolidada o representativa. Si por cualquier motivo, la reclamación se llevara a juicio ante un tribunal en lugar de resolverse mediante arbitraje, usted y nosotros renunciamos a cualquier derecho a un juicio con jurado. Sin perjuicio de lo anterior, usted y nosotros acordamos que usted o nosotros podremos entablar demanda en un tribunal para que se prohíba la infracción o cualquier uso indebido de derechos de propiedad intelectual. …” - Manifiestan que los datos del sistema RADAR COVID son almacenados en los servidores de AWS ubicados en la zona geográfica de Irlanda. Aportan el documento “Arquitectura AWS Cloud: Definición de Servicios” elaborado por INDRA en el que se especifica que la zona en la que residen los servidores de AWS para dar servicio a la app RADAR COVID se encuentra en Irlanda. Aportan copia de un certificado emitido por AWS a petición de INDRA en el que se certifica que: “El cliente o partner puede elegir las regiones de AWS en las que se almacenará su contenido y el tipo de almacenamiento. Puede replicar y respaldar el contenido en más de una región de AWS. AWS no transferirá ni replicará su contenido fuera de las regiones de AWS elegidas sin su consentimiento salvo exigencia legal o la necesidad de mantener los servicios de AWS. (para más información visite: https://aws.amazon.com/es/compliance/data-privacy-faq/) Dentro de la UE, el cliente o partner puede elegir las siguientes regiones operativas actualmente: Francfort, Irlanda, Milán, París, Estocolmo.” - Aportan un certificado de fecha 13 de marzo de 2020 emitido por BDO Auditores, S.L.P., en el que se certifica que los sistemas de información reseñados, todos ellos de categoría ALTA, y los servicios que se relacionan en el Anexo al certificado han sido auditados y encontrados conforme con las exigencias del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica, según se indica en el correspondiente Informe de Auditoría del Esquema Nacional de Seguridad de fecha 06 de marzo de 2020. El anexo contiene una relación de 105 servicios auditados entre los que se encuentran servicios de nube, alojamiento, gestión de bases de datos, seguridad, backup, etc.… Respecto a la información facilitada a los usuarios: 1.22.- Aportan copia de las distintas versiones de la Política de Privacidad de la app que además está disponible en https://radarcovid.gob.es/. La primera versión fue publicada el día 7 de agosto de 2020 junto con la versión 1.0 de la app “Radar COVID” (versión piloto), en la cual se informa respecto a los derechos de protección de datos: “Dado que la aplicación Radar COVID no almacena datos personales, no son de aplicación los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos. En todo caso, tenemos obligación de indicarte que te asisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/168 te en todo momento el derecho para presentar una reclamación ante Agencia Española de Protección de Datos (www.aepd.es). La Política de Privacidad publicada en octubre de 2020 informa de los siguientes aspectos: .- Qué es la aplicación y cómo funciona. .- Quiénes son los responsables del tratamiento: La aplicación tiene como responsables de tratamiento tanto al Ministerio de Sanidad, como a las Comunidades Autónomas. Así mismo, la Secretaría General de Administración Digital ejerce como encargada del tratamiento.” .- Qué datos tratan: Los datos manejados por la aplicación no permiten la identificación directa del usuario o de su dispositivo, y son solo los necesarios para el único fin de informarte de que has estado expuesto a una situación de riesgo de contagio por la COVID-19, así como para facilitar la posible adopción de medidas preventivas y asistenciales. En ningún caso se rastrearán los movimientos de los USUARIOS, excluyendo así cualquier forma de geolocalización. No se almacenará ni tratará la dirección IP de los USUARIOS. No se almacenarán los códigos de confirmación de positivo junto con otros datos personales de los usuarios. Como parte del sistema de alerta de contactos de riesgo de la COVID19, se procesarán los siguientes datos para los usuarios que hayan dado positivo por COVID-19 para los fines especificados a continuación: o Las claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios enviados (identificadores efímeros Bluetooth), a los dispositivos con los que el usuario ha entrado en contacto, hasta un máximo de 14 días anteriores. Estas claves no guardan relación alguna con la identidad del USUARIO, y se suben al servidor para que puedan ser descargadas por aplicaciones Radar COVID en poder de otros usuarios. Con estas claves, mediante un procesamiento que tiene lugar en el teléfono móvil de forma descentralizada, se puede advertir al USUARIO sobre el riesgo de contagio por haber estado en contacto reciente con una persona que ha sido diagnosticada por COVID-19, sin que la aplicación pueda derivar su identidad o el lugar donde tuvo lugar el contacto. o Un código de confirmación de un solo uso de 12 dígitos facilitado por las autoridades sanitarias al USUARIO en caso de prueba positiva por COVID-19. Este código debe ser introducido a continuación por el usuario en la aplicación para permitir la carga voluntaria al servidor de las claves de exposición temporal. o El consentimiento del usuario, si aplica, para la remisión de claves de exposición temporal al nodo europeo de interoperabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/168 de aplicaciones de rastreo de contactos. Toda la información se recogerá con fines estrictamente de interés público en el ámbito de la salud pública, y ante la situación de emergencia sanitaria decretada, a fin de proteger y salvaguardar un interés esencial para la vida de las personas, en los términos descritos en esta política de privacidad, y atendiendo a los artículos 6.1.a), 9.2.a), 6.1.c), 6.1.d), 6.1.e), 9.2.c), 9.2.
  53. h)y 9.2.
  54. i)- La legislación aplicable: o Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). o Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. o Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública. o Ley 33/2011, de 4 de octubre, General de Salud Pública. o Ley 14/1986, de 25 de abril, General de Sanidad. o Real Decreto ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19. o Acuerdo de 9 de octubre de 2020, entre el Ministerio de Asuntos Económicos y Transformación Digital (Secretaría de Estado de Digitalización e Inteligencia Artificial) y el Ministerio de Sanidad acerca de la aplicación “Radar COVID”. - Cómo se obtienen y de dónde proceden los datos: El código de confirmación de positivo por COVID-19 facilitado por el Servicio Público de Salud. Esto permitirá la subida al servidor de las claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios enviados (identificadores efímeros Bluetooth) a los dispositivos con los que el usuario ha entrado en contacto, hasta un máximo de 14 días anteriores. Estas claves únicamente se suben al servidor con el consentimiento explícito e inequívoco del USUARIO, al haber introducido un código de confirmación de positivo por COVID-19. - Para qué y por qué se utilizan los datos: La recogida, almacenamiento, modificación, estructuración y en su caso, eliminación, de los datos generados, constituirán operaciones de tratamiento llevadas a cabo por el Titular, con la finalidad de garantizar el correcto funcionamiento de la App, mantener la relación de prestación del servicio con el Usuario, y para la gestión, administración, información, prestación y mejora del servicio. La información y datos recogidos a través de la Aplicación serán trataC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/168 dos con fines estrictamente de interés público en el ámbito de la salud pública, ante la actual situación de emergencia sanitaria como consecuencia de la pandemia del COVID-19 y la necesidad de su control y propagación, así como para garantizar intereses vitales tuyos o de terceros, de conformidad con la normativa de protección de datos vigente. A tal efecto, utilizamos tus datos para prestarte el servicio de “Radar COVID” y para que puedas hacer uso de sus funcionalidades de acuerdo con sus condiciones de uso. De conformidad con el Reglamento General de Protección de Datos (RGPD) así como cualquier legislación nacional que resulte aplicable, la Secretaría General de Administración Digital tratará todos los datos generados durante el uso de la App para las siguientes finalidades: o Ofrecerte información sobre contactos considerados de riesgo de exposición a la COVID-19. o Proporcionarte consejos prácticos y recomendaciones de acciones a seguir según se produzcan situaciones de riesgo de cara a la cuarentena o auto-cuarentena. Se utilizarán los datos siempre y sólo de forma anonimizada para fines estadísticos y epidemiológicos. Este tratamiento se llevará a cabo a través de la funcionalidad de alerta de contagios que permite identificar situaciones de riesgo por haber estado en contacto estrecho con personas usuarias de la aplicación que se encuentran infectadas por la COVID-19. De esta manera se te informará de las medidas que conviene adoptar después. - Durante cuánto tiempo se conservan los datos: Las claves de exposición temporal y los identificadores efímeros de Bluetooth son almacenados en el dispositivo por un periodo de 14 días, después de los cuales son eliminados. Asimismo, las claves de exposición temporal que hayan sido comunicadas al servidor por los USUARIOS diagnosticados como positivos por COVID-19 también serán eliminadas del servidor al cabo de 14 días. En todo caso, ni las claves de exposición temporal ni los identificadores efímeros de Bluetooth contienen datos de carácter personal ni permiten identificador los teléfonos móviles de los usuarios. - Quién tiene acceso a los datos Los datos gestionados por la aplicación móvil (claves diarias de exposición temporal e identificadores efímeros Bluetooth) se almacenan únicamente en el dispositivo del usuario a los efectos de poder hacer cálculos y avisar al USUARIO sobre su riesgo de exposición a la COVID-19. Solo en el caso de reportar un diagnóstico positivo por COVID-19, las claves de exposición temporal de los últimos 14 días generadas en el dispositivo, y bajo el consentimiento explícito e inequívoco del USUARIO, son subidas al servidor para su difusión al conjunto de USUARIOS de este sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/168 Estas claves no guardan relación alguna con la identidad de los dispositivos móviles ni con datos personales de los USUARIOS de la Aplicación. - Cuáles son tus derechos y cómo puedes controlar tus datos: La normativa vigente te otorga una serie de derechos en relación con los datos e información que tratamos sobre ti. Concretamente, los derechos de acceso, rectificación, supresión, limitación y oposición. Puedes consultar el alcance y detalle completo de los mismos en la página web de la Agencia Española de Protección de Datos (AEPD) aquí. Con carácter general, podrás ejercitar todos estos derechos en cualquier momento y de forma gratuita. Puedes dirigirte a los Responsables de Tratamiento por vía electrónica, bien Ministerio de Sanidad o Comunidad Autónoma de residencia. En el caso del Ministerio de Sanidad, puede hacerlo a través de este formulario [pinchando en el formulario enlaza con la web del Ministerio de Sanidad, Consumo y Bienestar Social ( ***URL.5)],o presencialmente a través de la red de oficinas de asistencia en materia de registros utilizando este modelo de solicitud [enlaza con el formulario de solicitud de ejercicio de derechos Reglamento General de Protección de Datos del MSCBS] Asimismo, te asiste en todo momento el derecho para presentar una reclamación ante Agencia Española de Protección de Datos - Cómo protegemos tus datos Los Responsables, así como la SGAD en condición de encargada del tratamiento, garantizan la seguridad, el secreto y la confidencialidad de tus datos, comunicaciones e información personal y han adoptado las más exigentes y robustas medidas de seguridad y medios técnicos para evitar su pérdida, mal uso o su acceso sin tu autorización. Las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Finalmente, te informamos que tanto el almacenamiento como el resto de las actividades del tratamiento de datos no personales utilizados estarán siempre ubicados dentro de la Unión Europea. - Qué debes tener especialmente en cuenta al utilizar "Radar COVID” Has de tener en cuenta determinados aspectos relativos a la edad mínima de utilización de Aplicación, la calidad de los datos que nos proporcionas, así como la desinstalación de la Aplicación en tu dispositivo móvil. Edad mínima de utilización: para poder utilizar “Radar COVID” tienes que ser mayor de 18 años o contar con la autorización de tus padres y/o tutores legales. Por tanto, al darte de alta en la Aplicación, garantizas al Titular que eres mayor de dicha edad o, en caso contrario, que cuentas con la mencionada autorización. Calidad de los datos que nos proporcionas: la información que nos faciC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/168 lites en el uso de los servicios de la Aplicación deberá de ser siempre real, veraz y estar actualizada. Desinstalación de la Aplicación: en general, puede haber dos situaciones en las que se proceda a la desactivación técnica de la Aplicación en tu dispositivo: 1) que lo realices voluntariamente, y 2) que desde el Titular se proceda a la desactivación técnica de la Aplicación en tu dispositivo (p.ej. en casos en los que detectemos que has incumplido las condiciones de uso de la Aplicación). - Transferencia de datos a países de la Unión Europea: Radar COVID participa en la plataforma de integración de aplicaciones de la unión europea, de manera que se compartirán las claves positivas con terceros países de la UE y viceversa. Cuando el dispositivo del usuario descarga las claves positivas para analizar posibles contactos estrechos, descargará también las claves positivas de terceros países adheridos al proyecto europeo. Esto permitirá identificar posibles contactos estrechos tanto si el usuario ha estado visitando alguno de estos países como si ha estado en contacto estrecho con un visitante procedente de estos países. Cuando el usuario introduce un código de confirmación de diagnóstico positivo por COVID-19, se solicitará el consentimiento del usuario libre, específico, informado e inequívoco para compartir sus claves infectadas con terceros países a través de la plataforma de interoperabilidad europea facilitando el rastreo digital de posibles contactos estrechos. La comunicación de tus claves infectadas a la red de países europeos adheridos a este proyecto es completamente voluntaria. No se efectuarán transferencias de datos fuera de la Unión Europea. - Política de cookies Utilizamos solamente cookies técnicas que permiten al usuario la navegación y la utilización de las diferentes opciones o servicios que se ofrecen en la Aplicación como, por ejemplo, acceder a partes de acceso restringido o utilizar elementos de seguridad durante la navegación. Respecto al almacenamiento y seguridad de los datos: 1.23.- En los terminales móviles se almacenan las claves diarias que permiten la generación de los identificadores de proximidad efímeros (Rolling Proximity Identifiers o RPI). A su vez, se almacenan los identificadores efímeros recibidos desde los teléfonos móviles cercanos. Esta información se almacena un máximo de 14 días. 1.24.- El servidor almacena las claves de personas “infectadas” para su posterior descarga por parte de las aplicaciones móviles. Los datos son almacenados en base de datos relacionales y para cada positivo reportado se almacenará, la fecha de inicio de síntomas, y las 14 claves diarias tomadas a partir de la fecha de inicio de síntomas. Toda esta información reside en el dispositivo móvil. No se almacena ni gestiona ningún dato sobre las pruebas diagnósticas realizadas a ninguna persona. Se recolectan las balizas de los usuarios que hayan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/168 sido diagnosticados de Covid-19 pero no hay relación entre estas balizas y datos concretos de ningún usuario. Los datos se almacenan cifrados en base a los algoritmos de cifrados definidos para bases de datos Aurora (AES-256). Aportan la estructura de la base de datos y descripción de tablas y campos, de lo que se desprende que la base de datos no incorpora datos identificativos de personas físicas (Teléfono, imei, MAC, IP, etc.…). 1.25.- Respecto a las medidas técnicas y organizativas implementadas que garanticen la seguridad de los datos personales manifiestan: La aplicación RADAR COVID, así como toda su infraestructura forma parte de los sistemas de información gestionados a través de los servicios de outsourcing de TI de la empresa INDRA, para Administración, Soporte, Explotación e Infraestructura tanto en entornos físicos como virtualizados cloud. Como ya se ha expuesto en el punto “Respecto a las terceras entidades intervinientes” de este informe, aportan certificados de cumplimiento de los estándares ISO 27018, ISO 27001 y STI-0014/2009. 1.26.- Aportan copia del informe de auditoría de seguridad de la app piloto de fecha 15 de julio de 2020 elaborado por Minsait, unidad de negocio de tecnología y consultoría de INDRA, en el que se especifica que no se han realizado pruebas sobre el propio protocolo Bluetooth y las comunicaciones realizadas por el mismo, y que las versiones analizadas, el reporte de positivos se realiza de forma directa, no implicando a Sanidad en este proceso al tratarse de un entorno de pruebas, por lo que los resultados presentados no aplicaran al nuevo sistema si difiere del comprobado en este entorno. Tras el análisis de los hallazgos obtenidos mediante las distintas pruebas ejecutadas, la seguridad global es considerada como Baja, debido a la existencia de al menos una vulnerabilidad catalogada como Alta. Atendiendo a las vulnerabilidades de severidad alta, el informe concluye que:  La aplicación hace uso de contraseñas débiles. Y entre las vulnerabilidades de severidad media y baja, el informe recoge:  El canal de comunicación se encuentra cifrado con protocolos y algoritmos de cifrado débiles. 1.27.- Aportan el documento elaborado por el Centro Criptológico Nacional (CCN) que es el resultado obtenido de la auditoria de seguridad de la aplicación móvil Radar COVID y de sus conexiones, con objeto de evaluar su nivel de seguridad y cumplimiento. El análisis ha tenido como objetivo la verificación del nivel de cumplimiento de los requisitos y medidas de seguridad contemplados en la normativa CCN-STIC. La revisión análisis estático de la aplicación Android Radar COVID se ha realizado entre los días 20 y 21 de agosto de 2020. El análisis de las conexiones llevadas a cabo por las aplicaciones se ha realizado posteriormente en el entorno de producción y preproducción. La revisión de las conexiones en el entorno de preproducción se ha llevado a realizado entre los días 28 de septiembre y 2 de octubre de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/168 A la finalización del análisis, el estado de exposición del sistema es el siguiente: • 14 vulnerabilidades encontradas. • 4 corregidas. • 10 quedan pendientes de corregir:  3 son de criticidad MEDIA.  El resto BAJA. Las vulnerabilidades de criticidad MEDIA pendientes de corregir afectan a la falta de medios de protección ante la posibilidad de terceros de hacer ingeniería inversa a la aplicación con la intención de obtener datos sensibles o manipular su funcionamiento, evadir restricciones y/o comprender el funcionamiento interno de la misma. En esta misma línea, también se han detectado deficiencias en la protección de las comunicaciones de la aplicación con el backend de la misma. Estas deficiencias se han encontrado durante el análisis en preproducción, recomendándose su comprobación en el entorno final, es decir, en el backend en producción. El resultado de la inspección es considerado APTO: la evaluación de la seguridad dentro de esta área no ha encontrado desviación alguna cuantificable que pudiera impedir la validación con respecto a la configuración de seguridad requerida. El informe concluye que en la revisión de la aplicación móvil Radar COVID, en los términos de seguridad de las TIC, no se ha encontrado deficiencias con gravedad CRÍTICA para impedir el correcto funcionamiento en el campo de la ciberseguridad, quedando excluidos los análisis y comportamientos funcionales, sin perjuicio de las actuaciones que lleve a cabo el Ministerio de Asuntos Económicos y Transformación Digital. 1.28.- Aportan dos documentos denominados “Informe de Análisis de riesgos. Servicio RADAR COVID 19” elaborado en cumplimiento del Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la administración electrónica, de fecha de septiembre de 2020. El primero utiliza el catálogo de salvaguardas del ENS, implementado por ***HERRAMIENTA.1, el segundo incorpora además el catálogo de salvaguardas del Reglamento General de Protección de Datos (RGPD) implementado por ***HERRAMIENTA.1. Del informe del análisis de riesgos que incorpora ambas salvaguardas se desprende lo siguiente: · El alcance del Análisis de Riesgos comprende la infraestructura que se encuentra detallada en el documento “App Bluetooth contra Covid-19 v5.pdf” y que es necesaria para prestar el Servicio Radar Covid de la Secretaria de Estado de Digitalización e Inteligencia Artificial (app contact tracing, backend desplegado en nube AWS, y redes de comunicaciones). · Metodología de Análisis de Riesgos: Identificación de la Fase de desarrollo del Plan de Adecuación al ENS y descripción de las tareas de la Metodología MAGERIT, utilizada para realizar las actividades y tareas del AnáliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/168 sis de Riesgos y la descripción del trabajo realizado: - Categorización de Activos - Categorización de Amenazas - Categorización de Salvaguardas - Estimación del Estado del Riesgo · Se ha realizado la valoración de acuerdo con la información disponible sobre el Sistema de Información RADAR COVID19 en relación con las Dimensiones de Seguridad: Autenticidad, Confidencialidad, Integridad, Disponibilidad y Auditabilidad o Trazabilidad. La valoración del Servicio Radar Covid, debido a la tipología de datos que trata y a lo indicado en la Guía CCN-STIC 803, la valoración en cada una de las dimensiones de seguridad (Autenticidad, confidencialidad, Integridad, Disponibilidad y Trazabilidad) debería ser al menos MEDIO, sin embargo, debido a la situación política y socioeconómica en la que nos encontramos originada por la pandemia Covid 19 y al impacto que supondría una brecha de seguridad de la información que trata, el Servicio Radar Covid ha sido evaluado con una categoría ALTA. · La relación de amenazas que se ha considerado para el Análisis de Riesgos y que constituye el catálogo de amenazas implementadas de forma estándar en la herramienta ***HERRAMIENTA.1 son: Desastres naturales, de origen industrial, errores, fallos no intencionados y ataques intencionados. · Los activos contemplados son: Servicio Radar Covid, Teléfono Móvil, Redes de Comunicaciones, App Radar Covid, Administradores / Operadores, Desarrolladores, Desarrollo y Mantenimiento de la App, Ciudadanos, Soportes, Equipos AWS, Instalaciones AWS, Repositorio Descargas (APPLE STORE), Servicio Cloud, Repositorio Descargas (ANDROID STORE). · Se ha identificado el grado de madurez de cada uno de los artículos del RGPD que deben ser tenidos en consideración. · El valor del Riesgo Potencial obtenido de la herramienta ***HERRAMIENTA.1 es de 6,3 sobre 10 (Riesgo muy crítico). Los activos que presentan nivel de riesgo crítico son: Redes de comunicaciones, app RADAR COVID, soporte, instalaciones AWS y equipos AWS. ú El valor del Riesgo Residual (tras aplicar las salvaguardas) obtenido de la herramienta ***HERRAMIENTA.1 es de 2,6 sobre 10 (Riesgo medio). una vez que se han tenido en cuenta las salvaguardas implantadas, el nivel de riesgo de los activos se reduce considerablemente, hay 12 activos con riesgo despreciable, 1 con riesgo bajo y 1 con riesgo medio. ú El valor del Riesgo Objetivo (Objetivo a alcanzar tras la implantación de las salvaguardas propuestas) obtenido de la herramienta ***HERRAMIENTA.1 es de 1,8 sobre 10 (Riesgo bajo). Para el Servicio RADAR COVID19 se ha propuesto realizar las acciones necesarias para minimizar el riesgo residual de manera que no haya ninC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/168 gún activo con riesgo de nivel MEDIO. Para ello se han seleccionado aquellos riesgos que se encuentran por encima del valor 2 y, sobre ellos, se han identificado las salvaguardas que se encontraban por debajo del valor recomendado por ***HERRAMIENTA.1 para el Esquema Nacional de Seguridad para subirlas al valor recomendado. Se recomienda abordar un conjunto de acciones para mejorar las medidas de seguridad existentes actualmente, con el objeto de ajustar el nivel de riesgo del Servicio Radar Covid19 a un nivel BAJO. Estas acciones se han focalizado en las medidas de seguridad que pueden minimizar las amenazas que aportan un nivel de riesgo MEDIO en el presente Análisis de Riesgos. Estas acciones permitirán alcanzar el nivel de Riesgo Objetivo propuesto, ya que aumentarían el grado de madurez de las medidas de seguridad Firma electrónica y Mecanismos de autenticación. Las acciones propuestas en este caso son:  Utilizar certificados cualificados para la firma digital que se utiliza en el servicio de verificación de los positivos.  Aunque el acceso a la consola de AWS se realiza mediante AWS Multi-Factor Authentication (MFA), y por tanto cumple con la medida de utilizar un segundo factor de autenticación, se recomienda verificar que los elementos criptográficos hardware utilizan algoritmos y parámetros acreditados por el CCN. Además, se recomienda revisar el mecanismo control de acceso a la Base de Datos PostgreSQL para concluir que cumple con los requisitos de nivel alto. 1.29.- Aportan el documento “Informe de Evaluación de Impacto relativa a la Protección de Datos del tratamiento RADAR COVID” de fecha septiembre de 2020, cuyo contenido recoge los siguientes aspectos más relevantes: · El objetivo del documento es realizar la Evaluación del Impacto relativa a la Protección de los Datos (EIPD) del tratamiento llevado a cabo por la Aplicación “Radar COVID” (en adelante “la Aplicación”), según lo exigido en el Reglamento (UE) 2016/679 del Parlamento Europeo (RGPD) cuando el tratamiento conlleve un alto riesgo para los derechos y libertades de las personas físicas. • La elaboración del informe sigue las directrices establecidas por la Agencia Española de Protección de Datos (en adelante “AEPD”) en la “Guía práctica para las Evaluaciones de Impacto en la Protección de los Datos sujetas al RGPD”. · Respecto a la necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos en el tratamiento evaluado, el informe indica que concurren factores que contribuyen a generar un nivel de riesgo elevado, debiéndose realizar una EIPD al objeto de determinar un escenario de gestión del riesgo adecuado. · Respecto a los responsables, corresponsable y encargados del tratamiento el informe recoge lo siguiente: El responsable de tratamiento es la Dirección General de Salud Pública, dependiente del Ministerio de Sanidad. El encargado de tratamiento es la Secretaría General de Administración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/168 Digital, dependiente del Ministerio de Asuntos Económicos y Transformación Digital, que ha desarrollado la Aplicación. · Respecto a los Datos personales objeto del tratamiento: La aplicación genera datos de proximidad (claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios o Identificador de proximidad rodante - RPI). Estos datos se comunicarán a las autoridades sanitarias únicamente cuando se haya confirmado que un usuario en cuestión está infectado de COVID-19 y a condición de que la persona opte por que así se haga, es decir, de manera voluntaria. Dato mediante el que el usuario es advertido previamente de un contacto de riesgo. Estos datos permiten estimar cuántos usuarios son advertidos por la aplicación de un riesgo potencial de contagio, sin poder rastrear su identidad, y le permite al Servicio Nacional de Salud preparar las iniciativas y los recursos necesarios para atender a los usuarios que han recibido la notificación. El día en que el usuario desarrolló síntomas compatibles con COVID-19. Código proporcionado por las autoridades sanitarias para permitir al usuario activar una alerta de advertencia. Este número de 12 cifras será proporcionado por las autoridades sanitarias a los usuarios de la aplicación mediante Quick Response code (QR). Los usuarios podrán, voluntariamente, introducir dicho código en la Aplicación para confirmar el diagnóstico positivo y desencadenar el procedimiento de notificación a sus contactos estrechos. Este código es una confirmación de diagnóstico positivo de un usuario. Existe verificación de dicho código para evitar que cualquier usuario envíe pruebas falsas. La dirección IP que utiliza el dispositivo para conectarse a Internet. Estos datos no permiten la identificación directa del usuario o de su dispositivo, existiendo estudios sobre la robustez de los protocolos de criptografía y anonimización, aunque existe la posibilidad de que puedan romperse y asociarse los identificadores con números de teléfono y personas, aplicando suficiente tiempo y capacidad de cómputo, si bien esto se considera altamente improbable. Por otra parte, debe tenerse en cuenta que el tratamiento de la información no solo afecta al usuario de la aplicación, sino también la de todos los terceros con los que ha estado en contacto. · Respecto a la finalidad del tratamiento: - La finalidad principal de la App es informar a las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus, a fin de romper las cadenas de transmisión lo antes posible. De esta manera, la Aplicación permite identificar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a auto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/168 cuarentena o a las pruebas correspondientes. - Para ello la App mantiene los contactos de las personas que utilizan la Aplicación y que pueden haber estado expuestas a la infección de la COVID-19. - Cuando una persona da positivo en el test de COVID-19 y decida compartir libremente este dato, la App alerta a aquellas otras personas que podrían haber sido infectadas y con las que se haya tenido contacto los últimos 14 días. Para ello, esta persona deberá compartir un número de 12 cifras que será proporcionado por las autoridades sanitarias. El móvil realiza una comprobación de si los ID aleatorios coinciden con alguno que haya sido marcado como positivo. - Se determina el día en que el usuario desarrolló síntomas compatibles con COVID-19 y fecha de contacto con personas infectadas. Los datos también podrán ser procesados fines de investigación científica o fines estadísticos. En tal caso los datos se encontrarán totalmente anonimizados. ú Se hace una descripción de los elementos que intervienen en cada una de las fases del ciclo de vida de los datos del tratamiento (actividad, actores y sistemas). ú Se hace una descripción de las tecnologías intervinientes. ú Respecto a la licitud y normativa: En virtud de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (artículo 5), el almacenamiento de información en el dispositivo del usuario o la obtención de acceso a la información ya almacenada se permite únicamente si:
  55. i)el usuario ha dado su consentimiento, o
  56. ii)el almacenamiento o el acceso son estrictamente necesarios para el servicio de la sociedad de la información, en este caso la Aplicación, que el usuario ha solicitado de manera expresa (esto es, mediante la instalación y activación). En el caso de la Aplicación objeto de evaluación, no se cumple el requisito ii), ya que la carga de datos de proximidad para el rastreo de contactos y alerta no es necesaria para el funcionamiento de la Aplicación en sí misma, por tanto, es necesario obtener el consentimiento libre, específico, explícito e informado, mediante una clara acción afirmativa del usuario. Como base jurídica para un tratamiento lícito de datos personales, el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.
  57. e)o intereses vitales del interesado u otras personas físicas (art. 6.1.d). Indican que, para el tratamiento de datos de salud no basta con que exista una base jurídica del art. 6 RGPD, sino que de acuerdo con el art. 9.1 y 9.2 RGPD exista una circunstancia que levante la prohibición de tratamiento de dicha categoría especial de datos (entre ellos, datos de salud). LA AEPD entiende que dichas circunstancias cabe encontrarlas, en este caso, en varios de los epígrafes del art. 9.2 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/168 · Respecto al análisis de la necesidad, proporcionalidad del tratamiento: - Principio de limitación de la finalidad: La finalidad principal de la App es informar a las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus, a fin de romper las cadenas de transmisión lo antes posible. De esta manera, la Aplicación permite identificar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a autocuarentena o a las pruebas diagnósticas correspondientes. - Principio de minimización de datos: indican que se recaban exclusivamente los datos personales que se requieren para las finalidades indicadas. - Principio de limitación del plazo de conservación: Los plazos se basan en la importancia médica y en lapsos realistas para las medidas administrativas que, si procede, deban tomarse. Los datos generados para el rastreo de contactos y alerta: Los datos de proximidad se suprimirán tan pronto como dejen de ser necesarios para alertar a las personas y como máximo tras un período de un mes (período de incubación más el margen). Los datos se almacenan en el dispositivo del usuario, y solo aquellos que hayan sido comunicados por los usuarios y que sean necesarios para cumplir la finalidad se cargan en el servidor central de validación de positivos a disposición de las autoridades sanitarias cuando se haya elegido tal opción (es decir, solo se cargarían los datos en el servidor de «contactos estrechos» de una persona que hubiera dado positivo a la infección de COVID-19). En todo caso, los datos personales solo deben conservarse durante la crisis de la COVID- 19. Después, como regla general, todos los datos personales deberían borrarse o anonimizarse. • Medidas para la reducción del riesgo: - La aplicación no recoge información que no tenga relación con el objeto específico o no sea necesaria — por ejemplo, estado civil, identificadores de las comunicaciones, elementos del directorio del equipo, mensajes, registros de llamadas, datos de localización, identificadores de dispositivos, etc. - Los datos difundidos por las aplicaciones solo incluyen algunos identificadores únicos y seudónimos, generados por la aplicación y específicos de esta. Esos identificadores se renuevan periódicamente, con una frecuencia compatible con el propósito de contener la propagación del virus y suficiente para limitar el riesgo de identificación y de rastreo físico de personas. - Aunque el modelo es descentralizado, siempre va a ser necesario un servidor central, de la autoridad sanitaria, donde registrar los códigos de las personas diagnosticadas con COVID-19. Este servidor de rastreo de contactos debe limitarse a recoger el historial de contactos o los identificadores seudónimos de un usuario que haya sido diagnosticado como infectado como resultado de una evaluación adecuada realizada por las autoridades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/168 sanitarias y de una acción voluntaria del usuario. - Se aplicarán técnicas criptográficas avanzadas para garantizar la seguridad de los datos almacenados en los servidores y aplicaciones y los intercambios entre las aplicaciones y el servidor remoto. También se procederá a la autenticación mutua entre la aplicación y el servidor. - La notificación de los usuarios infectados de SARS-CoV-2 en la aplicación se someterá a una autorización adecuada mediante un código de un solo uso unido a una identidad seudónima de la persona infectada y vinculado con un laboratorio de pruebas de detección o con un profesional de atención sanitaria. Si no se puede obtener confirmación de forma segura, no tendrá lugar ningún tratamiento de datos que presuponga la validez del estado del usuario. - El responsable del tratamiento, en colaboración con las autoridades, tiene que facilitar información clara y explícita sobre el enlace que permita descargar la aplicación oficial nacional de rastreo de contactos, con el fin de mitigar el riesgo de que se utilicen aplicaciones de terceros.En virtud de los principios de integridad y confidencialidad, teniendo en cuenta que los datos de salud merecen una protección más elevada, se aplicarán medidas de carácter técnico y organizativo actualizadas adecuadas que garanticen un nivel de seguridad suficiente. Tales medidas consisten en la seudonimización, el cifrado y la celebración de acuerdos de confidencialidad, así como en una distribución estricta de los roles de acceso y el establecimiento de restricciones y registros de acceso. Asimismo, hay que tener en cuenta las disposiciones nacionales que pueden establecer requisitos técnicos concretos u otras garantías, tales como la observancia de las normas de secreto profesional. Evaluación de riesgos y salvaguardas La evaluación de riesgos realizada para el servicio “Radar COVID” se encuentra recogida en el “Análisis de Riesgos Servicio Radar Covid”, generado con la herramienta “***HERRAMIENTA.1” mediante el que se ha llevado a cabo la evaluación de riesgos y salvaguardas para el tratamiento “Radar COVID” y toda la infraestructura que se ha implementado para este servicio. · Plan de acción: Para el Servicio Radar COVID se propone en el Informe de AARR, realizar una serie de acciones necesarias para minimizar el riesgo residual de manera que no haya ningún activo con riesgo de nivel MEDIO. para ello se han seleccionado aquellos riesgos que se encuentran por encima del valor {2} y, sobre ellos, se han identificado las salvaguardas que se encontraban por debajo del valor recomendado por ***HERRAMIENTA.1 para el Esquema Nacional de Seguridad para subirlas al valor recomendado. · Conclusiones recogidas en el informe de EIPD: Se han propuesto una serie de acciones y recomendaciones en el Informe de AARR cuya implantación supondría que ninguno de los activos alcanzaría un riesgo medio, sino que todos se podrían calificar de riesgo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/168 bajo e incluso muchos de ellos de riesgo despreciable. Respecto a la interoperabilidad: 1.30.- El día 16 de junio de 2020 se adopta por consenso del grupo de trabajo de eHealth Network el documento “Directrices de eHealth Network para los Estados miembros de la UE y la Comisión Europea sobre especificaciones de interoperabilidad para cadenas de transmisión transfronterizas entre aplicaciones aprobadas. Elementos detallados de interoperabilidad entre soluciones basadas en claves COVID +”, en el que se propone una arquitectura definitiva para implementar del servicio Federation Gateway. El servicio Federation Gateway, acepta claves de diagnóstico de todos los países, las almacena temporalmente y las proporciona para que se descarguen en todos los países. Además, todos los backends pueden ser informados de inmediato si hay nuevos datos disponibles, de modo que los retrasos de transmisión se mantengan mínimos. El día 16 de julio de 2020 se publicó en el DOUE la Decisión de Ejecución (UE) 2020/1023 de la Comisión de 15 de julio de 2020 que modifica la Decisión de Ejecución (UE) 2019/1765 en lo concerniente al intercambio transfronterizo de datos entre las aplicaciones móviles nacionales de rastreo de contactos y advertencia para combatir la pandemia de COVID-19. Esta Decisión establece disposiciones sobre el papel de los Estados miembros participantes y de la Comisión en relación con el funcionamiento de la pasarela federativa para la interoperabilidad transfronteriza de las aplicaciones móviles nacionales de rastreo de contactos y advertencia. El día 2 de septiembre de 2020 se adopta por consenso del grupo de trabajo de eHealth Network el documento “Certificado europeo de interoperabilidad. Gobernanza. Arquitectura de seguridad para el seguimiento y la advertencia de contactos aplicaciones” que establece que el intercambio seguro y confiable de claves de diagnóstico entre países europeos es realizado por el European Federation Gateway Service (EFGS) que distribuye los datos entre los estados miembros. Este intercambio de claves de diagnóstico está asegurado por criptografía firmas transparentes para t

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.