1/99 Procedimiento nº.: PS/00222/2021 Recurso de reposición Nº RR/00189/2022 Examinado el recurso de reposición interpuesto por SECRETARÍA DE ESTADO DE DIGITALIZACIÓN E INTELIGENCIA ARTIFICIAL (en lo sucesivo, la SEDIA) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) en el procedimiento sancionador PS/00222/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 18 de febrero de 2022, se dictó resolución por la Directora de la AEPD en el procedimiento sancionador PS/00222/2021, en virtud de la cual se imponía la sanción de APERCIBIMIENTO, por la vulneración de lo dispuesto en los artículos: - Artículos 5.1.
(2005)revisado, adoptado por la 58.ª Asamblea Mundial de la Salud celebrada en Ginebra el 23 de mayo de 2005.” Se constata que este real decreto ley no habilita para el desarrollo la aplicación Radar COVID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/99 NOVENO: Con fecha 15 de junio de 2020 se acordó por el Secretario General de la Administración Digital la contratación de los servicios para la trazabilidad de contactos con relación a la pandemia ocasionada por la COVID 19 a Indra Tecnologías de la Información S.L. Según consta en el “Pliego de condiciones para el diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación con la pandemia ocasionada por la COVID-19” de fecha 10 y 12 de junio de 2020, apartado 1 bajo el epígrafe “Antecedentes”: La Orden SND/297/2020, de 27 de marzo, del Ministro de Sanidad encargó a la Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA), del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19. En particular, dicha Orden establece en su resolución primera, el Desarrollo de soluciones tecnológicas y aplicaciones móviles para la recopilación de datos con el fin de mejorar la eficiencia operativa de los servicios sanitarios, así como la mejor atención y accesibilidad por parte de los ciudadanos. Adicionalmente, la Dirección General de Salud Pública, Calidad e Innovación, de la Secretaría General de Sanidad (Ministerio de Sanidad) ha dado el Visto Bueno a una prueba piloto de rastreo de contactos en relación a la COVID-19, encargando a la SEDIA el desarrollo de una aplicación móvil para tal fin. Según consta en el objeto del contrato el proyecto de implantación tendría tres fases: fase pre-piloto, fase piloto y fase post-piloto. El “Pliego de condiciones para el diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación con la pandemia ocasionada por la covid-19”, aceptado por INDRA, recoge en el objeto del contrato las necesidades a cubrir y entre otras, las siguientes cláusulas: “5.4. Infraestructura en la nube (cloud). Se precisará que los desarrollos del Backend se realicen en una infraestructura en la nube en modo de autogestión, para facilitar la agilidad en el desarrollo de la solución. No obstante, lo anterior, tanto el almacenamiento como cualquier actividad de tratamiento de datos se ubicarán en el territorio de la Unión Europea, ya sean éstos provistos y gestionados por la empresa adjudicataria o por sus contratistas y colaboradores, y se alojarán en servidores y/o centros de proceso de datos de la propia empresa adjudicataria o de sus contratistas. … En la medida de lo posible, se procurará la utilización de componentes en la infraestructura cloud que permitan la migración futura de la solución a la nube SARA de la AGE. 6.1. Confidencialidad en general El contratista se compromete a garantizar la más estricta confidencialidad y reserva sobre cualquier dato o información a los que pueda tener acceso o pudiera conocer con ocasión de la ejecución del contrato, así como sobre los resultados obtenidos de su tratamiento, y a que únicamente se utilizarán para la consecuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/99 ción del objeto del contrato, no pudiendo comunicarlos, utilizarlos, ni cederlos a terceros bajo ningún concepto, ni siquiera para su conservación. Estas obligaciones se extienden a todas las personas que, bajo la dependencia del contratista o por su cuenta, hayan podido intervenir en cualquiera de las fases de ejecución del contrato. La obligación de confidencialidad y reserva conlleva la de custodia e impedir el acceso a la información y documentación facilitadas y a las que resulten de su tratamiento de cualquier tercero ajeno al servicio contratado, entendiéndose como tal tanto cualquier persona ajena a la empresa contratista como cualquiera que, aun no siéndolo, no esté autorizada para acceder a tal información. Asimismo, el contratista se compromete a velar por la integridad de los datos, es decir, a la protección de la información facilitada y a la que resulte de su tratamiento contra la modificación o destrucción no autorizada de los datos. 6.2. Protección de datos personales Se deberá cumplir lo estipulado en la ley orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, adaptada al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y por el que se deroga la Directiva 95/46/CE(Reglamento General de Protección de Datos), incluyendo lo dispuesto en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre y en el Real Decreto 3/2010, de 8 de enero. Conforme a la Disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Medidas de seguridad en el ámbito del sector público, las medidas de seguridad a aplicar en el marco de los tratamientos de datos personales se corresponderán con las de la Administración púbica de origen y se ajustarán al Esquema Nacional de Seguridad. Se requerirá a INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN, SLU la manifestación expresa del sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos conforme a los artículos 35.1d y 122.2 de la LCSP modificado por artículo 5 del Real Decreto Ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. 6.3. Seguridad INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN, SLU implementará las medidas técnicas y organizativas de seguridad apropiadas y elaborará la documentación pertinente, de acuerdo con el correspondiente análisis de riesgos, según lo establecido en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica. 7 PROPIEDAD INTELECTUAL Sin perjuicio de lo dispuesto en la legislación vigente en materia de propiedad intelectual, el adjudicatario acepta expresamente que la propiedad de todos los productos que sean elaborados por el adjudicatario, incluidos sus empleados y en su caso cualquier empresa subcontratada, en ejecución del Contrato y, en particular, todos los derechos de propiedad intelectual y/o industrial que deriven C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/99 de los mismos, corresponde únicamente a la administración contratante, con exclusividad y sin más limitaciones que las que vengan impuestas por el ordenamiento jurídico. A los efectos previstos en el párrafo anterior, la empresa adjudicataria se compromete a la entrega a la SGAD de toda la documentación técnica, trabajos y materiales generados, en cuyo poder quedarán a la finalización del Contrato sin que el contratista pueda conservarla, ni obtener copia de esta, ni utilizarla o facilitarla a terceros sin la expresa autorización de la SGAD, que la daría, en su caso, previa petición formal del contratista con expresión del fin.” También recoge en el ANEXO I las características del sistema aplicación móvil y el elemento backend en infraestructura pública: ANEXO I. CARACTERÍSTICAS DEL SISTEMA APLICACIÓN MÓVIL 1. Inicio y bienvenida aplicación: aviso legal, onboarding informativo, activación de seguimiento Bluetooth. Uso de SDK Google/Apple anónimo y redirección a repositorio genérico (Backend). a. Permite al usuario la transmisión y recepción de identificadores aleatorios a través del Bluetooth b. Verificación del código de autorización por parte de la autoridad sanitaria ante positivo por COVID-19. De cara al piloto, como es previsible que no se disponga del servicio de la autoridad sanitaria se simulará la validación del positivo que desencadene el proceso de tracing y se pueda pilotar. c. Envía al servidor su baliza generadora de claves efímeras en caso de positivo. d. Pantallas estáticas informativas. e. Interacción con el SDK google/apple, de acuerdo a la funcionalidad proporcionada: i. Gestionar las claves aleatorias diarias: 1. Generar diariamente las claves de exposición temporales y rotar los identificadores efímeros basados en ellos. 2. Proveer las claves al Backend para usuarios diagnosticados, incluyendo los valores temporales. 3. Acepta las claves de la App para la detección de exposición, incluyendo las fechas y los niveles de riesgo de transmisión. 4. Almacena claves en el dispositivo. ii. Gestionar el envío y escaneo Bluetooth: 1. Gestión del envío de claves. 2. Escanea claves emitidas por otros dispositivos. 3. Almacenar las claves observadas en un almacenamiento en el dispositivo. 4. Identificar cuando otro usuario en contacto ha sido un caso confirmado. 5. Calcular y proveer el riesgo de exposición a la aplicación. 6. Presentar las siguientes peticiones de permiso al usuario: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/99 a. Antes de empezar a escanear y enviar las claves. b. Antes de proveer al servidor las claves al servidor central tras haber sido contagiado. 2. Comunicación de casos positivos: a. Introducción QR/código COVID-19 (manual, escáner o importación) personal y de uso único. b. Aviso confirmación QR validado positivo: pantalla informativa. c. Cuestionario opcional (en caso de positivo): recoge datos anónimos básicos para su tratamiento Backend App (código postal, sintomatología y su fecha, patologías previas,…). 3. Notificación de riesgo: aviso de contacto con positivo confirmado y pantalla de recomendaciones. 4. Salida de la aplicación: posibilidad de salida de la aplicación en cualquier momento, eliminando cualquier rastro de claves efímeras utilizadas. ELEMENTO BACKEND EN INFRAESTRUCTURA PÚBLICA 1. Gestión de datos en Backend a. Servir información necesaria para funcionamiento de la App (si se estima necesario. Alternativamente la App puede ser autocontenida). b. Validación con el sistema de autorización sanitaria ante diagnósticos positivos (si este sistema no estuviera disponible se realizaría una Simulación de esta validación). La aplicación debe comunicarse con un servidor externo (sanitario) que provea el código de autorización que confirme el positivo y pueda autorizar a subir las balizas al servicio en función del siguiente ciclo propuesto: i. Sistema médico solicita token/QR autenticación al Backend para confirmar positivo COVID-19. ii. Paciente recibe token/QR autenticación para confirmar el positivo COVID-19. iii. Paciente envía el token/QR autorizado al Backend para subir su histórico de contactos. Como es previsible que no se disponga del servicio de la autoridad sanitaria en el alcance inicial se simulará la validación del positivo que desencadene el proceso de tracing para que se pueda probar su funcionamiento. c. Base de datos con servicio de información centralizada que permita el rastreo de contactos y la gestión de balizas. i. Recolectar las balizas de los usuarios que hayan sido diagnosticados de COVID-19. ii. Distribuir las balizas de los casos confirmados hacia los dispositivos. iii. Integración servicio de autorización de positivos. iv. Integración con sistemas Terceros. Estudio de la interoperabilidad con Backends de otros Estados para asegurar funcionalidad transfronteriza. 2. Seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/99 a. Implantación de controles para prevenir ataques específicos a nivel de aplicación. b. Securización comunicaciones con otros dispositivos y con sistemas sanitarios. c. Anonimización de señales entre dispositivos. 3. Simulación: capacidad de emular respuesta COVID-19 positivo, a efectos de testing (testear comportamiento de tracing). DÉCIMO: La SEDIA ha acreditado los siguientes certificados emitidos a favor de INDRA: o ISO 27018 Certificado de Privacidad en la Nube: Los sistemas de información que soportan los procesos de negocio y activos de información necesarios para la prestación de servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según la declaración de aplicabilidad en vigor a fecha de emisión del certificado. o ISO 27001 Certificado del Sistema de Gestión de Seguridad de la Información: Los sistemas de información que soportan los procesos de negocio y activos de información necesarios para la prestación de servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según la declaración de aplicabilidad en vigor a fecha de realización de la auditoría. o STI-0014/2009 Certificado del Sistema de Gestión de Servicio de Tecnologías de la Información: El SGS de los servicios de outsourcing de TI Administración, Soporte, Explotación e Infraestructura), tanto en entornos físicos como virtualizados cloud), según el catálogo de servicios en vigor. Certificado del Sistema de Gestión de Servicio de Tecnologías de la Información.Para la gestión del sistema RADAR COVID, INDRA ha contratado los servicios de Amazón Web Services INC. UNDÉCIMO: Con fecha 17 de junio de 2020 se celebra una reunión del grupo de trabajo interterritorial al que asisten representantes de las Comunidades Autónomas de Andalucía, Aragón, Asturias, Castilla y León, Extremadura, Galicia, Islas Baleares, Islas Canarias, La Rioja, Madrid, Murcia, Navarra y Valencia y de la ciudad autónoma de Melilla, así como por parte de la Secretaría de Estado de Digitalización e Inteligencia Artificial asisten D.D.D., Subdirector General de Impulso de la Digitalización de la Administración, C.C.C., asesor técnico para el desarrollo de la aplicación, el equipo técnico a cargo de desarrollo de la aplicación y P.P.P., asesora Gabinete. Se expone que: “…tres principales objetivos de la aplicación: preservar la salud pública, ir un paso por delante de la COVID-19 y minimizar su impacto económico facilitando el movimiento de las personas. Para ello, hay tres momentos clave a tener en cuenta: la activación del Bluetooth (que permite preservar la anonimidad de los usuarios), el reporte de diagnósticos positivos y la notificación a usuarios en riesgo de contagios. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/99 También se destaca la importancia de la privacidad para la aplicación, garantizando en todo momento la anonimicidad de las personas, permitiendo que la app pueda desactivarse en cualquier momento, almacenando los datos de forma descentralizada solo durante 14 días o generando los avisos en la propia app. Por último, se explica cómo se comporta técnicamente la aplicación: los teléfonos intercambian identificadores Bluetooth aleatorios y, con el consentimiento del usuario, el teléfono carga el histórico de los últimos 14 días de claves en el servidor. Cada teléfono descarga periódicamente las claves Bluetooth de todas las personas diagnosticadas que lo han reportado y que han podido estar en contacto. Con ello, se envían las notificaciones de alerta de contagios.” DUODÉCIMO: Consta un documento denominado “Diseño Piloto Covid-19 App. Presentación CCAA 17 junio 2020, elaborado por la SEDIA. En este se definen los parámetros clave del Piloto:
- a)Duración • 15 días de APP activa • Fecha de inicio tentativa: Semana del 29 de Junio.
- b)Ubicación: • San Sebastián de La Gomera (7.921 habitantes, INE datos provisionales 1/01/2020), municipio ubicado en la Isla de La Gomera.
- c)Participantes: • Residentes en el municipio captados por distintos canales de acceso al piloto. • Turistas residentes en Tenerife que simulen movimiento por el municipio durante el piloto.
- d)Alcance de Piloto: Volumen de participantes • Se potenciará la mayor participación posible combinando distintos canales de acceso a la misma, estimándose un volumen entre 2.000 y 3.000 usuarios de la APP . • Se establecerá aproximadamente un 10% de casos con Positivo en COVID simulado inicial, para favorecer la detección de casos de riesgo y así comprobar funcionamiento de APP.
- e)Valoración cumplimiento objetivos • Análisis datos cuantitativos • Análisis cualitativo: encuestas anónimas y tests de usuarios en remoto (15 usuarios). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/99 También recoge los “Canales de acceso al Piloto” por los participantes: Se proponen 4 canales de acceso a la APP para participación controlada en el piloto, a confirmar con el gobierno de Canarias y gobierno local de La Gomera 1. Comunicación directa individual a Empleados públicos Personas que residen en San Sebastián de la Gomera y trabajan como empleados públicos en distintos ámbitos y personas que residen en Tenerife y puedan desplazarse como “turistas simulados” al municipio durante el piloto 2. Agentes Instaladores Equipo de agentes que promoverán y ayudarán en la descarga de la APP en espacios públicos y oficinas de atención al ciudadano del municipio, potenciando la captación de personas jóvenes y mayores de 65 años 3. Teléfono de información específico Posibilidad de habilitar un teléfono para facilitar el acceso a aquellos ciudadanos del municipio que estén interesados en participar, así como para posible comprobación simulada de contagios 4. Buzoneo postal Valorar la posibilidad de cartas directas o folletos depositados en buzón físico a todos los residentes en el municipio que explique el piloto e invite a participar DÉCIMO TERCERO: Consta, con fecha 23 de junio de 2020, una nota de prensa publicada por el METD, con el siguiente tenor: “El Gobierno aprueba el desarrollo del piloto para una aplicación móvil de notificación de contactos de riesgo por COVID-19. (…) El objetivo es que el Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial, y en coordinación con el Servicio Canario de la Salud, ponga en marcha la próxima semana una prueba piloto de esta herramienta tecnológica en la isla canaria de La Gomera. El piloto tiene como objetivo evaluar aspectos técnicos y de experiencia de uso del ciudadano, con el fin de optimizar el diseño de la aplicación y su grado de confianza. También servirá para calibrar el algoritmo de la app con el fin de garantizar la veracidad de las notificaciones. (…) Una vez concluida y evaluada la prueba piloto en un escenario real, se podrán tomar las decisiones oportunas para la conexión con el sistema de salud de las diferentes comunidades autónomas. Esta herramienta tecnológica se suma a las medidas ya puestas en marcha por las autoridades sanitarias para seguir los contactos de los contagios de COVIDC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/99 19 y que, junto a las medidas de prevención adoptadas, están contribuyendo al control de la pandemia. El contrato aprobado en Consejo Ministros por el procedimiento de emergencia se ha suscrito con la empresa Indra Soluciones Tecnológicas de la Información S.L.U. por un importe de 330.537,52 euros, IVA incluido. (…) Privacidad El desarrollo utiliza un modelo descentralizado, basado en el protocolo Decentralized Privacy-Preserving Proximity Tracing (DP-3T), el más respetuoso con la privacidad del usuario. Esto implica que sólo se envían al servidor los identificadores cifrados que cada móvil emite, no los que recibe de otros terminales cercanos. Cada cierto tiempo los móviles descargan los nuevos identificadores de contagios confirmados para comparar con sus registros. Es decir, que el cotejo de datos y análisis de riesgo se lleva a cabo siempre en el móvil del usuario y no en un servidor, lo que garantiza la privacidad. Esta aplicación cumple, por tanto, con todas las garantías fijadas por la normativa europea para salvaguardar la intimidad de la ciudadanía. Además, garantiza la proporcionalidad y minimiza el uso de datos personales. El uso de la aplicación será voluntario y enmarcado en los límites de la emergencia sanitaria, en estricto cumplimiento de las recomendaciones de la Comisión Europea al respecto.” DÉCIMO CUARTO: Consta, con fecha 23 de junio de 2020, en la Referencia del Consejo de Ministros, el siguiente Acuerdo: “ACUERDO por el que se toma razón de la declaración de emergencia para la contratación de los servicios de diseño, desarrollo, piloto y evaluación de un sistema que permita el rastreo de contactos en relación a la pandemia ocasionada por la COVID-19, con una duración de 5 meses, por un importe de 330.537,52 euros, IVA incluido.” “APROBADO EL DESARROLLO DEL PILOTO PARA UNA APLICACIÓN MÓVIL DE NOTIFICACIÓN DE CONTACTOS DE RIESGO POR COVID-19. El Consejo de Ministros ha dado luz verde al contrato para diseñar, desarrollar y evaluar una prueba piloto para una aplicación móvil que permita notificar a los contactos de un usuario el posible riesgo de contagio por COVID-19. El objetivo es que el Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial, y en coordinación con el Servicio Canario de la Salud, ponga en marcha la próxima semana una prueba piloto de esta herramienta tecnológica en la isla canaria de La Gomera. El piloto tiene como objetivo evaluar aspectos técnicos y de experiencia de uso del ciudadano, con el fin de optimizar el diseño de la aplicación y su grado de confianza. También servirá para calibrar el algoritmo de la app con el fin de garantizar la veracidad de las notificaciones. Una vez concluida y evaluada la prueba piloto en un escenario real, se podrán tomar las decisiones oportunas para la conexión con el sistema de salud de las diferentes comunidades autónomas. Esta herramienta tecnológica se suma a las medidas ya puestas en marcha por las autoridades sanitarias para seguir los contactos de los contagios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/99 COVID-19 y que, junto a las medidas de prevención adoptadas, están contribuyendo al control de la pandemia. El contrato aprobado en Consejo Ministros por el procedimiento de emergencia se ha suscrito con la empresa Indra Soluciones Tecnológicas de la Información S.L.U. por un importe de 330.537,52 euros, IVA incluido.” DÉCIMO QUINTO: Con fecha 29 de junio de 2020 se lanza por el Gobierno de España el proyecto piloto que se extiende hasta el 31 de julio de 2020 en la isla de La Gomera. En el documento de seguimiento de fecha 24.07.2020, constan las siguientes fases y fechas sobre la planificación del piloto Radar COVID: Consta publicado un Informe de conclusiones (https://radar-resources.s3-euwest-1.amazonaws.com/28-01-2020-InformeRadarCOVID.pdf) elaborado por la SEDIA, fechado el 28 de enero de 2021, que indica: La app permite • Verificar el código de autorización por parte de la autoridad sanitaria ante positivo por COVID-19 • Permite al usuario la transmisión y recepción de identificadores aleatorios a través del Bluetooth • Envía al servidor su baliza generadora de claves efímeras en caso de positivo • Pide al servidor las claves anónimas de usuarios contagiados de manera periódica • Mostrar notificaciones al usuario con instrucciones de qué hacer en caso de que haya estado en contacto a otro usuario positivo COVID-19 Su desarrollo está soportado sobre la alianza Google & Apple para la implementación de un API común encargado de gestionar y proporcionar a los dispositivos claves aleatorias anónimas y su intercambio vía bluetooth a través de las siguientes funciones: Gestionar las claves aleatorias diarias • Generar diariamente las claves de exposición temporales y rotar los ids efímeros basados en ellos • Provee las claves a la aplicación para usuario diagnosticados, incluyendo los valores temporales • Acepta las claves de la app para la detección de exposición, incluyendo las feC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/99 chas y los niveles de riesgo de transmisión • Almacena claves en el dispositivo Gestiona el envío y escaneo Bluetooth • Gestión el envío de claves • Escanea claves emitidas por otros dispositivos • Almacena las claves observadas en un almacenamiento en el dispositivo • Identifica cuando otro usuario en contacto ha sido un caso confirmado • Cálculo y provee el riesgo de exposición a la aplicación • Presenta las siguientes peticiones de permiso al usuario: • Antes de empezar a escanear y enviar las claves • Antes de proveer al servidor las claves al servidor central tras haber sido contagiado G Objetivos y metodología del piloto Duración: • 15 días de APP activa (fases de monitorización y ampliación de monitorización) • Fecha de inicio: Semana del 29 de junio (fase de comunicación y divulgación) • Fecha de fin: semana del 20 de julio (fase de análisis de conclusiones) Ubicación: San Sebastián de La Gomera (aproximadamente 10.000 habitantes incluyendo residentes, turistas y personas que se desplazan diariamente por motivos de trabajo), municipio ubicado en la Isla de La Gomera. Participantes • Residentes en el municipio captados por distintos canales de acceso al piloto. • Visitantes residentes en Tenerife que se desplazaron al municipio durante el piloto, captados por distintos canales de acceso al piloto. Alcance de Piloto: Volumen de participantes • Se potenciará la mayor participación posible combinando distintos canales de acceso a la misma, estimándose un volumen entre 2.000 y 3.000 usuarios de la APP C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/99 • Se establecerá aproximadamente un 10% de casos con Positivo en COVID simulado, para favorecer la detección de casos de riesgo y así comprobar funcionamiento de APP Valoración cumplimiento objetivos • Análisis datos cuantitativos • Análisis cualitativo: encuestas anónimas y tests de usuarios en remoto (15 usuarios) Objetivo del piloto (…) Así, el objetivo del piloto fue monitorizar el funcionamiento de la APP de forma controlada para: 1. Optimizar el diseño de APP (…) 2. Comportamientos y preferencias en materia de prevención de los ciudadanos (…) 3. Contrastar hipótesis de partida (…) 4. Obtener insights para el despliegue (…) Alcance Como se ha mencionado anteriormente, el piloto se ha planteado desde una perspectiva simulada y controlada, de forma que permite obtener conclusiones de valor respecto a su funcionamiento, uso y comportamiento por parte de la ciudadanía, pero limita la obtención de datos en relación a algunos aspectos: Descarga abierta vs descarga controlada Si bien en un primer momento se planteó la posibilidad de controlar el acceso a la descarga de la aplicación exclusivamente al público objetivo del piloto, residentes, trabajadores o visitantes de San Sebastián de la Gomera, se decidió finalmente dejarla abierta debido a 3 factores clave: • Complejidad de implementación. • Impacto negativo en la usabilidad por parte de los ciudadanos al tener que introducir códigos de acceso para la descarga. • Incorporar un factor ajeno al propio funcionamiento de la aplicación en el supuesto despliegue nacional. Privacidad vs información cualificada. En el piloto se ha seguido la misma premisa que rige la propia aplicación, la garantía de protección de datos personales y el anonimato en el uso de Radar COC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/99 VID. En esa línea, se ha recopilado información agregada de los usuarios de la aplicación, tanto de las personas que se la descargaban, como de las personas que asumían el papel de Casos positivos o recibían notificaciones de alerta de riesgo de contagio. Esta información agregada impide obtener información comportamental o por perfiles más cualificados de ciudadanos, así como un análisis sociológico de propagación del virus. Simulación vs Realidad La estrategia del piloto se basó en una simulación de casos positivos por parte de voluntarios que introdujeron el código que les fue asignado, creando por tanto un brote de propagación ficticio y forzado que no permite analizar de (sic) propagación real de la enfermedad que sería monitorizada por la aplicación. Metodología. Enfoque del piloto. • Conseguir el mayor número de usuarios posible, habilitando distintos canales de acceso a la participación por parte de los ciudadanos objetivo del piloto. • Incorporar participantes de distintos perfiles poblacionales para detectar facilitadores y barreras de uso diferentes. • Priorizar la comprobación de la funcionalidad y experiencia de uso de la APP simulando un volumen de casos de positivos elevado (10% de la estimación de población usuaria de la APP durante el piloto) que favoreciera la generación de los KPIs clave de evaluación del piloto, pero manteniendo una tasa de incidencia acumulada prevista razonable desde el punto de vista epidemiológico (2,2%). • Mantener el control de los casos positivos e introducción de códigos en la APP, limitando el acceso solo a muestras controladas. • Obtener feedback directo de usuarios del piloto que permita optimizar el diseño. Monitorización y agilidad en toma de decisiones Con el objetivo de disponer de información continua sobre evolución de los distintos indicadores de éxito del piloto y reorientar su enfoque si era necesario para alcanzar el objetivo final, se crearon distintas herramientas de reporte y control, que permitirían incorporar los datos recogidos de forma anónima y voluntaria: • Plantilla diaria de registro de participantes captados por promotores, recogiendo información agregada de sexo y edad del conjunto de personas captadas en cada jornada de promoción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/99 • Plantilla diaria de entrega de códigos positivos por promotores, recogiendo también información agregada de sexo y edad de las personas a las que se asignaba el papel de voluntario positivo. • Plantilla diaria de registro de llamadas en CAU, según motivo de llamada • Plantilla diaria de registro de contenido de llamadas por riesgo de alerta, para la que se creó un argumentario de llamada. • Cuadro de mando global de indicadores clave de participantes, códigos, notificaciones y demás información que se especifica en el apartado de conclusiones. El seguimiento continuo de la información permitió tomar decisiones ágiles como el desplazamiento de los promotores a nuevas zonas ante posible saturación de las zonas iniciales o la incorporación de nueva oleada de contagios en naviera. Resultados del piloto Metodología de evaluación de la eficacia de Radar COVID Las cuestiones relevantes para evaluar la eficacia de Radar COVID son: Comportamiento del usuario y actitud hacia la aplicación, evaluando si éste ha favorecido el propósito de Radar COVID en función de: Adopción ¿Está Radar COVID logrando suficiente masa crítica para ser eficaz? ¿Se adoptan las nuevas versiones de la app? Compromiso y participación ¿Está motivado el usuario y cumple las instrucciones que facilitan la contención de la pandemia? ¿Es rápido en el cumplimiento de las instrucciones? ¿Cómo de positiva es la foto al contrastarla con iniciativas comparables en Europa? Retención Una vez instalada, ¿el usuario continúa con la aplicación activa y en uso o, por el contrario, pierde el interés y la desactiva? Desempeño de la aplicación en la detección del riesgo de contagio entre ciudadanos: Simulación del brote ¿Cuántos contactos estrechos es capaz de detectar Radar COVID por cada caso positivo confirmado a través de la aplicación? Resultados que permiten evaluar la eficacia de Radar COVID Adopción ¿Se ha alcanzado un nivel de adopción que permita obtener conclusiones de funcionamiento y eficacia de Radar COVID? El nivel de adopción conseguido durante el piloto ha permitido comprobar el funcionamiento de la aplicación y testar su eficacia ante casos positivos de COVID19, si bien su resultado no es extrapolable al despliegue nacional al haber tenido un nivel promoción en el municipio muy elevado y dirigido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/99 A la finalización del piloto se habían conseguido más de 58.000 descargas totales, el 90% en Android, y solo en el periodo de activación directa en San Sebastián de la Gomera, entre los días 6 y 20 de julio, la cifra ronda las 11.000 descargas. Por las limitaciones indicadas en el apartado anterior, no es factible diferenciar cuántas de estas descargas pertenecen a SS de La Gomera para confirmar la previsión objetivo de las 3.500 descargas aproximadamente en el municipio que representaría el 35% de adopción, si bien se pueden realizar algunas estimaciones que sí confirmarían haber alcanzado el umbral deseado, siendo conservadores en la previsión: • Descargas “asistidas”: 924. Descargas que han sido realizadas de forma fehaciente por los agentes promotores ubicados tanto en el municipio de SS de La Gomera como en los barcos colaboradores en el piloto. • Empleados públicos: Se impulsó la participación de 758 empleados públicos de los 3 ámbitos institucionales (Ayuntamiento de SS de La Gomera, Cabildo de La Gomera y Servicios de Salud) y se les invitó a que promovieran también la descarga en su entorno más cercano. • Si asumimos que la tasa de participación es similar a la tasa obtenida de introducción de códigos positivos (61%) y que cada empleado público lo compartió con una media de 3 personas de su entorno más próximo, obtenemos una participación promovida por este colectivo de unos 1.850 usuarios de la aplicación. • Participación espontánea: Si consideramos que las campañas de difusión y promoción de la iniciativa realizadas a través de ruedas de prensa, notas informativas, actividad en redes sociales e información disponible en los aviones de la compañía BINTER, despertaran el interés de la población del municipio e impactara en una descarga voluntaria de al menos un 2% de la población, se habrían conseguido 200 descargas adicionales. • Descargas web del Gobierno de Canarias: se han registrado 241 clics al enlace de descarga directa en la web; estimamos que todos los clics han materializado la descarga 66 Con estas estimaciones, se puede concluir que la cifra alcanzada de descarga se sitúa en 3.215 y por tanto ha permitido evaluar la eficacia y funcionamiento de Radar COVID, ya que la cifra final real estimamos que pueda situarse entre este umbral mínimo de 3.215 y las 11.675 descargas que se han producido durante la duración del piloto. Cabe destacar que la tasa de adopción es especialmente alta, considerando adicionalmente que, de los 10.000 habitantes de San Sebastián de La Gomera, aproximadamente un 10% de la población tiene una edad inferior a 10 años (edad límite inferior considerada para tener smartphone y un 11% son personas mayores de 75 años donde podría haber menor tasa de penetración de estos dispositivos, siguiendo la distribución de población publicada por el INE correspondiente a 1 de Enero de 2020 para el conjunto de la isla de La Gomera. Extrapolando al conjunto de la población nacional en el momento de despliegue global, será difícil conseguir esta tasa de adopción, si bien de cara al piloto ha permitido realizar los análisis necesarios del funcionamiento de la app. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/99 DÉCIMO SEXTO: Consta un documento denominado “COVID Radar. Secretaría General de Administración Digital. Funcionamiento general. Madrid, Junio 2020” donde la SEDIA informa lo siguiente: Estrategia de la app Covid-19 Objetivos de la app • Preservar la salud pública sin renunciar a la privacidad de los ciudadanos • Ir un paso por delante del Covid-19: alertar a personas en riesgo es contener el virus de forma proactiva • Minimizar el impacto económico del Covid-19, al controlar la pandemia sin medidas drásticas y facilitando el movimiento de personas Los momentos clave • Activación del Bluetooth • Reporte de diagnósticos positivos • Notificación a usuarios en riesgo de contagio Foco en privacidad La app cuenta con un proceso de gestión de datos con la privacidad por diseño, velando en todo momento por la anonimidad de los usuarios, según la normativa vigente y estándares europeos. Las medidas de privacidad contempladas en la primera versión de la solución son las siguientes: • No se requiere login, ni se solicita al usuario ningún dato personal sea identificativo o no • El usuario puede desactivar la app cuando quiera • Para registrar las interacciones entre dispositivos de forma anonimizada, se generan identificadores aleatorios cambiantes que preservan la identidad de los dispositivos • El acceso a los datos de dichas interacciones se realiza únicamente cuando se diagnostica un nuevo positivo COVID-19 o cuando el Servicio Médico lo considera necesario • Los datos se almacenan de forma descentralizada durante un plazo de 14 días, tras el cual son suprimidos • Las notificaciones a usuarios expuestos al Covid-19 se generan en la propia app, sin requerir identificar el dispositivo o el número de teléfono del usuario También contiene la “Descripción funcional de la app” y el “Funcionamiento de las alertas de contagio Bluetooth”. DÉCIMO SÉPTIMO: Consta un documento denominado “Radar COVID. Seguimiento: 17.07.2020”, elaborado por la SEDIA junto al Servicio Canario de Salud, el Gobierno de Canarias, el Gobierno del Cabildo de La Gomera y el Ayuntamiento de San Sebastián de La Gomera donde se informa lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/99 ¿Qué observamos diariamente? Comportamiento del ciudadano Descargas Acumuladas Radar COVID: 54.591 • Hay más de 54.000 descargas a nivel nacional, el 94% en Android • De las casi 10.000 descargas desde el inicio del piloto, nuestros promotores han confirmado 924 descargas, más 59 en web • Se ha impulsado la descarga entre 758 voluntarios o empleados públicos Y respecto al Plan de Acción Fase 3- Semana Análisis de datos y obtención de conclusiones, dice: 20 a 27 julio DÉCIMO OCTAVO: Con fecha 21 de julio de 2020 se celebra una reunión que tiene por objeto el “Diseño, desarrollo, piloto y evaluación de un sistema que permita la trazabilidad de contactos en relación a la pandemia ocasionada por el Covid-19”. Asisten: Persona SEDIA / CCAA / Mº Sanidad / Minsait C/ Jorge Juan, 6 28001 – Madrid A.A.A. SEDIA B.B.B. SEDIA C.C.C. SEDIA D.D.D. SEDIA Q.Q.Q. Gobierno de Canarias R.R.R. SEDIA E.E.E. Mº Sanidad F.F.F. Mº Sanidad www.aepd.es sedeagpd.gob.es 24/99 Persona SEDIA / CCAA / Mº Sanidad / Minsait H.H.H. Gobierno de Canarias I.I.I. Minsait J.J.J. Minsait L.L.L. Minsait M.M.M. Minsait Ñ.Ñ.Ñ. Minsait Asuntos tratados: Se presenta el documento anexo 20200717_Seguimiento SEDIA v13.PPTX dónde se recogen los avances en el piloto Radar COVID. Acuerdos adoptados: Se acuerda presentar en el próximo comité de seguimiento un informe completo con el análisis de las conclusiones que se ha extraído de la ejecución ya finalizada del piloto en la isla de La Gomera. DÉCIMO NOVENO: Consta un documento denominado “Radar COVID. Seguimiento: 24.07.2020” elaborado por la SEDIA junto al Servicio Canario de Salud, el Gobierno de Canarias, el Gobierno del Cabildo de La Gomera y el Ayuntamiento de San Sebastián de La Gomera, donde se informa lo siguiente: Escalada e integración con Servicios Sanitarios Tras recopilar propuestas de las Comunidades Autónomas, nos decantamos por un esquema de generación de códigos centralizado y gestión descentralizada Análisis de datos Se han analizado los resultados del piloto en base a: Grado de adopción y retención Participación y simulación de oleadas Detección de contactos estrechos Feedback de usuarios Resultados del piloto. ¿Qué conclusiones extraemos sobre el éxito del piloto? Los usuarios continúan utilizando Radar COVID una vez instalada, como muestra el registro de apps activas: 12.700 Aplicaciones activas de media, con una variación de +/-5% entre sus máximos y mínimos (13.417 y 12.116) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/99 Radar COVID es efectivo detectando contactos estrechos desde su recalibrado el día 15 de julio*, al poder detectar contactos de personas cercanas al usuario y desconocidos Respecto a la “Simulación de brote Aplicación Radar COVID: datos finales” se informa: ¿Qué recomendaciones o enseñanzas de utilidad extraemos de cara a un escalado nacional? Análisis: • Instrumentación para recopilación de datos anónimos para analizar el desempeño de Radar COVID con mayor precisión que la que la anonimidad total actual facilita. • Calibrado: seguimiento estadísticas agregadas y de llamadas al call center para calibrado de pesos del Bluetooth de forma que se evite generar sobrealerta sin renunciar a un volumen útil de notificaciones de contacto estrecho generadas. VIGÉSIMO: Con fecha 27 de julio de 2020 se celebra una reunión que tiene por objeto el “Diseño, desarrollo, piloto y evaluación de un sistema que permita la trazabilidad de contactos en relación a la pandemia ocasionada por el Covid-19”. Constan como asistentes: C/ Jorge Juan, 6 28001 – Madrid Persona SEDIA / CCAA / Mº Sanidad / Minsait A.A.A. SEDIA B.B.B. SEDIA C.C.C. SEDIA www.aepd.es sedeagpd.gob.es 26/99 Persona SEDIA / CCAA / Mº Sanidad / Minsait D.D.D. SEDIA E.E.E. Mº Sanidad F.F.F. Mº Sanidad G.G.G. SEDIA H.H.H. Gobierno de Canarias I.I.I. Minsait J.J.J. Minsait L.L.L. Minsait M.M.M. Minsait N.N.N. Minsait Ñ.Ñ.Ñ. Minsait Asuntos tratados: Se presenta el documento anexo 20200721_Seguimiento SEDIA v5 dónde se recoge el resumen ejecutivo de las conclusiones del análisis de resultados del piloto. Acuerdos adoptados: Se acuerda tener listo para el próximo martes día 28/07/2020 el listado de acciones a llevar cabo sobre la app de cara a una puesta en producción inminente, ya sea en una CCAA, ciudad o a nivel nacional. Se acuerda también preparar un documento descriptivo con un resumen del funcionamiento de la app para que las diferentes CCAA puedan analizar su funcionamiento. VIGÉSIMO PRIMERO: Consta un documento denominado “Radar COVID. Seguimiento de proyecto 31.07.2020”, donde la SEDIA define las actividades de lanzamiento recomendadas para el roll out: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/99 VIGÉSIMO SEGUNDO: Con fecha 3 de agosto de 2020 el METD publica esta nota de prensa: “La aplicación móvil de alerta de contagios Radar COVID supera su fase de pruebas cumpliendo todos los objetivos marcados. (…) Es lo que ha explicado la secretaria de Estado de Digitalización e Inteligencia Artificial, Carme Artigas, en una rueda de prensa en la que ha compartido los resultados obtenidos durante el piloto. Junto a ella han intervenido también Pilar Aparicio, directora general de Salud Pública e Innovación del Ministerio de Sanidad, S.S.S., director general de Modernización y Calidad de los Servicios del Gobierno de Canarias, D.D.D., subdirector general de Impulso de la Digitalización de la Administración, y C.C.C., asesor técnico del proyecto.” Éxito de adopción, compromiso, retención y funcionamiento. La prueba arrancó el pasado 29 de junio y se ha desarrollado hasta este pasado 31 de julio, tiempo durante el que se han simulado cuatro oleadas de rebrotes ficticios de COVID-19. Durante su desarrollo, y a pesar de que sólo funcionaba en la isla de La Gomera, más de 60.000 personas descargaron la app en toda España. El primer objetivo del piloto consistía en evaluar precisamente la adopción de la herramienta, es decir, el número de personas que la descargarían, y se fijó un objetivo de 3.000 participantes para La Gomera, meta que ha sido superada según los datos obtenidos durante la prueba. Un segundo objetivo consistía en medir la retención, en referencia al número de usuarios que mantuvieron la app activa después de haberla descargado. Los resultados, también satisfactorios, apuntan a un 83% promedio de retención alcanzada. Además, se analizaba el compromiso de los usuarios en la comunicación de positivos ficticios, lográndose un 61% de comunicaciones activas, de las que el 78% se produjeron en las 24 horas siguientes a haber recibido el código de contagio simulado. Otro de los objetivos trazados en el piloto fue medir el funcionamiento de la app C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/99 en el traceo de contactos, consiguiendo una media de 6,4 contactos estrechos de riesgo detectados por positivo simulado confirmado. Esa cifra supone casi doblar la eficiencia actual de los traceadores manuales, que en Canarias detectan una media de 3,5 contactos. (…) VIGÉSIMO TERCERO: Con fecha 5 de agosto de 2020 se celebra una reunión que tiene por objeto el “Diseño, desarrollo, piloto y evaluación de un sistema que permita la trazabilidad de contactos en relación a la pandemia ocasionada por el Covid-19”. Constan como asistentes: Persona SEDIA / CCAA / Mº Sanidad / Minsait A.A.A. SEDIA C.C.C. SEDIA D.D.D. SEDIA T.T.T. SEDIA F.F.F. Mº Sanidad V.V.V. CCAES W.W.W. CCAES I.I.I. Minsait J.J.J. Minsait L.L.L. Minsait M.M.M. Minsait X.X.X. Minsait Ñ.Ñ.Ñ. Minsait Acuerdos adoptados: Se acuerda tener listo para el lunes día 10/08/2020 la app introduciendo los cambios comentados en el documentos anexo facilitando una salida de emergencia en el corto plazo a aquellas CCAA que lo soliciten y seguir avanzando en el desarrollo de las versiones para salida a nivel nacional. VIGÉSIMO CUARTO: Con fecha 5 de agosto de 2020 se publica en el Boletín Oficial del Estado el Real Decreto 735/2020, de 4 de agosto, por el que se desarrolla la estructura orgánica básica del Ministerio de Sanidad, y se modifica el Real Decreto 139/2020, de 28 de enero, por el que se establece la estructura orgánica básica de los departamentos ministeriales. En el preámbulo del real decreto 735/2020, se dice: “(…) Para poder acometer de manera eficaz estas nuevas medidas, así como con el fin de hacer frente al incremento del volumen de trabajo en el Ministerio de Sanidad a raíz de la pandemia ocasionada por el COVID-19, se hace necesario reforzar la estructura de dicho Departamento. Por ello, mediante el Real DeC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/99 creto 722/2020, de 31 de julio, por el que se modifica el Real Decreto 2/2020, de 12 de enero, por el que se reestructuran los departamentos ministeriales, se dispuso la creación de una nueva Secretaría de Estado de Sanidad, con el objetivo de fortalecer el ejercicio de las competencias en materia de sanidad reservadas constitucionalmente a la Administración General del Estado. Mediante el presente real decreto se refuerza adicionalmente la estructura del Ministerio de Sanidad, contemplándose la creación de la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud, de la que dependerá la Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud, con el objetivo de abordar los proyectos de modernización, mejora y transformación del Sistema Nacional de Salud, a la luz de los nuevos retos derivados de la pandemia ocasionada por el COVID-19, y en particular los relacionados con la salud digital, la interoperabilidad y los servicios en red en el ámbito nacional, europeo e internacional, así como los sistemas de información sanitarios, fomentando la incorporación de las prestaciones de las tecnologías emergentes de última generación, tales como el análisis de datos («big data»), la inteligencia artificial o la analítica predictiva, entre otros, en el ámbito de la salud.” Asimismo, la Disposición final primera del real decreto 735/2020 dispone: “Modificación del Real Decreto 139/2020, de 28 de enero, por el que se establece la estructura orgánica básica de los departamentos ministeriales. Se modifica el artículo 16 del Real Decreto 139/2020, de 28 de enero, por el que se establece la estructura orgánica básica de los departamentos ministeriales, que queda redactado como sigue: «Artículo 16. Ministerio de Sanidad. 1. El Ministerio de Sanidad se estructura en los siguientes órganos superiores y directivos: A) La Secretaría de Estado de Sanidad, de la que dependen los siguientes órganos directivos: 1.º La Dirección General de Salud Pública. 2.º La Dirección General de Cartera Común de Servicios del Sistema Nacional de Salud y Farmacia. 3.º La Dirección General de Ordenación Profesional. 4.º La Delegación del Gobierno para el Plan Nacional sobre Drogas, con rango de Dirección General. B) La Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud, con rango de Subsecretaría, de la que depende la Dirección General de Salud Digital y Sistemas de Información para el Sistema Nacional de Salud. C) La Subsecretaría de Sanidad, de la que depende la Secretaría General TécniC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/99 ca. 2. Quedan suprimidas la Secretaría General de Sanidad y Consumo y la Secretaría General de Sanidad, así como la Dirección General de Salud Pública, Calidad e Innovación y la Dirección General de Cartera Básica de Servicios del Sistema Nacional de Salud y Farmacia.” Las funciones de la DGSP constan en el artículo 3 del real decreto 735/2020 que dice: 1. La Dirección General de Salud Pública es el órgano que asume las funciones relativas a la sanidad exterior; la promoción de la salud y la prevención de las enfermedades y lesiones; la coordinación de la vigilancia en salud pública; (…). Se constata que, la previsión que se contenía en el Real Decreto 454/2020, de 10 de marzo, en el artículo 3.2 relativa a que “Le corresponde la elaboración de los sistemas de información, la gestión de la información y la identificación de la población protegida y el acceso a la información clínica y terapéutica”, ahora es atribuida a la SGSDII en el artículo 7.1 del real decreto 735/2020, que dice: Artículo 7. La Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud. 1. La Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud es el órgano directivo del Departamento al que corresponde abordar los proyectos de modernización, innovación, mejora y transformación del Sistema Nacional de Salud a la luz de los nuevos retos derivados de la pandemia por COVID-19, en particular los relacionados con la salud digital y los sistemas de información. Asimismo, le corresponde la realización de actividades tendentes a la traslación de la innovación y avances de la investigación al Sistema Nacional de Salud, sin perjuicio de las competencias atribuidas al Ministerio de Ciencia e Innovación y a las comunidades autónomas. Le corresponde, igualmente, la elaboración de los sistemas de información, la gestión de la información y la identificación de la población protegida y el acceso a la información clínica y terapéutica. Igualmente le compete el control de la información sanitaria, en el ámbito de competencias del Departamento. Se constatan las siguientes competencias a favor de la SGSDII atribuidas en los apartados
- d)y
- j)del artículo 7.4 del real decreto 735/2020:
- d)Realizar las actuaciones necesarias para el desarrollo y mantenimiento del Sistema de Información Sanitaria del Sistema Nacional de Salud definido en el capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud, garantizando su normalización, comparabilidad, transparencia y accesibilidad dentro del marco legal de protección de datos personales. (…)
- j)Coordinar y supervisar la política de protección de datos en cumplimiento de la normativa aplicable en esta materia en el ámbito de las competencias del Departamento. Se constata que la SGSDII no interviene en el desarrollo del proyecto piloto dado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/99 que se crea con el Real Decreto 735/2020, de 4 de agosto. VIGÉSIMO QUINTO: En la versión inicial de la “Política de Privacidad de la Aplicación Radar COVID” publicada el día 7 de agosto de 2020 junto con la versión 1.0 de la aplicación Radar COVID (versión piloto), consta la siguiente información: Por favor, lee detenidamente esta política de privacidad para usuarios de la aplicación móvil “Radar COVID” (o la “Aplicación”), donde podrás encontrar toda la información sobre los datos que utilizamos, cómo lo usamos y qué control tienes sobre los mismos. AVISO IMPORTANTE: El USUARIO queda avisado de que la utilización de la Aplicación NO CONSTITUYE EN NINGÚN CASO UN SERVICIO DE DIAGNÓSTICO MÉDICO, DE ATENCIÓN DE URGENCIAS O DE PRESCRIPCIÓN DE TRATAMIENTOS FARMACOLÓGICOS, pues la utilización de la Aplicación no podría en ningún caso sustituir la consulta presencial personal frente a un profesional médico debidamente cualificado. 1. ¿Qué es Radar COVID? Radar COVID es una aplicación para dispositivos móviles de alerta de contagios del virus SARS-CoV-2, cuyo TITULAR es la Secretaría General de Administración Digital, dependiente de la Secretaría de Estado de Digitalización e Inteligencia Artificial del Ministerio de Asuntos Económicos y Transformación Digital. Gracias a Radar COVID, aquellos usuarios que se hayan descargado la aplicación y acepten su uso recibirán una notificación en caso de que en los catorce días anteriores a esa notificación hayan estado expuestos a un contacto epidemiológico (a menos de dos metros y más de 15 minutos) con otro usuario (totalmente anónimo) que haya declarado en la aplicación haber dado un resultado positivo en la prueba de COVID 19 (previa acreditación de las autoridades sanitarias). La aplicación le informará exclusivamente sobre el día (dentro de esos catorce anteriores) en que se haya producido la exposición al contacto pero no sobre la identidad del usuario al que haya quedado expuesto (información imposible al ser una aplicación que no solicita, utiliza ni almacena datos de carácter personal de los usuarios) ni la identificación del dispositivo de este, ni sobre el momento o lugar en que la exposición se haya producido. Recibida una notificación, la aplicación facilitará al usuario expuesto información para la adopción de medidas preventivas y asistenciales, para contribuir con ello a contener la propagación del virus. El éxito de la aplicación como herramienta que contribuya a la contención de la propagación está directamente vinculado a que los usuarios sean conscientes, y actúen en consecuencia, de que, a pesar de que comunicar a la aplicación que se ha obtenido un resultado positivo en la prueba de COVID 19 (previa acreditación de las autoridades sanitarias) es voluntario, el no comunicarlo y ser un mero receptor de información de terceros usuarios hace que la aplicación pierda su utilidad preventiva no solo para los demás usuarios sino para el resto de la población en general. El carácter completamente anónimo debería animar, sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/99 duda, al ejercicio de esta actuación responsable. 2. ¿Cómo funciona la aplicación? Una vez que te hayas descargado la aplicación, aceptes las condiciones de uso y la política de privacidad y comiences a utilizarla, tu dispositivo móvil generará cada día un identificador pseudo-aleatorio llamado “clave de exposición temporal” con un tamaño de 16 caracteres (16 bytes o 128 bits) que servirá para derivar los “identificadores efímeros Bluetooth” que son intercambiados con otros teléfonos móviles próximos que también tengan descargada la aplicación RadarCOVID. Los “identificadores efímeros Bluetooth” son códigos pseudo-aleatorios con un tamaño de 16 caracteres (16 bytes, o 128 bits), que se generan por tu teléfono móvil cada 10-20 minutos, a partir de la “clave de exposición temporal” diaria. Estos códigos no contienen información personal, que permita identificar al teléfono móvil o al usuario del mismo. Estos “identificadores efímeros Bluetooth” son transmitidos por tu teléfono móvil varias veces por segundo a dispositivos cercanos, accesibles a través de Bluetooth Low Energy, produciendo un intercambio de códigos aleatorios entre dispositivos para que puedan ser almacenados por teléfonos próximos que hayan descargado la aplicación. De igual manera, cada cinco minutos, tu teléfono móvil escuchará los identificadores efímeros Bluetooth que son transmitidos por otros teléfonos móviles que tengan la aplicación y los almacenará para calcular si has estado con otro usuario contagiado por COVID19 a lo largo de los últimos 14 días. Tu teléfono almacena las claves de exposición temporal que has generado en los últimos 14 días. Recuerda que estas claves se generan aleatoriamente y no sirven para identificar a tu teléfono móvil ni al USUARIO del mismo. Si has recibido un diagnóstico positivo por COVID-19, puedes introducir voluntariamente en la aplicación el “código de confirmación de un solo uso” que te facilitará tu Servicio Público de Salud y que será validado en nuestro servidor. En ese momento, la aplicación te solicitará tu consentimiento para remitir a nuestro servidor las 14 últimas claves de exposición temporal almacenadas en tu teléfono, por tanto, solo si lo prestas, éstas se enviarán al servidor de la aplicación que, después de verificar la exactitud del código, servirán para componer un listado diario de claves de exposición temporal de personas contagiadas por COVID-19 que son descargados diariamente desde el servidor por todas las aplicaciones Radar COVID que estén en funcionamiento. La información de estos listados sirve para que en tu propio teléfono se pueda comprobar si has tenido contacto estrecho (menos de dos metros y más de 15 minutos) con personas que han reportado un contagio por COVID-19, sin identificar ni a la persona, ni el lugar de la exposición, ni el dispositivo móvil, ni ningún dato personal tuyo o de la otra persona. Es decir, la aplicación descarga periódicamente las claves de exposición temporal compartidas voluntariamente por los usuarios diagnosticados por COVID-19 del servidor, para compararlas con los códigos aleatorios registrados en los días anteriores como resultado de contactos con otros usuarios. Si se encuentra una coincidencia, la aplicación ejecuta un algoritmo en el dispositivo que, en función de la duración y la distancia estimada del contacto, y de acuerdo con los criterios establecidos por las autoridades sanitarias, decide si se muestra una notificación en el dispositivo del usuario expuesto al riesgo de contagio, advirtiéndole del contacto, comunicándole la fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/99 del mismo e invitándolo a auto-confinarse, y contactar con las autoridades sanitarias. Estas claves remitidas al servidor no permiten la identificación directa de los usuarios y son necesarias para garantizar el correcto funcionamiento del sistema de alerta de contagios 3. ¿Qué datos tratamos sobre ti? Los datos manejados por la aplicación no permiten la identificación directa del usuario o de su dispositivo, y son solo los necesarios para el único fin de informarte de que has estado expuesto a una situación de riesgo de contagio por la COVID-19, así como para facilitar la posible adopción de medidas preventivas y asistenciales. En ningún caso se rastrearán los movimientos de los USUARIOS, excluyendo así cualquier forma de geolocalización. Como parte del sistema de alerta de contagios de la COVID-19, se procesarán los siguientes datos para los usuarios que hayan dado positivo por COVID-19 para los fines especificados a continuación: Las claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios enviados (identificadores efímeros Bluetooth), a los dispositivos con los que el usuario ha entrado en contacto, hasta un máximo de 14 días anteriores. Estas claves no guardan relación alguna con la identidad del USUARIO, y se suben al servidor para que puedan ser descargadas por aplicaciones similares en poder de otros usuarios. Con estas claves, mediante un procesamiento que tiene lugar en el teléfono móvil de forma descentralizada, se puede advertir al USUARIO sobre el riesgo de contagio por haber estado en contacto reciente con una persona que ha sido diagnosticada por COVID-19, sin que la aplicación pueda derivar su identidad o el lugar donde tuvo lugar el contacto. Un código de confirmación de un solo uso de 12 dígitos facilitado por las autoridades sanitarias en caso de prueba positiva por COVID-19. Este código debe ser informado por el usuario para permitir la carga voluntaria de las claves de exposición al servidor. Cuestionario voluntario para la recogida de información sobre la experiencia de uso de la aplicación, comprensión de la misma o percepción sobre la privacidad entre otros. Toda la información se recogerá con fines estrictamente de interés público en el ámbito de la salud pública, y ante la situación de emergencia sanitaria decretada, a fin de proteger y salvaguardar un interés esencial para la vida de las personas, en los términos descritos en esta política de privacidad. La legislación aplicable se enumera a continuación: Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/99 Ley 14/1986, de 25 de abril, General de Sanidad Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública. Ley 33/2011, de 4 de octubre, General de Salud Pública. Real Decreto 463/2020 de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19 que atribuye al Ministro de Sanidad la necesaria competencia en todo el territorio nacional. Orden Ministerial SND/297/2020 de 27 de marzo, por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de nuevas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19. 4. ¿Cómo obtenemos y de dónde proceden tus datos? El código de confirmación de positivo por COVID-19 facilitado por el Servicio Público de Salud. Esto permitirá la subida al servidor del sistema de alerta de contagios las claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios enviados (identificadores efímeros Bluetooth), a los dispositivos con los que el usuario ha entrado en contacto, hasta un máximo de 14 días anteriores. Estas claves únicamente se suben al servidor con el consentimiento explícito e inequívoco del USUARIO, al haber introducido un código de confirmación de positivo por COVID-19. 5. ¿Para qué y por qué utilizamos tus datos? La recogida, almacenamiento, modificación, estructuración y en su caso, eliminación, de los datos generados, constituirán operaciones de tratamiento llevadas a cabo por el Titular, con la finalidad de garantizar el correcto funcionamiento de la App, mantener la relación de prestación del servicio con el Usuario, y para la gestión, administración, información, prestación y mejora del servicio. La información y datos recogidos a través de la Aplicación serán tratados con fines estrictamente de interés público en el ámbito de la salud pública, ante la actual situación de emergencia sanitaria como consecuencia de la pandemia del COVID-19 y la necesidad de su control y propagación, así como para garantizar intereses vitales tuyos o de terceros, de conformidad con la normativa de protección de datos vigente. A tal efecto, utilizamos tus datos para prestarte el servicio de “Radar COVID” y para que puedas hacer uso de sus funcionalidades de acuerdo con sus condiciones de uso. De conformidad con el Reglamento General de Protección de Datos (RGPD) así como cualquier legislación nacional que resulte aplicable, la Secretaría General de Administración Digital tratará todos los datos generados durante el uso de la App para las siguientes finalidades: Ofrecerte información sobre contactos considerados de riesgo de exposición a la COVID-19. Proporcionarte consejos prácticos y recomendaciones de acciones a seguir según se produzcan situaciones de riesgo de cara a la cuarentena o auto-cuarentena. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/99 Este tratamiento se llevará a cabo a través de la funcionalidad de alerta de contagios que permite identificar situaciones de riesgo por haber estado en contacto estrecho con personas usuarias de la aplicación que se encuentran infectadas por la COVID-19. De esta manera se te informará de las medidas que conviene adoptar después. 6. ¿Durante cuánto tiempo conservamos tus datos? Las claves de exposición temporal y los identificadores efímeros de Bluetooth son almacenados en el dispositivo por un periodo de 14 días, después de los cuales son eliminados. Asimismo, las claves de exposición temporal que hayan sido comunicadas al servidor por los USUARIOS diagnosticados como positivos por COVID-19 también serán eliminadas del servidor al cabo de 14 días. En todo caso, ni las claves de exposición temporal ni los identificadores efímeros de Bluetooth contienen datos de carácter personal ni permiten identificador los teléfonos móviles de los usuarios. 7. ¿Quién tiene acceso a tus datos? Ni la aplicación “Radar COVID” ni el servidor de alerta de contagios almacenan datos personales de ningún tipo. Los datos gestionados por la aplicación móvil (claves diarias de exposición temporal e identificadores efímeros Bluetooth) se almacenan únicamente en el dispositivo del usuario a los efectos de poder hacer cálculos y derivar informes al USUARIO sobre su riesgo de exposición a la COVID-19. Solo en el caso de reportar un diagnóstico positivo por COVID-19, las claves de exposición temporal de los últimos 14 días generadas en el dispositivo, y bajo el consentimiento explícito e inequívoco del USUARIO, son subidas al servidor para su difusión al conjunto de USUARIOS de este sistema. Estas claves no guardan relación alguna con la identidad de los dispositivos móviles ni con datos personales de los USUARIOS de la Aplicación. 8. ¿Cuáles son tus derechos y cómo puedes controlar tus datos? Dado que la aplicación Radar COVID no almacena datos personales, no son de aplicación los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos. En todo caso, tenemos obligación de indicarte que te asiste en todo momento el derecho para presentar una reclamación ante Agencia Española de Protección de Datos (www.aepd.es). 9. ¿Cómo protegemos tus datos? El sistema Radar COVID no almacena datos personales. En todo caso, las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Finalmente, te informamos que tanto el almacenamiento como el resto de las acC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/99 tividades del tratamiento de datos no personales utilizados estarán siempre ubicados dentro de la Unión Europea. 10. ¿Cuál es la legitimación para el tratamiento de tus datos? Los datos generados se tratarán legítimamente con las siguientes bases legales: El consentimiento del usuario libre, específico, informado e inequívoco del USUARIO, poniendo a su disposición la presente política de privacidad, que deberá aceptar mediante el marcado de la casilla dispuesta al efecto. Razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud (artículo 9.2
- i)del RGPD), para el tratamiento de los datos de salud (por ejemplo, el estado de una persona contagiada o información sobre síntomas, etc.). Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6.1
- e)RGPD). Fines de archivo de interés público, fines de investigación científica o histórica o fines estadísticos (artículo 9.2
- j)RGPD). El Titular de la Aplicación podrá dar acceso o transmitir los datos a terceros proveedores de servicios, con los que haya suscrito acuerdos de encargo de tratamiento de datos, y que únicamente accedan a dicha información para prestar un servicio en favor y por cuenta del Responsable. 11. ¿Qué tienes que tener especialmente en cuenta al utilizar "Radar COVID"? Has de tener en cuenta determinados aspectos relativos a la edad mínima de utilización de Aplicación, la calidad de los datos que nos proporcionas, así como la desinstalación de la Aplicación en tu dispositivo móvil. Edad mínima de utilización: para poder utilizar “Radar COVID” tienes que ser mayor de 18 años o contar con la autorización de tus padres y/o tutores legales. Por tanto, al darte de alta en la Aplicación, garantizas al Titular que eres mayor de dicha edad o, en caso contrario, que cuentas con la mencionada autorización. Calidad de los datos que nos proporcionas: la información que nos facilites en el uso de los servicios de la Aplicación deberá de ser siempre real, veraz y estar actualizada. Desinstalación de la Aplicación: en general, puede haber dos situaciones en las que se proceda a la desactivación técnica de la Aplicación en tu dispositivo: 1) que lo realices voluntariamente, y 2) que desde el Titular se proceda a la desactivación técnica de la Aplicación en tu dispositivo (p.ej. en casos en los que detectemos que has incumplido las condiciones de uso de la Aplicación). 12. Política de cookies Utilizamos solamente cookies técnicas que permiten al usuario la navegación y la utilización de las diferentes opciones o servicios que se ofrecen en la Aplicación como, por ejemplo, acceder a partes de acceso restringido o utilizar elementos de seguridad durante la navegación. He leído el documento POLÍTICA DE PRIVACIDAD DE LA APLICACIÓN “Radar COVID”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/99 VIGÉSIMO SEXTO: En la versión inicial de las “Condiciones de Uso de Radar COVID” consta la siguiente información: CONDICIONES DE USO DE Radar COVID AL DESCARGAR Y USAR LA APLICACIÓN MÓVIL “Radar COVID” MANIFIESTAS QUE HAS LEÍDO Y ACEPTAS ESTAS CONDICIONES DE USO Y LA POLÍTICA DE PRIVACIDAD. AQUÍ SE RECOGE TODA LA INFORMACIÓN RELATIVA A TUS DERECHOS Y OBLIGACIONES COMO USUARIO DE ESTA APLICACIÓN. AVISO IMPORTANTE: • El USUARIO queda avisado de que la utilización de la Aplicación NO CONSTITUYE EN NINGÚN CASO UN SERVICIO DE DIAGNÓSTICO MÉDICO, DE ATENCIÓN DE URGENCIAS O DE PRESCRIPCIÓN DE TRATAMIENTOS FARMACOLÓGICOS, pues la utilización de la Aplicación no podría en ningún caso sustituir la consulta presencial personal frente a un profesional médico debidamente cualificado. 1. Qué es Radar COVID Radar COVID es una aplicación que promueve la salud pública mediante un sistema de alerta de contagios por la COVID-19, poniendo a disposición de los USUARIOS (en adelante, individualmente, el “USUARIO”, y conjuntamente los “USUARIOS”), la posibilidad de navegar por la Aplicación, accediendo a los contenidos y servicios de Radar COVID, de acuerdo con las presentes CONDICIONES DE USO. Radar COVID detecta la intensidad de señales Bluetooth intercambiadas entre dispositivos que tienen esta aplicación activa, mediante el empleo de identificadores aleatorios efímeros, que no guardan relación con la identidad del teléfono móvil empleado o el USUARIO. El dispositivo de cada USUARIO descarga periódicamente las claves Bluetooth de todos los USUARIOS de la aplicación que hayan informado a través de la misma que se les ha diagnosticado COVID-19 (previa acreditación de las autoridades sanitarias), procediendo a determinar si el USUARIO ha establecido contacto de riesgo con alguno de ellos, verificado por las señales Bluetooth intercambiadas. Si es el caso, la aplicación le notifica este hecho, a fin de que pueda para tomar medidas, y contribuir de este modo a evitar que el virus se propague. 2. Uso de Radar COVID Para la utilización de los servicios de Radar COVID, es requisito necesario que el USUARIO autorice la activación del sistema de comunicaciones Bluetooth de baja energía por parte de la Aplicación, tras la descarga de la misma. El USUARIO acepta sin reserva el contenido de las presentes CONDICIONES DE USO. En consecuencia, el USUARIO deberá leer detenidamente las mismas antes del acceso y de la utilización de cualquier servicio de Radar COVID bajo su entera responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/99 AVISO IMPORTANTE: La utilización de la Aplicación es gratuita, libre y voluntaria para todos los ciudadanos. Para utilizar Radar COVID no es necesario estar registrado, ni aportar ningún dato personal, identificativo o no identificativo. Al activar la aplicación, el USUARIO acepta:
- a)envío de señales Bluetooth emitidas de forma anónima por su dispositivo;
- b)la recepción y almacenamiento de señales Bluetooth de aplicaciones compatibles con Radar COVID, que se mantienen de forma anónima y descentralizada en los dispositivos de los USUARIOS durante un periodo no superior a 14 días; y
- c)la información ofrecida al USUARIO sobre el posible riesgo de contagio, sin que en ningún momento se refieran datos personales de ningún tipo. El USUARIO puede informar voluntariamente a la aplicación de un resultado positivo en sus pruebas de COVID-19 mediante el código de confirmación de un solo uso facilitado por las autoridades sanitarias. La validez de este código será cotejada por las autoridades sanitarias para asegurar el correcto funcionamiento de Radar COVID. El USUARIO informará de los resultados de sus pruebas y se le solicitará el consentimiento expreso e inequívoco para compartir las claves generadas diariamente en su dispositivo, y correspondientes a los últimos 14 días. Estas claves son comunicadas a un servidor que las pondrá a disposición del conjunto de aplicaciones Radar COVID para su descarga. Las claves comunicadas no guardan relación alguna con la identificación del dispositivo o el USUARIO. No se producirá ninguna discriminación a los potenciales pacientes que requieran servicios sanitarios y no hayan utilizado la aplicación. 3. Seguridad y privacidad Las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Te informamos que tus datos serán tratados conforme a lo establecido en la Política de Privacidad de la Aplicación, cuyo contenido íntegro se puede consultar en el siguiente enlace: Política de Privacidad. Toda la información se tratará con fines estrictamente de interés público en el ámbito de la salud pública, y ante la situación de emergencia sanitaria decretada, a fin de proteger y salvaguardar un interés esencial para la vida de las personas, en los términos descritos en la política de privacidad. La información de la actividad de los USUARIOS es anónima y en ningún momento se exigirá a los USUARIOS ningún dato personal. En todo momento, el USUARIO puede desactivar el sistema de traza de contactos Bluetooth en la aplicación, así como desinstalar la misma. 4. Cambio del servicio y terminación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/99 Radar COVID siempre está tratando de mejorar el servicio y busca ofrecer funcionalidades adicionales útiles para el USUARIO teniendo siempre presente la preservación de la salud pública. Esto significa que podemos añadir nuevas funciones o mejoras que en ningún caso implicarán el tratamiento de datos personales, así como eliminar algunas de las funciones. Si estas acciones afectan materialmente a los derechos y obligaciones del USUARIO, será informado a través de la Aplicación. El USUARIO puede dejar de utilizar la aplicación en cualquier momento y por cualquier motivo, desinstalándola de su dispositivo. 5. Titular de la aplicación La Secretaría General de Administración Digital (SGAD), dependiente de la Secretaría de Estado de Digitalización e Inteligencia Artificial del Ministerio de Asuntos Económicos y Transformación Digital, es la TITULAR de la aplicación Radar COVID. Radar COVID en su arquitectura emplea el nuevo marco proporcionado por Apple y Google desarrollado a partir del Protocolo de DP-3T de rastreo de proximidad descentralizado para preservar la privacidad. 6. Responsabilidad y obligaciones Radar COVID se ofrece dedicando los mejores esfuerzos, dado que su calidad y disponibilidad pueden verse afectadas por múltiples factores ajenos al TITULAR como son, entre otros, el volumen de USUARIOS en la ubicación geográfica del USUARIO, limitaciones o restricciones de las redes de terceros operadores o la compatibilidad del dispositivo y sistema operativo utilizado por el USUARIO. Igualmente, los USUARIOS aceptan que el servicio pueda verse interrumpido cuando sea necesario por labores de mantenimiento. Por todo ello, el TITULAR no será responsable de los problemas de acceso o disponibilidad de Radar COVID y/o sus servicios, ni de los perjuicios que se pudieran causar por ello, cuando éstos procedan de factores ajenos a su ámbito de control. Igualmente, el TITULAR no se hace responsable de los siguientes hechos, ni de fallos, incompatibilidades y/o daños de tus terminales o dispositivos que, en su caso, se pudiesen derivar de la descarga y/o uso de la Aplicación: • Actualización, exactitud, exhaustividad, pertinencia, actualidad y fiabilidad de sus contenidos, cualquiera que sea la causa y las dificultades o problemas técnicos o de otra naturaleza en los que tengan su origen dichos hechos. • La calidad, titularidad, legitimidad, adecuación o pertinencia de los materiales, y demás contenidos. Como USUARIO de la Aplicación te obligas a: • Impedir el acceso de terceras personas no autorizadas a la aplicación desde tu dispositivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/99 • Notificar al TITULAR con carácter inmediato cualquier indicio de la existencia de una violación en la seguridad en la Aplicación, de usos inapropiados o prohibidos de los servicios prestados desde la misma, o de fallos de seguridad de cualquier índole. • Hacer buen uso de los contenidos, información y servicios prestados desde o a través de la Aplicación, conforme a la ley, la buena fe y a las buenas costumbres generalmente aceptadas, comprometiéndose expresamente a: o Abstenerse de realizar prácticas o usos de los servicios con fines ilícitos, fraudulentos, lesivos de derechos o intereses del TITULAR o de terceros, infractores de las normas contenidas en el presente documento. o Abstenerse de realizar cualquier tipo de acción que pudiera inutilizar, sobrecargar o dañar sistemas, equipos o servicios de la Aplicación o accesibles directa o indirectamente a través de esta. o Respetar los derechos de propiedad intelectual e industrial del TITULAR y de terceros sobre los contenidos, información y servicios prestados desde o a través de la Aplicación, absteniéndose con carácter general de copiar, distribuir, reproducir o comunicar en forma alguna los mismos a terceros, de no mediar autorización expresa y por escrito del TITULAR o de los titulares de dichos derechos. o No proporcionar información falsa en la Aplicación, siendo el único responsable de la comunicación real y veraz. o No suplantar la personalidad de un tercero. El USUARIO de la Aplicación es el único responsable del uso que decida realizar de los servicios de Radar COVID. El incumplimiento de las obligaciones como USUARIO podrá implicar la baja inmediata de la Aplicación y/o sus servicios; todo ello sin derecho a recibir compensación de ningún tipo, y sin perjuicio de las correspondientes acciones legales a que por parte del TITULAR hubiere lugar. El TITULAR no será responsable en ningún caso de la utilización indebida de Radar COVID y de sus contenidos, siendo el USUARIO el único responsable por los daños y perjuicios que pudieran derivarse de un mal uso de estos o de la infracción de lo dispuesto en las presentes condiciones en que pueda incurrir. El USUARIO se compromete a mantener indemne al TITULAR frente a las reclamaciones o sanciones que pudiera recibir de terceros, ya sean particulares o entidades públicas o privadas, por razón de dichas infracciones, así como frente a los daños y perjuicios de todo tipo que pueda sufrir como consecuencia de las mismas. En cualquier caso, el TITULAR se reserva, en cualquier momento y sin necesidad de previo aviso, el derecho de modificar o eliminar el contenido, estructura, diseño, servicios y condiciones de acceso y/o uso de esta Aplicación, siempre que lo estime oportuno, siempre que dicho cambio no afecte a los principios y derechos de protección de datos, así como el derecho interpretar las presentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/99 condiciones, en cuantas cuestiones pudiera plantear su aplicación. Asimismo, queda prohibida la reproducción, distribución, transmisión, adaptación o modificación, por cualquier medio y en cualquier forma, de los contenidos de Radar COVID o sus cursos (textos, diseños, gráficos, informaciones, bases de datos, archivos de sonido y/o imagen, logos y demás elementos de estos sitios), salvo autorización previa de sus legítimos titulares. La enumeración anterior tiene mero carácter enunciativo y no es, en ningún caso, exclusivo ni excluyente en ninguno de sus puntos. En todos los supuestos, El TITULAR EXCLUYE CUALQUIER RESPONSABILIDAD POR LOS DAÑOS Y PERJUICIOS DE CUALQUIER NATURALEZA DERIVADOS DIRECTA O INDIRECTAMENTE DE LOS MISMOS Y DE CUALESQUIERA OTROS NO ESPECIFICADOS DE ANÁLOGAS CARACTERISTICAS. El TITUTAR NO OFRECE NINGUNA GARANTÍA, EXPRESA, IMPLÍCITA, LEGAL O VOLUNTARIA. EL TITULAR EXCLUYE EXPRESAMENTE TODAS LAS GARANTÍAS IMPLÍCITAS, INCLUYENDO, A TÍTULO ENUNCIATIVO, PERO NO LIMITATIVO, CUALQUIER GARANTÍA IMPLÍCITA O SANEAMIENTO DE VICIOS OCULTOS, COMERCIABILIDAD, CALIDAD SATISFACTORIA, TÍTULO, IDONEIDAD DEL PRODUCTO PARA UN PROPÓSITO EN PARTICULAR Y CUALQUIER GARANTÍA O CONDICIÓN DE NO INFRACCIÓN. ESTA EXCLUSIÓN DE RESPONSABILIDAD SÓLO SE APLICARÁ EN LA MEDIDA PERMITIDA POR LA LEY IMPERATIVA APLICABLE. 7. Enlaces Radar COVID puede incluir dentro de sus contenidos enlaces con sitios pertenecientes y/o gestionados por terceros con el objeto de facilitar el acceso a información y servicios disponibles a través de Internet. El TITULAR no asume ninguna responsabilidad derivada de la existencia de enlaces entre los contenidos de Radar COVID y contenidos situados fuera de los mismos o de cualquier otra mención de contenidos externos a este sitio, exceptuando aquellas responsabilidades establecidas en la normativa de protección de datos. Tales enlaces o menciones tienen una finalidad exclusivamente informativa y, en ningún caso, implican el apoyo, aprobación, comercialización o relación alguna entre el TITULAR y las personas o entidades autoras y/o gestoras de tales contenidos o titulares de los sitios donde se encuentren, ni garantía alguna del TITULAR por el correcto funcionamiento de los sitios o contenidos enlazados. En este sentido el USUARIO se obliga a poner la máxima diligencia y prudencia en el caso de acceder o usar contenidos o servicios de los sitios a los que acceda en virtud de los mencionados enlaces. 8. Hiperenlaces No se admite la reproducción de páginas de Radar COVID mediante hiperenlace C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/99 desde otra Aplicación móvil o página web, permitiéndose exclusivamente el acceso desde la Aplicación. En ningún caso se podrá dar a entender que el TITULAR autoriza el hiperenlace o que ha supervisado o asumido de cualquier forma los servicios o contenidos ofrecidos por la web desde la que se produce el hiperenlace. No se podrán realizar manifestaciones o referencias falsas, incorrectas o inexactas sobre las páginas y servicios del TITULAR. Se prohíbe explícitamente la creación de cualquier tipo de navegador, programa, “browser” o “border environment” sobre las páginas de Radar COVID. No se podrán incluir contenidos contrarios a los derechos de terceros, ni contrarios a la moral y las buenas costumbres aceptadas, ni contenidos o informaciones ilícitas, en la página web desde la que se establezca el hiperenlace. La existencia de un hiperenlace entre una página web y el Radar COVID no implica la existencia de relaciones entre el TITULAR y el propietario de esa página, ni la aceptación y aprobación de sus contenidos y servicios. 9. Ley aplicable y fuero Las presentes condiciones de uso se regirán e interpretarán en todos y cada uno de sus extremos por la Ley Española. En aquellos casos en los que la normativa vigente no prevea la obligación de someterse a un fuero o legislación determinado, el TITULAR y los USUARIOS, con renuncia a cualquier otro fuero que pudiera corresponderles, se someten a los juzgados y tribunales de Madrid capital (España). 10. Información corporativa y contacto Dirección: Calle de Manuel Cortina, 2, 28010 Madrid El soporte al USUARIO en caso de incidencias y/o reclamaciones será principalmente online y atendido a la mayor brevedad: soporte.radarcovid@covid19.gob.es VIGÉSIMO SÉPTIMO: El 12 de agosto de 2020 se elabora por la SEDIA, y según afirma la propia SEDIA, el primer documento de EIPD respecto del proyecto piloto Radar Covid, “cuando se tomó la decisión de que se adaptase el proyecto piloto para su despliegue a nivel nacional”. En dicho documento se afirma la existencia de tratamientos de datos de carácter personal: “Por tanto, en los casos en que, a primera vista, la información no permite singularizar a una persona determinada, esta aún puede ser identificable, porque esa información puede ser combinada con otros datos, tanto si el responsable de su tratamiento tiene conocimiento de ellos como si no, que permitan distinguir a esa persona de otras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/99 A pesar de que tradicionalmente los datos pseudonimizados eran considerados datos anónimos, en la actualidad la pseudonimización ya no se considera un método de anonimización, pues la persona es todavía identificable, aunque sea de forma indirecta. Así, actualmente se considera que los datos pseudonimizados son todavía datos de carácter personal y están sujetos a la normativa sobre protección de datos de carácter personal. En conclusión, en este tratamiento, a pesar de que los usuarios no puedan ser identificados directamente, podrían llegar a ser identificables, realizándose mapas de relaciones entre personas, mediante reidentificación por localización implícita llegando, incluso, a poder identificar la identidad de los contagiados. Debe tenerse en cuenta, en este sentido, que el tratamiento de la información no solo afecta al usuario de la aplicación sino también a la de todos los terceros con los que ha estado en contacto. Una vez dicho lo anterior, partiendo por tanto de que a la actividad de tratamiento en cuestión le aplica la normativa vigente sobre privacidad y protección de datos, y teniendo en cuenta la categoría de datos que podrían llegar a identificar a los usuarios, se procede a analizar la necesidad de realizar una EIPD”. En cuanto a los roles de “Responsables, corresponsables y encargados del tratamiento” dispone: “Por ello, y en virtud de lo dispuesto en el artículo 27.3, los responsables del tratamiento serán las comunidades autónomas, las ciudades de Ceuta y Melilla y el Ministerio de Sanidad, en el ámbito de sus respectivas competencias, que garantizarán la aplicación de las medidas de seguridad preceptivas que resulten del correspondiente análisis de riesgos, teniendo en cuenta que los tratamientos afectan a categorías especiales de datos y que dichos tratamientos serán realizados por administraciones públicas obligadas al cumplimiento del Esquema Nacional de Seguridad. En este caso el titular de la aplicación es la Secretaría General de Administración Digital dependiente del Ministerio de Asuntos Económicos y Transformación Digital, que también se constituye como Responsable del Tratamiento. La aplicación ha sido desarrollada a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA)”. Respecto de los datos personales tratados confirma los siguientes: “De esta forma, los datos generados o a los que accede la aplicación, son los siguientes: · La aplicación genera datos de proximidad (claves de exposición temporal con las que el dispositivo del usuario ha generado los códigos aleatorios o Identificador de proximidad rodante - RPI), que son datos generados mediante el intercambio de señales de Bluetooth de baja energía (BLE) entre dispositivos dentro de una distancia relevante desde el punto de vista epidemiológico y durante un tiempo relevante también desde el punto de vista epidemiológico. Estos datos se comunicarán a las autoridades sanitarias únicamente cuando se haya confirmado que un usuario en cuestión está infectado de COVID-19 y a condición de que la persona opte por que así se haga, es decir, de manera voluntaria. · Dato mediante el que el usuario es advertido previamente de un contacto de riesgo. Estos datos permiten estimar cuántos usuarios son advertidos por la apliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/99 cación de un riesgo potencial de contagio, sin poder rastrear su identidad, y le permite al Servicio Nacional de Salud preparar las iniciativas y los recursos necesarios para atender a los usuarios que han recibido la notificación. · El día en que el usuario desarrolló síntomas compatibles con COVID-19. · Código (QR) proporcionado por las autoridades sanitarias para permitir al usuario activar una alerta de advertencia. Este número de 12 cifras será proporcionado por las autoridades sanitarias, que lo enviarán después de dar positivo. Este número no deja de ser la "confirmación" que efectivamente el usuario ha dado positivo y no se trata de un usuario aleatorio intentando enviar alertas falsas. · La dirección IP que utiliza el dispositivo para conectarse a Internet. En este sentido cabe traer a colación la Sentencia del Tribunal Supremo de 3 de octubre de 2014, en cuyo Fundamento de Derecho número cuatro establece que «no cabe duda que, a partir de la dirección IP puede identificarse directa o indirectamente la identidad del interesado, ya que los proveedores de acceso a internet tienen constancia de los nombres, teléfono y otros datos identificativos de los usuarios a los que han asignado las particulares direcciones IP». La Sentencia confirma que las direcciones IP son datos personales ya que contienen información concerniente a personas identificadas o identificables. (…) Por tanto, como consecuencia de lo anterior, cualquier sistema de seguimiento de proximidad que verifique una base de datos pública de claves de diagnóstico contra identificadores cambiantes de proximidad (rolling proximity identifiersRPID) en el dispositivo de un usuario deja abierta la posibilidad de que los contactos de una persona infectada descubran cuál de las personas que encontraron es infectado. Además, el hecho de que los usuarios infectados compartan públicamente sus claves de diagnóstico una vez al día, en lugar de sus RPID cada pocos minutos, expone a esas personas a ataques de enlace. Por ello, hay que prestar especial atención a esta probabilidad ya que en el caso de que un usuario de la aplicación pudiera ser identificado, la privacidad quedaría enormemente amenazada, pudiendo resultar afectados todo tipo de datos personales como: · Datos de salud, · Localización, · Contactos, · Correo electrónico, · Registro de llamadas, · SMS y mensajería instantánea, · Identidad del interesado, · Identidad del teléfono (es decir, nombre del teléfono) · Historial de navegación, · Credenciales de autenticación para los servicios de la sociedad de la información (en particular los servicios con características sociales) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/99 · Fotografías y vídeos · Datos biométricos (por ejemplo, modelos de reconocimiento facial y huellas dactilares)”. Respecto de la finalidad del tratamiento, lo determinan, ligándolo a las funcionalidades de la aplicación: “Cada una de las distintas funcionalidades de la aplicación obedece a determinados fines: · La finalidad principal de la App es informar a las personas que hayan estado muy cerca de alguien que resulte ser un portador confirmado del virus, a fin de romper las cadenas de transmisión lo antes posible. De esta manera, la aplicación permite identificar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a autocuarentena o a las pruebas correspondientes. · Para ello la App mantiene los contactos de las personas que utilizan la aplicación y que pueden haber estado expuestas a la infección de la COVID-19. · Cuando una persona da positivo en el test de COVID-19 y decida compartir libremente este dato, la App alerta a aquellas otras personas que podrían haber sido infectadas y con las que se haya tenido contacto los últimos 14 días. Para ello, esta persona deberá compartir un número de 12 cifras que será proporcionado por las autoridades sanitarias. El móvil realiza una comprobación de si los ID aleatorios coinciden con alguno que haya sido marcado como positivo. · Se determina el día en que el usuario desarrolló síntomas compatibles con COVID-19 y fecha de contacto con personas infectadas”. Del estudio del ciclo de vida de los datos se indica que la captura de los datos se produce con el “Acceso a información almacenada en el dispositivo móvil en el momento de la instalación de la App”. VIGÉSIMO OCTAVO: Con fecha 19 de agosto de 2020 el Consejo Interterritorial del Sistema Nacional de Salud, firma un “Acuerdo de uso de la aplicación “Radar COVID”, en fase de pruebas, por parte de las Comunidades Autónomas y Ciudades Autónomas” que dice: Para contribuir a estas tareas de búsqueda activa de contactos estrechos de casos confirmados, desde la Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA), se ha desarrollado, en coordinación con otros miembros de la UE y la red de eHealth, una herramienta digital para complementar las tareas de búsqueda manual de contactos que llevan a cabo los correspondientes servicios de las comunidades y ciudades autónomas. (…) Durante el mes de julio de 2020, la Secretaría General de Administración Digital, órgano directivo dependiente de la Secretaría de Estado de Digitalización e Inteligencia Artificial, llevó a cabo con éxito un proyecto piloto para comprobar el funcionamiento de esta aplicación en la isla de la Gomera. (…) El presente Acuerdo temporal permite establecer los términos de uso por parte de las comunidades y ciudades autónomas de la aplicación “RADAR COVID” durante dicha fase de pruebas, hasta la fecha de total operatividad de la misma, que se producirá mediante la adhesión a la aplicación a través de los oportunos convenios bilaterales de la Secretaría de Estado de Digitalización e Inteligencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/99 Artificial con las diferentes comunidades y ciudades autónomas. En el punto 5 se dice: 5. En relación con el tratamiento de datos de carácter personal, y en aplicación del régimen previsto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, durante la vigencia de este Acuerdo, el responsable del tratamiento será el Ministerio de Sanidad y, en su respectivo territorio, cada una de las comunidades y ciudades autónomas que se vayan incorporando durante la fase de pruebas al uso de la aplicación, ostentando plenamente sus competencias en materia sanitaria. El encargado del tratamiento será, en ambos casos, la Secretaría de Estado de Digitalización e Inteligencia Artificial. VIGÉSIMO NOVENO: Consta el Documento técnico “Procedimiento de implementación de la App Radar COVID como complemento a los sistemas manuales de identificación de contactos” en su versión de 14 de agosto de 2020, coordinado por: - Centro de Coordinación de Alertas y Emergencias Sanitarias. - Dirección General de Salud Pública, Calidad e Innovación. TRIGÉSIMO: A nivel nacional, la puesta en servicio de la App Radar COVID se produce en fecha 19 de agosto de 2020. TRIGÉSIMO PRIMERO: Con fecha 26 de agosto de 2020 se celebra la reunión para determinar la situación del proyecto y los próximos pasos. Los asistentes son: Persona SEDIA / CCAA / Mº Sanidad / Minsait A.A.A. C.C.C. Y.Y.Y. Dª T.T.T. I.I.I. N.N.N. Ñ.Ñ.Ñ. SEDIA SEDIA SEDIA SEDIA Minsait Minsait Minsait TRIGÉSIMO SEGUNDO: Consta una primera versión del documento “Análisis de Riesgos Servicio Radar Covid19” fechado en agosto de 2020, elaborado por MINTSAIT an INDRA COMPANY. TRIGÉSIMO TERCERO: Consta una segunda versión del documento “Análisis de Riesgos Servicio Radar Covid19” fechado en septiembre de 2020, elaborado por MINTSAIT an INDRA COMPANY. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 47/99 El principal objetivo del Análisis de Riesgos es determinar el nivel de riesgo al que están expuestos los activos del Servicio Radar Covid19, teniendo en cuenta las amenazas a las que están expuestos y el nivel de eficacia de los controles implantados actualmente para protegerlos. El Análisis de Riesgos está basado en la información aportada por los responsables técnicos de INDRA y los responsables del desarrollo, puesta en marcha e implantación de la Aplicación Radar Covid19, quienes conocen la infraestructura y que, por tanto, pueden conocer el grado de implantación de cada una de las medidas de seguridad del Anexo II del Esquema Nacional de Seguridad. Por otra parte, el presente documento se ha elaborado con la información recabada hasta su fecha de edición, por lo que, salvo indicación expresa, los cambios realizados después de esta fecha no se verán reflejados en el mismo. Como se ha comentado anteriormente, el nivel del riesgo se puede clasificar en una escala de 0 a 10, siendo el valor 0 el riesgo despreciable y el valor 10 el riesgo extremadamente crítico. Teniendo en cuenta dicha escala, y tomando como métrica para el nivel de riesgo el mayor valor de riesgo identificado en un activo, el resultado del Análisis de Riesgos determina un Nivel de Riesgo Actual = {2,6}. Atendiendo a los niveles mínimos de madurez requeridos por el Esquema Nacional de Seguridad y tomando para el riesgo objetivo la misma métrica que se ha tomado para el riesgo residual, es decir, el mayor valor de riesgo identificado en un activo, el objetivo que se propone alcanzar en el proceso de mitigación de riesgos quedaría establecido en un Nivel de Riesgo Objetivo = {1,8}. Se recomienda abordar un conjunto de acciones para mejorar las medidas de seguridad existentes actualmente, con el objeto de ajustar el nivel de riesgo del Servicio Radar Covid19 a un nivel BAJO. Estas acciones se han focalizado en las medidas de seguridad que pueden minimizar las amenazas que aportan un nivel de riesgo MEDIO en el presente Análisis de Riesgos. Estas acciones permitirán alcanzar el nivel de Riesgo Objetivo propuesto, ya que aumentarían el grado de madurez de las medidas de seguridad Mp.info.4 Firma electrónica y Op.acc.5 Mecanismos de autenticación. Las acciones propuestas en este caso son: Utilizar certificados cualificados para la firma digital que se utiliza en el servicio de verificación de los positivos. Verificar que los elementos criptográficos hardware del AWS Multi-Factor Authentication (MFA) utilizan algoritmos y parámetros acreditados por el CCN. Además se recomienda revisar el mecanismo de control de acceso a la Base de Datos PostgreSQL para concluir que cumple con los requisitos de nivel alto. TRIGÉSIMO CUARTO Con fecha 9 de septiembre de 2020 el METD publica esta nota de prensa: “La aplicación móvil RadarCOVID completa su implantación en trece comunidades autónomas, que abarcan el 70% de la población, y libera su código. (…) A falta de esa necesaria integración, la aplicación está activa y funcionando en todo el territorio nacional desde el pasado mes de agosto. Eso implica que el terminal ya almacena los identificadores anónimos de los otros terminale