Galicia é unha das comunidades autónomas nas que segue sen implantarse a aplicación RadarCovid, impulsada polo Goberno español para rastrexar os contactos das persoas nas que se confirmou a infección co coronavirus SARS-CoV-2 mediante o protocolo de comunicacións Bluetooth. A data prevista de implantación é a do 15 de setembro, aínda que xa leva máis dunha semana integrada na maioría de comunidades do territorio estatal. Ao tempo, a Xunta de Galicia anunciou hai máis dun mes o lanzamento de Passcovid, unha aplicación propia que se complementaría co uso de RadarCovid ofrecendo “información relevante e consellos sobre a evolución da Covid-19 en Galicia”, así como axudar ao “traceo automático de contactos”. Despois dun período de probas en agosto, anunciouse que estaría activa ao longo deste mesmo mes.
As dúas ferramentas, por diversos motivos, están no foco das dúbidas nas últimas semanas. Hai poucos días un grupo de máis de 100 expertos difundiu o Manifesto en favor da transparencia en desenvolvementos de software públicos, para reclamar que o Goberno español faga pública a documentación e o código que artellan RadarCovid, co fin de identificar posibles melloras e “desenvolver solucións dixitais democráticas, inclusivas e conformes aos máis altos estándares”. E outros expertos en enxeñaría informática e telecomunicacións manifestaron as súas reservas sobre a capacidade de integración da aplicación impulsada pola Xunta coa desenvolvida polo Goberno. A poucos días de que a cidadanía galega se sume á ferramenta de rastrexo, as dúbidas permanecen.
Que se sabe de RadarCovid?
A aplicación, que suma arredor de 3,5 millóns de descargas en España, utiliza a conexión de Bluetooth dos dispositivos móbiles para emitir e observar identificadores anónimos doutros terminais, que van mudando co tempo. Cando dous dispositivos permanecen durante 15 minutos a dous metros de distancia ou menos, os identificadores mutuos gárdanse. No caso de que un dos usuarios do dispositivo dese positivo en PCR por Covid-19, tería a posibilidade de notificar a través da ‘app’ un aviso para enviar alertas aos terminais que estiveron próximos a el.
O seu funcionamento baséase no protocolo DP3T, deseñado por un equipo internacional que coordina a enxeñeira viguesa Carmela Troncoso, da Escola Politécnica Federal de Lausana. Este equipo fixo público hai meses o código e os criterios de deseño cos que traballaba para que fose avaliado pola comunidade científica, co fin de mellorar os posibles erros. Entre outros aspectos, o DP3T “exclúe a utilización de información na ‘app’ que permita desanonimizar os usuarios, como a localización xeográfica; a a’app’ non pode usar e menos aínda transmitir a información captada polo GPS”, explica Fernando Pérez González, catedrático do departamento de Teoría do Sinal e Comunicacións da Universidade de Vigo.
Deste xeito, “agás en ataques relativamente custosos, unha aplicación baseada integramente neste protocolo non presenta riscos significativos para a privacidade”, o que converte o DP3T nun procedemento “enormemente garantista“, ao funcionar de forma descentralizada, xa que “a comprobación de posibles contactos realízase no propio móbil”, engade Pérez González.
Existen dúbidas sobre a integración das dúas ‘apps’ e sobre o código que utilizan para garantir a privacidade dos usuarios e o tratamento dos datos
E de Passcovid?
A Xunta anunciou o lanzamento da súa propia aplicación o 30 de xullo, e o 21 de agosto publicouse no Diario Oficial de Galicia a orde da Consellería de Sanidade pola que se regulaba o seu funcionamento. Durante agosto desenvolveuse unha experiencia piloto que, previsiblemente, dará paso á posibilidade de que a poboación de Galicia comece a usala durante este mes de setembro. A responsable da xestión tecnolóxica e de continuidade, accesibilidade e seguridade do sistema de información é a Axencia para a Modernización Tecnolóxica de Galicia (Amtega).
No texto oficial explícase que Passcovid achegará “información relevante e consellos sobre a evolución da Covid-19 en Galicia, anunciar a adopción de medidas ou os protocolos vixentes, e mesmo trasladar recomendacións sobre o xeito de como afrontar a actual situación sanitaria”. Ao anunciar a posta en marcha da ‘app’, a Xunta avanzou que “servirá de canle de comunicación entre o sistema público de saúde e os cidadáns con información sobre novidades e evolución da pandemia; zonas de risco; datos; indicadores xerais e por concello; recursos e servizos dispoñibles; e recomendacións e información sobre protocolos de protección e seguridade aplicables en cada momento e lugar”.
Onde residen as dúbidas?
“A principal cuestión que se expón acerca de RadarCovid ten que ver coa transparencia do proceso; asumindo que a privacidade se puxo como un dos eixes fundamentais da ‘app’, mesmo por riba da utilidade epidemiolóxica, non parece lóxico que moitos dos aspectos relacionados co seu desenvolvemento sexan confidenciais”, conta Fernando Pérez, que foi un dos expertos asinantes do manifesto que esixe ao Goberno español máis información. Unha das demandas do texto é a publicación do código “para someterse ao escrutinio dos expertos e así establecer que fai estritamente aquilo para o que foi deseñada”, engade Pérez. Este mesmo mércores, despois das reclamacións dos expertos, o Goberno publicou finalmente o código da aplicación.
Cuestións sobre a xeolocalización
No caso de Passcovid, a Amtega sostén que “non é unha ‘app’ de rastrexo”. Con todo, hai unha funcionalidade que está sementando dúbidas entre os expertos. O texto do DOG di que o sistema permitirá “a identificación e a alerta de contactos relevantes epidemioloxicamente con persoas usuarias declaradas como caso de Covid-19″. Nunha nota de prensa, a Xunta aclarou que “a través de Passcovid recibirase o código alfanumérico que debe introducirse en RadarCovid no caso de que, de forma voluntaria, a persoa desexe reportar o positivo“. Ademais, unha das finalidades do sistema recollidas no DOG é a de “facilitar información personalizada sobre o risco transmisor que cada persoa usuaria supón para os demais con base na información que dela dispón o Sistema público de saúde de Galicia”, o que parece colidir co tratamento anónimo dos datos. Con todo, a propia orde expón que a ferramenta deberá cumprir “coas debidas garantías de anonimización” e protección de datos.
A propia Carmela Troncoso, unha das impulsoras de DP3T, manifestou as súas dúbidas sobre a proposta da Xunta a través da súa conta de Twitter, advertindo das dificultades técnicas que podían xurdir: “A app PassCovid tería que integrarse co mecanismo de autorización de RadarCovid para subir códigos. Se isto é posible é dificil de saber, xa que non hai documentación sobre como funciona ese sistema de autorización e cales son as restriccións para utilizalo”, apuntou, ao tempo que cuestionaba “como reconciliar a privacidade que dan os protocolos nos que se basea RadarCovid coa colección de datos que se intúe que fai Passcovid. Pódense manter as garantías? Parece difícil se Passcovid pode non ser anónimo e localizar usuarios”, engadiu Carmela Troncoso. Neste punto, a propia Xunta recoñece que Passcovid contempla a opción de que os usuarios activen a súa xeolocalización para achegar información complementaria sobre os brotes activos nun determinado concello e os protocolos e medidas sanitarias decretadas nel.
A @Xunta anuncia que a súa app (da que seguimos sen saber detalles) está en fase piloto e que vai integrarse con #RadarCOVID:https://t.co/JswOBiEKrN
Pero técnicamente isto pode non ser posible@SEDIAgob @carmeartigas @FeijooGalicia podedes esclarecer? https://t.co/9tzBzRsfRR— Carmela Troncoso (@carmelatroncoso) August 20, 2020
Neste punto, Fernando Pérez expón: “Eu estou completamente a favor de que se poida achegar esta información adicional que permitiría facer un rastrexo moito mellor (por exemplo, identificando focos de contaxios)”. Mais destaca que debe facerse, “por suposto, garantindo que esta información non se emprega para outros fins e que se destrúe cando deixa de ser necesaria”. Con este obxectivo, di Pérez, “PassCovid podería ser un bo complemento a RadarCovid se axudase neste sentido”, mais aclara: “O que técnicamente resulta máis complicado, mesmo se antolla imposible, é incorporar RadarCovid dentro de PassCovid, como se chegou a dicir”.
Alén disto, o catedrático da UVigo salienta que moitas das ‘apps’ con fins comerciais máis usadas e que se instalan nos dispositivos móbiles teñen unha capacidade moito maior para recoller datos dos usuarios. “Comparto a preocupación pola privacidade, pero moitos galegos estarían dispostos a dar máis información se iso vai axudar a acabar antes coa pandemia. Algúns rachan as roupas e constrúen teorías conspiratorias coa privacidade, pero logo autorizan a calquera ‘app’ que acaban de descargar de balde a a acceder á súa lista de contactos e xeolocalización”.
Dúbidas e preocupación con Google e Apple
Hai, con todo, un filtro importante que as aplicacións de rastrexo debe superar: o de Google e Apple, que dominan as plataformas de descarga das aplicacións e a súa implantación nos dispositivos móbiles. Calquera ‘app’, como RadarCovid, precisa do seu permiso para acceder ás chamadas APIs, un conxunto de procedementos que facilitan a integración dun software en calquera dispositivo.
“Estes xigantes tecnolóxicos crearon un funil polo que todas as ‘apps’ deben pasar se desexan facer uso das funcionalidades Bluetooth do móbil sen consumir excesiva batería; o problema é que as interfaces que achegan Google e Apple tampouco son de código de aberto, así que non podemos ter garantías de que non difiran da liña trazada por DP3T”, explica Fernándo Pérez, o que converte ás ‘apps’ de moitos países, incluíndo España, en “reféns de empresas como Google que viven de explotar os nosos datos; aínda que persoalmente neste caso non creo que se estean atrevendo a facelo, non deixa de ser preocupante”.
As aplicacións precisan o permiso de Google e Apple, por tanto, se queren acceder ás notificacións de exposición. E aquí xorden as limitacións con Passcovid, xa que o permiso só se dá unha vez por país, o que obriga a calquera comunidade autónoma a utilizar a ‘app’ do Goberno. E no caso de RadarCovid, explicaba en Twitter Carmela Troncoso, “impide que as ‘apps’ que accedan ás súas APIs recollan localización, nomes ou teñan acceso a Bluetooth que non sexa a través da API, pero Passcovid parece facer todas esas cousas“, o que sementa dúbidas sobre a anonimización dos datos usados.
Desde Amtega expoñen que “a Xunta solicitou ao Estado a posibilidade de incluír en Passcovid a tecnoloxía de traceo automático por Bluetooth, o que permitiría ter nunha mesma ‘app’ todas as funcionalidades e que fose interoperable coa app estatal”, pero o Goberno negou a petición, debido ás limitacións que establecen Google e Apple. Así, a Xunta optou “por un escenario de complementariedade, no que Passcovid permitirá recibir telemáticamente o código alfanumérico que é preciso introducir en RadarCovid para comunicar un positivo”.
Con todo, serán as comunidades autónomas, con competencias en Sanidade, as que deberán notificar e xestionar en último termo o rastrexo de contactos a través de RadarCovid. “Desgraciadamente, Galicia está no furgón de cola neste sentido”, expón Fernando Pérez.
