El hispabot COVID-19

EL HISPABOT COVID-19, UN EJEMPLO DEL POTENCIAL DE LAS NUEVAS TECNOLOGÍAS  Y DE LOS RIESGOS QUE IMPLICA RESPECTO A LA PRIVACIDAD DE LOS USUARIOS

Ante la pandemia del COVID-19, tecnologías como el Big Data y la Inteligencia Artificial nos pueden ayudar a comprender y hacer frente al virus de un modo sin precedentes. Ejemplo de ello es el llamado “Hispabot COVID-19”, un chatbot o asistente virtual lanzado por el Gobierno que, a través de WhatsApp, cualquier ciudadano puede hacer consultas sobre el virus y obtener respuestas de modo inmediato.

Dicha solución tecnológica, permite que los ciudadanos tengamos acceso a respuestas oficiales, evitando así las famosas fake news sobre el virus. Asimismo, permite relajar el volumen de las consultas telefónicas que los ciudadanos puedan hacer a centros médicos, aumentando la eficiencia del sistema sanitario y garantizando otras líneas de apoyo.

En resumen, se trata de una iniciativa que conlleva enormes beneficios para la sociedad. No obstante, ¿Qué ocurre con los datos que se almacenan en dichas conversaciones? ¿Se garantiza mi anonimato? ¿Se instalan paquetes de seguimiento o tracking en mi dispositivo como por ejemplo podrían ser las cookies? ¿A qué datos e información va a tener acceso el Gobierno, y, en particular, WhatsApp? ¿Y, considerando que la ciberdelincuencia está en auge estos días, qué medidas técnicas y organizativas se han establecido para garantizar la seguridad de mis datos?

En líneas generales, las respuestas a las anteriores preguntas las encontramos en la política de privacidad. Y, si usamos el chatbot en cuestión, veremos que el primer mensaje que recibimos ya nos informa de que las comunicaciones quedan cifradas, que son anónimas, y, nos facilitan un link en el que podemos consultar la política de privacidad en su totalidad.

No obstante, hay algunas cuestiones que no se tratan en la información que nos entrega el Gobierno, como por ejemplo, las medidas que garantizan dicho anonimato o las cookies que potencialmente puedan instalarse. Una falta de transparencia al que se le suma la reputación reciente de WhatsApp y el grupo empresarial de Facebook (del cual forma parte) sobre sus irregularidades en la salvaguarda de la privacidad y seguridad de los datos almacenados (tal y como puso de manifiesto el escándalo de Cambridge Analytics).

En especial, respecto al anonimato que asegura el Gobierno que existe en el chatbot, cabe recordar que suprimir o enmascarar los atributos de carácter identificador no resulta suficiente para garantizar la anonimidad de los sujetos, ya que es posible que campos comunes en diferentes fuentes de datos, al ser agrupados y cruzados de una manera determinada, se conviertan en un factor seudoidentificador que llegue a comprometer la privacidad de los usuarios. Y, en WhatsApp, existe una enorme cantidad de datos que se recogen, entre ellos, fecha y hora de las conversaciones, su duración y mensajes intercambiados, así como geolocalización del usuario y direcciones IP del emisor y receptor, etc.

En conclusión, nos encontramos ante una solución tecnológica que puede ser muy útil en situaciones como la del COVID-19, pero que genera inquietudes y falta de transparencia respecto al tratamiento de los datos y medidas de seguridad. Por lo que deberíamos preguntarnos si, efectivamente, WhatsApp es el mejor medio para ofrecer una solución de este tipo, y, si en caso de serlo, por qué no se informa claramente al usuario de todo aquello que exige la normativa vigente en materia de protección de datos y seguridad de la información, tal y como distintos expertos han estado denunciando recientemente.

En efecto, si bien las nuevas tecnologías pueden ofrecer innumerables beneficios para la sociedad, resulta imprescindible acoplarlas a las exigencias normativas. Ello  no implica agotar las posibilidades de dichas tecnologías, sino que se trata de encontrar vías legales seguras que permitan exprimir su uso y al mismo tiempo salvaguardar las libertades y derechos fundamentales de los usuarios. En consecuencia, como empresa, transmitiremos ya no sólo una imagen de confianza y profesionalidad en el mercado, sino que además estaremos protegidos ante posibles inspecciones y reclamaciones potenciales de los usuarios.

Para ello, es necesario implementar el famoso “Privacy and Data Protection by design and by default”, es decir, establecer la Privacidad y Protección de Datos desde el Diseño y por Defecto. De modo que, ya en fases iniciales del desarrollo del proyecto tecnológico, se estudien y analicen los riegos respecto a la normativa vigente en materia de protección de datos y seguridad de la información, para vislumbrar las soluciones jurídicas y técnicas necesarias a adoptar.

El Hispabot COVID-19, es un buen ejemplo de lo que la tecnología es capaz, y, es notorio que ha existido un esfuerzo en implementar la privacidad y protección de datos desde el diseño y por defecto, con un cifrado de comunicación de datos, una aparente anonimización de los mismos y una política de privacidad accesible desde el primer momento. No obstante, el aplicativo ha fallado en aclarar algunas cuestiones esenciales, como medidas de seguridad, técnicas de anonimato y uso de componentes de análisis comportamental o tracking. Dicha falta de transparencia y de organización en la correcta diligencia del Gobierno a la hora de escoger proveedor e implementar una solución tecnológica, podría desencadenar reclamaciones potenciales de los usuarios así como la vulneración de sus derechos y libertades fundamentales.

En DATAX, somos especialistas en la adecuación e implementación de la privacidad y protección de datos desde el diseño y por defecto en la ‘Industria 4.0.’. Con una larga trayectoria profesional que nos acredita, nuestros clientes pueden efectuar proyectos tecnológicos en línea con la normativa vigente en protección de datos y seguridad de la información, trasladando confianza y profesionalidad en el mercado, eliminando los riesgos de sanción o reclamaciones potenciales de terceros, así como optimizando sus beneficios y recursos.

Javier de Zea

Consultor Legal en materia de protección de datos y seguridad de la información