Hispabot COVID-19

EL ‘HISPABOT COVID-19′, UN EXEMPLE DEL POTENCIAL DE LES NOVES TECNOLOGIES I DELS RISCOS QUE IMPLICA RESPECTE A LA PRIVACITAT DELS USUARIS

Davant la pandèmia del COVID-19, tecnologies com el Big Data i la Intel·ligència Artificial ens poden ajudar a comprendre i fer front al virus d’una manera sense precedents. Exemple d’això és l’anomenat “Hispabot COVID-19″, un chatbot o assistent virtual llançat pel Govern que, a través de WhatsApp, qualsevol ciutadà pot fer consultes sobre el virus i obtenir respostes de manera immediata.
Aquesta solució tecnològica, permet que els ciutadans tinguem accés a respostes oficials, evitant així les famoses fake news sobre el virus. Així mateix, permet relaxar el volum de les consultes telefòniques que els ciutadans puguin fer a centres mèdics, augmentant l’eficiència del sistema sanitari i garantint altres línies de suport.
En resum, es tracta d’una iniciativa que comporta enormes beneficis per a la societat. No obstant això, Què ocorre amb les dades que s’emmagatzemen en aquestes converses? Es garanteix el meu anonimat? S’instal·len paquets de seguiment o tracking en el meu dispositiu com per exemple podrien ser les cookies? A quines dades i informació tindrà accés el Govern, i, en particular, WhatsApp? I, considerant que la ciberdelinqüència està en auge aquests dies, quines mesures tècniques i organitzatives s’han establert per a garantir la seguretat de les meves dades?
En línies generals, les respostes a les anteriors preguntes les trobem en la política de privacitat. I, si usem el chatbot en qüestió, veurem que el primer missatge que rebem ja ens informa que les comunicacions queden xifrades, que són anònimes, i, ens faciliten un enllaç en el qual podem consultar la política de privacitat íntegrament.
No obstant això, hi ha algunes qüestions que no es tracten en la informació que ens lliura el Govern, com per exemple, les mesures que garanteixen aquest anonimat o les cookies que potencialment puguin instal·lar-se. Una falta de transparència al qual se li suma la reputació recent de WhatsApp i el grup empresarial de Facebook (del qual hi forma part) sobre les seves irregularitats en la salvaguarda de la privacitat i seguretat de les dades emmagatzemades (tal com va posar de manifest l’escàndol de Cambridge Analytics).
Especialment, respecte a l’anonimat que assegura el Govern que existeix en el chatbot, cal recordar que suprimir o emmascarar els atributs de caràcter identificador no resulta suficient per a garantir l’anonimat dels subjectes, ja que és possible que camps comuns en diferents fonts de dades, en ser agrupats i creuats d’una manera determinada, es converteixin en un factor seudoidentificador que arribi a comprometre la privacitat dels usuaris. I, en WhatsApp, existeix una enorme quantitat de dades que es recullen, entre ells, data i hora de les converses, la seva durada i missatges intercanviats, així com geolocalització de l’usuari i adreces IP de l’emissor i receptor, etc.
En conclusió, ens trobem davant una solució tecnològica que pot ser molt útil en situacions com la del COVID-19, però que genera inquietuds i falta de transparència respecte al tractament de les dades i mesures de seguretat. Pel que hauríem de preguntar-nos si, efectivament, WhatsApp és el millor mitjà per a oferir una solució d’aquest tipus, i, si en cas de ser-ho, per què no s’informa clarament l’usuari de tot allò que exigeix la normativa vigent en matèria de protecció de dades i seguretat de la informació, tal com diferents experts han estat denunciant recentment.
En efecte, si bé les noves tecnologies poden oferir innombrables beneficis per a la societat, resulta imprescindible adaptar-les a les exigències normatives. Això no implica esgotar les possibilitats d’aquestes tecnologies, sinó que es tracta de trobar vies legals segures que permetin esprémer el seu ús i al mateix temps salvaguardar les llibertats i drets fonamentals dels usuaris. En conseqüència, com a empresa, transmetrem ja no sols una imatge de confiança i professionalitat en el mercat, sinó que a més estarem protegits davant possibles inspeccions i reclamacions potencials dels usuaris.
Per a això, és necessari implementar el famós “Privacy and Data Protection by design and by default“, és a dir, establir la Privacitat i Protecció de Dades des del Disseny i per Defecte. De manera que, ja en fases inicials del desenvolupament del projecte tecnològic, s’estudiïn i analitzin els desafiaments i riscos respecte a la normativa vigent en matèria de protecció de dades i seguretat de la informació, per a entreveure les solucions jurídiques i tècniques necessàries a adoptar.
El Hispabot COVID-19, és un bon exemple del que la tecnologia és capaç, i, és notori que ha existit un esforç a implementar la privacitat i protecció de dades des del disseny i per defecte, amb un xifrat de comunicació de dades, una aparent anonimització dels mateixos i una política de privacitat accessible des del primer moment. No obstant això, l’aplicatiu ha fallat a aclarir algunes qüestions essencials, com a mesures de seguretat, tècniques d’anonimat i ús de components d’anàlisi comportamental o tracking. Aquesta falta de transparència i d’organització en la correcta diligència del Govern a l’hora de triar proveïdor i implementar una solució tecnològica, podria desencadenar reclamacions potencials dels usuaris així com la vulneració dels seus drets i llibertats fonamentals.
A la firma DATAX, som especialistes en l’adequació i implementació de la privacitat i protecció de dades des del disseny i per defecte en la ‘Indústria 4.0.’. Amb una llarga trajectòria professional que ens acredita, on els nostres clients poden efectuar projectes tecnològics en línia amb la normativa vigent en protecció de dades i seguretat de la informació, traslladant confiança i professionalitat en el mercat, eliminant els riscos de sanció o reclamacions potencials de tercers, així com optimitzant els seus beneficis i recursos.

Javier de Zea
Consultor Legal en matèria de protecció de dades i seguretat de la informació