Algunas respuestas de Minsalud sobre Mi Vacuna

Desde comienzos de 2021, periodistas y organizaciones no gubernamentales le han solicitado información al Ministerio de Salud para hacerle seguimiento al Plan de Vacunación contra el Covid-19. Una parte de esas peticiones consultaron los costos, la contratación y la política de privacidad del portal Mi Vacuna, que permite a cualquier ciudadano consultar cuándo y dónde le toca vacunarse. Aunque las primeras solicitudes de información fueron negadas, gracias a la radicación de acciones de tutela de la Fundación para la Libertad de Prensa (Flip) y El Espectador, la entidad respondió algunos interrogantes y desvió la atención sobre otros. (Las preguntas sobre Mi Vacuna que Minsalud no quiere responder)

Mi Vacuna se lanzó el pasado 5 de febrero como antesala de la vacunación contra el COVID-19 en el país. Luego de ingresar el número de cédula y fecha de expedición, los ciudadanos pueden enterarse en qué etapa podrían ser vacunados o postularse entregando otros datos. Hace unas semanas, sin embargo, cientos de usuarios reportaron fallas en el portal, así como la falta de registro de personas que, por sus particularidades médicas, estaban priorizadas, pero no aparecían como tal en Mi Vacuna.

Días después, el Ministerio de Salud confirmó que el portal recibió un ataque informático que cerró la conectividad de la página web y todos los elementos informáticos de la entidad. Según el ministro de Salud, Fernando Ruiz, el ataque “fundamentalmente buscaba dañar y afectar gravemente las bases de datos, especialmente la base de datos de Mi Vacuna”, lo que provocó retrasos en la carga de bases de datos de personas con comorbilidades y grupos especiales, que están siendo priorizadas en la actual etapa de vacunación. Y aunque la entidad dijo que la situación pudo ser controlada, los usuarios siguen reportando quejas.

Mi Vacuna se ideó en diciembre de 2020, se diseñó y desarrolló un mes después y el pasado mes de febrero salió al aire. Según el Minsalud, el portal es una herramienta tecnológica más con las que la entidad cumple sus tareas. El conjunto de bases de datos y aplicativos del ministerio se conocen con el nombre técnico de Sistema Integrado de Información de Salud y Protección Social (SISPRO) y, según la entidad, se financia con recursos del Presupuesto General de la Nación. Es decir, que desarrollar Mi Vacuna no generó costos por fuera de este presupuesto ni requirió contrataciones exclusivas para su desarrollo, sino que las personas que ya estaban contratadas en la oficina de sistemas del ministerio trabajaron en el proyecto.

La cartera de salud asegura que 11 de sus contratistas conformaron el equipo que hizo realidad Mi Vacuna. “Se conformó un equipo de trabajo, con los conocimientos y experiencia requerida para el desarrollo y sostenibilidad de la plataforma, cuya dedicación ha respondido a la necesidad de la tarea y dentro del marco de sus obligaciones en los contratos vigentes. Así mismo, con los servicios tecnológicos contratados para la operación del SISPRO, se ha contado con los elementos de infraestructura tecnológica y conectividad. Por lo anterior, no se adelantaron contrataciones específicas para el desarrollo y actualización de la plataforma Mi Vacuna sino que se dedicaron recursos parciales de estos contratos”, respondió el Ministerio de Salud a El Espectador.

No obstante, la entidad no entregó la cifra exacta de los costos generados por Mi Vacuna, aun cuando esté financiada con recursos del Presupuesto General de la Nación, sino que remitió a los contratos de sus contratistas. Además de este interrogante, siguen abiertos otros sobre Mi Vacuna. Por ejemplo, la Flip le preguntó al Ministerio de Salud si existen procesos de rendición de cuentas o auditorías sobre la implementación del portal web, y si realizó estudios previos para evaluar el posible impacto en los derechos humanos de las personas, por ejemplo, sobre la privacidad, el hábeas data y la libertad de expresión. Esta información, según la Flip, ayudaría a evaluar la eficacia, periodicidad y posibles vulnerabilidades de Mi Vacuna.

En medio de un trámite de tutela, el ministerio respondió que en la implementación de Mi Vacuna se tuvieron en cuenta políticas de seguridad de la entidad relacionadas con la protección de datos personales, privacidad y con el desarrollo seguro de software. Y agregó que el impacto en los derechos humanos de las personas “corresponde al derecho a la vida y a la salud, que se consigue con la aplicación y protección que ofrecen las vacunas. Se evalúa en diferentes métricas y se obtiene en las consultas y reportes que ofrece el sistema, por ejemplo, el número de personas que han accedido a la plataforma, el número de personas priorizadas, entre otros”. Sin embargo, el Minsalud no remitió a la Flip la documentación sobre estudios que analicen de forma detallada el impacto

Otra de las preguntas de la Flip que no fue resuelta de forma clara por el ministerio tiene que ver con el cumplimiento de la Ley 1581 de 2012 sobre manejo de datos personales. La Flip pidió al ministerio indicar cómo se asegura que los datos que utiliza el portal se adaptan a los principios de “legalidad, finalidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad”. El ministerio citó un artículo del decreto que le dio vida a Mi Vacuna, que habla sobre el tratamiento de la información, pero no explicó acciones concretas. “Cuando se ingresa a Mi Vacuna se dispone los términos de uso para que la persona que ingresa conozca el alcance del uso del portal”, añadió el Minsalud.

La Flip también preguntó por el código fuente del software utilizado para la implementación de Mi Vacuna, con el fin de poder auditarlo de forma independiente. Este código permite a los expertos en programación verificar qué hace realmente el portal y si tiene fallas de seguridad. Respecto a éste, el Ministerio de Salud solo dijo que Mi Vacuna es de su propiedad y que está en el proceso de registro ante la Dirección Nacional de Derechos de Autor, sin entregar el código. Juan Carlos Upegui, coordinador de la línea de Transparencia de Dejusticia y profesor de la Universidad Externado, dijo a El Espectador que para conocer bien qué hace realmente una aplicación no basta con ver los términos y condiciones, por lo que se debe mirar el código fuente que, en lenguaje de programación, es el que le da las instrucciones a la máquina para que haga o no ciertas cosas; y que éste debería ser público.

Expertos en derechos humanos en entornos digitales han librado peleas jurídicas por códigos fuente de aplicaciones en medio del covid, como CoronApp, que se creó hace un año para atender la pandemia y recopila datos personas de los ciudadanos, pero no se sabe con certeza para qué sirve. Según el Gobierno, permite reportar síntomas, entregar información personal, hace las veces de pasaporte para movilidad y rastreo de contactos. Pero la organización Dejusticia dice que ha sido imposible saber si realmente esa aplicación hace todo lo que promete, porque la Agencia Nacional Digital y el Instituto Nacional de Salud le negaron el acceso al código fuente. El caso se debatió en una acción de tutela, que fue negada en primera y segunda instancias, y se espera que la Corte Constitucional se pronuncie.

Finalmente, el Ministerio de Salud se refirió a las medidas para evitar la filtración de los datos de Mi Vacuna y aseguró que cuenta con un sistema de gestión de seguridad, que contiene una guía de gestión interna ante eventos, incidentes o ataques de seguridad digital y/o ciberseguridad. Y añadió que tiene comunicación directa con los entes de ciberseguridad tales como el Equipo de Respuesta a Incidentes de Seguridad Informática de la Policía Nacional y la Dirección Nacional de Inteligencia, quienes realizan verificaciones permanentes de posibles vulnerabilidades técnicas. La Fundación Karisma afirma que Mi Vacuna parece diseñada pensando en seguridad digital con un propósito concreto, y está controlada y conectada al sistema sanitario.

Desde comienzos de 2021, periodistas y organizaciones no gubernamentales le han solicitado información al Ministerio de Salud para hacerle seguimiento al Plan de Vacunación contra el Covid-19. Una parte de esas peticiones consultaron los costos, la contratación y la política de privacidad del portal Mi Vacuna, que permite a cualquier ciudadano consultar cuándo y dónde le toca vacunarse. Aunque las primeras solicitudes de información fueron negadas, gracias a la radicación de acciones de tutela de la Fundación para la Libertad de Prensa (Flip) y El Espectador, la entidad respondió algunos interrogantes y desvió la atención sobre otros. (Las preguntas sobre Mi Vacuna que Minsalud no quiere responder)

Mi Vacuna se lanzó el pasado 5 de febrero como antesala de la vacunación contra el COVID-19 en el país. Luego de ingresar el número de cédula y fecha de expedición, los ciudadanos pueden enterarse en qué etapa podrían ser vacunados o postularse entregando otros datos. Hace unas semanas, sin embargo, cientos de usuarios reportaron fallas en el portal, así como la falta de registro de personas que, por sus particularidades médicas, estaban priorizadas, pero no aparecían como tal en Mi Vacuna.

Días después, el Ministerio de Salud confirmó que el portal recibió un ataque informático que cerró la conectividad de la página web y todos los elementos informáticos de la entidad. Según el ministro de Salud, Fernando Ruiz, el ataque “fundamentalmente buscaba dañar y afectar gravemente las bases de datos, especialmente la base de datos de Mi Vacuna”, lo que provocó retrasos en la carga de bases de datos de personas con comorbilidades y grupos especiales, que están siendo priorizadas en la actual etapa de vacunación. Y aunque la entidad dijo que la situación pudo ser controlada, los usuarios siguen reportando quejas.

Mi Vacuna se ideó en diciembre de 2020, se diseñó y desarrolló un mes después y el pasado mes de febrero salió al aire. Según el Minsalud, el portal es una herramienta tecnológica más con las que la entidad cumple sus tareas. El conjunto de bases de datos y aplicativos del ministerio se conocen con el nombre técnico de Sistema Integrado de Información de Salud y Protección Social (SISPRO) y, según la entidad, se financia con recursos del Presupuesto General de la Nación. Es decir, que desarrollar Mi Vacuna no generó costos por fuera de este presupuesto ni requirió contrataciones exclusivas para su desarrollo, sino que las personas que ya estaban contratadas en la oficina de sistemas del ministerio trabajaron en el proyecto.

La cartera de salud asegura que 11 de sus contratistas conformaron el equipo que hizo realidad Mi Vacuna. “Se conformó un equipo de trabajo, con los conocimientos y experiencia requerida para el desarrollo y sostenibilidad de la plataforma, cuya dedicación ha respondido a la necesidad de la tarea y dentro del marco de sus obligaciones en los contratos vigentes. Así mismo, con los servicios tecnológicos contratados para la operación del SISPRO, se ha contado con los elementos de infraestructura tecnológica y conectividad. Por lo anterior, no se adelantaron contrataciones específicas para el desarrollo y actualización de la plataforma Mi Vacuna sino que se dedicaron recursos parciales de estos contratos”, respondió el Ministerio de Salud a El Espectador.

No obstante, la entidad no entregó la cifra exacta de los costos generados por Mi Vacuna, aun cuando esté financiada con recursos del Presupuesto General de la Nación, sino que remitió a los contratos de sus contratistas. Además de este interrogante, siguen abiertos otros sobre Mi Vacuna. Por ejemplo, la Flip le preguntó al Ministerio de Salud si existen procesos de rendición de cuentas o auditorías sobre la implementación del portal web, y si realizó estudios previos para evaluar el posible impacto en los derechos humanos de las personas, por ejemplo, sobre la privacidad, el hábeas data y la libertad de expresión. Esta información, según la Flip, ayudaría a evaluar la eficacia, periodicidad y posibles vulnerabilidades de Mi Vacuna.

En medio de un trámite de tutela, el ministerio respondió que en la implementación de Mi Vacuna se tuvieron en cuenta políticas de seguridad de la entidad relacionadas con la protección de datos personales, privacidad y con el desarrollo seguro de software. Y agregó que el impacto en los derechos humanos de las personas “corresponde al derecho a la vida y a la salud, que se consigue con la aplicación y protección que ofrecen las vacunas. Se evalúa en diferentes métricas y se obtiene en las consultas y reportes que ofrece el sistema, por ejemplo, el número de personas que han accedido a la plataforma, el número de personas priorizadas, entre otros”. Sin embargo, el Minsalud no remitió a la Flip la documentación sobre estudios que analicen de forma detallada el impacto

Otra de las preguntas de la Flip que no fue resuelta de forma clara por el ministerio tiene que ver con el cumplimiento de la Ley 1581 de 2012 sobre manejo de datos personales. La Flip pidió al ministerio indicar cómo se asegura que los datos que utiliza el portal se adaptan a los principios de “legalidad, finalidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad”. El ministerio citó un artículo del decreto que le dio vida a Mi Vacuna, que habla sobre el tratamiento de la información, pero no explicó acciones concretas. “Cuando se ingresa a Mi Vacuna se dispone los términos de uso para que la persona que ingresa conozca el alcance del uso del portal”, añadió el Minsalud.

La Flip también preguntó por el código fuente del software utilizado para la implementación de Mi Vacuna, con el fin de poder auditarlo de forma independiente. Este código permite a los expertos en programación verificar qué hace realmente el portal y si tiene fallas de seguridad. Respecto a éste, el Ministerio de Salud solo dijo que Mi Vacuna es de su propiedad y que está en el proceso de registro ante la Dirección Nacional de Derechos de Autor, sin entregar el código. Juan Carlos Upegui, coordinador de la línea de Transparencia de Dejusticia y profesor de la Universidad Externado, dijo a El Espectador que para conocer bien qué hace realmente una aplicación no basta con ver los términos y condiciones, por lo que se debe mirar el código fuente que, en lenguaje de programación, es el que le da las instrucciones a la máquina para que haga o no ciertas cosas; y que éste debería ser público.

Expertos en derechos humanos en entornos digitales han librado peleas jurídicas por códigos fuente de aplicaciones en medio del covid, como CoronApp, que se creó hace un año para atender la pandemia y recopila datos personas de los ciudadanos, pero no se sabe con certeza para qué sirve. Según el Gobierno, permite reportar síntomas, entregar información personal, hace las veces de pasaporte para movilidad y rastreo de contactos. Pero la organización Dejusticia dice que ha sido imposible saber si realmente esa aplicación hace todo lo que promete, porque la Agencia Nacional Digital y el Instituto Nacional de Salud le negaron el acceso al código fuente. El caso se debatió en una acción de tutela, que fue negada en primera y segunda instancias, y se espera que la Corte Constitucional se pronuncie.

Finalmente, el Ministerio de Salud se refirió a las medidas para evitar la filtración de los datos de Mi Vacuna y aseguró que cuenta con un sistema de gestión de seguridad, que contiene una guía de gestión interna ante eventos, incidentes o ataques de seguridad digital y/o ciberseguridad. Y añadió que tiene comunicación directa con los entes de ciberseguridad tales como el Equipo de Respuesta a Incidentes de Seguridad Informática de la Policía Nacional y la Dirección Nacional de Inteligencia, quienes realizan verificaciones permanentes de posibles vulnerabilidades técnicas. La Fundación Karisma afirma que Mi Vacuna parece diseñada pensando en seguridad digital con un propósito concreto, y está controlada y conectada al sistema sanitario.