Apps de COVID-19 en Colombia pasaron del rastreo al control social

La crisis del coronavirus tiene una característica que otras pandemias, como la de la gripe española o la asiática, estaban lejos de conocer: surgió en un mundo digital. No fue sorpresa, entonces, que una gran mayoría de gobiernos, nacionales y locales, apostaran a crear aplicaciones o páginas web para rastrear los contagios por COVID-19 y mitigar el impacto del virus. Pero el coronavirus también se dio en un mundo donde importa más que antes el derecho a la privacidad y a un buen manejo de nuestros datos, lo que hizo que el uso de estas aplicaciones generara muchas preguntas de hasta dónde se estaban respetando nuestras libertades.

“Fácilmente podríamos terminar en una situación en la que, al empoderar al gobierno local, estatal o federal para que tome medidas en respuesta a esta pandemia, cambie fundamentalmente el alcance de los derechos civiles estadounidenses”, advirtió Albert Fox Cahn, director del Surveillance Technology Oversight Project (Proyecto de Supervisión de Tecnología de Vigilancia), en abril de 2020.

Aunque las palabras de Fox hablaban del contexto de Estados Unidos, bien se podrían aplicar a Colombia. Durante 2020, el presidente Duque emitió dos declaraciones de estado de emergencia sanitaria buscando superar la crisis del COVID-19. Además, en un período de cuatro meses en el país no solo surgió Coronapp, una aplicación que tenía el fin de ayudar a detectar zonas y personas afectas por el COVID-19, sino otras plataformas locales como Medellín Me Cuida, Valle Corona y Bogotá Cuidadora. Y a pesar de que aún es muy pronto para conocer si cumplieron alguna función para reducir los casos, un informe realizado por la Fundación Karisma apunta a que más que un sistema de rastreo epidemiológico, se convirtieron en una herramienta de control social.

El documento, titulado “Useless and dangerous: a critical exploration of covid apps and their human rights impacts in Colombia” (“Inútiles y peligrosas: una exploración crítica de las aplicaciones de covid y sus impactos en los derechos humanos en Colombia”), examinó guías de las autoridades de salud, regulaciones locales y nacionales emitidas durante la pandemia, requerimientos legales, noticias en medios de comunicación, análisis técnicos sobre la seguridad digital de las aplicaciones e información que les pidieron a las autoridades para arrojar sus conclusiones.

Lea: ¿Funciona o no la “Coronapp”?

Una de estas, por ejemplo, es que las aplicaciones fallaron en ser efectivas en su misión principal, que era hacer un rastreo epidemiológico. Según explica Juan Diego Castañeda, abogado y coordinador de investigación de Karisma y uno de los tres autores del reporte, “nunca existió una conexión entre las autoridades de salud, las aplicaciones tecnológicas y los gobiernos locales”. De hecho, mucha de la información que recolectó Coronapp nunca llegó a los municipios.

Pero lo que quizá más preocupa a los autores es que las plataformas cumplieron un rol a la hora de restringir derechos fundamentales y se centraron en el control del comportamiento de las personas.

En el caso de Medellín Me Cuida, que se trata de una página web, el reporte explica que la versión para familias no solo pedía datos personales, reporte de síntomas y enfermedades base, sino información de miembros que viven con uno y el número de contrato con Empresas Públicas de Medellín, “lo que permite georreferenciar la ubicación del hogar”. En su versión empresarial, montar la información a la plataforma se convirtió en un requisito para que las personas que tenían que romper la cuarentena, por ciertas excepciones laborales, recibieran la autorización del gobierno local. Y también se les exigió a las tiendas que revisaran a través de la plataforma si las personas que entraban al local estaban autorizadas. “Con esto la administración amplió las funcionalidades de la aplicación y la convirtió en un pasaporte de movilidad, verificador de identidad, registro de clientes comerciales y asignador de permisos de funcionamiento para empresas”.

Sumado a esto, dice el documento, el “gobierno local conectó Medellín Me Cuida a otra aplicación utilizada por la Policía para verificar los antecedentes penales de los ciudadanos”. “En este punto ya estamos hablando de una plataforma que controla a la gente, lo que, además, resultó en violencia”, cuenta Castañeda. En la investigación, por ejemplo, hablan de casos en que a las personas se les bloqueó la tarjeta para subirse al metro de Medellín cuando reportaban contagios o no eran parte de las excepciones para movilizarse.

La Alcaldía de Medellín, sin embargo, explicó a El Espectador que se garantizaron todos los derechos a la privacidad y seguridad. “Cuando se realiza el registro tanto de empresas como de ciudadanos, se exponen las políticas de uso de cada una de las plataformas y además solicita la aprobación del tratamiento de datos, según el Decreto 1096 del 2018, el cual se expone igualmente para conocimiento del público”. Afirman, además, que “los términos y condiciones para cada uno de los módulos de Medellín me Cuida son bastante claros en cuanto al tratamiento de los datos, el consumo de la información y seguridad de esta, y en este sentido la Alcaldía de Medellín no ha obrado de manera diferente según esos acuerdos”.

La información que han recolectado de los 2’315.231 de personas registradas en la plataforma, las 163.674 empresas, el 1’704.646 de empleados y 731 establecimientos educativos, les ha servido para generar alertas a las secretarías de Salud y EPS, así como crear cercos epidemiológicos para definir estrategias de mitigación y contención.

Le puede interesar: Las preguntas sobre Mi Vacuna que Minsalud no quiere responder

Ninguna tecnología es peligrosa por sí sola, sus riesgos vienen de cómo se usen y quiénes las regulen. En Colombia, cuenta Castañeda, hubo dos reglas del juego que cambiaron durante la pandemia, lo que debilitó la seguridad de nuestros datos. La primera fue la Circular 001 de la Superintendencia de Industria y Comercio, que autorizó a las empresas privadas, sobre todo a los operadores celulares, a compartir los datos de los clientes a las autoridades. La segunda fue el Decreto 458 de 2020, del Ministerio de Hacienda, que le permitió al DANE dar la información que recolecta (que es confidencial) a las autoridades a cargo de controlar el COVID-19. “Una de las fallas es que dejó abierto o no especificó qué autoridades pueden acceder a esta información, lo que consideramos peligroso”, agrega el experto.

Lo curioso es que, a pesar de que las medidas también buscaban rastrear a las personas más vulnerables para que recibieran ayudas durante la pandemia, junto al papel de las aplicaciones de rastreo, terminaron perjudicándolas. “Con Medellín Me Cuida, que exigía registrarse en la plataforma para tener la autorización para salir, quedó excluido el sector informal”, cuenta Castañeda. “Eso dio pie para mucha violencia policial contra vendedores ambulantes, por mencionar un caso”.

Preocupación mundial por los datos durante el COVID-19

La inquietud por la seguridad y privacidad de aplicaciones que rastrean el coronavirus no se da solo en Colombia. La última actualización que hizo Top10VPN, una organización enfocada en la privacidad digital, encontró que para marzo de 2021, de las 120 aplicaciones que existían en el mundo, 19 no tenían políticas de privacidad.

En un estudio en el que analizaron 47 de estas aplicaciones en 28 países también descubrieron que 53 % no decían por cuánto tiempo almacenarán los datos recolectados, 60 % no declaran públicamente que tienen medidas para el anonimato y 57 % contienen rastreo desde Google y Facebook.

La crisis del coronavirus tiene una característica que otras pandemias, como la de la gripe española o la asiática, estaban lejos de conocer: surgió en un mundo digital. No fue sorpresa, entonces, que una gran mayoría de gobiernos, nacionales y locales, apostaran a crear aplicaciones o páginas web para rastrear los contagios por COVID-19 y mitigar el impacto del virus. Pero el coronavirus también se dio en un mundo donde importa más que antes el derecho a la privacidad y a un buen manejo de nuestros datos, lo que hizo que el uso de estas aplicaciones generara muchas preguntas de hasta dónde se estaban respetando nuestras libertades.

“Fácilmente podríamos terminar en una situación en la que, al empoderar al gobierno local, estatal o federal para que tome medidas en respuesta a esta pandemia, cambie fundamentalmente el alcance de los derechos civiles estadounidenses”, advirtió Albert Fox Cahn, director del Surveillance Technology Oversight Project (Proyecto de Supervisión de Tecnología de Vigilancia), en abril de 2020.

Aunque las palabras de Fox hablaban del contexto de Estados Unidos, bien se podrían aplicar a Colombia. Durante 2020, el presidente Duque emitió dos declaraciones de estado de emergencia sanitaria buscando superar la crisis del COVID-19. Además, en un período de cuatro meses en el país no solo surgió Coronapp, una aplicación que tenía el fin de ayudar a detectar zonas y personas afectas por el COVID-19, sino otras plataformas locales como Medellín Me Cuida, Valle Corona y Bogotá Cuidadora. Y a pesar de que aún es muy pronto para conocer si cumplieron alguna función para reducir los casos, un informe realizado por la Fundación Karisma apunta a que más que un sistema de rastreo epidemiológico, se convirtieron en una herramienta de control social.

El documento, titulado “Useless and dangerous: a critical exploration of covid apps and their human rights impacts in Colombia” (“Inútiles y peligrosas: una exploración crítica de las aplicaciones de covid y sus impactos en los derechos humanos en Colombia”), examinó guías de las autoridades de salud, regulaciones locales y nacionales emitidas durante la pandemia, requerimientos legales, noticias en medios de comunicación, análisis técnicos sobre la seguridad digital de las aplicaciones e información que les pidieron a las autoridades para arrojar sus conclusiones.

Lea: ¿Funciona o no la “Coronapp”?

Una de estas, por ejemplo, es que las aplicaciones fallaron en ser efectivas en su misión principal, que era hacer un rastreo epidemiológico. Según explica Juan Diego Castañeda, abogado y coordinador de investigación de Karisma y uno de los tres autores del reporte, “nunca existió una conexión entre las autoridades de salud, las aplicaciones tecnológicas y los gobiernos locales”. De hecho, mucha de la información que recolectó Coronapp nunca llegó a los municipios.

Pero lo que quizá más preocupa a los autores es que las plataformas cumplieron un rol a la hora de restringir derechos fundamentales y se centraron en el control del comportamiento de las personas.

En el caso de Medellín Me Cuida, que se trata de una página web, el reporte explica que la versión para familias no solo pedía datos personales, reporte de síntomas y enfermedades base, sino información de miembros que viven con uno y el número de contrato con Empresas Públicas de Medellín, “lo que permite georreferenciar la ubicación del hogar”. En su versión empresarial, montar la información a la plataforma se convirtió en un requisito para que las personas que tenían que romper la cuarentena, por ciertas excepciones laborales, recibieran la autorización del gobierno local. Y también se les exigió a las tiendas que revisaran a través de la plataforma si las personas que entraban al local estaban autorizadas. “Con esto la administración amplió las funcionalidades de la aplicación y la convirtió en un pasaporte de movilidad, verificador de identidad, registro de clientes comerciales y asignador de permisos de funcionamiento para empresas”.

Sumado a esto, dice el documento, el “gobierno local conectó Medellín Me Cuida a otra aplicación utilizada por la Policía para verificar los antecedentes penales de los ciudadanos”. “En este punto ya estamos hablando de una plataforma que controla a la gente, lo que, además, resultó en violencia”, cuenta Castañeda. En la investigación, por ejemplo, hablan de casos en que a las personas se les bloqueó la tarjeta para subirse al metro de Medellín cuando reportaban contagios o no eran parte de las excepciones para movilizarse.

La Alcaldía de Medellín, sin embargo, explicó a El Espectador que se garantizaron todos los derechos a la privacidad y seguridad. “Cuando se realiza el registro tanto de empresas como de ciudadanos, se exponen las políticas de uso de cada una de las plataformas y además solicita la aprobación del tratamiento de datos, según el Decreto 1096 del 2018, el cual se expone igualmente para conocimiento del público”. Afirman, además, que “los términos y condiciones para cada uno de los módulos de Medellín me Cuida son bastante claros en cuanto al tratamiento de los datos, el consumo de la información y seguridad de esta, y en este sentido la Alcaldía de Medellín no ha obrado de manera diferente según esos acuerdos”.

La información que han recolectado de los 2’315.231 de personas registradas en la plataforma, las 163.674 empresas, el 1’704.646 de empleados y 731 establecimientos educativos, les ha servido para generar alertas a las secretarías de Salud y EPS, así como crear cercos epidemiológicos para definir estrategias de mitigación y contención.

Le puede interesar: Las preguntas sobre Mi Vacuna que Minsalud no quiere responder

Ninguna tecnología es peligrosa por sí sola, sus riesgos vienen de cómo se usen y quiénes las regulen. En Colombia, cuenta Castañeda, hubo dos reglas del juego que cambiaron durante la pandemia, lo que debilitó la seguridad de nuestros datos. La primera fue la Circular 001 de la Superintendencia de Industria y Comercio, que autorizó a las empresas privadas, sobre todo a los operadores celulares, a compartir los datos de los clientes a las autoridades. La segunda fue el Decreto 458 de 2020, del Ministerio de Hacienda, que le permitió al DANE dar la información que recolecta (que es confidencial) a las autoridades a cargo de controlar el COVID-19. “Una de las fallas es que dejó abierto o no especificó qué autoridades pueden acceder a esta información, lo que consideramos peligroso”, agrega el experto.

Lo curioso es que, a pesar de que las medidas también buscaban rastrear a las personas más vulnerables para que recibieran ayudas durante la pandemia, junto al papel de las aplicaciones de rastreo, terminaron perjudicándolas. “Con Medellín Me Cuida, que exigía registrarse en la plataforma para tener la autorización para salir, quedó excluido el sector informal”, cuenta Castañeda. “Eso dio pie para mucha violencia policial contra vendedores ambulantes, por mencionar un caso”.

Preocupación mundial por los datos durante el COVID-19

La inquietud por la seguridad y privacidad de aplicaciones que rastrean el coronavirus no se da solo en Colombia. La última actualización que hizo Top10VPN, una organización enfocada en la privacidad digital, encontró que para marzo de 2021, de las 120 aplicaciones que existían en el mundo, 19 no tenían políticas de privacidad.

En un estudio en el que analizaron 47 de estas aplicaciones en 28 países también descubrieron que 53 % no decían por cuánto tiempo almacenarán los datos recolectados, 60 % no declaran públicamente que tienen medidas para el anonimato y 57 % contienen rastreo desde Google y Facebook.