Source: http://www.iberolex.com/actualidad/vigesima-circular-informativa-orientaciones-sobre-las-aplicaciones-moviles-de-apoyo-la
Timestamp: 2020-06-04 15:19:43+00:00

Document:
Vigésima Circular Informativa - Orientaciones sobre las aplicaciones móviles de apoyo a la lucha contra la pandemia COVID-19, en lo referente a la protección de datos | Derecho TIC TAC TOE
Vigésima Circular Informativa - Orientaciones sobre las aplicaciones móviles de apoyo a la lucha contra la pandemia COVID-19, en lo referente a la protección de datos
Estimado cliente, Seguimos con nuestra costumbre de informar de aquello que creemos de interés para nuestros clientes. En esta ocasión el BOE del sábado 18 de Abril de 2020, nos trajo lo siguiente:
COMUNICACIÓN DE LA COMISIÓN: ORIENTACIONES SOBRE LAS APLICACIONES MÓVILES DE APOYO A LA LUCHA CONTRA LA PANDEMIA DE COVID-19 EN LO REFERENTE A LA PROTECCIÓN DE DATOS
ORIENTACIONES SOBRE LAS APLICACIONES MÓVILES DE APOYO A LA LUCHA CONTRA LA PANDEMIA DE COVID-19 EN LO REFERENTE A LA PROTECCIÓN DE DATOS
La pandemia de COVID-19 ha supuesto un desafío sin precedentes para la Unión y los Estados miembros, sus sistemas sanitarios, su modo de vida, su estabilidad económica y sus valores. Las tecnologías y los datos digitales tienen una valiosa función que desempeñar en la lucha contra la crisis de la COVID-19. Las aplicaciones para dispositivos móviles que suelen estar instaladas en teléfonos inteligentes y pueden facilitar a las autoridades sanitarias públicas a nivel nacional y de la UE el seguimiento y contención de la pandemia de COVID-19 y son especialmente pertinentes de cara al levantamiento de las medidas de confinamiento. Esas aplicaciones pueden proporcionar orientaciones directas a los ciudadanos y facilitar la labor de rastreo de contactos. En algunos países, tanto dentro de la UE como en el resto del mundo, las autoridades nacionales o regionales o los desarrolladores han anunciado el lanzamiento de aplicaciones con diferentes funcionalidades destinadas a apoyar la lucha contra el virus.
El 8 de abril de 2020, la Comisión adoptó una recomendación relativa a un conjunto de instrumentos comunes de la Unión para la utilización de la tecnología y los datos a fin de combatir y superar la crisis de la COVID-19, en particular por lo que respecta a las aplicaciones móviles y a la utilización de datos de movilidad anonimizados (en lo sucesivo, «la Recomendación»)1.
Lo que se pretende con esa Recomendación es, entre otras cosas, desarrollar un enfoque europeo común (el «conjunto de instrumentos») para el uso de aplicaciones móviles, coordinado a nivel de la Unión, con el fin de capacitar a los ciudadanos para adoptar medidas de distanciamiento social eficaces, así como con el fin de alertar, prevenir y rastrear contactos con miras a limitar la propagación de la enfermedad de la COVID-19. La Recomendación establece los principios generales que deberían guiar el desarrollo de ese conjunto de instrumentos e indica que la Comisión va a publicar orientaciones adicionales, especialmente en lo referente a las consecuencias del uso de las aplicaciones en este ámbito para la intimidad y la protección de los datos personales.
Con la hoja de ruta europea conjunta para el levantamiento de las medidas de confinamiento contra el COVID-19, la Comisión, en cooperación con el presidente del Consejo Europeo, estableció una serie de principios guía para el levantamiento gradual de las medidas de confinamiento impuestas como consecuencia de la pandemia de COVID-19.
Las aplicaciones para dispositivos móviles, y en particular las funcionalidades de rastreo de contactos, pueden desempeñar un papel importante en este contexto. Dependiendo de sus características y de la medida en que la población las utilice, esas aplicaciones pueden tener un efecto significativo en el diagnóstico, el tratamiento y la gestión de la COVID-19 dentro y fuera del ámbito hospitalario.
Serán especialmente pertinentes cuando se levanten las medidas de confinamiento y el riesgo de infección aumente a medida que más y más personas entren en contacto. Esas aplicaciones pueden ayudar a interrumpir las cadenas de infección con mayor rapidez y eficacia que las medidas generales de confinamiento, así como reducir el riesgo de una propagación significativa del virus.
Por consiguiente, deberían ser un elemento importante de la estrategia de salida y servir de complemento a otras medidas, como las dirigidas a reforzar las capacidades para realizar pruebas2. La confianza es un requisito previo fundamental para el desarrollo de esas aplicaciones y su aceptación y adopción por parte de los ciudadanos.
Estos tienen que tener la certeza de que el respeto de los derechos fundamentales está garantizado, de que las aplicaciones van a utilizarse exclusivamente para los fines específicamente definidos, de que no se van a emplear para la vigilancia a gran escala y de que las personas van a seguir teniendo el control de sus datos.
Esta es la base en la que se sustentan la precisión y la eficacia de este tipo de aplicaciones a la hora de contener la propagación del virus. Es, pues, esencial encontrar soluciones que sean lo menos intrusivas posible y cumplan plenamente los requisitos en materia de protección de los datos personales y la intimidad establecidos en el Derecho de la UE.
Por otra parte, las aplicaciones han de desactivarse a más tardar cuando se declare que la pandemia está controlada. Las aplicaciones deberían incluir también los mecanismos más avanzados de seguridad de la información.
Las presentes orientaciones se han elaborado teniendo en cuenta la contribución del Comité Europeo de Protección de Datos (CEPD)3 y los debates en el seno de la red de sanidad electrónica (eHealth). El CEPD tiene previsto publicar en los próximos días una serie de orientaciones sobre geolocalización y otras herramientas de rastreo en el contexto de la pandemia de COVID-19.
Con objeto de garantizar un enfoque coherente en toda la UE y ofrecer orientaciones a los Estados miembros y los desarrolladores de aplicaciones, el presente documento determina las características y los requisitos que deberían reunir las aplicaciones para asegurar el cumplimiento de la legislación de la UE en materia de protección de la intimidad y los datos personales, en particular el Reglamento General de Protección de Datos (RGPD)4 y la Directiva sobre la privacidad y las comunicaciones electrónicas5.
En las presentes orientaciones no se abordan otras condiciones, en particular las limitaciones que los Estados miembros pudieran haber incluido en su legislación nacional en lo que respecta al tratamiento de datos personales relativos a la salud.
Facilitar información exacta a las personas sobre la pandemia de COVID-19.
Ofrecer cuestionarios de autoevaluación y orientación a los ciudadanos (funcionalidad de comprobación de síntomas)6.
Alertar a las personas que hayan estado cerca de a una persona infectada durante un tiempo determinado, a fin de proporcionar información, por ejemplo, sobre la conveniencia de someterse a una autocuarentena y de hacerse las pruebas (funcionalidad de rastreo de contactos y de alerta).
Proporcionar un foro de comunicación entre médicos y pacientes en autoaislamiento o en el que se brinden consejos adicionales en materia de diagnóstico y tratamiento (mayor recurso a la telemedicina).
En virtud de la Directiva sobre la privacidad y las comunicaciones electrónicas, la imposición del uso de una aplicación que interfiera con el derecho a la confidencialidad de las comunicaciones establecido en su artículo 5 solo es posible a través de una norma que sea necesaria, adecuada y proporcionada para proteger determinados objetivos específicos.
Habida cuenta del alto grado de intrusión de un planteamiento de estas características y los desafíos que plantea, en particular por lo que respecta al establecimiento de salvaguardias adecuadas, la Comisión considera necesario proceder a un análisis riguroso antes de recurrir a esta opción. Por estas razones, la Comisión recomienda el uso de aplicaciones de carácter voluntario.
CONTRIBUCION DE LAS APLICACIONES A LA LUCHA CONTRA LA COVID-19
Las funcionalidades de rastreo de contactos y alerta son herramientas que permiten identificar a las personas que han estado en contacto con alguien infectado por la COVID-19 e informarles de las medidas que conviene adoptar después, como someterse a autocuarentena o a pruebas, o proporcionar asesoramiento sobre qué hacer en caso de experimentar tal o cual síntoma.
Esta funcionalidad es, pues, útil tanto para los ciudadanos como para las autoridades sanitarias públicas. También puede desempeñar un papel importante en la gestión de las medidas de confinamiento durante las posibles situaciones de desescalada. Su repercusión puede reforzarse mediante una estrategia que favorezca la ampliación de las pruebas a las personas que presenten síntomas leves.
Por lo tanto, en combinación con las estrategias de pruebas adecuadas, tanto la funcionalidad de comprobación de síntomas como la de rastreo de contactos pueden proporcionar información sobre el nivel de circulación del virus y ayudar a determinar el efecto de las medidas de distanciamiento físico y de confinamiento.
Tal como se establece en la Recomendación, para propiciar la colaboración transfronteriza y garantizar la detección de contactos entre los usuarios de distintas aplicaciones (lo cual es especialmente relevante en los movimientos transfronterizos de ciudadanos), debería garantizarse la interoperabilidad entre las soluciones informáticas de los distintos Estados miembros.
Cuando una persona infectada entre en contacto con un usuario de una aplicación de otro Estado miembro, debería permitirse, en la medida de lo estrictamente necesario, la transmisión transfronteriza de datos personales de ese usuario a las autoridades sanitarias de su Estado miembro.
La labor sobre esta cuestión se enmarcará en el conjunto de instrumentos anunciado en la Recomendación. La interoperabilidad debería garantizarse tanto mediante requisitos técnicos como mejorando la comunicación y la cooperación entre las autoridades sanitarias nacionales.
También podría utilizarse un modelo de cooperación particular7 como modelo de gobernanza para las aplicaciones de rastreo de contactos durante la pandemia de COVID-19.
ELEMENTOS PARA UN USO FIABLE Y RESPONSABLE DE LAS APLICACIONES
Las funcionalidades incluidas en las aplicaciones pueden tener distintas consecuencias en una amplia gama de derechos consagrados en la Carta de los Derechos Fundamentales de la UE, como la dignidad humana, el respeto de la vida privada y familiar, la protección de los datos personales, la libertad de circulación, la no discriminación, la libertad de empresa y la libertad de reunión y de asociación.
La injerencia en la intimidad y el derecho a la protección de los datos personales pueden ser aspectos especialmente significativos, dado que algunas de las funcionalidades se basan en un modelo de uso intensivo de datos.
Autoridades sanitarias nacionales (o entidades que realizan una misión que se lleva a cabo en favor del interés público en el ámbito de la salud) como responsables del tratamiento de datos
Habida cuenta de la sensibilidad de los datos personales y la finalidad del tratamiento de los datos que se describe más abajo, la Comisión considera que las aplicaciones deberían estar diseñadas de tal manera que las autoridades sanitarias nacionales (o las entidades que realicen una misión que se lleva a cabo en favor del interés público en el ámbito de la salud) sean las responsables del tratamiento8.
Esas autoridades o entidades son responsables del cumplimiento del RGPD (principio de responsabilidad proactiva). El alcance de ese acceso debería limitarse de acuerdo con los principios descritos en la sección 5.
Garantizar que la persona siga teniendo el control
La instalación de la aplicación en el dispositivo debería ser voluntaria, sin consecuencia negativa alguna para quien decida no descargar o no usar la aplicación.
En caso de usarse datos de proximidad [datos generados mediante el intercambio de señales de Bluetooth de baja energía (BLE) entre dispositivos dentro de una distancia relevante desde el punto de vista epidemiológico y durante un tiempo relevante también desde el punto de vista epidemiológico], tales datos deberían almacenarse en el dispositivo de la persona.
Si se prevé compartir estos datos con las autoridades sanitarias, debería hacerse únicamente cuando se haya confirmado que la persona en cuestión está infectada de COVID-19 y a condición de que la persona opte por que así se haga.
Instalación de las aplicaciones y almacenamiento de información en el dispositivo del usuario.
Como se ha señalado anteriormente, en virtud de la Directiva sobre la privacidad y las comunicaciones electrónicas (artículo 5), el almacenamiento de información en el dispositivo del usuario o la obtención de acceso a la información ya almacenada se permite únicamente si:
El usuario ha dado su consentimiento, o
El almacenamiento o el acceso son estrictamente necesarios para el servicio de la sociedad de la información (por ejemplo, la aplicación) que el usuario ha solicitado de manera expresa (esto es, mediante la instalación y activación).
Normalmente, para que funcione una aplicación, es necesario almacenar información y obtener acceso a la información ya almacenada en el dispositivo de la persona.
La funcionalidad de rastreo de contactos y alerta exige, además, el almacenamiento de otro tipo de información en el dispositivo del usuario (como alias efímeros y que se vayan modificando periódicamente de identificación de los usuarios de esta funcionalidad que se encuentren próximos).
Por otra parte, esta funcionalidad podría requerir que el usuario (infectado o posiblemente infectado) cargase datos de proximidad. La carga de tales datos no es necesaria para el funcionamiento de la aplicación en sí misma. Por lo tanto, al no cumplirse los requisitos de la opción ii) antes mencionada, el consentimiento [opción i)] sería la justificación más adecuada para las actividades pertinentes.
El consentimiento debería ser libre, específico, explícito e informado en el sentido del RGPD, manifestándose mediante una clara acción afirmativa de la persona, lo que excluye las formas de consentimiento tácito (por ejemplo, el silencio o la inacción)9.
Normalmente, el tratamiento de datos personales por parte de las autoridades sanitarias nacionales tiene lugar cuando el Derecho de la Unión o de un Estado miembro recoge una obligación jurídica que prevé que así se haga, cumpliendo las condiciones del artículo 6, apartado 1, letra c), y del artículo 9, apartado 2, letra i), del RGPD, o cuando dicho tratamiento es necesario para la realización de una misión que se lleva a cabo en favor del interés público en virtud del Derecho de la Unión o del Estado miembro en cuestión10.
Todo instrumento legislativo nacional ha de prever medidas específicas y adecuadas para salvaguardar los derechos y las libertades de los titulares de los datos.
Por norma general, cuanto mayor sea la repercusión de cara a las libertades de la persona, mayores deben ser las correspondientes salvaguardias previstas en la legislación pertinente.
Dada la naturaleza de los datos personales en cuestión (a saber, datos relativos a la salud como categoría especial de los datos personales), así como las circunstancias de la actual pandemia de COVID-19, apoyarse en la legislación como base jurídica contribuiría a la seguridad jurídica, pues:
se prescribiría con detalle el tratamiento de datos específicos relativos a la salud y se especificaría claramente la finalidad del tratamiento;
se determinaría de forma clara quién es el responsable del tratamiento, esto es, la entidad que trata los datos, y quién, además del responsable del tratamiento, puede acceder a ellos;
se excluiría la posibilidad de que dichos datos fueran tratados con fines distintos de los recogidos en la legislación, y
se preverían garantías específicas. A fin de no socavar la utilidad y la aceptación públicas de las aplicaciones, es conveniente que el legislador nacional preste especial atención a que la solución elegida sea, con respecto a los ciudadanos, lo más inclusiva posible.
Que las autoridades sanitarias traten los datos sobre la base de la legislación no cambia el hecho de que las personas siguen siendo libres para decidir si instalan la aplicación y si comparten sus datos con estas autoridades.
Por lo tanto, cuando quiera que se desinstale la aplicación, no debería haber ninguna consecuencia negativa para el usuario.
En cuanto que «datos personales», esto es, toda información sobre una persona física identificada o identificable (artículo 4, apartado 1, del RGPD), están protegidos en virtud del RGPD. Los datos relativos a la salud gozan de protección adicional (artículo 9 del RGPD).
En cuanto que «datos de localización», esto es, datos tratados en una red de comunicaciones electrónicas, o por un servicio de comunicaciones electrónicas, que indican la posición geográfica del equipo terminal del usuario, están protegidos en virtud de la Directiva sobre la privacidad y las comunicaciones electrónicas (artículo 5, apartado 1, y artículos 6 y 9)11.
Toda la información almacenada en el equipo terminal del usuario y a la que se acceda desde dicho equipo está protegida en virtud del artículo 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas.
La Comisión recuerda que el principio de minimización de datos exige que únicamente se traten los datos personales que sean adecuados, pertinentes y estrictamente necesarios en relación con los fines por los que se lleva a cabo el tratamiento12. En vista del fin o los fines perseguidos, debería llevarse a cabo una valoración de la necesidad de tratar los datos personales y la pertinencia de tales datos personales.
Funcionalidad de información:
Funcionalidades de comprobación de síntomas y de telemedicina:
Funcionalidad de rastreo de contactos y de alerta:
La mayoría de las infecciones de COVID-19 se producen a través de gotitas que apenas recorren una corta distancia. Identificar cuanto antes a quienes hayan estado próximos a una persona infectada es un factor clave para interrumpir la cadena de infección.
La proximidad decisiva se determina en función de la distancia y la duración de un contacto, y esa determinación debería hacerse desde el punto de vista epidemiológico. Interrumpir la cadena de infección reviste especial importancia a fin de evitar que se reproduzcan las infecciones en la fase de salida de la crisis.
Para ello, podrían necesitarse datos de proximidad. A efectos de medir la proximidad y los contactos estrechos, la comunicación entre dispositivos por Bluetooth de baja energía (BLE) parece ser más precisa y, por tanto, más apropiada que la utilización de los datos de geolocalización (GNSS/GPS o datos de localización de dispositivos móviles).
Además, el BLE no permite el rastreo (a diferencia de los datos de geolocalización). Por consiguiente, la Comisión recomienda el uso de los datos de las comunicaciones por BLE (o datos generados por una tecnología equivalente) para determinar la proximidad.
Los datos de localización no son necesarios para los fines de las funcionalidades de rastreo de contactos, ya que su objetivo no es ni seguir los movimientos de las personas ni controlar el cumplimiento de las prescripciones.
Además, el tratamiento de los datos de localización en el marco del rastreo de contactos sería difícilmente justificable a la luz del principio de minimización de datos y podría plantear cuestiones relacionadas con la seguridad y la intimidad. Es por ello que, en este contexto, la Comisión aconseja no usar los datos de localización.
Con independencia de los medios técnicos empleados para determinar la proximidad, no parece que sea necesario almacenar ni el momento exacto ni el lugar del contacto (si se dispone de esta información).
Sin embargo, sí podría ser útil almacenar el día del contacto para saber si se produjo cuando la persona experimentaba síntomas (o cuarenta y ocho horas antes13) y definir con mayor precisión el mensaje de seguimiento en el que se ofrezcan consejos relacionados, por ejemplo, con la duración de la autocuarentena.
Un primer enfoque consiste en emitir automáticamente una alerta a través de la aplicación dirigida a quienes hayan estado en contacto estrecho con una persona que notifique a la aplicación (previa aprobación o confirmación de la autoridad sanitaria, por ejemplo, a través de un código QR o TAN) que ha dado positivo en las pruebas (tratamiento descentralizado).
Preferiblemente, la autoridad sanitaria debería determinar el contenido del mensaje de alerta.
Un segundo enfoque consiste en almacenar los identificadores temporales arbitrarios en un servidor propiedad de la autoridad sanitaria («solución de servidor final»).
Estos datos no permiten identificar directamente a los usuarios.
Mediante los identificadores, aquellos usuarios que hayan estado en contacto estrecho con un usuario que ha dado positivo en las pruebas reciben una alerta en su dispositivo.
Si las autoridades sanitarias desean comunicarse con los usuarios que han estado en contacto estrecho con una persona infectada también a través de una llamada o un SMS, necesitarán que estos usuarios consientan en facilitar sus números de teléfono.
Limitar el acceso a los datos y su divulgación
No se puede compartir con las autoridades sanitarias ninguna información almacenada en el equipo terminal y a la que se acceda desde dicho equipo, aparte de la necesaria para disponer de esta funcionalidad.
Dado que esta funcionalidad constituye únicamente el medio de comunicación, las autoridades sanitarias no tendrán acceso a ningún otro dato.
La funcionalidad de comprobación de síntomas puede ser útil para que los Estados miembros orienten a los ciudadanos sobre la conveniencia de que se sometan a pruebas o les proporcionen información sobre el aislamiento y sobre cuándo y cómo obtener asistencia sanitaria, en particular a los grupos de riesgo.
Esta funcionalidad también puede complementar la vigilancia de la asistencia primaria y contribuir a que se comprenda cuáles son los índices de infección de la COVID-19 en la población.
Por consiguiente, puede decidirse que las autoridades sanitarias competentes y las autoridades epidemiológicas nacionales tengan acceso a la información facilitada por el paciente.
El ECDC podría recibir datos agregados de las autoridades nacionales a efectos de vigilancia epidemiológica.
Datos de la persona infectada.
Las aplicaciones generan, de manera pseudoaleatoria, identificadores efímeros y que cambian periódicamente de los teléfonos que están en contacto con el usuario.
Una opción es que los identificadores se almacenen en el dispositivo del usuario (el denominado «tratamiento descentralizado»). Otra opción puede ser que esos identificadores arbitrarios se almacenen en un servidor al que tengan acceso las autoridades sanitarias (la denominada «solución de servidor final»).
La solución descentralizada está más en consonancia con el principio de minimización. Las autoridades sanitarias únicamente deberían tener acceso a los datos de proximidad procedentes del dispositivo de la persona infectada de manera que puedan ponerse en contacto con las personas que hayan corrido el riesgo de infectarse.
Datos de las personas que han estado en contacto (epidemiológico) con la persona infectada.
La identidad de la persona infectada no debería revelarse a las personas con las que haya estado en contacto epidemiológico. Es suficiente que se les comunique que han estado en contacto epidemiológico con una persona infectada en los últimos dieciséis días. Como se ha señalado anteriormente, los datos sobre el momento y el lugar de tales contactos no deberían almacenarse.
Por consiguiente, no es necesario ni posible comunicar dichos datos.
El fin o los fines exactos dependerán de las funcionalidades de la aplicación. Cada una de las distintas funcionalidades de una aplicación puede obedecer a varios fines.
Para que las personas tengan pleno control sobre sus datos, la Comisión recomienda no agrupar diferentes funcionalidades.
En cualquier caso, la persona debería tener la posibilidad de elegir entre diferentes funcionalidades que persigan individualmente un fin distinto.
La Comisión aconseja que no se utilicen los datos recogidos en las condiciones mencionadas para fines distintos a los de la lucha contra la COVID-19.
Cuando sea necesario atender a fines como los de la investigación científica y las estadísticas, deberían incluirse en la lista original de fines y comunicarse claramente a los usuarios.
La función de comprobación de síntomas puede ofrecer una indicación de qué proporción de las personas que presentan síntomas compatibles con la COVID-19 está realmente infectada (por ejemplo, sometiendo a todos a frotis y pruebas o en función de un número aleatorio de personas con tales síntomas, si hay capacidad para proceder así).
La especificación de la finalidad debería dejar claro que los datos sanitarios personales serán procesados para:
ofrecer a la persona la posibilidad de valorar por sí misma, basándose en una serie de preguntas, si ha desarrollado los síntomas de la COVID-19, o
recibir asesoramiento médico si se han desarrollado los síntomas de la COVID-19.
Funcionalidades de rastreo de contactos y de alerta:
La mera indicación de la finalidad de «prevención de nuevas infecciones de COVID-19» no es suficientemente específica.
En este caso, la Comisión recomienda especificar en mayor medida los fines en consonancia con lo siguiente: «mantener los contactos de las personas que utilizan la aplicación y que pueden haber estado expuestas a la infección de la COVID-19 con el fin de alertar a aquellas que podrían haber sido infectadas».
Establecimiento de límites estrictos al almacenamiento de datos
Las autoridades sanitarias deberían suprimir estos datos tras un período máximo de un mes (período de incubación más el margen) o después de que la persona haya sido sometida a una prueba con resultado negativo.
Las autoridades sanitarias podrán conservar los datos durante períodos más largos a efectos de información sobre la vigilancia e investigación, siempre que se conserve en un formato anonimizado.
Los datos de proximidad deberían suprimirse tan pronto como dejen de ser necesarios para alertar a las personas.
Deberían suprimirse tras un período máximo de un mes (período de incubación más el margen) o después de que la persona haya sido sometida a una prueba con resultado negativo.
Las autoridades sanitarias podrán conservar los datos de proximidad durante períodos más largos a efectos de información sobre la vigilancia e investigación, siempre que se conserve en un formato anonimizado.
La Comisión recomienda que los datos se almacenen en el dispositivo terminal de la persona de forma cifrada utilizando las técnicas criptográficas más avanzadas.
En caso de que los datos se almacenen en un servidor central, el acceso a dicho servidor, incluido el acceso administrativo, debería estar sujeto a registro previo.
Los datos de proximidad solo deberían generarse y almacenarse en el dispositivo terminal de la persona en un formato cifrado y pseudonimizado.
Para garantizar que se excluya el rastreo por terceros, la activación de Bluetooth debería ser posible sin tener que activar otros servicios de localización.
Durante la recogida de datos de proximidad mediante BLE es preferible ir creando y almacenando identificadores temporales del usuario que vayan cambiando periódicamente, en lugar de almacenar el identificador real del dispositivo.
Este proceder brinda una mayor protección contra las escuchas y el rastreo por parte de piratas informáticos, por lo que dificulta la identificación de las personas.
Cabe contemplar medidas adicionales para garantizar la seguridad de los datos objeto de tratamiento, en particular su anonimización o supresión automática transcurrido un plazo determinado.
En general, el grado de seguridad debería estar en consonancia con el volumen y la sensibilidad de los datos personales tratados.
En este contexto, es esencial garantizar la exactitud de la información sobre si se ha producido efectivamente un contacto con una persona infectada (distancia y duración epidemiológica), a fin de minimizar el riesgo de que se generen falsos positivos.
Aquí se deberían contemplar las situaciones en las que dos usuarios de la aplicación estén en contacto en la calle, en el transporte público o en un edificio.
Es poco probable que el uso de datos de localización basados en las redes de telefonía móvil sea lo suficientemente preciso a tal efecto.
Involucrar a las autoridades de protección de datos
Las autoridades de protección de datos deberían participar y ser consultadas plenamente en el contexto del desarrollo de la aplicación y seguir atentamente su despliegue.
Dado que el tratamiento de datos en el contexto de la aplicación se considerará un tratamiento a gran escala de categorías especiales de datos (datos relativos a la salud), la Comisión remite al artículo 35 del RGPD, sobre la evaluación de impacto relativa a la protección de datos.
(1) Recomendación C (2020) 2296 final, de 8 de abril de 2020: https://eur-lex.europa.eu/legal-content/ES/TXT/PDF/?uri=CELEX:32020H0518&qid=1586969392762&from=ES.
(6) Si las aplicaciones proporcionan información relacionada con el diagnóstico, la prevención, el seguimiento, la predicción o el pronóstico, se debería determinar su posible calificación como productos sanitarios, de acuerdo con el marco regulador correspondiente. Por lo que se refiere al mencionado marco, véanse la Directiva 93/42/CEE del Consejo, de 14 de junio de 1993, relativa a los productos sanitarios (DO L 169 de 12.7.1993, p. 1) y el Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios (DO L 117 de 5.5.2017, p. 1).
(7) Esa cooperación ya se ha establecido en relación con el proyecto MyHealth@EU para el intercambio de historiales resumidos de pacientes y recetas electrónicas. Véanse también el artículo 5, apartado 5, y el considerando 17 de la Decisión de Ejecución 2019/1765 de la Comisión.
(8) Véase el considerando 45 del RGPD.
(9) Véanse las Directrices del Comité Europeo de Protección de Datos sobre el consentimiento: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051
(10) Artículo 6, apartado 1, letra e), del RGPD.
(11) El Código de las Comunicaciones Electrónicas establece que también están cubiertos los servicios funcionalmente equivalentes a los servicios de comunicaciones electrónicas.
(12) Principio de la minimización de datos.
(13) La persona infectada ya es contagiosa cuarenta y ocho horas antes de la aparición de los síntomas.

References: artículo 5
 artículo 6
 artículo 9
 artículo 5
 artículo 35
 artículo 5
 Artículo 6