Esta semana el gobierno peruano presentó la aplicación Perú en tus Manos, en el contexto de la emergencia nacional del COVID19. La aplicación para celulares busca ser un nuevo punto de información entre las autoridades y los ciudadanos durante la emergencia. Como ya lo han hecho muchos otros países, el gobierno peruano quiere usar la tecnología y la capacidad instalada de nuestros teléfonos inteligentes para brindar información sobre zonas de riesgo para contagios y monitorear los desplazamientos de la población. Aunque la aplicación ha sido ampliamente difundida desde ayer, todavía es poco lo que se sabe sobre cómo funciona, cómo usará el gobierno la información recolectada y qué garantías existen para evitar su abuso. Esto es lo que hemos aprendido a la fecha.

¿Qué hace exactamente la aplicación?

La primera función de la aplicación es un despistaje o triaje digital, que es simplemente una vista incrustada del mismo que ya estaba disponible en la web del gobierno desde hace varios días. El triaje recoge información sobre posibles síntomas o contactos, con carácter de declaración jurada, además de dirección de domicilio, teléfono, correo electrónico y contacto de emergencia. Aunque se comprueba la identidad de la persona usando el número de DNI y su fecha de emisión, no se informa sobre cómo se usará esta información, por cuánto tiempo o quién tendrá acceso a ellas. Queda claro que, en caso de identificarse a un paciente sospechoso, se podrá usar es información para contactarlo pero no se señala para qué más serviría la información ni por cuánto tiempo se conservaría. Esta omisión no es exclusiva de la aplicación, ya que también se repite en el sitio web.

La segunda función de la aplicación es mostrar un mapa con puntos considerados de riesgo de contagio. Aparentemente, el mapa no señala direcciones exactas ni puntos precisos donde viven personas contagiadas, solo zonas aproximadas en un rango de dos o tres cuadras. Según hemos podido comprobar manualmente en Hiperderecho, las direcciones exactas de algunos contagiados aparecen dentro de los radios mostrados pero no en el centro. De ser así, esta decisión acertada reduce la posibilidad de que se ponga en riesgo la identidad o integridad de los contagiados, al tiempo que continúa informando sobre las zonas de riesgo de contagio. La información mostrada es exclusivamente generada por las autoridades, se actualiza al menos una vez al día y no se alimenta de los reportes de otros usuarios de la propia aplicación en tiempo real, lo que también previene el uso indebido y el abuso. En teoría, la aplicación debería de mandar notificaciones a los usuarios cuando se desplazan cerca de una zona de riesgo. No obstante, no hemos podido verificar que esa función esté activada. Lo que sí hemos encontrado es que el API con las coordenadas que alimentan el mapa es pública, lo que ha permitido que terceros hagan sus propias versiones del mapa que pueden inducir a error sobre la ubicación de los contagios. Si el Estado busca abrir los datos de zonas de riesgo, debería de hacerlo en forma de polígonos o documentando su condición de aproximados.

La tercera función de la aplicación permite el rastreo de contactos, es la más interesante pero también de la que menos se conoce. Al instalarse, la aplicación solicita acceso a los datos de ubicación geográfica del teléfono por GPS o red móvil, tanto cuando la aplicación está abierta como en segundo plano. Al mismo tiempo, también solicita al usuario permisos para leer el estado del controlador Bluetooth del teléfono y poder cambiar su configuración. Ambos sistemas permiten a la aplicación saber exactamente por dónde circula nuestro teléfono. Crucialmente, usar la tecnología Bluetooth del teléfono permitiría el intercambio de “señales” entre dos teléfonos cercanos con la aplicación instalada y con dicha función encendida. A través de este proceso, un identificador del teléfono de cada persona con la que nos crucemos quedaría registrado en el nuestro y viceversa, sin que tengamos que hacer nada salvo llevar el aparato con nosotros. Esto facilita la detección y aviso a quienes estuvieron en el pasado cerca de una persona con diagnóstico positivo de COVID19 sin saberlo. Sin embargo, aunque esta función estuvo descrita en algunos comunicados de prensa y en la primera versión de los Términos y Condiciones, actualmente no está implementada en el código de la aplicación que revisamos. Algunas preguntas por responder aquí son la distancia mínima o máxima que requerirá para determinar la existencia de un contacto, cómo se gestionarán los identificadores únicos de cada teléfono y si esta información será también sincronizada con otros servidores o servicios externos.

¿Qué reglas gobiernan el uso de la aplicación?

A diferencia de iniciativas similares en otros lugares del mundo, el uso de esta aplicación es completamente opcional por parte de los ciudadanos. No existe una norma legal que haga obligatorio su uso ni tampoco sanciones o controles para quienes no la tengan instalada. En un país donde poco más de la mitad de personas están conectadas a Internet, esta parece una decisión acertada pero también pone en riesgo la efectividad de funciones como la de rastreo de contactos. Si solo quienes tienen un smartphone y la educación suficiente para instalar una aplicación nueva serán la base de usuarios, se corre el riesgo de que quienes carecen de estos privilegios previos continúen en situación de desventaja. Un problema que ni Singapur ha logrado salvar, cuya población estadísticamente mejor educada ha acogido en menos de un 20% la aplicación estatal TraceTogether.

Al ser una aplicación opcional, el uso por parte del Gobierno de datos personales como nombres, teléfono o geolocalización de cualquier usuario necesita de consentimiento previo e informado sobre qué datos se recogen, para qué se usan, con quiénes se comparte o por cuánto tiempo se almacenan. Curiosamente, desde el viernes, la aplicación Perú En Tus Manos ha cambiado varias veces sus Términos y Condiciones que exige a sus usuarios aceptar al momento del registro. Una primera versión (PDF) de este documento era más larga e incluso describe el mecanismo de rastreo de contactos, pero fue en pocas horas cambiada por una versión mucho más corta (PDF). Lamentablemente, luego del proceso inicial de registro, no hay manera de que los usuarios vuelven a ver los Términos y Condiciones y tampoco se les ha notificado del cambio.

Esta versión corta, que es la vigente al momento, se limita a señalar que los datos serán usados por el Ministerio de Salud o transferidos a otras autoridades y se conservarán mientras dura el Estado de Emergencia. La versión anterior de mismo documento sí señalaba los datos a usar y su propósito, incluyendo:

• Prevenir la expansión acelerada del virus alertando a la población de coincidencias con personas confirmadas con COVID-19
• Generar medidas de control eficientes por parte de las entidades autorizadas de personas confirmadas con COVID-19
• Para brindar información acertada conforme a los Términos y Condiciones
• Para su estudio y análisis con fines estadísticos

Esto significa que los datos de esta aplicación no podrían usarse, por ejemplo, para determinar qué personas incumplieron las reglas de aislamiento social obligatorio o detectar personas con requisitorias. La versión original señalaba a la Secretaría de Gobierno Digital (SEGDI) de la Presidencia del Consejo de Ministros (PCM) como el único ente encargado de custodiar la identidad de las personas detrás de los identificadores de sus dispositivos. Es decir, sería esta oficina la encargada de controlar y brindar acceso a la base de datos que donde se registró qué persona está asociada a qué dispositivo celular.

Con más de medio millón de descargas en la Google Play Store, aunque sin una versión pública para iOS, la aplicación Perú En Tus Manos parece una intervención mucho más sensata y respetuosa de derechos que la de países como Israel o China. Decisivamente, falta ver cómo esta aplicación implementará el rastreo de contactos, qué tan bien se diseñan las reglas de interacción por Bluetooth entre dispositivos y la capacidad institucional del Estado para efectivamente actuar sobre los contactos identificados. Al mismo tiempo, hace falta continuar educando a los usuarios sobre la información mostrada. Algo como un mapa de zonas de contagio puede ser una herramienta útil pero también puede dar una falsa sensación de seguridad a quienes no transitan por esas zonas o provocar exclusión. Hacia adelante, una estrategia de apertura completa permitiría que los datos que muestra la aplicación puedan ser también consumidos por terceros para estudio y desarrollo, con la suficiente documentación para entender cómo se generan las zonas de riesgo y sus márgenes de error.

En el plano legal, la aplicación todavía necesita tener reglas más claras e información más detallada para los usuarios sobre cómo se usará la información, en qué casos se procederá a asociar la identidad de una persona respecto de la de su dispositivo, quién tomará esa decisión, los canales a través de los cuales los ciudadanos podemos supervisar el cumplimiento de estas reglas, así como una forma de reportar vulnerabilidades técnicas. Estamos en un contexto de emergencia y se trabaja contra el tiempo, pero eso tampoco puede justificar que intervenciones que causan más daño del que previenen efectivamente.

Con el apoyo en la investigación de Edgar Huaranga y Dilmar Villena.

Este artículo es parte de nuestra serie especial sobre la emergencia del Covid-19 y nuestros derechos digitales. Síguenos en Facebook, Twitter e Instagram para a recibir nuestro análisis más reciente.

Foto: ANDINA/Renato Pajuelo