El Gobierno de España, a través del Ministerio de Asuntos Económicos y Transformación Digital, acaba de poner en marcha una plataforma, similar a la que lanzaba el pasado 18 de marzo la Comunidad de Madrid, CoronaMadrid, para facilitar la autoevaluación a quienes tengan los síntomas del COVID-19. La app recoge datos de geolocalización de los ciudadanos, de momento anonimizados, a través de sus teléfonos móviles para analizar su movilidad en los días previos y durante el confinamiento. El Estado podrá verificar si el usuario se encuentra en la comunidad autónoma en la que declara estar, a través de un sistema que se acerca en parte al utilizado ya en otros países como Corea del Sur o Japón y que abre un debate sobre cómo equilibrar seguridad frente al contagio con libertad individual.
Para aclarar algunas de estas cuestiones, hablamos con Pablo García Mexía, jurista digital, Of Counsel de Ashurst LLP y miembro del Comité de Expertos del Seminario Permanente “La Huella Digital ¿servidumbre o servicio?”
¿Qué diferencias y qué similitudes hay entre el sistema español y el sistema coreano? ¿Sería aceptable un seguimiento como el realizado en Corea del Sur y Japón según los ordenamientos jurídicos español y europeo?
Las normas de datos europeas son por así decir "epidemic-proof", es decir, están perfectamente equipadas para reforzar la protección de la salud ante situaciones de este tipo sin que la esencia de la privacidad quede perturbada. El mejor ejemplo es el hecho de que el tratamiento de datos por las autoridades ante estas situaciones no necesita del consentimiento del interesado, pues hay base sobrada para tratarlos por ejemplo conforme a criterios de salud pública como interés social esencial.
Más en particular, el uso del big data e incluso de la IA, a través de iniciativas como las que en la pregunta se menciona, está también perfectamente respaldado por las normas de privacidad siempre y cuando los datos que se traten sean agregados hasta el punto de garantizar el anonimato de su titular.
Esta epidemia, sin embargo, ha abierto también la puerta a que las autoridades europeas de protección de datos consideren incluso admisible el uso de estas técnicas en casos que permitan identificar a los titulares de los datos (por ejemplo, una persona contagiada), a sabiendas de que no siempre bastará el anonimato para conseguir la necesaria eficacia. Eso sí, conforme a las autoridades europeas, esta individualización solo debe ser un último recurso, se debe prever mediante disposición legislativa del Estado europeo en cuestión y deberá rodearse de muy estrictas garantías, que aseguren la proporcionalidad en su uso (circunstancias excepcionales, fin muy limitado, duración estrictamente referida al período necesario), y asimismo un recurso judicial para quien pretenda impugnarlas.
Si, dadas todas esas circunstancias, fuera preciso implementar esas medidas de seguimiento identificado, el Gobierno español podría además hacerlo porque le facultan para ello la legislación de emergencia y la legislación sanitaria, que le permiten controlar de un modo muy amplio, "necesario" y "oportuno" a los enfermos y a personas de su entorno.
Así las cosas, y aunque desde luego que las culturas jurídicas (y las sociales) de países como Corea del Sur y Japón difieren sustancialmente de la nuestra (mucho más protectora de la privacidad y en cierto modo más liberal socialmente), la enorme gravedad de la situación derivada de Covid-19 ha terminado haciendo legalmente viable que, también aquí, pudiera llegarse a aplicar medidas como las coreanas y japonesas, al menos en lo que al seguimiento por las autoridades se refiere.
¿Sería factible aplicar unas normas selectivas de confinamiento a grupos de riesgo (por edad, por barrios, por profesión…), o vulneraría el derecho a la privacidad del individuo?
Tanto las leyes de excepción como las sanitarias en situaciones de crisis epidemiológicas confieren poderes amplísimos a las autoridades españolas. Expresamente, se puede limitar directamente la libre circulación, la libertad personal y la propiedad, e indirectamente, libertades como la religiosa e ideológica, la libre empresa y de ejercicio de profesión, o la propia privacidad, entre otras. Además, las leyes sanitarias, como antes decía, facultan amplísimamente a las autoridades para adoptar cuantas medidas de control estimen "oportunas o necesarias", lo que abriría precisamente la puerta a esas medidas de seguimiento con big data antes citadas. No es de extrañar, dado que infecciones como la actual amenazan los dos bienes supremos de las personas, su propia vida y su salud.
A partir de aquí, confinamientos como los citados, considerados a priori, podrían llegar a ser viables desde el punto de vista legal. Aunque solo a priori, pues todos y cada uno de ellos deberían ser sometidos a un juicio muy severo desde el punto de vista de su estricta necesidad en una sociedad democrática europea como es la española. Si se superase ese test, sería a su vez preciso que el fin perseguido resultase proporcional con la medida adoptada: por ejemplo, si la tasa de contagio de una ciudad es pequeña comparada con la de otra, podría no ser proporcionado confinar a las personas mayores de una y de otra. Tras ello, habría de calibrarse si tales medidas son a su vez compatibles con lo que, en nuestra Constitución y en las Cartas europeas de derechos es tanto o más importante que estos mismos, como es el principio de dignidad de la persona humana, que podría lesionarse si por ejemplo se estigmatizase de algún modo a las colectividades objeto de confinamiento. Finalmente, sería preciso calibrar si ese confinamiento, que de por sí cercena la libertad de circulación (y las demás libertades antedichas) no violaría también de modo indebido otros principios y libertades, como la igualdad (por qué una profesión y no otra, etc.) o la propia privacidad (pues ese confinamiento selectivo podría dar lugar a seguimientos más intensos por parte de las autoridades, por ejemplo).
Si, pese a todo, la medida de confinamiento en cuestión lograse superar todos esos test (cosa nada fácil, por cierto), podría llegar a tener cabida en la normativa española.
¿Son estas herramientas una excepción ante la situación en la que nos encontramos o, en un futuro, es pensable una centralización de datos diagnósticos más o menos ‘anonimizados’? ¿Se podrían aplicar normas selectivas generalizadas en función de estadísticas y modelos predictivos?
Es indiscutible que este tipo de medidas han de ser absolutamente excepcionales, pues su invasividad respecto del estándar de derechos imperante en Europa y en España es enorme. Desde este punto de vista es capital que, de llegar a aplicarse, quedara completamente asegurado que su duración estuviera perfectamente preestablecida con criterios objetivos (por ejemplo, exclusivamente durante la vigencia del estado de alarma) y que los rastros de haberlas sufrido también se eliminen en su integridad tan pronto dejen de ser estrictamente necesarias (ejemplo, que se borren todos los datos personales en su momento recogidos de una persona infectada).
Es justamente la importancia capital de los bienes con los que la privacidad entra en estas situaciones en conflicto (vida y salud) la que únicamente hace posible que la privacidad deba excepcionalmente ceder ante ellos y, aun así, con todas las cautelas y garantías indicadas.
Ningún otro bien, por importante que sea, por ejemplo, la seguridad nacional, puede desde luego cercenar en igual medida la privacidad. Y si esto es así respecto de la seguridad nacional, tanto o más lo es respecto de otros fines, como los estadísticos o científicos.
A partir de aquí, y siempre que se asegurase la anonimización de la información que, identificada o anónimamente, se hubiera recogido en esta crisis, sería legítimo emplearla con fines estadísticos o científicos una vez pasada ésta.
El problema en este nuevo escenario, no obstante, sería asegurar un nivel suficiente de agregación que en todo caso impidiese la reidentificación, cosa crecientemente difícil hoy en día, justo por la también creciente potencia de las tecnologías de IA y big data. La razón es que, mientras que la lucha contra una epidemia tan letal como ésta puede justificar la identificación de una persona en función de todo lo antes explicado, el mero fin estadístico o científico en modo alguno podría hacerlo.
