En caso de emergencia: descargue una app
La inquietud sobre el rol de las tecnologías digitales para contribuir al combate contra la COVID-19 sigue vigente. Alrededor del mundo, los países recurren a diferentes estrategias e implementan diversas medidas para contener el número de contagiados. Sin embargo, la utilización de herramientas digitales es un denominador común en casi todos. En mayor o menor medida, la tecnología forma parte de la estrategia para superar la pandemia. Desde mediados de marzo venimos siguiendo las iniciativas que fueron proponiendo distintos sectores, tanto a nivel global, como a lo largo de nuestro país.
A comienzos de mayo, expusimos ciertos lineamientos iniciales que consideramos deben tenerse en cuenta al momento de pensar en la implementación de tecnología como respuesta ante la emergencia sanitaria. La reciente exposición pública y la cobertura periodística dedicada a la app CuidAR, desarrollada por el Estado Nacional, aparece como una oportunidad para poner en evidencia el despliegue discrecional de tecnología en Argentina con la excusa de la pandemia ocasionada por la COVID-19. A su vez, esta discrecionalidad también nos despierta inquietudes sobre la legitimidad y razonabilidad en el uso de estas herramientas por gobiernos provinciales y municipales.
El objetivo de este artículo es exponer la creciente recolección, procesamiento y almacenamiento de datos personales mediante el uso de aplicaciones, que diversas provincias han justificado a raíz de la pandemia.
Al momento de la elaboración de este artículo, relevamos la existencia de 11 aplicaciones que se encuentran disponible en Google Play (algunas también con versiones para dispositivos iOS):
- A nivel nacional: CuidAR
- A nivel provincial:
- Santa Fe
- La Rioja
- Tierra del Fuego
- Misiones
- Río Negro
- Buenos Aires
- Mendoza
- Jujuy
- A nivel municipal:
- Ciudad de Córdoba
- General Pueyrredón
En este artículo nos enfocamos en el análisis preliminar que realizamos sobre las apps de Santa Fe, La Rioja, Tierra del Fuego, Jujuy y Ciudad de Córdoba. Estas son las apps que, hasta el momento, nos generan mayor preocupación e inquietudes sobre su uso. Respecto a la app CuidAR, una iniciativa del gobierno nacional, dada su relevancia y promoción en todo el país, consideramos que merece un análisis separado que será publicado próximamente.
El análisis preliminar se enfocó en ver cómo funcionan las apps, qué permisos solicitan y qué datos recolectan, para los usuarios que la descargan por primera vez. Respecto a los Términos y Condiciones, señalamos algunas de las cláusulas, vinculados con la recolección de datos y la finalidad que supuestamente persiguen estas apps.
Las apps fueron instaladas y probadas en un teléfono con Android 6.0.1. En el caso de La Rioja, se requiere mínimo de Android 4.1; las apps de Santa Fe, Córdoba y Jujuy requieren mínimo Android 5.0; y la app de Tierra del Fuego requiere mínimo Android 6.0.
Vamos a continuar el seguimiento sobre el uso de estas tecnologías a medida que avanza la pandemia y la respuesta sanitaria.
¿Cuál es el problema? Una solución que deja más dudas que certezas
Al margen de las observaciones particulares que amerita cada aplicación, podemos señalar diversas preocupaciones que nos despierta la narrativa persistente sobre la necesidad de implementar apps como respuesta a la pandemia.
El primer cuestionamiento que surge a partir de esta mirada inicial, es que las apps aparentan perseguir distintas finalidades, algunas de las cuales terminan solapadas dependiendo de cierta recolección de datos.
En general, las finalidades que se buscan son una combinación entre:
- Brindar información sobre higiene y síntomas;
- Validar permisos de circulación;
- Controlar la circulación de personas;
- Asistir a la persona si reporta síntomas;
- Realizar denuncias a personas (por incumplimiento de cuarentena) o comercios (por infracciones tales como, vender a un precio superior al fijado por el Estado).
Para que cualquiera de estas finalidades sea legítima y proporcional, debe establecerse, en forma clara y transparente, cuál es la necesidad que se pretende solucionar.
Una vez que se determina las características de esa necesidad/es y se plantean las medidas que se pueden tomar, es importante realizar evaluaciones de impacto en derechos humanos (y de forma más específica en datos personales y privacidad) para poder entender los problemas que pueden acarrear dichas medidas.
Ninguna de las apps deja en claro qué rol juega esa herramienta en la estrategia sanitaria de la jurisdicción correspondiente. En particular, se presenta la duda si el desarrollo de estas apps se realizó pensando en cómo puede ayudar al personal de salud, contando -al menos- con la participación de epidemiólogos, infectólogos y trabajadores sociales.
En este caso de análisis, dependiendo de qué se quiera solucionar, tal vez no sea necesario una aplicación solo para brindar información u orientar hacia los servicios médicos, o tal vez los recursos que se destinó a su desarrollo y mantenimiento serían mejor aprovechados para insumos médicos y el personal de salud que se encuentra respondiendo a la pandemia. Esta información debe ser evaluada y publicada por los organismos estatales antes de implementar cualquier medida tecnológica.
Es importante aclarar que ninguna de las aplicaciones que revisamos se encuentra diseñada para realizar contact tracing (el rastreo de contactos de las personas contagiadas), algo que tampoco es alegado desde los Términos y Condiciones de las mismas.
Además de la finalidad, en general los términos y condiciones de las apps presentan dos problemas graves. Por un lado, salvo TDFUnida, no establecen si los datos que se recolectan serán eliminados una vez que finalice la emergencia sanitaria. Por otra parte, establecen cláusulas amplias para la cesión de datos recolectados entre organismos Estatales, sin determinar específicamente quiénes tendrán acceso, de qué manera y por cuánto tiempo.
En lo que respecta a las funciones para realizar “autodiagnósticos”, se presentan tres cuestiones. En primer lugar, la calidad y precisión que pueden tener esos datos es limitada. Sobre todo si la provincia no cuenta con la capacidad para atender cada reporte y realizar tests para corroborar los síntomas. En segundo lugar, cuando estas funciones son vinculadas al ejercicio de otros derechos, como los que habilita el permiso/certificado de circulación, los incentivos para que las personas envíen datos falsos sobre sus síntomas son muy altos. Finalmente, puede generarse una falsa sensación de seguridad, sobre todo si las personas reportan sus síntomas y no tienen una respuesta rápida desde el sistema de salud.
Advertimos también una fuerte tendencia a la promoción de una cultura de “policiamiento” y “persecución ciudadana” que parecen instigar las funciones de denuncias, en particular en los casos de las aplicaciones de Santa Fe y Jujuy. La inclusión de funciones que facilitan el ejercicio de poder punitivo estatal no debería ser parte de aplicaciones que –según se afirma– fueron pensadas para cumplir objetivos de salud pública. Se trata de dos ámbitos diferentes y por lo tanto, es necesario que no se superpongan. De este modo, se reducirían los incentivos para que sucedan situaciones de delación entre ciudadanos.
El texto de los términos y condiciones de la app de La Rioja, Córdoba y Jujuy guardan múltiples similitudes entre sí y parecen haber sido copiados de la antigua versión de los t&C de la app CuidAr.
Santa Fe
A fines de abril, el gobierno provincial presentó su aplicación “COVID-19 Provincia de Santa Fe”. El gobierno comunicó el lanzamiento como una nueva manera de que los ciudadanos se puedan contactar con las autoridades en cuestiones vinculadas a la pandemia, junto con las distintas funciones que ofrece la app: realizar denuncias, consultas, solicitar asistencia y mantenerse informados.
La resolución 41/2020 (modificada por resolución 72/2020), del Ministerio de Trabajo del Gobierno de Santa Fe, dispone que “los empleados y las empleadas de los establecimientos habilitados a funcionar (…) deben realizar la Declaración Jurada de Estado de Salud (DJES), mediante la “app” denominada “Aplicación Móvil COVID-19 Provincia de Santa Fe” en forma personal y desde dispositivo móvil personal, cada 72 horas” (art. 12 de la Resolución). En caso que el empleado no pueda contar con la app, tiene que hacer de manera manual la declaración y el empleador debe compilarla en registro (art. 12 de la Resolución). De lo contrario, el empleador se expone a ser sancionado, pudiendo considerarse de riesgo grave e inminente pasible de suspensión de tareas. (art. 13 de la Resolución)
El secretario adjunto de Salud de Santa Fe afirmó que el uso de la app es optativo y que no sería exigida en los controles en la vía pública. Esto así en tanto el empleador no se lo exija a sus empleados, dando lugar a prácticas discrecionales y variadas a lo largo de la provincia.
La app tiene implementado Firebase (Google Analytics) para la recolección de analíticas sobre su uso.
Al momento de realizar el análisis preliminar, la app contaba con más de 100.000 descargas en Google Play.
¿Cuáles son los permisos que solicita la aplicación?
El análisis técnico preliminar reveló el siguiente listado con 40 permisos:
android.permission.WRITE_EXTERNAL_STORAGE com.huawei.android.launcher.permission.WRITE_SETTINGS android.permission.STORAGE com.anddoes.launcher.permission.UPDATE_COUNT android.permission.GET_TASKS android.permission.WAKE_LOCK android.permission.ACCESS_LOCATION_EXTRA_COMMANDS oppo.permission.OPPO_COMPONENT_SAFE android.permission.ACTIVITY_RECOGNITION com.sec.android.provider.badge.permission.WRITE android.permission.ACCESS_BACKGROUND_LOCATION android.permission.READ_EXTERNAL_STORAGE com.oppo.launcher.permission.WRITE_SETTINGS com.google.android.c2dm.permission.RECEIVE com.htc.launcher.permission.UPDATE_SHORTCUT com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE com.oppo.launcher.permission.READ_SETTINGS android.permission.ACCESS_NETWORK_STATE android.permission.ACCESS_COARSE_LOCATION com.sonymobile.home.permission.PROVIDER_INSERT_BADGE com.google.android.providers.gsf.permission.READ_GSERVICES android.permission.INTERNET android.permission.ACCESS_FINE_LOCATION com.sonyericsson.home.permission.BROADCAST_BADGE me.everything.badger.permission.BADGE_COUNT_READ com.google.android.gms.permission.ACTIVITY_RECOGNITION com.sec.android.provider.badge.permission.READ android.permission.READ_APP_BADGE com.huawei.android.launcher.permission.CHANGE_BADGE android.permission.FOREGROUND_SERVICE com.huawei.android.launcher.permission.READ_SETTINGS android.permission.REQUEST_INSTALL_PACKAGES com.huawei.permission.external_app_settings.USE_COMPONENT com.majeur.launcher.permission.UPDATE_BADGE android.permission.RECEIVE_BOOT_COMPLETED android.permission.SYSTEM_ALERT_WINDOW me.everything.badger.permission.BADGE_COUNT_WRITE com.htc.launcher.permission.READ_SETTINGS android.permission.VIBRATE android.permission.CAMERA
La descripción de los permisos que brinda Google Play es la siguiente (la misma no es exhaustiva respecto al listado completo anterior):
- Ubicación
- acceder a tu ubicación aproximada (basada en red)
- acceder a tu ubicación precisa (basada en red y GPS)
- acceder a comandos de proveedor de ubicación adicional
- Fotos/multimedia/archivos
- consultar el contenido de la tarjeta SD
- modificar o eliminar el contenido de la tarjeta SD
- Almacenamiento
- consultar el contenido de la tarjeta SD
- modificar o eliminar el contenido de la tarjeta SD
- Historial de aplicaciones y del dispositivo
- recuperar aplicaciones en ejecución
- Cámara
- realizar fotografías y videos
- Otro motivo
- Recibir datos de internet
- Tener acceso completo a la red
- Controlar la vibración
- Leer la configuración de los servicios de Google
- Ver conexiones de red
- Impedir que el teléfono entre en modo de suspensión
- Ejecutarse al inicio
- Esta aplicación puede aparecer sobre otras aplicaciones
¿Qué ocurre cuando iniciamos la app por primera vez?
Al abrir la aplicación, antes de tocar cualquier botón, se envía información de analíticas mediante Firebase (Google Analytics).
La única posibilidad que brinda la app, al menos en el teléfono donde se probó, es iniciar sesión con la cuenta de Google, utilizando una dirección de correo en Gmail. Luego se pide al usuario que ingrese su nombre y apellido, número de DNI y número de teléfono. Una vez que se inicia sesión, lo primero que solicita la app es permiso para activar la geolocalización del teléfono. Al momento en que se acepta el uso de geolocalización, se envía al servidor del Gobierno de Santa Fe (https://www.santafe.gob.ar/coronavirusweb/api/posicion) las coordenadas con la posición del dispositivo de la siguiente manera (el contenido de los campos es a modo de ejemplo):
"location": {
"activity": {
"confidence": 100,
"type": "still"
},
"battery": {
"is_charging": true,
"level": 1
},
"coords": {
"accuracy": 11.6,
"altitude": 50,
"heading": -1,
"latitude": -34.608125,
"longitude": -58.370372,
"speed": -1
},
"event": "motionchange",
"extras": {},
"is_moving": false,
"odometer": 0,
"timestamp": "2020-05-10T00:00:00.000Z",
"uuid": "2aa85a02-1d40-4aaa-1984-48c13e4dc34"
Hasta donde pudimos comprobar, la geolocalización es enviada al servidor del Gobierno de Santa Fe cada vez que se ingresa a la app.
En la función para realizar el autodiagnóstico, se presenta un formulario donde el usuario debe seleccionar sus síntomas. Para confirmar el diagnóstico, la app muestra un aviso de que el formulario tiene el carácter de “declaración jurada” y hacer una falsa declaración puede considerarse una “contravención grave”.
Una vez que se envía el formulario, si no se seleccionan síntomas, el resultado es “riesgo leve”, se indica al servidor “resultado: 1”. (https://www.santafe.gob.ar/coronavirusweb/api/reportesalud)
Si se marcan síntomas, el resultado es “en riesgo”, se avisa al usuario para que llame al 0800-555-6549 para solicitar asistencia médica, junto con otros consejos de higiene. La información que se envía al servidor incluye los siguientes datos, dependiendo de qué haya seleccionado la persona (el contenido de los campos es a modo de ejemplo):
"dificultadRespirar": true, "dolorGarganta": true, "fiebre": true, "patologias": true, "perdidaGusto": true, "perdidaOlfato": true, "resultado": 2, "tosSeca": true
La app también incluye una función para realizar denuncias, “de situaciones y/o personas que ponen en riesgo la salud pública debido a no cumplir con las disposiciones previstas por el Estado”. Además de poder denunciar desabastecimiento o sobreprecios. En ambos casos se dispone de un formulario para completar con los datos personales de quien se quiere denunciar y enviarlos.
La Rioja
Esta aplicación es administrada por el Ministerio de Salud Pública de la Función Ejecutiva de la Provincia de La Rioja. Hasta donde pudimos comprobar, no hemos encontrado anuncios oficiales del gobierno provincial sobre el lanzamiento de esta aplicación o haciendo difusión para su uso. Sin embargo, en su sitio web sí hay una página específica para promover la app CUIDAR, del Estado Nacional. Nos comunicamos con el Ministerio de Salud de La Rioja para solicitar mayor información, por lo que actualizaremos el artículo cuando tengamos novedades.
La app tiene implementado Firebase (Google Analytics) para la recolección de analíticas sobre su uso.
Al momento de realizar el análisis preliminar, la app contaba con más de 1000 descargas en Google Play.
De sus Términos y Condiciones destacamos los siguientes puntos relevantes:
- El propósito general que se alega es “ayudar a prevenir la propagación del virus”. Además, se aclara que “El contenido y/o uso de la aplicación está orientada exclusivamente a informar a todas las personas sobre el virus COVID-19, quedando aclarado que en ningún caso podrá interpretarse como que agota la información disponible”.
- “Las recomendaciones, lineamientos, sugerencias o guías que puedan encontrarse en la app no constituyen opinión médica ni deben utilizarse para realizar un diagnóstico ni iniciar un tratamiento médico sin la consulta de un profesional de la salud. La aplicación no sustituye la opinión médica.”
- Prohibe que puedan realizarse auditorías sobre el código fuente y la seguridad de la aplicación, al establecer que no se puede realizar “ingeniería inversa, descompilar o desensamblar cualquier parte de la aplicación”.
- La finalidad de la recolección de datos es “recomendarle pasos a seguir según su situación e instrucciones para ser atendido en la unidad de salud más cercana”.
- “El Ministerio puede ceder la información personal a otras entidades estatales y/o establecimientos sanitarios para que estos puedan contener y/o mitigar la propagación del virus COVID-19, ayudar a prevenir la sobreocupación del sistema sanitario de la Provincia de La Rioja y para cualquier otra finalidad que se relacione con la emergencia provocada por la pandemia.”
¿Cuáles son los permisos que solicita la aplicación?
El análisis técnico preliminar reveló el siguiente listado con 25 permisos:
android.permission.WRITE_EXTERNAL_STORAGE com.huawei.android.launcher.permission.WRITE_SETTINGS com.anddoes.launcher.permission.UPDATE_COUNT android.permission.WAKE_LOCK android.permission.ACCESS_WIFI_STATE com.sec.android.provider.badge.permission.WRITE com.oppo.launcher.permission.WRITE_SETTINGS com.google.android.c2dm.permission.RECEIVE com.htc.launcher.permission.UPDATE_SHORTCUT com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE com.oppo.launcher.permission.READ_SETTINGS android.permission.ACCESS_NETWORK_STATE android.permission.ACCESS_COARSE_LOCATION com.sonymobile.home.permission.PROVIDER_INSERT_BADGE android.permission.INTERNET android.permission.ACCESS_FINE_LOCATION com.sonyericsson.home.permission.BROADCAST_BADGE me.everything.badger.permission.BADGE_COUNT_READ com.sec.android.provider.badge.permission.READ android.permission.READ_APP_BADGE com.huawei.android.launcher.permission.CHANGE_BADGE com.huawei.android.launcher.permission.READ_SETTINGS com.majeur.launcher.permission.UPDATE_BADGE me.everything.badger.permission.BADGE_COUNT_WRITE com.htc.launcher.permission.READ_SETTINGS
La descripción de los permisos que brinda Google Play es la siguiente (la misma no es exhaustiva respecto al listado completo anterior):
- Ubicación
- Acceder a tu ubicación aproximada (basada en red)
- Acceder a tu ubicación precisa (basada en red y GPS)
- Fotos/multimedia/archivos
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Almacenamiento
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Información sobre la conexión Wi‑Fi
- Ver redes Wi-Fi
- Otro motivo
- Recibir datos de internet
- Ver conexiones de red
- Tener acceso completo a la red
- Impedir que el teléfono entre en modo de suspensión
¿Qué ocurre cuando iniciamos la app por primera vez?
Al momento de abrir la app por primera vez, se muestra el aviso para dar permiso al uso de geolocalización del teléfono, antes de aceptar los Términos y Condiciones. Una vez que se aceptan los Términos y Condiciones, se pide completar un formulario con el número de DNI, el nombre y apellido, el número de teléfono, y luego otro formulario con el domicilio.
Cuando se envían ambos, la app registra en el servidor (https://healthcare-sic.denwaip.com/api/c19-la-rioja-14f2d7ccc72a1a32/citizens) la geolocalización del dispositivo, junto con la información que se completó de los formularios.
Los datos ingresados en el formulario son enviados de la siguiente forma (el contenido de los campo es a modo de ejemplo):
"address": "Siempreviva 742",
"city": "La Rioja",
"country": "Argentina",
"display_name": "Rocío Perez",
"gender": "Mujer",
"geocoding":
"lat": -34.608125,
"lng": -58.370372
"geocoding_type": "APPROXIMATE",
"identifier": "12345678",
"location_permission": "granted",
"mobile_number": "1111111111",
"neighborhood": "San Vicente",
"relationship":
"identifier": "",
"type": ""
"verification":
"phone": false
"year_of_birth": 1984
Cuando la persona realiza el autodiagnóstico, la app avisa, antes de enviar los resultados, que la información tiene carácter de “declaración jurada”.
Una vez que la persona envía el resultado, se registra en el servidor (https://healthcare-sic.denwaip.com/api/c19-la-rioja-14f2d7ccc72a1a32/diagnoses) la siguiente información (dependiendo de los síntomas y condiciones de salud que haya seleccionado; el contenido de los campos es a modo de ejemplo):
"diagnosis":
"chronic_diseases": "",
"fever_days": 0,
"fever_degrees": 37,
"fever_measured": true/false,
"flu_vaccine": null,
"health_personnel": true/false,
"high_risk_countries_days": 0,
"high_risk_countries_people": 0,
"high_risk_regions_days": 0,
"positive_case_contact": true/false,
"pregnant": true/false,
"result": "goodhealth",
"suggestions": "",
"symptoms": "",
"symptoms_days": 0}
"user":
"location":
"lat": -34.608125,
"lng": -58.370372
Hasta donde pudimos comprobar, cada vez que se vuelve a ingresar a la app se registran las coordenadas de geolocalización.
Para el funcionamiento de la app, el gobierno provincial utiliza el servicio de la empresa DENWA, los datos que se recolectan son enviados a sus servidores en Estados Unidos.
Tierra del Fuego
El gobierno de la provincia de Tierra del Fuego lanzó a fines de abril la app “TDFUnida”. La provincia estableció que las personas solo pueden salir dos veces por semana, por un tiempo máximo de tres horas en cada vez, por ejemplo para ir al supermercado o la farmacia. La app TDFUnida tiene incorporada la función para realizar el autodiagnóstico con el fin de obtener la habilitación para salir y trasladarse. Luego de su lanzamiento, se publicaron en Twitter críticas a la aplicación por sus diversas falencias de seguridad y errores en el desarrollo.
Hasta el momento, el Concejo Deliberante de Ushuaia sancionó una ordenanza que prohíbe la implementación de aplicaciones móviles de carácter obligatorio.
La app utiliza Firebase (Google Analytics), para registrar información estadística del uso que hace el usuario de la app.
Al momento de realizar el análisis preliminar, la app contaba con más de 500 descargas en Google Play.
De sus Términos y Condiciones destacamos los siguientes puntos relevantes:
- “Toda la información obtenida será analizada y procesada por funcionarios y personal técnico altamente capacitado, miembros del Gobierno de la Provincia y SSI, encargados de generar informes y estadísticas con fines estrictamente de interés público en el ámbito de la salud y ante la situación de emergencia nacional decretada por las Autoridades Gubernamentales, a fin de proteger y salvaguardar un interés mayor, esencial para la población nacional”.
- “Se informa que el objetivo principal de la presente Aplicación es reducir el volumen de llamadas al número para emergencias sanitarias, evacuando por igual las dudas o consultas frecuentes sobre la enfermedad COVID-19 (de la familia de infecciones del Coronavirus), transmitir tranquilidad a la población, permitir un triage o autoevaluación inicial de posibles casos y su seguimiento posterior.”
- “En el momento del registro y la realización de las autoevaluaciones, se guardará su localización de GPS, siempre bajo su expreso consentimiento, para conocer dónde se encuentra, poder adecuar y ofrecerle las mejores medidas preventivas y de evaluación en cada momento, así como para garantizar la calidad de los datos y su análisis epidemiológico. Básicamente esta información es obtenida a fin de entender dónde se encuentran localizados la mayor concentración de casos, con un fin estadístico y de ejecución de medidas apropiadas. Es decir, se localiza cada evaluación para entender la distribución de los síntomas con datos lo más fehacientes posibles. Esta localización es siempre opcional y alternativamente, se podrá utilizar la dirección del domicilio proporcionada en el registro, con la finalidad de prestación de servicios sanitarios en caso de ser necesario. En cualquier caso, la aplicación no realiza geofencing para determinar si el USUARIO se encuentra en su domicilio a menos que la justicia lo solicite y dictamine lo contrario.”
- “Sólo serán conservados y procesados sus datos mientras sean necesarios para las finalidades indicadas en el punto anterior, y durante el período que lo demande la situación de emergencia sanitaria. Además, podremos obtener archivos históricos anónimos que permitan predecir nuevas enfermedades o focos de repetición, con la limitación del plazo de conservación establecido por la normativa aplicable. En el momento en que finalice el periodo de conservación declarado de sus datos, estos serán borrados, anonimizados y/o bloqueados conforme a los requisitos establecidos en la normativa nacional aplicable.”
- Respecto al acceso a los datos recolectados, se habilita al “Ministerio de Salud Provincial, el Ministerio de Salud de la Nación, los profesionales sanitarios y las autoridades quienes realizan trabajo en equipo”
¿Cuáles son los permisos que solicita la aplicación?
El análisis técnico preliminar reveló el siguiente listado con 12 permisos:
android.permission.ACCESS_NETWORK_STATE android.permission.WRITE_EXTERNAL_STORAGE android.permission.ACCESS_COARSE_LOCATION com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE android.permission.INTERNET android.permission.READ_EXTERNAL_STORAGE android.permission.ACCESS_WIFI_STATE android.permission.CALL_PHONE android.permission.ACCESS_BACKGROUND_LOCATION com.google.android.c2dm.permission.RECEIVE android.permission.WAKE_LOCK android.permission.ACCESS_FINE_LOCATION
La descripción de los permisos que brinda Google Play es la siguiente:
- Ubicación
- Acceder a tu ubicación aproximada (basada en red)
- Acceder a tu ubicación precisa (basada en red y GPS)
- Teléfono
- Llamar directamente a números de teléfono
- Fotos/multimedia/archivos
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Almacenamiento
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Información sobre la conexión Wi‑Fi
- Ver redes Wi-Fi
- Otro motivo
- Recibir datos de internet
- Ver conexiones de red
- Tener acceso completo a la red
- Impedir que el teléfono entre en modo de suspensión
¿Qué ocurre cuando iniciamos la app por primera vez?
La primera pantalla que aparece al abrir la app son los Términos y Condiciones. Una vez que se aceptan, aparecen 3 ventanas para aceptar los permisos de (1) geolocalización, (2) acceso a la tarjeta SD, (3) función de celular/teléfono.
Una vez que se aceptan los permisos, la app pide iniciar sesión. Se puede crear una cuenta ad hoc, o iniciar sesión con Google.
Una vez que se inicia sesión, la app registra la información de geolocalización en el servidor (https://salud.pixartargentina.com.ar/api/v1/ubicacion/), de la siguiente manera (el contenido de los campos es a modo de ejemplo):
"acc": "19.840", "idPersona": 911, "latitud": "-34.608125,", "longitud": "-58.370372"
Hasta donde pudimos comprobar, cada vez que se vuelve a ingresar a la app se registran las coordenadas de geolocalización.
El servidor utilizado por la app corresponde a la empresa Pixart y, hasta donde pudimos comprobar, se encuentran ubicados en Argentina.
Jujuy
La aplicación es administrada por el Comité Operativo de Emergencia de la Provincia de Jujuy. Al momento de realizar el análisis preliminar, la app contaba con más de 5000 descargas en Google Play.
Jujuy cuenta con otra aplicación, Simmov (Sistema de Monitoreo Móvil), destinada a ser usada por los “agentes de control habilitados por el Comité Operativo de Emergencia”. El Gobierno de Jujuy emitió el decreto-acuerdo 786/20 –ratificado luego por ley 6168– que dispone la circulación de las personas en ciertos días de acuerdo a la terminación del DNI (art. 2). En todos los casos es requisito indispensable la presentación del DNI a la Policía o a los agentes de salud para verificar el cumplimiento de la circulación en los días correspondientes. En estos casos, los policías o agentes utilizan Simmov para escanear los documentos y de esa manera registrar las ubicaciones de las personas.
Hasta donde pudimos comprobar, Simmov es utilizado en ciertos puntos de acceso (como puentes y rutas) por la Policía. El gobierno provincial está conversando con bancos y supermercados para que también ellos comiencen a escanear los DNIs, pero no tenemos confirmación de que ya esté sucediendo.
La información que brindamos a continuación está enfocada en la app destinada a la población general (“Covid19 Jujuy”), no en la app Simmov.
De los Términos y Condiciones destacamos los siguientes puntos relevantes:
- “Ante el uso del autodiagnóstico, si el riesgo de portarlo es medio o alto, se activará un mensaje de alerta en la base de datos del Comité Operativo de Emergencia de la Provincia de Jujuy, y el personal del SAME se encargará de contactarte y mantenerte en seguimiento.”
- “La aplicación, en todo momento, lleva el registro de su geoposición con el fin de evitar la propagación exponencial del COVID-19 y salvaguardar la integridad física y mental de los ciudadanos de la Provincia de Jujuy.””
- “El contenido y/o el uso de la aplicación está orientada exclusivamente a informar y realizar seguimiento a todas las personas sobre el virus COVID-19, quedando aclarado que en ningún caso podrá interpretarse como que agota la información disponible.”
- “Las recomendaciones, lineamientos, sugerencias o guías que puedan encontrarse en la aplicación no constituyen opinión médica ni deben utilizarse para realizar un diagnóstico ni iniciar un tratamiento médico sin la consulta de un profesional de la salud. La Aplicación no sustituye la opinión médica.”
- Prohibe que puedan realizarse auditorías sobre el código fuente y la seguridad de la aplicación, al establecer que no se puede realizar “ingeniería inversa, descompilar o desensamblar cualquier parte de la aplicación”.
¿Cuáles son los permisos que solicita la aplicación?
El análisis técnico preliminar reveló el siguiente listado con 12 permisos:
android.permission.ACCESS_NETWORK_STATE android.permission.WRITE_EXTERNAL_STORAGE android.permission.ACCESS_COARSE_LOCATION android.permission.CAMERA com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE android.permission.INTERNET android.permission.READ_EXTERNAL_STORAGE android.permission.ACCESS_WIFI_STATE android.permission.RECEIVE_BOOT_COMPLETED android.permission.CALL_PHONE com.google.android.c2dm.permission.RECEIVE android.permission.WAKE_LOCK android.permission.CHANGE_WIFI_STATE android.permission.ACCESS_FINE_LOCATION
La descripción de los permisos que brinda Google Play es la siguiente:
- Ubicación
- Acceder a tu ubicación aproximada (basada en red)
- Acceder a tu ubicación precisa (basada en red y GPS)
- Teléfono
- Llamar directamente a números de teléfono
- Fotos/multimedia/archivos
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Almacenamiento
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Cámara
- Capturar fotos y videos
- Información sobre la conexión Wi‑Fi
- Ver redes Wi-Fi
- Otro motivo
- Recibir datos de internet
- Ver conexiones de red
- Conectarse y desconectarse del Wi-Fi
- Tener acceso completo a la red
- Ejecutarse al inicio
- Impedir que el teléfono entre en modo de suspensión
¿Qué ocurre cuando iniciamos la app por primera vez?
Al abrir la app lo primero que aparecen son los Términos y Condiciones. Luego se muestra un formulario para completar donde se pide ingresar: el número de DNI, el nombre y apellido, el domicilio y el número de teléfono.
Una vez completado el registro, la app envía los datos al servidor (coe.jujuy.gob.ar/covid19/registro) de la siguiente manera (el contenido de los campos es a modo de ejemplo):
"apellido": "Perez", "direccion_calle": "Siempreviva", "direccion_numero": "742", "dni": "12345678", "localidad": 111, "localidad_nombre": "Los Perales", "nombre": "Rocío", "push_notification_id": "telefono": 1111111111
Cuando se completan los datos del formulario, lo primero que aparece a continuación es la solicitud de acceder a (1) los archivos multimedia (y tarjeta microSD), (2) la geolocalización, y (3) la cámara de fotos.
Si el usuario realiza el “cuestionario autotest”, luego de contestar una serie de preguntas, la app registra la siguiente información en el servidor (el contenido de los campos es a modo de ejemplo):
"contacto_extranjero": false, "dif_respirar": false, "dni": "12345678", "fiebre": false, "latitud": "-34.608125,", "longitud": "-58.370372" "pais_riesgo": false, "riesgo": 1, "tos": false
La app también incluye las funciones para solicitar salvoconducto (certificado de circulación), activar la pulsera GPS y realizar denuncias. Las denuncias se pueden realizar por distintos motivos: incumplimiento de cuarentena, negocio en falta, no respetar precios máximos, sin barbijo en vía pública, o reunión ilegal de varios individuos.
Hasta donde pudimos comprobar, los servidores donde envía datos la app se encuentran en Argentina.
Ciudad de Córdoba
A comienzos de abril, la Municipalidad de Córdoba Capital lanzó la app “Vecino Salud”. Según lo informado en el anuncio oficial, la app “es una herramienta con información auditada por el Comité de Expertos de Salud de la Municipalidad de Córdoba”. Además, según informó la Municipalidad, la seguridad de la app fue auditada por la Universidad Tecnológica Nacional, y es actualmente monitoreada por el Consejo Asesor Sanitario Municipal (un grupo de expertos en salud y gestión de recursos).
Al momento de realizar el análisis preliminar, la app contaba con mas de 10.000 descargas en Google Play (20.000 según lo que informa la propia Municipalidad de Córdoba).
De los Términos y Condiciones resaltamos los siguientes puntos relevantes:
- “La presente Aplicación denominada “Vecino Salud” está a disposición de los vecinos de la ciudad de Córdoba que necesitaran informarse o reportar información cuando tuvieren síntomas compatibles con el virus COVID-19, a los fines de ser derivados para su diagnóstico y atención en el sistema de salud municipal, como así también informarse sobre políticas de acción sanitaria municipal.”
- “El contenido y/o uso de la aplicación está orientado exclusivamente a informar a todas las personas que presenten síntomas compatibles con el virus COVID-19, quedando aclarado que en ningún caso podrán interpretarse que la información suministrada por la misma agota la información disponible sobre el virus y su tratamiento.”
- “Las recomendaciones, lineamientos, sugerencias o guías que puedan encontrarse en la aplicación no constituyen opinión médica, ni deben utilizarse para un diagnóstico ni para iniciar un tratamiento médico sin la consulta con un profesional de la salud. La aplicación no sustituye la opinión médica.”
- Prohibe que puedan realizarse auditorías sobre el código fuente y la seguridad de la aplicación, al establecer que no se puede realizar “ingeniería inversa, descompilar o desensamblar cualquier parte de la aplicación”.
¿Cuáles son los permisos que solicita la aplicación?
El análisis técnico preliminar reveló el siguiente listado con 8 permisos:
android.permission.READ_EXTERNAL_STORAGE com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE android.permission.WAKE_LOCK android.permission.WRITE_EXTERNAL_STORAGE android.permission.ACCESS_FINE_LOCATION android.permission.ACCESS_NETWORK_STATE android.permission.INTERNET com.google.android.c2dm.permission.RECEIVE
La descripción de los permisos que brinda Google Play es la siguiente:
- Ubicación
- Acceder a tu ubicación precisa (basada en red y GPS)
- Fotos/multimedia/archivos
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Almacenamiento
- Consultar el contenido de la tarjeta SD
- Modificar o eliminar el contenido de la tarjeta SD
- Otro motivo
- Recibir datos de internet
- Ver conexiones de red
- Tener acceso completo a la red
- Impedir que el teléfono entre en modo de suspensión
¿Qué ocurre cuando iniciamos la app por primera vez?
La primera pantalla al abrir la app son los Términos y Condiciones. Una vez que se aceptan se muestra el menú principal con las opciones. Las primeras tres opciones (Consultar Síntomas, Prevención, Preguntas Frecuentes) son simplemente informativas, acceder a las mismas no registra datos en el servidor.
La sección “Consultar síntomas” permite acceder a información detallada sobre la sintomatología, mientras que la segunda, “Prevención” ofrece información sobre las medidas de prevención e higiene que deben tomar los ciudadanos. A su vez, otorga instrucciones sobre la adecuada conducta que deben tener para evitar el contagio. La sección “Preguntas Frecuentes” le permite al usuario acceder a la información oficial sobre la Pandemia, la importancia de cumplir con la cuarentena decretada por el Gobierno Nacional, las recomendaciones médicas para evitar contagios, las medidas de aislamiento, el cuidado especial que deben tener los grupos vulnerables, una guía paso a paso sobre cómo hacer barbijos caseros y los teléfonos habilitados para consultas y denuncias.
Cuando se ingresa a la función de Autochequeo, se muestra un formulario donde la persona debe completar el número de DNI, el nombre y apellido, la fecha de nacimiento, el número de teléfono y el género. Luego se comienzan a seleccionar los síntomas y datos sobre posible contagio. Una vez que la persona seleccionar enviar, se solicita acceso a la geolocalización del teléfono y se presenta también un formulario para precisar el Barrio/Localidad.
La información del autochequeo es enviada para registro al servidor (munidigital.com/MuniDigitalCore/covid-19/reporte) de la siguiente manera (el contenido de los campos es a modo de ejemplo):
"agrupar": false, "apellido": "Perez", "centroSaludId": 911, "dni": 12345678, "edad": 99, "embarazo": true/false, "enfermedadesPreexistentes": true/fase, "fechaCreacion": "2020-05-15T23:33:16Z", "fechaInicioSintomas": "2020-04-01T23:31:16Z", "fechaNacimiento": "1968-05-13T00:30:54Z", "generoEscrito": "Otro", "homeBarrio": "Sin Barrio", "homeDireccion": "Siempreviva", "homeLatitud": -34.608125, "homeLocalidad": "Sin Localidad", "homeLongitud": -58.370372, "homePais": "Argentina", "homeProvincia": "Córdoba", "homeZoneId": 0, "nombre": "Rocío", "paisDeViaje": "", "sexoCiudadano": 1, "telefono": "1111111111", "temperaturaCorporal": 0.0, "tieneDifucultadParaRespirar": true/false, "tieneDolorGarganta": true/fase, "tieneTos": true/fase, "tuvoContactoInfectado": true/false, "viajoAlExterior": true/false
Hasta donde se pudo verificar, el servidor se encuentra alojado en Argentina.
Imagen de ilustración por Ketut Subiyanto desde Pexels.
