Protección de datos vs Covid-19: 2º round a cargo de las autoridades nacionales

Este post, al igual que el anterior, centrado en las directrices de las distintas autoridades europeas sobre los elementos que debería respetar las apps y sistemas que se desarrollen en la lucha contra el bicho, es un recopilatorio de todos los hilos que este lo ha vuelto a hacer, pero con la particularidad de que ahora se centran en lo que las autoridades nacionales de protección de datos de la UE dicen. En particular, como consecuencia de la revisión de sus apps oficiales nacionales, o de los proyectos de ley que se crean al respecto.

Una vez más, doy la gracias a todos aquellos que se hayan pasado a leer, comentar, marcar como “me gusta” o retwittear los hilos, porque son ellos los que han conseguido que tuvieran una difusión mucho mayor de lo que me hubiera imaginado conseguir. En suma, de todo lo que se ha dicho, los que deciden tienen una buena batería de medidas privacy friendly para implementar y conseguir el truco final: luchar adecuadamente contra esta pandemia, sin desposeernos del derecho fundamental a la protección de datos, u obligarnos a la elección fatal y orwelliana de: vida o derechos y libertades.

Para todos aquellos que prefieran el sistema del pájaro azul, aquí están los enlaces a los distintos hilos de esta tanda:

Bonus clip

Bonus clip de fuera del Espacio Económico Europeo, pero dentro de la Commonwealth:

Antes de entrar a reproducir los hilos, cabe destacar lo más importante que nos comentan, a fin de poder tenerlo en cuenta para cualquier desarrollo que se haga en Europa. Ventajas de jugar en el mismo campo, y con las mismas reglas de protección de datos.

  • Parte de un plan epidemiológico nacional en el que los expertos de la materia hayan determinado que las apps son necesarias y eficaces para la lucha contra el bicho, y que la clave de bóveda sea los test.
  • Voluntariedad para la descarga y y uso de la app sin consecuencia negativa para quien no pueda o no quiera, y sin posibilidad de obligar o penalizar al usuario que no lleve su dispositivo encima en todo momento, u obligarle a usarla para realizar algún acción (p.ej. pasar un control).
  • Transparencia al máximo: dar al ciudadano toda la información que exige el RGPD de la forma más clara (user experience design), y además, toda la que se pueda para generar la máxima confianza: explicar si se limita a las finalidades declaradas, si cabe la posibilidad ampliarse modificarse por desarrollo de la app, o aclarar tanto los destinatarios de los datos personales y los usos que le fueran a dar, o si el almacenamiento es centralizado o descentralizado.
  • Algoritmos de las apps controlados y supervisados para evitar discriminación y falsos positivos y negativos.
  • PIA y más PIA. Recomendado publicarla e informar a los ciudadanos también de los elementos clave del proceso de desarrollo: posibles riesgos tenidos en cuenta, procedimiento de decisión, etc.
  • Publicación del código fuente, y mejor en formato open source. Si hacemos caso a la autoridad belga, puesta a disposición antes de que la app se lance para permitir que se audite por todo aquel que lo considere.
  • Minimización, seudonimización y almacenamiento al mínimo.
  • Seguridad y cifrado de la NASA, en especial en los sistemas centralizados. Al CNIL no le gusta el algoritmo de cifrado o 3DES, y en España los proveedores de la admin deben disfrutar del ENS.
  • Las cookies cuentan (aunque no he visto mucha referencia al tema).
  • Los derechos en la materia (SOPLAR, POLIAMOR, PARSOL, ARCOPOL, o cómo quiera llamarlos cada cuál) se deben seguir atendiendo en tiempo y forma. Este punto debería recordarlo Hungría.
  • Las directrices sobre geolocalización y contact tracing del EDPB no están de adorno (El Garante y la GBA lo valoran como elemento clave).
  • Lo suyo en sacar una ley reguladora de la materia (La CNIL le pone como deberes para autorizar la app ver el proyecto de ley, aunque vaya por consentimiento y por interés público sanitario del 9.2.i).

Sin más dilación, vamos como el recopilatorio. Obviamente si alguien ve alguna cosa importante en los documentos que se me haya pasado referenciar, puede comentarlo por redes sociales con toda confianza.

Autoridad francesa (CNIL)

La CNIL publica su opinión sobre la app «StopCovid» del tipo contact tracing, desarrollada por la secretaría de estado de asuntos digitales francesa. Vámonos de hilo https://www.cnil.fr/sites/default/files/atoms/files/deliberation_du_24_avril_2020_portant_avis_sur_un_projet_dapplication_mobile_stopcovid.pdf

1) Aplicación de contact tracing sin diagnóstico de ningún tipo, que utiliza datos de proximidad, pero no geolocalización del usuario (bien👍), bluetooth (bien👍), voluntaria (bien👍), centralizada (bueno) y con generación de un identificador de la app y no del usuario (bien👍).

2)Aunque el Gobierno alega que no hay dato personal alguno porque no se le piden al usuario y la app solo tiene un identificador para que lo reconozca el servidor, va a ser que ese identificador único es dato personal seudónimo (recomendada visita del Gobierno al art 4.1 RGPD).

3)El protocolo utilizado (llamado ROBERT) rastrea hasta el servidor centralizado los identificadores de las apps de los usuarios que ha podido estar en contacto con el infestado, y no el del propio infectado. Esto minimiza mucho el riesgo de reidentificación del afectado👍.

4)Existe un tratamiento de datos de salud en el servidor, debido a que el estado de salud del afectado será el que ponga en funcionamiento la app (la magia de los datos inferidos), que amerita implantar medidas estrictas de seguridad y minimizar la reidentificación del afectado.

5)Se constata que la app no tiene por objeto nada raro y distinto de lo declarado, como podría ser organizar el contacto con la persona alertada, vigilar el número de personas infectadas o los movimientos del usuario.

6)El deber de información pide que quede bien claro en la información al usuario que es voluntaria. Esta voluntad abarca a la descarga y la utilización de la app (activación del bluetooth, o la declaración de esta afectado por el bicho). Sin consecuencias negativas por no usar.

7)Tampoco puede ser una patente de corso para obligar al usuario a llevar el móvil encima todo el rato, ni someter el ejercicio de nada al uso de la app. Estaría feo y sería discriminatorio.

8)El Gobierno duda entre consentimiento e interés público, pero se le recuerda que una cosa en que la app sea voluntaria y otra la base jurídica para tratar los datos, que, en este caso, no debería el consentimiento, sino el interés público en el ámbito sanitario (0 sorpresas).

9)Además de no olvidarse del pequeño matiz de la ley nacional que recoja medidas y garantías adecuadas (9.2.i), declara que debería tener una base concreta en la normativa nacional, y que, con independencia de la base elegida, le pasen el proyecto de ley reguladora (bravo👏).

10)Proporcionalidad, minimización y limitación de la conservación a lo estrictamente necesario. Eliminación tras el final, salvo investigación científica o estadística legítima, y siempre que no pueda hacerse con datos anónimos.

11)Ojo ciudao con la calibración del algoritmo para evitar falsos positivos y negativos, la automatización total sin personal cualificado que valide la decisión, o que la app tiene que ser parte de un plan general (en este caso, lo es bajo el control del Ministerio de Sanidad).

12)Mejor el Ministerio de Sanidad como responsable.

13)PIA y más PIA. Y además publicada para dar transparencia total.

14)El protocolo permite generar falsos positivos para reducir el riesgo de identificación por ataque, pero esta medida no debería utilizarse por el riesgo de limitación de libertades injustificada para el contacto que la pudiera recibir, y por no cumplir con el principio de exactitud.

15)Aplicar medidas de seguridad de las potentes: para evitar recrear el vínculo entre el identificador de la app y la info del dispositivo (p.ej dirección mac), y cifrado del bueno (pero no el algoritmo 3DES planteado).

16)Grand finale: el bicho no anula el ejercicio de derechos en P.D.

Autoridad británica (ICO)

Seguimos con los hilos de las autoridades de P.D nacionales con las apps de contact tracing. El ICO publicó un documento sobre las cosas que espera ver en las apps de este estilo que se hagan en su coto de caza, pero con el ojo puesto en la app de su sistema de salud https://ico.org.uk/media/for-organisations/documents/2617676/ico-contact-tracing-recommendations.pdf

1)La app es parte de un plan nacional en la lucha contra el bicho, pero que no te cubre el pequeño detalle de los que no tienen smartphone o grupos más vulnerables (eso de no poder obligar a un pobre señor mayor a que se compre uno, entre otros supuestos).

2)Estas apps sirven para notificar a los usuarios que hayan estado cerca recientemente de otro usuario que ha confirmado los síntomas del bicho. Todo lo que se salga de eso (registro, datos adicionales o lugar concreto) no es necesario, y, por tanto, deberá valorarse caso por caso.

3)PIA como el Big Ben de grande.

4)Información y transparencia: explicar si se limita a lo mínimo, hay más que eso, o si cabe la posibilidad de que lo haya por desarrollo de la app. La información lo más clara posible (user experience (UX) design), e info completa accesible.

5)Informar de las decisiones dateras tomadas (privacy by design): p.ej. posibles riesgos tenidos en cuenta, procedimiento de decisión. Recordemos que la transparencia aporta confianza.

6)Ser claro en lo que se pretende conseguir con la app, es decir, ese bien común.

7)Minimización (as always): información necesaria, excluyendo los datos de localización y otros identificadores de dispositivos más allá de los estrictamente necesarios. El tratamiento de más datos, habrá que valorarlo caso por caso.

8)Identificadores seudónimos de esos que sean difícil reidentificar y rastrear de manera indebida, please.

9)Los usuarios puedan ejercer sus derechos a través de la propia app, es decir, recomendable un panel de configuración de privacidad.

10)Conservación al mínimo, y ojo cuidao con cruzar esos datos sin consentimiento. Recomendable que el usuario puede eliminarlos directamente.

11)Seguridad y cifrado de los buenos. Tanto en los servidores como en la comunicación (lo de cifrado de extremo a extremo no convence).

12)Voluntariedad en la descarga y uso de la app sin consecuencias negativas, como ya sabemos. Funciones separadas (desacopladas) para que el usuario puede activar una concreta sin tener que dar datos para las otras que no desea.

13)Oportunidad pintiparada para incorporar funciones que mejoren la seguridad, como, por ejemplo, que requiera que el teléfono no esté bloqueado para funcionar.

14)Código fuente abierto (open source para los amigos) para permitir la auditoría y revisión.

15)Estos identificadores seudónimos deben generarse en el dispositivo. Si son generados por la infraestructura back-end, debe explicarse por qué es necesario y qué pasa con los riesgos.

16)Los fines de investigación que pueda tener interés público debe ser tenido en cuenta en la DPIA, y ya que estamos, comunicado al ICO para hablarlo.

17)Finale: más recomendaciones para desarrolladores y técnicos. El ICO controla el tema.

Convenio de gestión de nuestra app “AsistenciaCovid19”

Seguimos con los hilos de P.D y el bicho. Hoy toca uno sobre la resolución publicada ayer en BOE, sobre el encargo de la gestión de nuestra app de autodiagnóstico (ASISTENCIACOVID19) a uno de los sospechosos habituales de las grandes ligas tecnológicas: Telefónica. https://www.boe.es/diario_boe/txt.php?id=BOE-A-2020-4829

1)El Ministerio de Sanidad es el responsable del tratamiento, el encargado de tratamiento es la Secretaría General de Administración Digital, y los subencargados los que considere la Secretaría General (el Ministerio le autoriza a decidir la alineación del equipo nacional).

2)Las siglas utilizadas para referirse al Reglamento General de Protección de Datos es «RGDP» (son sus costumbres, y habrá que respetarlas🙃).

3)La app tiene como fines realizar el autodiagnóstico, ofrecer información sobre el bicho, y proporcionar recomendaciones según el resultado.

4)Se liberará y hará público el código de la app porque Telefónica cede los derechos a la propia Administración General del Estado👏 (el buen open source que autoridades como el ICO recomienda para cualquier app sobre el bicho que se desarrolle).

5)La app realiza una autoevaluación continua diaria que monitoriza la temperatura cada doce horas desde que se inicie (¿realizará un seguimiento también?. Por aquello de poder considerarlo producto sanitario como recuerda la C.E en relación con el Reglamento (UE) 2017/745).

6)La app geolocaliza vía GPS al usuario en el momento del registro y en el de las autoevaluaciones para conocer su C.A y dirigirle al centro de atención sanitaria que le corresponda (diría que con la localización vas que chutas para eso, sin necesidad de recurrir a geo-nada).

7)La app trata: nombre y apellidos, telf, DNI, dirección y C.P (con esto te ahorra la geolocalización), fecha de nacimiento, género, datetes GPS; y apasionantes síntomas: tos seca, fiebre + 37.5, falta de aire, patologías previas, mucosidad nasal, dolor muscular, y malestar general.

8)Y los datos de uso e interacciones (Cookietástico de analítica, aunque se menciona que solo se utilizan cookies técnicas🤔).

9)CARTODB Inc, Mendesaltaren, S.L, y Tritium Software, S.L, son los flamantes subencargados del subencargado (aunque no se les llame directamente así).

10)Tenor literal del 28 del RGPD, como no puede ser de otra manera para un encargo/subencargo del tratamiento, doble DPO (uno por Telefónica y otro por la Secretaría general de admin digital), y datos que no saldrán en ningún caso de la UE.

11)Mención a que la Secretaría General y Telefónica llevará a cabo un RAT de los tratamientos en el marco de la app si están obligado por el artículo 30 del RGPD y 31 de la LOPDgdd (al tratar datos de categoría especial, me temo que no cuela la excepción del 30.5 del RGPD).

12)Telefónica se come con patatas las medidas de Esquema Nacional de Seguridad, como puede ser de otra manera al jugar con el equipo público.

13)Telefónica se obliga a aportar un análisis de riesgos y una evaluación de impacto de la app👏.

14)La resolución del ejercicio de derechos se la queda el Ministerio de Sanidad, y el plazo para darle traslado de las solicitudes por el resto, es de 3 días hábiles. El mismo plazo para cumplir con instrucciones del Ministerio al respecto.

15)Tenor literal del RGPD sobre medidas de seguridad + ENS, y violaciones de seguridad.

16)Duración del convenio de tres meses, prorrogable por meses sucesivos, y devolución de los datos de usuarios, y destrucción segura de los datos manejados.

17)Finale: uso post mortem para las finalidades que conocemos si se cumplen con medidas adecuadas: estadísticas, investigación biomédica, científica o histórica, o para archivo en interés público.

Autoridad belga (GBA)

Nos vamos de viaje a Bélgica para comentar en un breve hilo lo que opina su autoridad de P.D (GBA) sobre dos anteproyectos de ley para montar una app de contact tracing y una base de datos del Ministerio de Sanidad, en el marco de la lucha contra el bicho .https://www.gegevensbeschermingsautoriteit.be/nieuws/adviezen-van-de-GBA-op-voorontwerpen-inzake-opsporingsapplicaties-en-covid-19-databanken

1)Necesidad y proporcionalidad de verdad para justificar estos dos proyectos con una injerencia tan maja en la privacidad de los ciudadanos. Y ya que estamos, que esa app sea el medio menos intrusivo.

2)Transparencia total para el ciudadano:  explicar el porqué de esta base de datos, destinatarios de manera clarita con el uso que vayan hacer de los datos, nada de cruzar o enriquecer datos, y tampoco nada de reutilizar los datos para otros fines.

3)Las apps debe cumplir con lo ya mencionado por el EDPB en sus directrices, tanto en el rollo jurídico, como en los privacy patterns que suministran al final del doc.

4)La descarga de la app, voluntaria y sin perjuicio para los ciudadanos “rebeldes” (lo de siempre).

5)Publicación del código fuente con antelación al lanzamiento para que pueda ser auditada (justo lo contrario que nuestra app de autodiagnóstico).

6)PIA por delante, para que la autoridad de P.D no se espante.

7)Grand finale: La P.D y la lucha contra el bicho son compatibles.

Estudio sobre las tecnologías más utilizadas en la lucha contra el bicho y riesgos para la privacidad de nuestra AEPD

La AEPD publicó un doc de análisis de las distintas tecnologías usadas en la lucha con el bicho (un doc que también se podría llamar: «¡Ki-Ya! Patada voladora al Covid-19» por su portada😄). Vámonos de hilo, destacando lo relevante en materia de P.D https://www.aepd.es/sites/default/files/2020-05/analisis-tecnologias-COVID19.pdf

1)No es un documento jurídico, sino que busca aclarar conceptos y dar una idea general a los ciudadanos del riesgo para la privacidad que pueden tener estas tecnologías. (Para el mambo, tendremos que esperar a una posible, guía, informe, o la propia resolución de la denuncia a Prosegur).

2)Las soluciones tecnológicas tienen que ser parte de un plan o estrategia eficaz, legítimo y proporcional, basado en criterios científicos (lo recordado por todas las autoridades).

3)Geolocalización del móvil por las telecos con anonimización para evitar problemas (aunque me gustaría que se explicara un poco qué son datos agregados y anónimos, y lo difícil que anonimizar en este caso; como menciona la autoridad holandesa de P.D)  – https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/anonimity_and_aggregated_telco_location_data.pdf

4)Geolocalización de móviles a partir de RRSS: aviso de las TyC y políticas de privacidad no son bases jurídicas válidas (buen aviso para los no iniciados), y que el lío empieza al mezclar info con la del perfil. Habrá que justificar bien el acudir a pescar datos a RRSS.

5)App, web, chatbot de autotest, etc : deben estar bien construidas (lo llamaría «powered by privacy by design y by default»), y tener cuidado en la parte del servidor por ser dónde está la verdadera fiesta del dato. Riesgo de dejar fuera a los que no tengan o no puedan permitírselas

6)1-Apps de info voluntaria de contagios: los fines de las apps sean realmente los declarados, desarrollados con un poquito de privacidad en mente; y cuidado por la posible discriminación por áreas si la cantidad y calidad de los datos lo permite.

6)2-Necesario generar una muestra significativa, y que «nadie, de manera maliciosa, introduzca info falsa o manipulada» (yo diría que lo último, más que una referencia muy velada a los principios de exactitud y calidad de los datos, es una mención a otro tema).

7)App de contact tracing por bluetooth: mención a la colaboración 🍏&G, a que la anonimización es complicada, y que mejor descentralización por aportar mayor control al usuario, y porque la acumulación de datos puede llevar a actuaciones poco éticas, o mayor riesgo de ciberataque.

8)Pasaportes de inmunidad: mención a que las pruebas para determinar si una persona ha superado la enfermedad deberían ser presenciales, y que el personal sanitario que lo realiza podría proporcionar un certificado en papel u otro soporte. Sistema de identidad móvil, mejor no.

9)Camaritas de temperatura: lo ya comentado por la propia AEPD en su comunicado sobre el tema.

10)Grand finale: ¿las imágenes del documento forman un mensaje oculto?😂

Autoridad italiana (Garante)

La autoridad italiana (Garante) da su opinión al consejo de ministros italiano sobre la propuesta ley de la app oficial de contact tracing que han tenido a bien pasarles para evitar capones posteriores. Hilo al canto – https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9328050

1)Parece que en el proyecto de ley figuran muchas de recomendaciones dadas en su momento por el Garante (aplauso para el gobierno italiano por cumplir con los deberes del profe).

2)1-Parece que también cumplen con lo dispuesto en las directrices del EDPB sobre geolocalización y contact tracing: voluntariedad en la descarga y uso de la app, PIA, etc.

2)2-Interés público sanitario con norma nacional que recoja garantías específicas, transparencia ok, código open source publicable, limitación de la finalidad, o interoperabilidad (lo que la UE considera crítico para salir de esta), entre otras.

3)A mejorar: especificar que no usar la app no suponga perjuicio alguno, detallar el destino de los datos del usuario que decida desinstalar la app, y aclarar si el almacenamiento en descentralizado o centralizado (en el último caso, medidas de seguridad de las de la NASA).

4)Finale: opinión favorable del Garante al proyecto de ley ¿Será el Garante el que pidiera que se regulara por ley, o viene de base bien enfocado?.

Bonus clip – opinión del ICO sobre Apple&Google

El ICO publicó un interesante doc con su opinión sobre la colaboración de Google y Apple en materia del 🦠 (contact tracing). Habrá que estar atentos a futuras actualizaciones, debido a que el doc es del 17 de abril. Hilito (no puedo evitarlo😅). https://ico.org.uk/media/about-the-ico/documents/2617653/apple-google-api-opinion-final-april-2020.pdf?utm_source=twitter&utm_medium=iconews&utm_term=0fe4f331-c4dc-4970-915f-3f50162080f6&utm_content=&utm_campaign=

1) El sistema parece estar alineado con privacy by design/by default, siempre que esté diseñado para:

-Generar una cantidad limitada de datos del dispositivo, puestos a disposición de las autoridades a través de la API (tokens cifrados que no identifican o localizan al usuario).

-Utilizar esos tokens (los cargaría el propio usuario afectado), que no permiten identificar, para volcarlos en un servidor que permita compararlos, dentro del procedimiento establecido de notificación a contactos por los datos de proximidad que contengan ambos.

2)El sistema está pensado para el desarrollo de apps que protejan la identidad de sus usuarios, pero eso no imposibilita que los devs que lo utilicen como base para sus apps, recojan otros datos o utilicen otras técnicas distintas de las incluidas.

3) 👍 con el principio de minimización, pero el ICO propone:

-El intercambio de info entre dispositivos no incluya datos personales como info de la cuenta o nombres de usuario.

-La comparación tenga lugar en el dispositivo de cada usuario.

-Nope a los datos de localización.

4)Se constata que en lo visto hasta ahora se propone que la app sea voluntaria y la carga posterior al diagnóstico de los datos almacenados para el dev que haya desarrollado la app con consentimiento separado.

5)El usuario puede deshabilitar el Bluetooth en su dispositivo, pero se incluye un tironcillo en el sentido de que el usuario no debería ser el que tenga que tomar medidas para evitar el rastreo.

6)Habrá que hace matizaciones para los casos en los que el usuario no desactive el bluetooth de su dispositivo, y, sobre todo, para el «apasionante» futuro cercano que nos espera: test de inmunidad y pasaportes de inmunidad.

7)El planteamiento de que el usuario diagnosticado suba estos tokens cifrados al host para que otros usuarios puedan saber si están en peligro por proximidad, puede implicar (aunque con riesgo bajo) el acceso a ellos por un atacante que sepa lo que hace. Descentralización mejor.

8)El ICO estará vigilando para que el proyecto no se vaya de madre y acabe en supernova, o en «palabro trénico»: Scope creep.

9)La documentación de esta colaboración determina que los medios propuestos no utilizan datos de localización, pero no se cierra un uso opcional por los devs. El ICO reconoce que puede ser válido. P.ej. para restringir la carga de estos tokens y evitar falsos positivos a tutiplén.

10)No queda claro cómo se gestionará el consentimiento para la carga de esos tokens, aunque se promete uno específico en ese momento.

11)No queda claro cómo la app que desarrolle un dev sobre este sistema gestionará el consentimiento, y cómo se dará un control efectivo al usuario.

12) El uso de este sistema por las apps que se creen debe documentarse y ser auditable. Obviamente, cada entidad deberá cumplir con el RGPD en su maravilloso puesto como responsable del tratamiento.

13)El ICO es un regulador razonable y pragmático (y sin abuela) consciente del problemón del bicho, por lo que tendrá en cuenta el interés público imperioso en la actual emergencia sanitaria.

P.D. el dramático “imperioso” es literal. Yo iría por “esencial”, pero el autor manda.

Bonus clip de fuera de los limes del RGPD – PIA del Ministerio de Sanidad Australiano sobre su app nacional

La PIA australiana de su app no solo recoge en sus recomendaciones mucho de lo dicho por las autoridades, sino que además de tener un modelo de PIA, tienes unas bonitas sugerencias para apps. Hilo (creo que será de los últimos de esta tanda loca). https://www.health.gov.au/resources/publications/covidsafe-application-privacy-impact-assessment

1)Publicación de la PIA y del código fuente.

2)Supervisar, controlar y realizar procesos complementarios de PIA de aquellas nuevas funcionalidades o cambios que se produzca con impacto en los derechos (evitar el llamado function creep que también le preocupa al ICO).

3)Adaptar la normativa para establecer garantías adecuadas y específicas en este tratamiento casi sin precedentes (lo que viene siendo currarse una ley como Italia, Bélgica o Francia).

4)Info previa al consentimiento (parece que los Aussies van del palo del acepto).

5)Ahorrarse recopilar la edad si no es estrictamente necesario porque los expertos en la materia lo decidan (por aquello de la minimización).

6)Voluntariedad en la app y consentimiento en el tratamiento (parece que no pueden, o no quieren, tirar del interés público).

7)Política de privacidad específica para la app y facilidad en el ejercicio de derechos (incluso que el usuario pueda gestionar alguno de ellos).

8)Publicar: FAQS, versión fácil PIA, voluntariedad de la app sin perjuicio alguno, e info de la norma que regula dicha app.

9)Limitación de la finalidad a lo estrictamente necesario con compromiso público de ello.

10)Formación y guías para el personal al que le toque gestionar este marrón, tanto en atención al usuario, como en gestión de los datos.

11)Al ser el Ministerio de Sanidad el responsable (como en el resto de casos), todo el resto de autoridades y entidades que traten los datos por su cuenta, debe tener firmado un bonito contrato de encargado de tratamiento (no lo llaman así, pero el contenido es similar).

12)Avisar al usuario de que utilice un seudónimo (este punto podría ser mejorable por aquello de que el ciudadano pondrá orgulloso su mote por el que el conoce todo el vecindario (p.ej. El Barto).

13)Seguridad adecuada bendecida por el INCIBE australiano al ser de tipo centralizada, mejor bluetooth, conservación lo mínimo, y controlado contractualmente y de verdad al de los servidores (en el caso australiano, el pezqueñín llamado Amazon Web Services).

14)Finale: todo esto lo dice un país fuera del EEE y sin Decisión de la C.E para transferencias, así que parece que el experimento europeo sí que empieza a ser un estándar universal de verdad (de algo del RGPD se habrán enterado por estar bajo la influencia de la Reina y BoJo).