Todo sobre Radar COVID y la privacidad: qué permisos requiere y cómo funcionan

Radar COVID es la aplicación de rastreo de contactos española que el Gobierno ha puesto a disposición de la población para alertar sobre posibles contactos con casos de COVID-19, así como para informar en caso de que hayamos tenido alguno. En las últimas horas Radar COVID se ha convertido en tendencia, con un buen número de dudas y quejas acerca de los posibles problemas de privacidad de la aplicación, al ser un servicio "de rastreo".

Procede pues explicar qué implicaciones tiene realmente Radar COVID a nivel de privacidad, si es más o menos agresiva a nivel de permisos respecto a la mayoría de aplicaciones que usamos a diario, y esclarecer cómo funciona exactamente el sistema de rastreo de esta aplicación, ya que usa una tecnología a la que no estamos muy acostumbrados.

Radar COVID y el tema de los permisos

Radar COVID es una de las aplicaciones que menos permisos pide en comparación a las que usamos a diario. Para saber esta información, no tenemos más que irnos a la ficha de la aplicación y echarle un ojo a los permisos que pide. En concreto, estos son los datos a los que Radar COVID tiene acceso. Como curiosidad, los permisos que pide son tan ligeros que ni siquiera tienen categoría, están dentro de "Otros".

• Acceso a las conexiones de red
• Prevenir que el dispositivo entre en reposo
• Iniciarse al encender el teléfono
• Emparejarse con dispositivos Bluetooth
• Observar las conexiones de red

Más adelante explicaremos el tema del Bluetooth y cómo se conecta esta aplicación con otros dispositivos. No obstante, según observamos en la propia ficha de la app, esta tan solo pide poder conectarse a la red, iniciarse con el dispositivo y prevenir que este entre en deep sleep, algo que impediría que el servicio se ejecute en segundo plano. Se trata de un número de permisos muy escaso, al menos en comparación con las apps actuales.

Desde la propia Radar COVID indican que no se recogen datos personales (nombre, dirección, edad, teléfono, correo electrónico, etc.), ningún dato de geolocalización (de hecho hemos visto que ni siquiera pide datos de GPS) y que no pueden determinar tu identidad ni saber las personas con las que has estado. Los datos se guardan en el teléfono de forma local y la conexión con el servidor está encriptada, según cuentan desde la app.

Como podemos ver, Radar COVID no pide apenas permisos en comparación de las aplicaciones que solemos usar en el día a día. De hecho, es complicado encontrar aplicaciones equivalentes, ya que casi todas las apps que instalamos en el día a día piden acceso a muchos de los elementos del teléfono.

Entonces, ¿cómo funciona Radar COVID y qué datos recoge sobre nosotros?

Cuando hemos descargado la aplicación y hemos activado el sistema de notificaciones COVID propio de Android, el móvil genera un identificador aleatorio de 16 caracteres cada 10-15 minutos, el cual recibe el nombre de "clave de exposición temporal". Estos identificadores se transmiten varias veces por segundo a dispositivos cercanos mediante conexión Bluetooth LE (Low Energy), haciendo que haya un intercambio de estos identificadores aleatorios. La aplicación promete que estos se almacenan en el dispositivo durante 14 días, aunque podemos eliminarlos de forma manual en cualquier momento.

2) ¿Por qué Radar COVID pide usar el GPS? No lo hace, o al menos no directamente. Resulta que para poder rastrear otros móviles mediante Bluetooth, Android pide autorización para acceder a información de geolocalización. Es decir, no es cosa de la app sino de Bluetooth y Android

— Arturo Quirantes (@elprofedefisica) August 10, 2020

En otras palabras, Radar COVID usa Bluetooth para poder compartir los identificadores con otros móviles, pero asegura que en ningún momento se realiza un seguimiento de la posición del usuario o cualquier otro tipo de información personal. Aquí no hay permisos GPS por lo que la app, sobre el papel, no puede determinar nuestra posición en tiempo real ni almacena datos sobre la misma.

Sin embargo, Radar COVID cuenta con la peculiaridad de que no puede trabajar si no tenemos la localización activa. ¿Por qué sucede esto si, como hemos visto, no tiene acceso al GPS? Esto se debe al propio funcionamiento de Android, que[pide autorización para acceder a información de geolocalización para poder rastrear otros móviles mediante Bluetooth. Esto sucede desde Android 6.0, versión desde la que es necesaria tener la ubicación activa para usar el escaneo de dispositivos por Bluetooth, como leemos en la documentación del sistema. En otras palabras, la app no puede funcionar sin la localización activa, pero no pide el propio permiso de localización.

"Si has recibido un diagnóstico positivo por COVID-19, puedes introducir voluntariamente en la aplicación el “código de confirmación de un solo uso” que te facilitará tu Servicio Público de Salud y que será validado en nuestro servidor. En ese momento, la aplicación te solicitará tu consentimiento para remitir a nuestro servidor las 14 últimas claves de exposición temporal almacenadas en tu teléfono, por tanto, solo si lo prestas, éstas se enviarán al servidor de la aplicación que, después de verificar la exactitud del código, servirán para componer un listado diario de claves de exposición temporal de personas contagiadas por COVID-19 que son descargados diariamente desde el servidor por todas las aplicaciones Radar COVID que estén en funcionamiento."

Si queremos notificar que hemos estado contacto con un positivo o posible positivo, podemos hacerlo de forma voluntaria. Para ello tenemos que introducir el código de diagnóstico que nos mandará el departamento de salud correspondiente. Antes de compartirlo se nos preguntará de nuevo si queremos hacerlo, para tener una doble confirmación de que queremos enviar estos datos de forma voluntaria. Según la política de privacidad de Radar COVID, los identificadores aleatorios se guardan de forma local en el dispositivo y tan solo se suben al servidor en caso de que reportemos de forma voluntaria un posible diagnóstico positivo de COVID.

Una de las dudas que arroja Radar COVID es relativa a su código. El gobierno prometió que esta app sería de código abierto, pero hasta la fecha no hay acceso al mismo. Desde SEDIA (Secretaría del Estado de Digitalización e Inteligencia Artificial), aseguran que "el piloto ha sido un desarrollo para hacer las pruebas y las mejoras necesarias. Cuando esté la aplicación final, que está prevista para el 15 de septiembre, de esa aplicación sí se va a liberar el código", como leemos en Newtral.