Assiste-se, em vários países europeus, ao lançamento de aplicações móveis de âmbito nacional que têm o intuito de rastrear as cadeias de transmissão da doença COVID-19, assim alegadamente contribuindo para a identificação das mesmas enquanto forma de contenção da doença. Em simultâneo, tal origina um conjunto de preocupações aos cidadãos sobretudo no âmbito da privacidade e protecção de dados pessoais, como já havíamos versado aqui.

Portugal não é excepção, pelo que a Comissão Nacional de Protecção de Dados (CNPD) já foi chamada a pronunciar-se, no âmbito de uma avaliação de impacto sobre a protecção de dados ao abrigo do RGPD em relação ao sistema STAYAWAY COVID que não se assume como de rastreio da propagação da COVID-19, mas sim de notificação da exposição individual a factores de contágio, através da utilização voluntária de uma aplicação para dispositivos móveis pessoais.

Esta avaliação de impacto é legalmente exigida, uma vez que a referida aplicação tem por base a realização de tratamento de dados pessoais de saúde em larga escala, nos termos dos artigos 4.º, alíneas 1), 2), 5) e 15) e 35.º, n.º 3, do RGPD. 

Em que consiste o STAYAWAY COVID?

Conforme já havia sido noticiado pela comunicação social, a aplicação foi desenvolvida pelo Instituto de Engenharia de Sistemas e Computadores, Tecnologia e Ciência (INESCTEC) em parceria com o Instituto de Saúde Pública da Universidade do Porto, e foi analisada pelo Centro Nacional de Cibersegurança e pela CNPD.

Isto porquanto é pretendido que esta aplicação móvel seja colocada ao dispor do Estado, possibilitando-o alertar um utilizador que tenha estado em contacto de proximidade com outros utilizadores da aplicação a quem tenha sido diagnosticada a doença.

Deste modo, na medida em que a utilização desta aplicação implicará um tratamento tendencialmente massivo de dados pessoais dos cidadãos, a CNPD veio emitir a este respeito, no passado dia 29 de Junho de 2020, a deliberação 2020/277 (que pode ser consultada aqui).

Concretamente, o STAYAWAY COVID é um sistema digital de rastreio de proximidade (contact tracing) a ser disponibilizado para telemóveis com o sistema operativo iOS ou Android que utiliza o Bluetooth de baixo consumo energético (Bluetooth Low Energy – BLE) para informar um utilizador da aplicação que o seu dispositivo móvel esteve a uma distância inferior a 2 metros, durante mais do que 15 minutos, do dispositivo de outro utilizador da aplicação a quem foi posteriormente diagnosticado COVID-19, assim alertando para o risco de ter havido contágio, pela proximidade física e duração do contacto, e para o modo de proceder de seguida.

A utilização desta aplicação não requer qualquer registo ou conta e não utiliza dados de localização.

Ademais, está previsto que a aplicação vá dispor de uma funcionalidade de Remote Switch, por forma a permitir ao utilizador que suspenda provisoriamente o funcionamento do sistema.

Está igualmente previsto, aquando do final da pandemia, a descontinuação do sistema e o consequente apagamento de todos os dados.

Na sua análise, a CNPD destacou, então, os seguintes principais aspectos positivos da STAYAWAY COVID:

• O carácter voluntário do uso da aplicação, podendo o utilizador fazer opções livremente quanto ao tratamento dos seus dados, sendo igualmente relevante a possibilidade de desligar o Bluetooth;
• A utilização da tecnologia BLE que é menos intrusiva do que o recurso a tecnologia que permitisse registar a localização do utilizador, ainda que aquela também não se encontra isenta de riscos, uma vez que habilita o rastreamento constante da localização e movimentação dos utilizadores por terceiros;
• O modelo descentralizado do sistema, que assim evita um tratamento centralizado dos dados pessoais, e a respectiva transparência.

Por outro lado, a CNPD identificou que a dependência face aos sistemas operativos disponibilizados pela Google e pela Apple consiste num dos aspectos críticos da aplicação, pois tal significa que há uma parte crucial da respectiva execução que não é controlada nem pelos autores do sistema, nem pelos responsáveis pelo tratamento.

Assim, a CNPD alerta no sentido de que os sistemas operativos podem ser unilateralmente alterados pelas empresas, sem que se possam identificar o respectivo impacto nos direitos dos utilizadores. Pense-se, em especial, no princípio da transparência, segundo o qual os titulares dos dados deverão a todo o tempo estar cientes do funcionamento da aplicação e das respectivas implicações no tratamento dos seus dados pessoais e privacidade, mantendo o controlo sobre os seus dados, mormente quando se trata de interacções automáticas.

Ademais, a CNPD entendeu que a avaliação de impacto deverá ser revista, tendo em consideração outros aspectos que não foram analisados, nomeadamente a finalidade e as condições de tratamento dos dados, devendo ainda atender-se a outras recomendações feitas.

Finalmente, a CNPD também recomendou que:

• Deve ser aprovado enquadramento legal para o funcionamento do sistema, devendo ser adoptadas salvaguardas quanto à forma como o médico se autentica e interage com o sistema, assim garantido a segurança global do mesmo e a manutenção da pseudonimização dos dados tratados;
• Em caso algum tal enquadramento deverá afastar o carácter voluntário da utilização da aplicação pelo utilizador, devendo o consentimento do titular ser a condição de licitude do tratamento dos dados pessoais de saúde e dos respectivos contactos de proximidade;
• Devem ser garantidos os princípios da protecção de dados, mormente a minimização, uma vez que a interoperabilidade entre aplicações móveis nacionais de rastreamento de contactos de proximidade implica o tratamento de mais dados pessoais, uma vez que envolverá mais comunicações e destinatários.