Los mandatos de vacunación son cada vez más urgentes por parte de las autoridades de salud pública y de los distintos gobiernos. A medida que se despliegan, debemos proteger a los usuarios de los pasaportes de vacunas y a aquellos que no quieren o no pueden utilizar un medio digitalmente escaneable para demostrar la vacunación. No podemos permitir que las herramientas utilizadas para luchar por la salud pública se conviertan en sistemas para perpetuar la desigualdad o como cobertura para la recopilación de datos innecesarios y no relacionados.

A lo largo del año pasado, la EFF ha estado siguiendo las propuestas de pasaportes para vacunas y cómo se han aplicado. Tenemos objeciones, sobre todo cuando las ponen en marcha empresas tecnológicas oportunistas que ya están creando desigualdades digitales y gestionando mal los datos de los usuarios. Esperamos poder evitar que se transformen en otra capa de seguimiento de los usuarios.

Las pruebas de vacunación en papel suscitan menos preocupaciones, al igual que una foto digital de una tarjeta de papel mostrada en la pantalla de un teléfono. Mucho más preocupantes son las credenciales de vacunación escaneables, que podrían utilizarse para seguir los movimientos físicos de las personas a través de las puertas y a lo largo del tiempo. Por lo tanto, nos oponemos a cualquier uso de credenciales de vacunación escaneables. Como mínimo, estos sistemas deben tener una alternativa en papel, un código de fuente abierta y salvaguardias de diseño y políticas para minimizar el riesgo de seguimiento.

El año pasado se propusieron y a veces se aplicaron "pasaportes de inmunidad" antes de que la ciencia estuviera siquiera bien desarrollada sobre la inmunidad y la vacunación contra el COVID-19. Al parecer, muchos gobiernos y empresas privadas se guiaron menos por la salud pública informada y la ciencia que por la necesidad de promover el movimiento económico. Algunas organizaciones y gobiernos incluso aprovecharon la oportunidad para crear un nuevo sistema de verificación digital de los vacunados. Ha faltado la transparencia y la protección necesarias, así como unos límites claros para evitar que se conviertan en un sistema de vigilancia innecesario. Aunque reconocemos que muchos sistemas de acreditación de vacunas se han implementado de buena fe, a continuación hay varios ejemplos de peligrosos pasos en falso que esperamos que no se repitan.

Pase Excelsior del Estado de Nueva York

Lanzada en abril, esta aplicación móvil opcional ha tenido una adopción gradual. En este despliegue han aparecido tres problemas fundamentales.

En primer lugar, IBM no fue transparente en cuanto a cómo se construyó esta aplicación. En su lugar, la empresa utilizó palabras vagas como "tecnología de cadena de bloques" que no describen con detalle cómo se mantienen seguros los datos de los usuarios.

En segundo lugar, el Surveillance Technology Oversight Project (S.T.O.P.), miembro de la Electronic Frontier Alliance, descubrió un contrato que el Estado de Nueva York tenía con IBM, en el que se esbozaba una "fase 2" del pasaporte. No sólo tendría un precio significativamente mayor (de 2,5 a 27 millones de dólares), sino que ampliaría lo que Excelsior puede contener, como permisos de conducir y otros registros sanitarios.

En tercer lugar, se presentó un proyecto de ley para proteger los datos de Covid un mes después del lanzamiento del Excelsior Pass. Se aprobó en la Asamblea del Estado de Nueva York, pero nunca fue retomada por el Senado del Estado de Nueva York. Las protecciones deberían haber sido aprobadas antes de que el estado pusiera en marcha el Excelsior Pass.

Un camino "claro" para centralizar las credenciales de vacunación con otros datos personales

CLEAR displays a company slogan at San Francisco’s airport.

CLEAR muestra un eslogan de la empresa en el aeropuerto de San Francisco.

CLEAR ya ocupa un lugar en los principales aeropuertos de Estados Unidos como única empresa privada en el programa Registered Traveler de la TSA. Así que esta empresa estaba preparada para lanzar su Health Pass, que pretende facilitar los controles de Covid al vincular los datos de salud con la identificación digital basada en la biometría. El modelo de negocio original de CLEAR nació de la anterior prisa por la seguridad, en un mundo posterior al 11-S. Ahora están ahí para la siguiente tarea de seguridad apresurada: la verificación de la vacunación para viajar. En palabras de la responsable de asuntos públicos de CLEAR, Maria Comella, a Axios:

"La plataforma de identidad biométrica de confianza de CLEAR nació a partir del 11 de septiembre para ayudar a millones de viajeros a sentirse seguros al volar. Ahora, la tecnología sin contacto de CLEAR es capaz de conectar la identidad con la información sanitaria para ayudar a las personas a sentirse seguras al volver a la oficina."

Una aplicación de reservas de restaurantes, OpenTable, acaba de anunciar sus planes de integrar las credenciales de vacunación de CLEAR en su propio sistema. No hay límite lógico a la forma en que las identificaciones digitales centralizadas como las creadas por CLEAR podrían extenderse en nuestras vidas facilitando la prueba de vacunación, y con ello nuevos vectores para el seguimiento de nuestros movimientos y actividades.

Por supuesto, CLEAR no es la única empresa que atrae abiertamente a grandes clientes gubernamentales para fusionar los sistemas de prueba de vacunación escaneables en sistemas más amplios de identificación digital y almacenamiento de datos. Por ejemplo, el Sistema Nacional de Salud del Reino Unido contrató a Entrust, otra empresa que contemplaba abiertamente la posibilidad de convertir las credenciales de vacunación en sistemas nacionales de identificación (a lo que la EFF se opone). Al no existirleyes federales que protejan adecuadamente la privacidad de nuestros datos, se nos pide que confiemos en la palabra de empresas con ánimo de lucro que siguen creciendo mediante la recolección y monetización de nuestros datos en todas sus formas.

Asimismo, las aerolíneas estadounidenses utilizan pasaportes de vacunas, sujetos a políticas que reservan la prerrogativa corporativa de vender datos sobre los clientes a terceros. Así, cualquier escaneo de la información sanitaria de los pasajeros puede añadirse a los perfiles de los miles que viajan cada año.

El enfoque de Illinois

En Illinois, a principios de este mes, se lanzó el sistema estatal "Vax Verify" para ofrecer credenciales digitales a los ciudadanos vacunados. Un fallo flagrante es el uso de Experian, el controvertido corredor de datos, para verificar la identidad de quienes acceden al portal. El portal pide incluso el número de la Seguridad Social (opcional) para agilizar el proceso con Experian.

Muchos estadounidenses han sido objeto de estafas basadas en Covid, por lo que uno de los principales consejos es congelar su crédito durante esta época turbulenta. Este consejo se ofrece, por ejemplo, en el propio sitio web de Experian. Sin embargo, para acceder a Vax Verify de Illinois, los usuarios deben descongelar su crédito con Experian para completar el registro. Esto da prioridad a la credencial digital de la vacuna sobre la protección del crédito del propio usuario.

El sistema también comparte por defecto el estado de vacunación con terceros. La página de preguntas frecuentes explica que los usuarios pueden revocar retroactivamente el llamado "consentimiento" para compartirlo.

Una nueva inequidad

Nos preocupa que los "pasaportes de vacunas" y los "pasaportes de inmunidad" se utilicen para anteponer los beneficios de las empresas a las verdaderas soluciones sanitarias de la comunidad y amplificar la desigualdad.

Lamentablemente, hemos visto a muchos tomar el camino equivocado. Y podría empeorar. Con más de un centenar de candidatos a vacunas COVID-19 en fase de ensayo clínico en todo el mundo, los fabricantes de estos nuevos sistemas digitales abogan por una "cadena de confianza" que marque como válidos sólo a determinados laboratorios e instituciones sanitarias. Este nuevo marcador dejará deliberadamente atrás a muchas personas en todo el mundo cuyos sistemas no podrán cumplir los requisitos que crean estos nuevos sistemas digitales de prueba de vacunas. Por ejemplo, muchos de estos nuevos sistemas conllevan elementos de gobernanza de la infraestructura de clave pública para la criptografía de clave pública, que crea una lista de claves públicas "de confianza" asociadas a laboratorios sanitarios "de confianza". Pero la definición de "fiabilidad" técnica no se ha acordado ni aplicado antes de Covid, lo que hace temer que la imposición de estos sistemas en el mundo impida a cientos de millones de personas obtener visados o incluso viajar, todo ello porque los laboratorios de su país no superen estos obstáculos técnicos innecesarios. Un ejemplo sería el sistema de certificado digital COVID de la UE. Este sistema requiere una importante lista de requisitos técnicos para lograr la interoperabilidad, entre los que se incluyen la disponibilidad de datos, los formatos de almacenamiento de datos y los protocolos específicos de comunicación y serialización de datos.

Overview of EU’s Digital COVID Certification System. Source: https://ec.europa.eu/health/sites/default/files/ehealth/docs/digital-green-certificates_v5_en.pdf

Visión general del sistema de certificación digital COVID de la UE. Fuente: https://ec.europa.eu/health/sites/default/files/ehealth/docs/digital-green-certificates_v5_en.pdf

Esta dependencia primordial de los pasaportes digitales desplaza efectivamente la presentación de opciones en papel para los viajes internacionales, y potencialmente también para los viajes nacionales. Devalúan el papel como comprobación adecuada de la prueba de vacunación porque el verificador no puede escanear una clave pública. La única opción viable en papel es imprimir el código QR de la credencial verificada digitalmente, lo que sigue encerrando a la gente en estos nuevos sistemas de verificación.

Estos nuevos sistemas basados en la confianza, si se aplican de forma que descalifiquen automáticamente a las personas que recibieron vacunas auténticas, causarán efectos nefastos en los próximos años. Establece un mundo en el que ciertas personas pueden moverse con facilidad, y los que ya han tenido dificultades con los visados experimentarán otro muro que escalar. Las vacunas deben ser una herramienta para reabrir puertas. Los pasaportes digitales para vacunas, tal y como los hemos visto desplegados hasta ahora, son mucho más propensos a cerrarlas de golpe.

Este post se actualizó el 9/2/21 para reflejar el descubrimiento más reciente del coste potencial del NY Excelsior Pass. Fuente: https://www.nytimes.com/2021/08/19/nyregion/new-york-excelsior-pass-cost.html