App portuguesa de combate à COVID-19 sob escrutínio da proteção de dados e cibersegurança

Ainda não há data para a disponibilização da app STAYAWAY COVID, que tudo indica que será a aplicação oficial de rastreamento de contactos em Portugal, com a integração das API da Google e Apple. A análise da avaliação de impacto e testes de segurança vão ser feitos pela CNPD e o CNCS.

Os testes da aplicação que foi desenhada para alertar os utilizadores sobre contactos de risco com pessoas que foram testadas positivo à COVID-19 estão em marcha, em termos dos servidores de suporte e da própria aplicação, como confirmou o INESC TEC ao SAPO TEK. Mas ainda não há data para a disponibilização da app que pode ser um contributo importante no controle da disseminação da doença do novo coronavírus, sobretudo na altura em que o desconfinamento está a avançar e existem algumas zonas de crescimento de número de casos, em especial na região de Lisboa.

Enquanto avançam os testes técnicos há também análises à forma como é garantida a proteção de dados, e a cibersegurança, que podem ser essenciais para garantir maior confiança e utilização da app.

A aplicação STAYAWAY COVID está a ser desenvolvida pelo instituto, a pedido da FCT e com a parceria do  ISUP – Instituto de Saúde Pública da Universidade do Porto, e duas startups spinoff do INESC TEC, a keyruptive e a UBIrider. O facto de recorrer às APIs da Google e da Apple faz com que entidades como a Amnistia Internacional considerem que a app portuguesa está no grupo das menos perigosas, mas ainda assim está sob forte escrutínio, como acontece às várias aplicações que têm sido lançadas na Europa e em países asiáticos, assim como nos EUA. E muitas dúvidas têm sido levantadas sobre as garantias da privacidade dos dados e a segurança.

Os responsáveis pela app têm mostrado uma preocupação de divulgar informação de forma transparente, garantindo que será de utilização voluntária, e que os dados serão anonimizados e guardados centralmente, sendo eliminados ao fim de 14 dias, no máximo 21 dias.

“Nenhuma entidade externa tem conhecimento da identidade do utilizador ou do seu telemóvel pelo que não o poderá notificar, seja por SMS ou outro meio alternativo”, refere-se no site da app, ressalvando porém que “Como acontece em todos os sistemas informáticos atuais, as comunicações realizadas pela Internet deixam registos, quer nos operadores de rede como nos servidores, que, com base em informação adicional externa, podem ser utilizadas para identificar o dispositivo que efectuou a ligação”.

Os responsáveis pela app acrescentam ainda que o servidor oficial estará instalado em Portugal, será operado por uma instituição oficial e segundo as melhores práticas de segurança e privacidade Europeias.

Além disso, nenhuma entidade externa possui a informação necessária, e que se encontra apenas no dispositivo do utilizador, para avaliar a sua probabilidade de contágio.

Avaliação dos riscos específica para a app em Portugal

Embora não seja obrigatório que a Comissão Nacional de Proteção de Dados (CNPD) faça uma avaliação prévia da aplicação, a equipa da app já fez uma avaliação de impacto, que faz parte das regras do RGPD, e enviou o documento à CNPD, que confirmou ao SAPO TEK que está “a analisar e que depois irá decidir”.

“Considerámos um pedido de consulta prévia”, explica a mesma fonte oficial, explicando que desta forma é mais seguro para todos.

Também o Centro Nacional de Cibersegurança (CNCS) confirmou que irá “realizar um conjunto de testes de caráter técnico, para aconselhamento na mitigação de eventuais vulnerabilidades de segurança, numa perspetiva de colaboração com a comunidade científica nacional ao nível da cibersegurança”, refere fonte do organismo ao SAPO TEK.

Os testes ainda não começaram e “serão realizados quando o estado de desenvolvimento da app o justificar, previsivelmente numa fase final do desenvolvimento”, refere o CNCS que sublinha ainda que “o resultado destes testes serve, exclusivamente, o processo de desenvolvimento e a equipa de desenvolvimento da aplicação”.

Em Portugal vários especialistas têm defendido a validade da aplicação de rastreamento de contactos relacionados com a COVID-19, lembrando que é um passo adicional em relação ao rastreamento manual que é feito sempre que uma pessoa é identificada com a doença do novo coronavírus. Refere-se também a maior eficácia da app se conseguir atingir-se uma utilização por mais de 60% da população portuguesa, ou de uma determinada comunidade.

Não falta também quem sublinhe os riscos associados para a privacidade e a segurança, como a associação D3 – a Associação pela Defesa dos Direitos Digitais, que considera que há informação que tem de ser clarificada.

Na semana passada a Aministia Internacional divulgou um relatório apontando falhas em 11 das aplicações analisadas pelo seu laboratório de segurança, e depois disso a Noruega decidiu reformular a sua aplicação e também o Reino Unido mudou de estratégia.

Muitas das questões em relação à app STAYAWAY COVID só serão respondidas depois do lançamento, e a eficácia dependerá da adesão dos utilizadores, mas para já os inquéritos que têm sido feitos mostram uma disponibilidade dos portugueses para instalar e usar a aplicação de rastreamento de contactos.