A medida que algunos estados implementan “pasaportes” digitales para permitir que los restaurantes y otras empresas admitan a los clientes en función de su estado de vacunación contra COVID-19, las preocupaciones han aumentado sobre si están seguros los datos personales almacenados por estas aplicaciones.

Este mes, Nueva York se convirtió en la primera ciudad importante de Estados Unidos en exigir una prueba de vacunación contra COVID-19 para la admisión en restaurantes, gimnasios y teatros en espacios cerrados. El anuncio se produjo poco después de que un juez federal en Florida bloqueara una ley que prohíbe a los cruceros exigir una prueba de vacunación, luego de que las empresas de cruceros argumentaran que su negocio no era viable sin ella.

El miércoles pasado, California se convirtió en el primer estado en exigir una prueba de vacunación, o una prueba COVID negativa, para cualquier evento en interiores con más de mil asistentes.

Mientras continúa la implementación de registros de vacunas digitales, ya sea por parte de gobiernos estatales o empresas privadas, estas medidas están generando grandes preocupaciones sobre la protección de la privacidad.

“Dada la dificultad para crear un pasaporte digital de vacuna, podríamos ver cierta prisa por imponer un sistema de credenciales COVID construido sobre una arquitectura que no favorece la transparencia, la privacidad o el control del usuario”, Jay Stanley, analista de políticas senior de la Unión Americana de Libertades Civiles, escribió en un artículo titulado “Hay muchas cosas que pueden salir mal con los ‘pasaportes de vacunas’”.

“Eso podría encerrarnos en un estándar deficiente conforme otras partes interesadas que necesitan emitir credenciales aprovechen la iniciativa del pasaporte para ofrecer de todo, desde verificación de edad hasta registros de salud, licencias de caza, cuentas de compras, membresías e inicios de sesión en sitios web”.

Nueva York, California, Oregón y Hawái, hasta ahora, son los únicos estados que han implementado algún tipo de aplicación de pasaporte digital de vacunas. Todos tienen gobernadores demócratas. Otros veinte estados, todos con gobernadores republicanos, se han movido para prohibir los registros de prueba de vacunación.

Algunos analistas dijeron a Zenger que es posible crear registros digitales de vacunas que protejan los datos del usuario y proporcionen solo información encriptada sobre si la persona ha sido vacunada, siempre y cuando se implementen correctamente.

“Para ser efectivos, los pasaportes digitales de vacunas deben brindar privacidad a los usuarios y seguridad de los datos”, dijo a Zenger Stephen Davidson, gerente senior de gobernanza, riesgo y cumplimiento en DigiCert, una compañía dedicada a la seguridad digital. “Los pasaportes de vacunas mejor diseñados contienen solo información personal mínima para identificar al titular y solo se comunican para validar la firma basada en PKI en lugar de transmitir los detalles del pasaporte”.

Davidson dijo que la tecnología de infraestructura de clave pública (PKI por sus siglas en inglés) crea un certificado digital encriptado para el usuario que solo comunica si la persona está vacunada y por parte de qué autoridad sanitaria.

“Esta tecnología hace que el contenido sea a prueba de manipulaciones”, dijo Davidson.

California lanzó en junio el modelo para su sistema de registro digital de vacunas. El sistema, que no es un mandato del estado, crea un código QR que funciona como una copia digital de las tarjetas de vacunación oficiales emitidas por los Centros para el Control y la Prevención de Enfermedades.

“Este registro digital de vacunas tiene el propósito de permitir a las personas acceder a la copia oficial de sus propios registros de vacunación”, dijo Amy Tong, directora del Departamento de Tecnología de California, en una conferencia de prensa en junio en la que se presentó el sistema.

El certificado digital se verifica con el Registro de Vacunas del estado, que se conoce como CAIR y que ya almacena el historial completo de vacunas de cada residente. La verificación del código QR está “específicamente basada en el sistema CAIR”, dijo Tong, y agregó que la aplicación CAIR también permite a las personas solicitar copias de sus registros de vacuna COVID-19 o generales.

California creó el sistema en asociación con la Iniciativa de Credenciales de Vacunación (VCI por sus siglas en inglés), una coalición de grupos públicos y privados que trabajan de forma voluntaria para crear sistemas de verificación de vacunas, y utiliza el Marco de Tarjeta de Salud Inteligente creado por dicha asociación.

El marco promete que solo el usuario puede compartir sus propios datos.

“Cualquier lector que cumpla con el Marco de Tarjetas de Salud Inteligente puede ver la información en la tarjeta, pero no puede almacenar esa información”, dijo Rick Klau, director de innovación tecnológica del Departamento de Tecnología de California, en junio.

Sin embargo, el sistema de California no es obligatorio y hasta ahora ha escapado al mismo escrutinio que el de Nueva York, el cual ha sido impuesto. El sistema “Key to NYC” (Llave a Nueva York) exige registros de vacunación en papel o digitales para el ingreso a restaurantes, teatros y gimnasios de espacios cerrados.

A diferencia del sistema de California, la aplicación de desarrollo propio NYC COVID Safe, de la ciudad de Nueva York, depende de que los usuarios suban una foto de su cartilla de vacunación, y no se verifica contra algún registro. Algunos usuarios se han dado cuenta de que se puede engañar a la aplicación con imágenes de menús de restaurantes en lugar de registros de vacunas.

Por otro lado, la aplicación Excelsior Pass del estado de Nueva York verifica el estado de la vacuna con el registro estatal. Crea un código QR que confirma solo el estado de la vacunación y almacena o muestra información sobre la vacuna, como el fabricante o las fechas de la dosis. Esta aplicación solamente está disponible para las personas vacunadas en el estado.

Aun así, hay otros problemas en juego además de la privacidad del usuario.

“Cualquiera de estos sistemas va a decir lo mismo: que su sistema no se puede hackear”, dijo Chris Wong, director ejecutivo de LifeSite Wellness, una empresa de seguridad que ayuda a los laboratorios a compartir de manera segura los resultados de las pruebas de COVID-19. “Pero no se puede confirmar que los datos que ingresan sean correctos”.

Si bien puede ser imposible erradicar por completo el riesgo de filtración de información personal, Wong señaló que sus propios clientes estaban más preocupados por si los registros en sí eran confiables. Wong dijo que muchos de sus clientes habían encontrado más seguro y más fácil crear sus propios “pasaportes” digitales para los trabajadores que regresan a trabajar al utilizar archivos de recursos humanos.

“Los requisitos de vacunación se están emitiendo actualmente a nivel estatal, pero no existe un programa oficial de acreditación del gobierno”, dijo Wong. “La carga recae en las empresas y los municipios para determinar cómo manejar la validación y la verificación”.

Wong reconoció que el sistema era imperfecto y muestra preferencia por la creación de un marco nacional.

“El gobierno, por razones políticas, no puede crear un sistema central, pero si pudiera, funcionaría, así es una licencia de conducir”, dijo Wong.

Traducción de Yerem Mújica; editado por Yerem Mújica y Melanie Slone