Riesgos en el uso del “Whatsapp” en el ámbito profesional de las relaciones entre clínica y paciente o contacto

Si bien podríamos nombrar el amplio elenco de ventajas que, en general, aportan las nuevas tecnologías de la información y comunicación en el desempeño de la labor profesional, en este caso, queremos hacer eco del dictamen que emitió en su día la Agencia de Protección de Datos de Cataluña (en adelante, APDCAT), en relación a la consulta de la Agrupación de Jóvenes Abogados del Ilustre Colegio de Abogados de Sabadell, en el que se ponía de manifiesto expresamente los riesgos que puede implicar el uso de las aplicaciones (apps) de mensajería instantánea “Whatsapp” y “Spotbros” en la relación abogado y cliente, y por analogía, en las comunicaciones mantenidas entre las clínicas y sus pacientes o contactos.

De este modo, a continuación, señalamos una serie de riesgos en el uso del “Whatsapp”, así como el grado de adecuación de estas aplicaciones a la legislación de protección de datos de carácter personal, según el análisis hecho por la APDCAT.

En primer lugar, cabe decir que el tratamiento de datos personales que efectúa la clínica, en la llevanza y seguimiento de las consultas y tratamientos confiados por sus pacientes o contactos, obviamente, no puede comprenderse en el ámbito de los tratamientos de datos relativos a las actividades del médico que se inscriben en el marco de su vida privada o familiar, esto es, de sus actividades personales o domésticas. Claro está, que el dispositivo de telefonía móvil puede ser utilizado para las comunicaciones con la familia y amistades, sin embargo, el uso en el ámbito profesional es en el que se ha de incidir en preservar privacidad a las comunicaciones. Así, el tratamiento de datos de carácter personal que se hiciera a través del “Whatsapp” está sujeto a las prescripciones de confidencialidad y seguridad del Reglamento 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, RGPD). Por tanto, no sería de aplicación lo establecido en el artículo 2.2.c) del RGPD.

Es por esto que, la clínica tiene un grado de responsabilidad específico respecto al tratamiento de los datos personales de sus pacientes o contactos, que incluye la elección de los canales de comunicación más apropiados con los mismos.

Desde el momento que es incluido el paciente o el posible paciente en la “lista de contactos” de la agenda telefónica, el uso de estas aplicaciones por parte de la clínica conlleva, de inicio, el tratamiento de unos datos que pueden considerarse de carácter personal. Así, se considera información de carácter personal los datos relativos al Nombre y/o Apellidos, Correo Electrónico, Teléfono Móvil, Foto de perfil,  Estado del perfil, e incluso la información sobre la fecha y hora en que se conecta un usuario. Por supuesto, si a esto se añade que, en el contenido de los mensajes pueden constar datos personales del propio cliente o de otra/s persona/s física/s involucradas en el asunto confiado, se amplía el espectro de datos a proteger, conforme a la normativa.

Además, ha de tenerse en cuenta que, por la propia naturaleza de la relación entre la clínica y sus pacientes o contactos, es posible que algunas de las informaciones personales que se transmiten a través de las apps, es decir, de los contenidos de algunos mensajes, incorporen datos especialmente sensibles (entre otros, datos relativos a la salud, física o mental).

En este caso, tal y como se manifiesta en el análisis hecho por la APDCAT, estas apps no garantizan la seguridad de las comunicaciones electrónicas. Así, “Whatsapp” no puede asegurar ni garantizar la seguridad de la información que el usuario transmite, y que el usuario asume el riesgo de dicha transmisión. “Whatsapp” no ​​recomienda el uso de redes wifi no seguras u otras redes desprotegidas ni garantiza la seguridad de la información del usuario, cuando ésta se encuentra en sus sistemas, si bien añade que informará de posibles ataques a la seguridad de dichos sistemas.

Puesta la seguridad en entredicho, se mencionan además una serie de vulnerabilidades que, desde la puesta en marcha de “Whatsapp” han sido detectadas y analizadas; si bien, como cita la APDCAT, la compañía ha ido corrigiendo vulnerabilidades, de modo que sólo se hace referencia a aquellas que no se tiene constancia que hayan sido resueltas:

Contraseñas.- Esta app dispone de un sistema de contraseñas débil, de manera que era relativamente sencillo suplantar un usuario y enviar y recibir mensajes de forma fraudulenta. Si bien se ha mejorado la seguridad de la contraseña de acceso a la plataforma, se sigue constatando como vulnerabilidad el hecho de que esta contraseña se encuentra almacenada en un archivo no cifrado del terminal.

Cifrado.- Se constata que “Whatsapp” ha introducido el cifrado de los mensajes. Por tanto, actualmente todos los mensajes que se envían a través de la app son cifrados. Con esto, podríamos decirse que atiende a la prescripción del artículo 32.1.a) RGPD, que se refiere a la opción del cifrado como medida técnica apropiada para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta factores como el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento.

Ahora bien, aunque las conversaciones se transmitan en forma segura (cifrada), quedan almacenadas en el terminal en una base de datos, incluida en la tarjeta de memoria (en el caso del sistema operativo de telefonía móvil Android). Esta base de datos, a pesar de estar cifrada, tiene una contraseña que puede ser fácilmente conocida por terceros, de modo que si se tiene acceso en la tarjeta de memoria, se podría acceder a las conversaciones o comunicaciones.

Además, “Whatsapp” afirma, en las condiciones y términos de uso,  que ni se copia ni se guarda ni se archiva el contenido de los mensajes que se envían. Los mensajes de los usuarios de esta herramienta son almacenados en los servidores de “Whatsapp”, para que puedan remitirse a los destinatarios de los mismos, siempre y cuando sean usuarios de la app. Cuando el destinatario del mensaje no está conectado, dicho mensaje se almacena durante un periodo de 30 días, fecha a partir de la cual se borra en el caso de que no pueda ser entregado. De este modo, y a la vista de las debilidades del sistema, relacionadas con la ausencia de medidas de seguridad aceptables por la normativa española, la información contenida en esos mensajes puede quedar desprotegida, de manera que terceros puedan acceder inconsentidamente a esos contenidos, en los cuales pueden obrar datos de carácter personal.

Como señala la APDCAT “Que los propios responsables del tratamiento desaconsejen la comunicación de datos sensibles a través de la app, resulta especialmente relevante a la hora que el usuario -el abogado, en este caso-,valore la conveniencia de utilizarlas, desde la perspectiva de la protección de datos, ya que las comunicaciones entre abogado y clientes pueden incluir habitualmente datos sensibles, las cuales podrían quedar desprotegidas, como parecen admitir las propias empresas responsables”.

Por todo cuanto se ha expuesto y adhiriéndose a las consideraciones jurídicas del dictamen que emitió en su día la APDCAT, se desaconseja el uso del “Whatsapp”, o medio de comunicación semejante, en el contexto de la relación entre la clínica y sus contactos o pacientes, ya que al ser habitual la comunicación y tratamiento de categorías especiales de datos, la utilización de estas aplicaciones no resulta adecuada desde un punto de vista técnico, en relación con la seguridad exigida por la legislación en materia de protección de datos de carácter personal.

El Equipo Govertis