A insegura aplicação Stayaway Covid (em actualização) – TICtank
Especial - COVID-19, InSegurança, Privacidades, Telecoms
Date: 21/07/2020Author: TICtank 0 Comentários
A aplicação usa a tecnologia Bluetooth Low Energy (BLE) e "notifica os utilizadores da exposição individual a factores de contágio por SARS-CoV-2", após o contacto "com um utilizador da aplicação a quem posteriormente tenha sido diagnosticada a doença".
Trata-se de "um instrumento complementar e voluntário de resposta à situação epidemiológica pelo reforço da identificação de contactos", tendo a Comissão Nacional de Proteção de Dados recomendado "que fosse dado enquadramento legal a alguns dos aspectos respeitantes ao seu funcionamento".
O diploma obriga a app a "respeitar a legislação e a regulamentação sobre proteção de dados e sobre cibersegurança". No entanto, o próprio site da app explica sobre o utilizador poder ser identificado pelo seu uso, que "é extremamente improvável, mas possível"
Em resultado disso, "um cenário particularmente plausível é o de que rapidamente as pessoas se apercebam que as notificações não são para levar a sério, o que arrasaria com qualquer potencial de eficácia da Stayaway".
A D3 aponta ainda que "apesar de já terem passado várias semanas desde que as primeiras ARCs começaram a ser usadas pela Europa, continua um silêncio revelador sobre os seus efeitos positivos".
Em sentido contrário, "Joana Gonçalves de Sá articulou no Público a enorme dificuldade em implementar com sucesso uma solução técnica deste género", enquanto estudos questionam "se estas apps são sequer eficazes, condenando a falta de transparência na sua implementação" e "um conjunto grave de ineficácias e riscos para a privacidade".
A associação critica ainda o apoio do Primeiro-Ministro e de vários ministros à app, nomeadamente pela "sua intenção de instalar esta ARC sem sequer a terem visto ou usado", sendo "uma solução técnica cujos métodos de funcionamento ainda ninguém conhece, porque o seu código-fonte ainda está mantido em segredo". Este só deve ser mostrado quando a app for disponibilizada ao público, asseguram os seus responsáveis. [ver comunicado da ANSOL "Disponibilização do código da STAYAWAY COVID não é suficiente": Apesar do INESC TEC afirmar que vai disponibilizar o código fonte da aplicação, é certo que esta usa a API da Google e da Apple, cujo código não é escrutinável e, portanto, a disponibilização do código pelo INESC TEC corresponde apenas a uma parte da aplicação por onde passam os dados dos cidadãos.
"Qualquer modelo que passe por usar código que os cidadãos não podem escrutinar deve ser rejeitada. Estamos a falar de dados de saúde e, portanto, dados muito sensíveis. É imperioso que os cidadãos saibam que dados são recolhidos, quem os recolhe, e como é que esses dados vão ou podem ser usados.", afirma Tiago Carrondo, presidente da ANSOL, acrescentando "A mera informação sobre quem instala ou não a aplicação pode ser usada como fonte de discriminação".]
Assim, estas empresas estrangeiras acedem aos dados de instalação e utilização da app, podendo cruzar essa informação com a obtida no acesso às suas "stores" ou no uso de outras aplicações.
[Actualização a 1 de Setembro de 2020: Alguns apontamentos sobre as aplicações móveis para controle da Covid-19, Stayaway Covid: as tuas perguntas e respostas e Comunicado de Imprensa da Associação D3:
Às dúvidas que exprimimos anteriormente, juntamos outras perguntas a que é fundamental obter resposta:
– Quanto custou o desenvolvimento da app? Há ou não financiamento público no seu desenvolvimento?
– Porque não está disponível o código que mostra o que Apple e Google fazem com os dados? Quais têm sido os esforços do Governo para assegurar transparência total por parte destas entidades?
– O que acontece se se concluir que a app não serviu para nada, como as experiências lá fora estão a evidenciar?]
[Outras actualizações: Google Promises Privacy With Virus App but Can Still Collect Location Data: When Google and Apple announced plans in April for free software to help alert people of their possible exposure to the coronavirus, the companies promoted it as "privacy preserving" and said it would not track users' locations. Encouraged by those guarantees, Germany, Switzerland and other countries used the code to develop national virus alert apps that have been downloaded more than 20 million times. But for the apps to work on smartphones with Google's Android operating system — the most popular in the world — users must first turn on the device location setting, which enables GPS and may allow Google to determine their locations. Some government officials seemed surprised that the company could detect Android users' locations.
Linux Foundation announces open source exposure notification apps initiative to combat COVID-19: The Linux Foundation introduced its latest project that uses open source technologies to help public health authorities (PHAs) fight against the COVID-19 pandemic. The Linux Foundation Public Health (LFPH) initiative, announced on Monday, focuses on the use of open source exposure notification applications.
The inside story of how government failed to develop a contact-tracing app: Matt Hancock was clear: it was all Apple's fault.
Government admits breaking privacy law with NHS test and trace: The UK government broke the law in rolling out its test-and-trace programme without a full assessment of the privacy implications, the Department of Health and Social Care has admitted after a legal challenge. The Guardian can reveal the programme has already led to three data breaches involving email mishaps and unredacted personal information being shared in training materials.
Uber offers COVID-19 contact tracing help amid chaotic U.S. response: Uber Technologies Inc has quietly launched a service to give public health officials quick access to data on drivers and riders presumed to have come into contact with someone infected with COVID-19, company officials told Reuters. (UK Uber drivers are taking the algorithm to court)]