Notificación de exposición a COVID-19
# Notificación de exposición a COVID-19

El Sistema de Notificación de Exposición Google/Apple (Google/Apple Exposure Notification, GAEN en Inglés), originalmente denominado Proyecto de rastreo de contactos para preservar la privacidad, es un entorno de trabajo y una especificación de protocolo desarrollado por Apple Inc. y Google para facilitar el rastreo digital de contactos durante la pandemia de COVID-19. Cuando lo utilizan las autoridades sanitarias, aumenta las técnicas de rastreo de contactos más tradicionales al registrar automáticamente los encuentros con otros usuarios del sistema de notificación que utilizan su teléfono inteligente Android o iOS. La notificación de exposición es un protocolo basado en informes descentralizados construido con una combinación de tecnología Bluetooth de baja energía y criptografía que preserva la privacidad. Se utiliza como una función de suscripción voluntaria dentro de las aplicaciones COVID-19 desarrolladas y publicadas por autoridades sanitarias autorizadas. Fue presentado originalmente el 10 de abril de 2020 y se puso a disposición por primera vez en iOS el 20 de mayo de 2020 como parte de la actualización de iOS 13.5 y el 14 de diciembre de 2020 como parte de la actualización de IOS 12.5 para iPhones más antiguos. En Android, se agregó a todos los dispositivos a través de una actualización de Google Play Services, que admite todas las versiones desde Android Marshmallow.

El protocolo de Apple/Google es similar al rastreo de proximidad descentralizado para preservar la privacidad creado por el consorcio europeo DP-3T y al protocolo de número de contacto temporal (TCN) de Covid Watch, pero se implementa a nivel del sistema operativo, lo que permite una operación más eficiente como proceso en segundo plano. Desde mayo de 2020, la interfaz de notificación de exposición admite una variante del protocolo DP-3T. Otros protocolos están restringidos en su funcionamiento, ya que no tienen privilegios especiales sobre las aplicaciones normales. Esto conduce a problemas, particularmente en dispositivos iOS donde las aplicaciones de rastreo de contactos digitales que se ejecutan en segundo plano experimentan un rendimiento significativamente degradado. El enfoque conjunto también está diseñado para mantener la interoperabilidad entre los dispositivos Android e iOS, que constituyen la gran mayoría del mercado.

La ACLU declaró que el enfoque "parece mitigar los peores riesgos de privacidad y centralización, pero todavía hay margen de mejora". A finales de abril de 2020, Google y Apple cambiaron el énfasis del nombre del sistema, describiéndolo como un "servicio de notificación de exposición", en lugar de un sistema de "rastreo de contactos".

## Especificación técnica

Por lo general, los protocolos de rastreo de contactos digitales tienen dos responsabilidades principales: el registro de encuentros y los informes de infecciones. La Notificación de Exposición solo cubre el registro de encuentros, que es una arquitectura descentralizada; con la mayoría de los informes de infecciones actualmente centralizados y delegados a implementaciones de aplicaciones individuales.

Para manejar el registro de encuentros, el sistema utiliza Bluetooth de baja energía para enviar mensajes de seguimiento a dispositivos cercanos que ejecutan el protocolo para descubrir encuentros con otras personas. Los mensajes de seguimiento contienen identificadores únicos que están encriptados con una clave diaria secreta que tiene el dispositivo de envío. Estos identificadores cambian cada 15 a 20 minutos, así como la dirección MAC de Bluetooth para evitar el seguimiento de los clientes por parte de terceros malintencionados mediante la observación de identificadores estáticos a lo largo del tiempo.

Las claves de cifrado diarias del remitente se generan mediante un generador de números aleatorios. Los dispositivos registran los mensajes recibidos y los retienen localmente durante 14 días. Si un usuario da positivo en la prueba de infección por COVID-19, los últimos 14 días de sus claves de cifrado diarias se pueden cargar en un servidor central, donde luego se transmite a todos los dispositivos de la red. El método a través del cual las claves de cifrado diarias se transmiten al servidor central y se difunden lo definen los desarrolladores de aplicaciones individuales. La implementación de referencia desarrollada por Google requiere que un funcionario de salud solicite un código de verificación de un solo uso de un servidor de verificación, que el usuario ingresa en la aplicación de registro de encuentros. Esto hace que la aplicación obtenga un certificado firmado criptográficamente, que se utiliza para autorizar el envío de claves al servidor central de informes.

Las claves recibidas luego se proporcionan al protocolo, donde cada cliente busca individualmente coincidencias en su historial de encuentros local. Si se encuentra una coincidencia que cumple con ciertos parámetros de riesgo, la aplicación notifica al usuario de una posible exposición a la infección. Google y Apple pretenden utilizar la intensidad de la señal recibida (RSSI) de los mensajes de baliza como fuente para inferir la proximidad. RSSI y otros metadatos de señales también se cifrarán para resistir los ataques de desanonimización.

## Privacidad

Se hizo referencia a la preservación de la privacidad como un componente importante del protocolo; está diseñado para que no se pueda obtener información de identificación personal sobre el usuario o su dispositivo. Las aplicaciones que implementan la notificación de exposición solo pueden recopilar información personal de los usuarios cuando estos lo consienten de forma voluntaria. El usuario debe obtener el consentimiento para habilitar el sistema o publicar un resultado positivo a través del sistema, y las aplicaciones que utilizan el sistema tienen prohibido recopilar datos de ubicación. Como medida adicional, las empresas declararon que suspenderían el protocolo una vez que determinaran que "ya no es necesario".

La Electronic Frontier Foundation mostró preocupaciones al afirmar que el protocolo era vulnerable a los "ataques de enlace", donde terceros suficientemente capaces que habían registrado el tráfico de balizas pueden retroactivamente convertir esta información en información de seguimiento, solo para áreas en las que ya habían registrado balizas, por un segmento de tiempo limitado y solo para los usuarios que han revelado su estado de COVID-19, una vez que se haya revelado el conjunto de claves de cifrado diarias de un dispositivo.

El 16 de abril, la Unión Europea inició el proceso de evaluación del sistema propuesto para la compatibilidad con las leyes de privacidad y protección de datos, incluido el Reglamento General de Protección de Datos (GDPR). El 17 de abril de 2020, la Oficina del Comisionado de Información del Reino Unido, una autoridad supervisora para la protección de datos, publicó una opinión que analiza tanto la Notificación de Exposición como el protocolo de seguimiento de proximidad descentralizado de preservación de la privacidad, afirmando que los sistemas están "alineados con los principios de protección de datos por diseño y por defecto" (según lo ordena el GDPR).

## Despliegue

La Notificación de Exposición es compatible con dispositivos que tengan la tecnología Bluetooth de baja energía y con Android 6.0 "Marshmallow" o más reciente con los servicios móviles de Google, o iOS 13.5 o más reciente. En iOS, se mantiene a través de actualizaciones del sistema operativo. En Android, se mantiene mediante actualizaciones de los servicios de Google Play, lo que garantiza la compatibilidad con la mayoría de los dispositivos Android lanzados fuera de China continental y no requiere que se integre en un firmware de Android (lo que dificultaría la implementación), aunque no es compatible con los dispositivos Huawei lanzados desde mayo de 2019 debido a la prohibición comercial estadounidense de Huawei. Apple y Google lanzaron implementaciones de referencia para aplicaciones que utilizan el sistema, que se pueden usar como base.

Las aplicaciones de notificación de exposición solo pueden ser lanzadas por las autoridades de salud pública. Para desalentar la fragmentación, cada país normalmente estará restringido a una aplicación, aunque Apple y Google declararon que se adaptarían a enfoques regionalizados si un país elige hacerlo.

El 1 de septiembre de 2020, Apple y Google anunciaron Notificaciones de Exposición Express (Exposure Notifications Express, EN Express en Inglés), un sistema diseñado para facilitar la adopción del protocolo por parte de las autoridades sanitarias al eliminar la necesidad de desarrollar una aplicación por sí mismos. Bajo este sistema, una autoridad sanitaria proporciona parámetros específicos para su implementación (como umbrales, marca, mensajería y servidores clave), que luego se procesan para generar la funcionalidad requerida. En Android, estos datos se utilizan para que Google genere e instale en los teléfonos una aplicación sencilla, mientras que en iOS, la funcionalidad se integra directamente a nivel del sistema en iOS 13.7 y versiones posteriores sin una aplicación dedicada. El 14 de diciembre de 2020, Apple lanzó iOS 12.5, brindando soporte para notificaciones de exposición a iPhones más antiguos.

## Adopción

Al 21 de mayo, al menos 22 países habían recibido acceso al protocolo. Suiza y Austria fueron de los primeros en respaldar el protocolo. El 26 de abril, después de respaldar inicialmente a PEPP-PT, Alemania anunció que respaldaría la Notificación de exposición, seguida poco después por Irlanda e Italia. A pesar de que ya adoptó el protocolo centralizado de BlueTrace, el Departamento de Salud y la Agencia de Transformación Digital de Australia están investigando si el protocolo podría implementarse para superar las limitaciones de su aplicación COVIDSafe. El 25 de mayo, Suiza se convirtió en el primer país en lanzar una aplicación que aprovecha el protocolo, SwissCovid, comenzando con un pequeño grupo piloto.

En Inglaterra, el Servicio Nacional de Salud (NHS) probó tanto una aplicación interna en una plataforma centralizada desarrollada por su división NHSX como una segunda aplicación que utiliza la Notificación de Exposición. El 18 de junio, el NHS anunció que se centraría en el uso de la Notificación de exposición para complementar el rastreo de contactos manual, citando pruebas en la Isla de Wight que mostraban que tenía una mejor compatibilidad entre dispositivos (y también sería compatible con otros enfoques europeos), pero que sus cálculos de distancia no eran tan fiables como la versión centralizada de la aplicación. Más tarde, se dijo que la aplicación se complementaría con códigos QR en los lugares.

Canadá lanzó su aplicación COVID Alert, desarrollada conjuntamente con BlackBerry Limited y Shopify, el 31 de julio en Ontario.

En mayo de 2020, Covid Watch lanzó el primer piloto de calibración y prueba beta de las API de GAEN en los Estados Unidos en la Universidad de Arizona. En agosto de 2020, la aplicación se lanzó públicamente para un despliegue gradual en el estado de Arizona.

La Asociación de Laboratorios de Salud Pública de EE. UU. (APHL) declaró en julio de 2020 que estaba trabajando con Apple, Google y Microsoft en un servidor de informes nacional para su uso con el protocolo, que afirmó facilitaría la adopción y la interoperabilidad entre los estados.

En agosto de 2020, Google declaró que al menos 20 estados de Estados Unidos habían expresado interés en utilizar el protocolo. En Alabama, el Departamento de Salud Pública de Alabama, la Universidad de Alabama en Birmingham y el Sistema de la Universidad de Alabama implementaron la aplicación "GuideSafe" para los estudiantes universitarios que regresaban al campus, e incluía funciones de Notificación de exposición. El 5 de agosto, el Departamento de Salud de Virginia lanzó su aplicación "COVIDWise", lo que lo convirtió en el primer estado de Estados Unidos en lanzar una aplicación basada en notificaciones de exposición para el público en general. Dakota del Norte y Wyoming lanzaron una aplicación conocida como "Care19 Alert", desarrollada por ProudCrowd y utilizando el servidor APHL.

Maryland, Nevada, Virginia y Washington, D.C. anunciaron planes para utilizar EN Express. En septiembre, Delaware, Nueva Jersey, Nueva York y Pensilvania adoptaron aplicaciones de "Alerta COVID" desarrolladas por NearForm, que se basan en su aplicación COVID Tracker Ireland. Más tarde ese mes, el Instituto Noruego de Salud Pública anunció que lideraría el desarrollo de una aplicación basada en notificaciones de exposición para el país, que reemplazaría a una aplicación centralizada que dejó de funcionar en junio de 2020 después de que la Autoridad Noruega de Protección de Datos dictaminó que violaba las leyes de privacidad.

| País | Región/Estado | Nombre | Anunciado/Liberado | Notas |
| - | - | - | - | - |
| Austria | Austria | Stopp Corona App | 26 de junio de 2020 | |
| Brasil | Brasil | Coronavírus-SUS | 31 de julio de 2020 | |
| Bélgica | Bélgica | Coronalert | 1 de octubre de 2020 (público en general) | Fase piloto el 2 de septiembre de 2020 |
| Canadá | Canadá | COVID Alert | 31 de julio de 2020 | Disponible en Nuevo Brunswick, Newfoundland y Labrador, Ontario, Manitoba, Saskatchewan, Quebec, Isla del Príncipe Eduardo y Nueva Escocia. Columbia Británica tiene previsto unirse después de "ajustes que satisfagan nuestras necesidades". Alberta anunció planes para adoptarlo, pero al 6 de octubre de 2020 esto no había ocurrido. |
| República Checa | República Checa | eRouška (eMask) | 17 de septiembre de 2020 | Desde la versión 2.1 |
| Dinamarca | Dinamarca | Smittestop | 18 de junio de 2020 | |
| Finlandia | Finlandia | Koronavilkku | 31 de agosto de 2020 | |
| Alemania | Alemania | Corona-Warn-App | 16 de junio de 2020 | |
| Gibraltar | Gibraltar | BEAT Covid Gibraltar | 18 de junio de 2020 | Basado en COVID Tracker Ireland e interoperará con él. |
| Irlanda | Irlanda | COVID Tracker Ireland | 7 de julio de 2020 | |
| Italia | Italia | Immuni | 1 de junio de 2020 | |
| Japón | Japón | COCOA | 19 de junio de 2020 | |
| Jersey | Jersey | Jersey COVID Alert | 21 de septiembre de 2020 | |
| Letonia | Letonia | Apturi Covid | 29 de mayo de 2020 | |
| Líbano | Líbano | Ma3an | 16 de julio de 2020 | |
| Países Bajos | Países Bajos | CoronaMelder | 10 de octubre de 2020 (lanzamiento total) | |
| Nueva Zelanda | Nueva Zelanda | NZ COVID Tracer | 10 de diciembre de 2020 (lanzamiento total) | |
| Noruega | Noruega | Smittestopp | 21 de diciembre de 2020 | Reemplaza una versión de la aplicación que se suspendió a principios de año debido al escrutinio de la Autoridad Noruega de Protección de Datos local. |
| Polonia | Polonia | ProteGO Safe | 9 de junio de 2020 | Actualización a la aplicación de registro de encuentros existente. |
| Portugal | Portugal | STAYAWAY COVID | 28 de agosto de 2020 | |
| Rusia | Rusia | Gosuslugi. Covid Tracker | 23 de noviembre de 2020 | https://play.google.com/store/apps/details?id=com.minsvyaz.gosuslugi.exposurenotificationdroid |
| Sudáfrica | Sudáfrica | COVID Alert SA | 1 de septiembre de 2020 | |
| España | España | Radar COVID | 30 de junio de 2020 (pruebas de versión beta) | |
| Suiza | Suiza | SwissCovid | 26 de mayo de 2020 (fase piloto) | |
| Taiwán | Taiwán | 臺灣社交距離 | 3 de mayo de 2021 | |
| Reino Unido | Inglaterra Gales | NHS COVID-19 | 24 de septiembre de 2020 | |
| Reino Unido | Irlanda del Norte | StopCOVID NI | 30 de julio de 2020 | Interoperable con COVID Tracker Ireland. |
| Reino Unido | Scotland | Protect Scotland | 11 de septiembre de 2020 | Basado en COVID Tracker Ireland. |
| Estados Unidos | Alabama | GuideSafe | 3 de agosto de 2020 | Dirigido a los universidades de la Universidad de Alabama. |
| Estados Unidos | Arizona | Covid Watch | 28 de mayo de 2020 (pruebas de atenuación y riesgo dinámico) 19 de agosto de 2020 (publicado) | Dirigido a la Universidad de Arizona en un despliegue gradual para el estado de Arizona. |
| Estados Unidos | California | CA Notify | 10 de diciembre de 2020 | |
| Estados Unidos | Colorado | CO Exposure Notifications | 25 de octubre de 2020 | |
| Estados Unidos | Connecticut | COVID Alert CT | 12 de noviembre de 2020 | |
| Estados Unidos | Delaware | COVID Alert DE | 15 de septiembre de 2020 | Basado en COVID Tracker Ireland. |
| Estados Unidos | Guam | Guam Covid Alert | 10 de septiembre de 2020 | Basado en el PathCheck Foundation's GAEN Mobile project |
| Estados Unidos | Hawaii | Aloha Safe Alert | 11 de noviembre de 2020 | Basado en el PathCheck Foundation's GAEN Mobile project |
| Estados Unidos | Louisiana | COVID Defense | 22 de enero de 2021 | Basado en el PathCheck Foundation's GAEN Mobile project |
| Estados Unidos | Maryland | MD COVID Alert | 10 de octubre de 2020 | |
| Estados Unidos | Michigan | MI COVID Alert | 15 de octubre de 2020 (Universidad Estatal de Michigan, como plan piloto) 9 de noviembre de 2020 (todo el estado) | |
| Estados Unidos | Minnesota | COVIDaware MN | 23 de noviembre de 2020 | |
| Estados Unidos | New Jersey | COVID Alert NJ | 30 de septiembre de 2020 | Basado en COVID Tracker Ireland. |
| Estados Unidos | New York | COVID Alert NY | 30 de septiembre de 2020 | Basado en COVID Tracker Ireland. |
| Estados Unidos | Carolina del Norte | SlowCOVIDNC | 22 de septiembre de 2020 | |
| Estados Unidos | North Dakota | Care19 Alert | 13 de agosto de 2020 | |
| Estados Unidos | Pennsylvania | COVID Alert PA | 24 de septiembre de 2020 | Basado en COVID Tracker Ireland. |
| Estados Unidos | Utah | UT Exposure Notifications | 16 de febrero de 2021 | |
| Estados Unidos | Virginia | COVIDWise | 5 de agosto de 2020 | |
| Estados Unidos | Washington | WA Notify | 30 de noviembre de 2020 | |
| Estados Unidos | Wisconsin | WI Exposure Notification | 23 de diciembre de 2020 | |
| Estados Unidos | Wyoming | Care19 Alert | 14 de agosto de 2020 | |
| Uruguay | Uruguay | Coronavirus UY | 15 de junio de 2020 | |
| Costa Rica | Costa Rica | Mascarilla Digital | 11 de junio de 2021 | Habilitación programada para el 16 de junio de 2021. |

### Alternativas

Algunos países, como Francia, han seguido enfoques centralizados para el rastreo digital de contactos, con el fin de mantener registros de información personal que puedan utilizarse para ayudar en la investigación de casos. El gobierno francés le pidió a Apple en abril de 2020 que permitiera que las aplicaciones realizaran operaciones Bluetooth en segundo plano, lo que permitiría al gobierno crear su propio sistema independiente de Notificación de exposición.

El 9 de agosto, la provincia canadiense de Alberta anunció planes para migrar a la alerta COVID basada en Notificación de Exposición desde su aplicación ABTraceTogether basada en BlueTrace. Esto no ocurrió, y el 6 de noviembre, el primer ministro de Alberta, Jason Kenney, anunció que la provincia no lo haría, argumentando que ABTraceTogether era "desde nuestro punto de vista, simplemente una herramienta de salud pública mejor y más eficaz", y que se les exigiría eliminar gradualmente ABTraceTogether si cambiaran de plataforma. Columbia Británica también se ha negado a adoptar COVID Alert, y la funcionaria provincial de salud Bonnie Henry afirmó que COVID Alert era demasiado "inespecífico".

En los Estados Unidos, estados como California y Massachusetts se negaron a utilizar la tecnología y optaron por el rastreo manual de contactos. Posteriormente, California cambió de rumbo y adoptó el sistema en diciembre de 2020.

El proveedor chino Huawei (que no puede incluir el software de Google en sus productos Android actuales debido a las sanciones de Estados Unidos) agregó una API DP-3T a nivel de sistema operativo conocida como "Contact Shield" a su pila de servicios móviles de Huawei en junio de 2020, que la compañía afirma está destinada a ser interoperable con la notificación de exposición.

