Colombia rastreó contactos de Covid mediante identificadores publicitarios móviles en lugar de crear una aplicación de rastreo

En 2020, Bogotá y el departamento colombiano de Antioquia necesitaban rastrear contactos de Covid-19, pero las aplicaciones dedicadas al rastreo de contactos en todo el mundo lidiaban con bajas tasas de descarga y de consentimiento, lo que reducía su cobertura. Ambos gobiernos contrataron a la empresa local Servinformación, que propuso prescindir por completo de una nueva aplicación y, en su lugar, utilizar la infraestructura de publicidad móvil que ya funcionaba en la mayoría de los teléfonos.

Cada teléfono lleva un identificador publicitario, asignado por Google o Apple, que las redes publicitarias usan para dirigirse a los usuarios entre aplicaciones. Servinformación cruzó este sistema de identificadores con los pacientes confirmados: cada semana, los funcionarios enviaban las direcciones de los pacientes y la empresa identificaba qué identificadores pasaban habitualmente la noche allí, y luego qué otros identificadores permanecían a menos de 10 metros de esos dispositivos durante 30 minutos o más. En lugar de crear una aplicación, compró anuncios geolocalizados y envíos masivos de SMS a través de redes que ya llegaban a esos teléfonos, advirtiendo de una posible exposición y enlazando a un formulario de comprobación de síntomas.

El sistema no requería descarga, ni instalación, ni un paso de consentimiento activo: funcionaba con cualquiera cuyo teléfono ya llevara el identificador publicitario estándar, es decir, casi todas las personas con un teléfono inteligente. Los funcionarios de salud de Antioquia también usaron los datos de ubicación agregados para dirigir a los equipos epidemiológicos a manzanas concretas de la ciudad con conglomerados de identificadores expuestos, en lugar de hacer pruebas de forma amplia.

Reutilizar el identificador de la tecnología publicitaria que ya está en cada teléfono en lugar de crear una aplicación que la gente tenga que instalar

Aprovechar los identificadores publicitarios supuso una fricción de adopción nula: no había ninguna aplicación que descargar, de modo que la cobertura equivalía al número de teléfonos que ya ejecutaban aplicaciones con publicidad, que son casi todos.

La coincidencia de proximidad de 10 metros y 30 minutos reutilizó una primitiva de segmentación ya existente de la tecnología publicitaria en lugar de exigir que se creara y desplegara un nuevo software de seguimiento de ubicación.

Devolver los resultados a través de las redes publicitarias y pasarelas de SMS existentes significó que el canal de contacto ya estaba construido y ya llegaba a los teléfonos objetivo.

Agregar los identificadores expuestos por manzana permitió a los funcionarios de salud dirigir geográficamente a los equipos de pruebas en lugar de abordar el problema más difícil de identificar y someter a prueba a cada posible contacto individualmente.

Cuando la adopción es el cuello de botella, comprueba si la infraestructura que necesitas ya está instalada en los dispositivos objetivo para un propósito no relacionado: supera a una aplicación creada específicamente, ya que nadie tiene que dar su consentimiento.

Para cuando Rest of World informó sobre la historia, los funcionarios de Antioquia dijeron que habían enviado más de 411.000 anuncios y mensajes de texto desde abril de 2020, lo que generó más de 1.600 llamadas a los servicios de salud: una tasa de respuesta del 0,4%, justo por debajo del parámetro de referencia del 0,5–0,7% para las campañas de marketing digital. Investigadores de privacidad de la Fundación Karisma y la Electronic Frontier Foundation advirtieron que la misma técnica de cruce de identificadores podría servir también para la vigilancia, ya que conocer la dirección de casa de un paciente facilita inferir qué identificador publicitario le pertenece.