Perú: Debilidades de plataforma del Ministerio de Salud exponen información de pacientes COVID-19

La tarde de ayer, Eduardo Ruiz García (69) falleció en su casa sin recibir los resultados de la prueba de COVID-19 que se le tomó el 17 de marzo en el hospital Edgardo Rebagliati de Jesús María, en Lima. Ruiz, quien había regresado hace unos días de España, se convirtió en la segundo peruano fallecido por el nuevo coronavirus y su caso evidenció un problema en los protocolos y flujos de comunicación de los resultados de las pruebas a las personas examinadas.

Eduardo Ruiz murió en su departamento de Miraflores sin tener los resultados oficiales que confirmaron lo que evidenciaban sus síntomas: estaba contagiado con el virus del COVID-19 que causa una gripe fuerte y neumonía mortal en algunas personas. Horas después de este caso, el Ministerio de Salud implementó una plataforma digital para que las personas conozcan los resultados de las pruebas de COVID-19 en línea con solo colocar su DNI.

Esta herramienta está alojada en la página web del Instituto Nacional de Salud (INS), pero el procedimiento de acceso a la información es vulnerable. Solo pide el DNI del usuario sin otra información que pueda validar su identidad. Asimismo, se utiliza un código Catpcha que es un texto que puede ser llenado de manera automatizada. Este diseño pone en peligro la información clínica de las personas.

“El software que están usando actualmente puede ser vulnerado. Hay que corregirlo para evitar descargas masivas y proteger la información de las personas”, explicó Jason Martínez, ingeniero de software y cofundador de Salud con lupa. Si solo se coloca el DNI para acceder a los resultados de exámenes, es posible que personas y/o empresas puedan buscar datos privados de los pacientes. Es una buena medida tener servicios en línea en esta época de COVID-19, pero no olvidemos la seguridad digital.

En el mismo sentido se pronunció esta mañana la organización Hiperderecho, asociación civil dedicada a investigar, facilitar el entendimiento público y promover el respeto de los derechos y libertades en entornos digitales. “El dato de una persona contagiada o no de COVID-19 es un dato sensible, que no puede ser compartido libremente. En la plataforma del Ministerio de Salud basta con saber el DNI de cualquier peruano para enterarse de los resultados de sus análisis. ¿Se imaginan lo que podría pasar?”, advirtió en sus redes sociales.

Hiperderecho advierte que colegios, centros de labores, instituciones de préstamos, edificios de departamento o hasta estafadores podrían consultar masivamente los DNI y discriminar, excluir o poner en riesgo a las personas contagiadas con COVID-19.

El ingeniero de software Edgar Huaranga, director de tecnología de Hiperderecho, sugirió que la Dirección de Protección de Datos Personales explique al Ministerio de Salud el problema de la ilegalidad del estado actual de la plataforma. Recomendó también que el sitio web abierto para conocer el resultado de pruebas incluya un segundo dato de comprobación, como por ejemplo, el código de verificación del DNI y que se mejore el código Captcha. “La Secretaría de Gobierno Digital debería ayudar al Ministerio de Salud en la implementación de mejoras”, dijo.