Hova Health: a la vista de quien sea, los datos personales sensibles de ciudadanos de Michoacán

José Soto Galindo

20 agosto, 2018
Pacientes del sistema público de salud de Michoacán.

1. Expedientes a la vista de quien sea

El 2 de diciembre de 2016, un médico del sistema público de salud de Michoacán atendió a un paciente con diabetes mellitus. Registró en su expediente clínico electrónico una dentición presente con caries dental y un puntaje 15/15 en la escala Glasgow, el nivel más alto de alerta en los seres humanos resultado de tres criterios de observación clínica: respuesta ocular, respuesta verbal y respuesta motora. El médico revisó los resultados de la biometría hemática, la química sanguínea y el examen general de orina. Palpó cuello y pies; revisó ritmo cardiaco. Resultado de la consulta: descontrol hipertensión arterial sistémica, descontrol obesidad. La receta mantuvo enlistada una docena de medicamentos como captopril de 25 mg, furosemide de 40 mg, metformina de 850 mg, glimepirida de 4 mg e insulina humana inyectable. Por supuesto, el expediente incluye nombre completo, CURP, raza, situación migratoria, discapacidad en caso de presentar alguna, fecha de nacimiento, sexo, nacionalidad y dirección postal del paciente.

Imagen de la base de datos de Hova Health descubierta por el experto en ciberseguridad Bob Diachenko.

2. El administrador de los expedientes

Hova Health es una compañía mexicana que ofrece servicios tecnológicos al sector salud, como administración de expedientes clínicos electrónicos, aplicación e interpretación de estudios radiológicos o la renta de equipo médico. Entre sus clientes se encuentra la Secretaría de Salud de Michoacán, con la que firmó contratos en mayo y noviembre de 2015 (SSM-LP-025/2015-01 y MOD-01) y mayo de 2016 (SSM-LP-004/2016-01) con máximos de 43 millones de pesos y 84 millones de pesos. El miércoles 8 de agosto de 2018, Alexis Nickin, fundador y director de Hova Health, reconoció a El Economista que la compañía dejó expuestos 2.3 millones de expedientes clínicos en una base de datos disponible a través de internet que no necesitaba contraseña para ser accedida. Los expedientes incluían datos personales sensibles de ciudadanos de Michoacán, como su estado de salud y su origen étnico o racial. En la base de datos también se encontraban a la vista de quien sea (terceros no autorizados) diagnósticos y recetas.

Se trata de la exposición de datos personales sensibles más grave registrada en México. Esos datos representan la información de carácter personal más íntima y pueden provocar discriminación y daño a sus titulares (los propietarios de los datos). “En el campo privado sí pudiera ser uno de los casos de mayor envergadura que se ha conocido”, dijo Gustavo Parra Noriega, secretario de Protección de Datos Personales de la autoridad de protección de datos personales (el Inai). La confirmación oficial llegará una vez concluidos los procedimientos respectivos, que el Inai comenzó de la mano de la autoridad protección de datos personales de Michoacán (el Imaip). “Es un caso lamentable, porque además de que son datos personales son datos sensibles”, dijo Areli Yamilet Navarrete, comisionada del Imaip.

Página con las rúbricas del contrato SSM-LP-025/2015-01 entre Hova Health y la Secretaría de Salud de Michoacán. En noviembre, este contrato tuvo una ampliación de 15 por ciento.
Página con las rúbricas del contrato SSM-LP-004/2016-01 entre Hova Health y la Secretaría de Salud de Michoacán.

3. Una sanción ejemplar

“Tenemos la confirmación de que aunque sí estuvo expuesta no fue descargada” la base de datos, dijo Nickin. Puede ser que tenga razón, que la única persona que tuvo acceso a los expedientes clínicos resguardados por Hova Health haya sido el experto en ciberseguridad Bob Diachenko, quien los descubrió en línea sin contraseñas ni candados, alertó a la compañía y luego publicó un artículo sobre el tema en la red social LinkedIn. Pero no basta con que la base de datos no haya sido descargada: Alexis Nickin y su empresa fallaron en proteger la información personal más íntima de los usuarios del sistema público de salud de Michoacán. La sanción debe servir de advertencia para que otros se tomen en serio su responsabilidad a la hora de trabajar con datos personales sensibles.

Este artículo originalmente se publicó en El Economista el 12 de agosto de 2018.

Hackeos a empresas privadas

Inai ordena a IFT informar sobre intervención de comunicaciones en México

José Soto Galindo

21 mayo, 2018
Privacidad y telecomunicaciones | Las comunicaciones privadas se intervienen sin control en México; autoridades hacen 200 requerimientos diarios

Durante cuatro semestres consecutivos, el Instituto Federal de Telecomunicaciones (IFT) ha incumplido con una norma diseñada por el propio instituto que le obliga a publicar en su sitio en internet los reportes que le entregan los operadores de telefonía sobre su colaboración con las autoridades de seguridad y justicia. Esos reportes generados por los operadores […]

Seguir leyendo

La intervención de comunicaciones privadas en México

José Soto Galindo

14 mayo, 2018
Reporte 2017. Colaboración con autoridades de seguridad y justicia. Se piden datos de usuarios 200 veces al día.

La vigilancia legal en México, a través del registro de datos de servicios de telecomunicaciones, se realiza con un desparpajo que asusta. Todo en la norma, desde su diseño hasta su aplicación, supervisión y transparencia, es un rosario de abusos, desatinos y absurdos. Las autoridades de seguridad y justicia —además de otras sin atribuciones para […]

Seguir leyendo

Las comunicaciones privadas se intervienen sin control en México; autoridades hacen 200 requerimientos diarios

José Soto Galindo

9 mayo, 2018
Reporte 2017. Colaboración con autoridades de seguridad y justicia. Autoridades con más solicitudes.

Todos los usuarios de telefonía móvil de México somos sospechosos y eso implica que nuestras comunicaciones privadas pueden ser transgredidas. Las autoridades mexicanas hicieron 75,978 solicitudes a las compañías telefónicas para que ofrecieran información de sus clientes en 2017. Fueron 200 requerimientos diarios a los operadores para que colaboraran entregando datos relacionados con el uso de las líneas telefónicas o la localización geográfica en tiempo real del dispositivo conectado a la red pública de telecomunicaciones. Miles de solicitudes se realizaron sin cumplir los requisitos de ley, pero los operadores prefieren no discutir: si una autoridad lo pide, se le entrega. Incluso si la autoridad que pide está impedida constitucionalmente, o si el funcionario que lo pide no fue designado a través de un acuerdo en el Diario Oficial de la Federación, como dicta la norma, o si la autoridad a la que representa sólo se identificó como “FG”, “TSJ”, “PGJ”, “JCA”, “JC-JO” o, simplemente, “otra”.

Seguir leyendo

Derecho al olvido: el juez Mark Warby de Londres falla contra Google

José Soto Galindo

16 abril, 2018
Solicitudes de eliminación de enlaces a Google. Reporte de Transparencia, 2014-2018.

Un juez en Londres emitió el 13 de abril una nueva sentencia relacionada con el llamado derecho al olvido, de aplicación en la ley comunitaria europea y cuya mejor definición es el derecho de los ciudadanos de la Unión Europea a pedir a los motores de búsqueda en internet que desindexen información de carácter personal. […]

Seguir leyendo

Facebook: México fue el quinto país con más extracciones de datos de Cambridge Analytica

Economicón

4 abril, 2018

México fue el quinto país más afectado por la extracción de datos realizada por Cambridge Analytica, de acuerdo con un comunicado difundido este 4 de abril por Facebook. La red social informó que datos de casi un millón de mexicanos formaron parte de la campaña de extracción de Cambridge Analytica, empresa dedicada a manipular a ciudadanos a través de la red social con fines electorales. En los cinco primeros lugares de la lista se encuentran, por volumen de usuarios impactados, Estados Unidos (70.6 millones), Filipinas (1.17 millones), Indonesia (1.09 millones), Reino Unido (1.07 millones) y México (789,880).

Facebook: países con mayor número de usuarios impactados por la extracción de datos de Cambridge Analytica.
Reporte publicado por Facebook el 4 de abril de 2018 como actualización del número de consumidores de la red social afectados por la filtración de Cambridge Analytica. En el reporte, México apareció como el quinto país más afectado por volumen de usuarios, con 789,880 usuarios. Imagen: Cortesía Facebook, Inc.

Andoni Alonso: “El futuro será ludita o no será”, en El Salto

Andoni Alonso: “El futuro será ludita o no será”, en El Salto

El filósofo Andoni Alonso describe así la nueva transparencia, una transparencia desde las corporaciones sobre los ciudadanos y sobre el gobierno: «Saber todo de los ciudadanos y deshacerse del gobierno para hacer negocio con la transparencia, porque ellos, con su poder tecnológico, son capaces de hacerse cargo del sistema. ¡Qué el Rey Ludd nos proteja!». La entrevista es de Jon Artza para El Salto.

Retrato de Andoni Alonso realizado por Jone Arzoz para El Salto.

¿Qué es el derecho al olvido en la regulación de protección de datos de España?

Economicón

27 marzo, 2018

El régimen de protección de datos personales en España define el llamado “derecho al olvido” de la siguiente manera: «El denominado ‘derecho al olvido’ es la manifestación de los tradicionales derechos de cancelación y de oposición aplicados a los buscadores de internet. El ‘derecho al olvido‘ hace referencia al derecho a impedir la difusión de […]

Seguir leyendo

Se duplican en dos años los mexicanos que quieren desaparecer de internet, en El Insurgente

En este artículo del 15 de febrero de 2017, el reportero Juan Luis Ramos entrevistó al presidente y fundador de Eliminalia, Dídac Sánchez, quien le dijo que entre 2015 y 2017 la cartera de clientes de la compañía —dedicada a limpiar historiales en internet— pasó de 70 a 150. “Llegamos a México porque detectamos que en los países donde hay más corrupción y problemas políticos es donde hay más oportunidad de negocio”, dijo Sánchez.

El empresario, citado por Ramos en El Insurgente, dijo que planeaba crear en 2017 una “agencia privada de protección de datos”. “Hablamos de una agencia independiente, que no tenga que ver nada con ningún organismo público y que pueda garantizar realmente que los datos de los ciudadanos están siendo tratados correctamente”, dijo Sánchez en otra nota de Ramos.

Según Ramos, Eliminalia cobra de 1,000 a 850,000 pesos, “dependiendo de varios factores, como la notoriedad de la persona que requiere el servicio hasta el tiempo que le va a llevar a los técnicos de Eliminalia bajar esa información o cuánto tiempo ha estado colgada en Internet”. “No es lo mismo eliminar una nota de prensa o información de hace una semana a una de hace cuatro o cinco años. Tampoco es igual borrar datos de un ciudadano ‘común’ que los de un político o una figura pública. (…) Eliminalia no es un policía, ni un tribunal, ni mucho menos fiscal, sino una empresa que garantiza que borrará la información que le moleste a esa persona que acude a nuestro servicio, independientemente de si es un personaje público, un político que ha robado o una persona común”, dijo Sánchez al reportero.

Newsletter

Youtube / Spotify / TwitterFacebook