BOLETÍN OFICIAL DEL ESTADO
Jueves 15 de julio de 2021

Sec. I. Pág. 84475

puedan promover desde cualquiera de las administraciones públicas de Euskadi deberán
garantizar que:
a) La aplicación, si la elaboración y el diseño se promovieran desde las
administraciones vascas, ha sido elaborada a través de software libre de código abierto y
plataformas colaborativas que permitan la plena transparencia, auditabilidad e
interoperabilidad de toda la plataforma, incluidos los módulos, las librerías o cualquier
otro código que se desarrolle para su funcionamiento. Las estructuras de datos, API o
interfaces que la aplicación utilice para interactuar con cualquier tipo de usuario o usuaria
deben cumplir con estándares abiertos e interoperables, tendiendo siempre al máximo
nivel de integración con los estándares abiertos más extendidos en cada momento. Si,
por el contrario, se hace uso de aplicaciones ajenas, elaboradas por otras
administraciones públicas, o si la Administración se valiera de los datos de otras
aplicaciones que, de forma voluntaria, las personas administradas o potenciales
pacientes hubieran usado, debe garantizarse que el uso que se haga desde las
administraciones vascas respeta los derechos y la intimidad de las personas usuarias y
no excede los límites que a continuación se disponen.
b) La aplicación solo tendrá acceso a aquellos datos mínimos e imprescindibles
para las funciones que haya de realizar, sin permiso a más datos que el dispositivo
pueda facilitar, como ubicaciones u otros similares.
c) La unificación de los datos identificativos con cualquiera de los datos clínicoasistenciales relativos a la COVID-19 con los que la aplicación se alimente solo será
accesible de forma directa a través de la aplicación por la propia persona usuaria o por
personal estrictamente habilitado conforme al artículo anterior o, en los términos del
párrafo final del artículo 16.3 de la Ley 41/2002, de 14 de noviembre, básica reguladora
de la autonomía del paciente y de derechos y obligaciones en materia de información y
documentación clínica y del artículo 9.3 del Reglamento General de Protección de Datos,
por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta,
asimismo, a una obligación equivalente de secreto, previa motivación en este último caso
de la imperiosa necesidad del acceso por parte de la Administración que solicitase el
acceso a los datos. La confidencialidad de los datos identificativos o clínico-asistenciales
habrá de garantizarse a través de las técnicas de cifrado, anonimización,
seudonimización o de otro tipo que puedan establecerse desde la propia aplicación.
d) La unificación de los datos identificativos con los datos de contactos recientes
solo será accesible por las mismas personas y en los mismos términos.
e) Los datos anteriores solo serán comunicados de forma automática por la propia
aplicación a otros dispositivos equipados con la misma u otra aplicación similar y con un
nivel de garantías equivalente, o al centro de gestión de datos del Departamento de
Salud que gestione la coordinación de la información epidemiológica en los términos de
los artículos contenidos en este título, y siempre de forma segura.
f) Si la aplicación previera algún mecanismo por el que la información de la
aplicación sirva para reforzar otros métodos de rastreo o viceversa, la información
suministrada por la aplicación solo podrá ser cruzada de forma automática con la
proveniente de las historias clínicas, listados de personas usuarias y datos de contactos
recientes recogidos por el personal de rastreo en los términos previstos por esta ley, a
través de algoritmos que actúen sin intervención directa de personal humano, o de
alguna otra forma por la que se garantice que se respetan las demás condiciones
previstas por este artículo.
g) Si la aplicación previera su uso para acreditar el nivel de riesgo, la situación
epidemiológica o la inmunidad adquirida de la persona usuaria, la aplicación deberá
dejar claro si se basa en un certificado o prueba médica que aporte el mismo nivel de
seguridad que esta ley requiere a esos efectos.

cve: BOE-A-2021-11766
Verificable en https://www.boe.es

Núm. 168