¿Qué datos personales envió miDGT a Google y qué ha resuelto la AEPD?

La aplicación miDGT recopiló más información personal de la necesaria y remitió datos desde los teléfonos de sus usuarios a servicios de terceros vinculados a Google. Entre la información asociada a las versiones afectadas figuraban el nombre y los apellidos, correo electrónico, coordenadas GPS, operador de telefonía, identificadores del dispositivo, datos técnicos, cookies e incluso el identificador publicitario. La Agencia Española de Protección de Datos terminó declarando que la Dirección General de Tráfico vulneró el principio de minimización de datos establecido por el Reglamento General de Protección de Datos.

El problema no está en que miDGT necesite manejar información personal —una aplicación que permite llevar el permiso de conducir y consultar datos de vehículos difícilmente podría funcionar de otro modo—, sino en todo lo que viajaba de más. La propia DGT reconoció durante el expediente que versiones anteriores a la 1.11.5 habían enviado datos personales junto a información de uso y errores de la aplicación. La causa, según explicó el organismo, fue una configuración incorrecta de una plataforma utilizada para las notificaciones push.

Hasta 36 datos asociados al usuario y a su teléfono

La relación recogida durante la investigación resulta bastante más larga de lo esperable para una simple función de notificaciones. Aparecen nombre, apellidos, correo electrónico, código postal, género, ciudad, coordenadas GPS, IP local, operador de red, país, cookies e identificador publicitario, junto con datos como la marca y el modelo del móvil, la memoria disponible, la batería, la resolución de pantalla, la zona horaria, el idioma o información de la CPU. No parece precisamente equipaje de mano.

La documentación incorporada al procedimiento habla de 36 parámetros en las versiones anteriores a la 1.11.5. La AEPD considera que parte de esa información excedía lo indispensable para la finalidad legítima de la aplicación. Es ahí donde entra una regla bastante sencilla del RGPD: una organización no debe recoger todos los datos que técnicamente pueda obtener, sino aquellos que realmente necesita.

La investigación partió de la reclamación presentada por un ciudadano el 17 de noviembre de 2023. Había instalado la aplicación y, mediante una herramienta de protección frente al rastreo, detectó numerosos intentos de comunicación con terceros. En una comprobación posterior sobre una versión antigua de miDGT, la Agencia llegó a registrar 150 intentos de rastreo relacionados con el proveedor tecnológico investigado.

Google Firebase estaba detrás de la integración técnica

El servicio implicado ha sido identificado en el análisis técnico del caso como Firebase, la plataforma de Google ampliamente utilizada por aplicaciones móviles. La DGT había incorporado Firebase Cloud Messaging para gestionar las notificaciones push, pero esa integración incluía otras capacidades de recopilación y análisis.

Según la explicación trasladada por Tráfico, la transmisión adicional no era necesaria para mandar esas notificaciones y la DGT ni siquiera utilizaba los datos de análisis obtenidos. El organismo atribuyó el problema a una configuración errónea del componente. Es uno de esos pequeños detalles del software moderno que dejan de ser pequeños cuando millones de ciudadanos llevan la aplicación en el bolsillo.

La cuestión tampoco se reduce a si un funcionario de Tráfico abrió o no un panel para mirar esos datos. Desde la perspectiva de protección de datos, la recogida y comunicación ya constituyen un tratamiento. Y el responsable de ese tratamiento seguía siendo la Dirección General de Tráfico, que decide para qué se utiliza miDGT y qué herramientas integra.

El envío llevaba produciéndose desde 2020

Uno de los datos más llamativos del expediente aparece en la propia respuesta inicial de la DGT: la funcionalidad que enviaba información de uso estaba activa desde el 13 de enero de 2020. La aplicación salió precisamente por aquellas fechas y terminó convirtiéndose en una herramienta habitual para millones de conductores.

Los paneles examinados durante el procedimiento mostraban, para versiones anteriores a la corrección, unos 2,3 millones de usuarios asociados a España y alrededor de 7.600 a Marruecos. También aparecían estadísticas sobre modelos concretos de teléfono y actividad de la aplicación. No significa necesariamente que todos esos usuarios enviasen cada uno de los 36 parámetros en todas las circunstancias, una distinción importante, pero sí da una idea de la escala potencial del tratamiento.

Otro elemento delicado es el lugar donde podía terminar la información. Las condiciones contractuales estudiadas por la Agencia señalaban que los datos del cliente podían procesarse en países donde el proveedor tecnológico o sus subencargados mantuvieran instalaciones. Eso abre la puerta a tratamientos internacionales de datos, aunque el expediente no permite concluir sin matices que toda la información analizada acabara efectivamente fuera de la Unión Europea.

Durante las primeras comprobaciones, la política vinculada a miDGT señalaba a la Dirección General de Tráfico como responsable y recogía determinados tratamientos relacionados con los conductores y sus vehículos. Sin embargo, el registro consultado indicaba que no estaban previstas comunicaciones de datos ni transferencias internacionales.

Ahí aparece otra grieta relevante. Una cosa es que una aplicación utilice componentes externos, práctica común en cualquier ecosistema móvil; otra, que esos componentes generen flujos de información que el responsable no ha previsto correctamente. La AEPD lleva años advirtiendo del riesgo que introducen los SDK y librerías de terceros: añadir unas pocas líneas de código puede abrir varias ventanas que el responsable de la aplicación debe conocer y controlar.

La primera corrección no eliminó inmediatamente todo el tráfico

La DGT reaccionó tras recibir el requerimiento. El 11 de enero de 2024 lanzó la versión 1.11.5 con cambios destinados a suprimir la recopilación y el envío de información de usuario asociados a la integración problemática. Las estadísticas cayeron drásticamente. El asunto, sin embargo, no murió con aquella actualización.

Las pruebas realizadas durante la investigación encontraron todavía determinados parámetros en versiones posteriores. En la 1.11.5, por ejemplo, se detectaban elementos como país, versión del sistema, idioma, zona horaria, dirección IP e identificadores técnicos; en la 1.12.12 la cantidad se había reducido de nuevo, pero seguían apareciendo datos como la IP y determinados identificadores de instalación.

También persistía actividad residual procedente de determinadas versiones y dispositivos. Por eso la DGT planteó una solución adicional: invalidar versiones antiguas, forzar la actualización y modificar la configuración del proyecto utilizado con el proveedor externo para impedir que continuara almacenándose información procedente de instalaciones obsoletas.

La fotografía fue cambiando progresivamente. En los cuadros de análisis ya no aparecían datos para varias versiones posteriores a la 1.11.5, mientras las versiones antiguas seguían dejando rastro. Cuando la DGT informó posteriormente sobre la situación, señaló que únicamente podía descargarse oficialmente la versión 1.15.7, quedando fuera de los canales oficiales las ediciones antiguas afectadas.

La AEPD declara que la DGT infringió el RGPD

El desenlace jurídico es claro. La Agencia Española de Protección de Datos ha declarado que la DGT infringió el artículo 5.1.c del RGPD, el precepto que obliga a que los datos tratados sean adecuados, pertinentes y limitados a lo necesario. La resolución considera acreditado que hubo una recogida excesiva de información.

Eso no significa que Tráfico haya recibido una multa millonaria semejante a las que pueden imponerse a una empresa privada. La DGT es una Administración pública y está sometida al régimen específico previsto para este tipo de organismos: la resolución declara formalmente la infracción, se notifica al organismo y se comunica al Defensor del Pueblo.

La propia DGT reconoció el incumplimiento durante el procedimiento, aunque sostuvo que no fue consciente ni intencionado y que los datos recopilados mediante esa integración no habían sido utilizados por el organismo. Esa explicación puede ayudar a entender cómo ocurrió; no borra la responsabilidad. En protección de datos, desconocer lo que hace una librería instalada dentro de una aplicación propia es, precisamente, uno de los problemas que la normativa pretende evitar.

Qué ocurre con miDGT en la actualidad

El episodio afecta esencialmente a versiones antiguas de miDGT. La aplicación ha seguido actualizándose desde entonces. En septiembre de 2026 existen ediciones bastante posteriores a las examinadas durante el núcleo de la investigación, por lo que el funcionamiento descrito por el expediente no debe trasladarse automáticamente a la aplicación actual.

Por eso no sería correcto afirmar que instalar miDGT implica que nombre, GPS, correo electrónico y el resto de los 36 parámetros continúan enviándose de la misma manera. La resolución reconstruye un tratamiento ocurrido en versiones anteriores, las correcciones realizadas y los restos técnicos que fueron apareciendo durante el proceso. Confundir aquel comportamiento con el de una versión posterior convertiría una noticia seria sobre privacidad en otra cosa bastante menos útil.

Tampoco estamos ante una filtración provocada por un ataque informático. No consta que un ciberdelincuente entrara en los sistemas de la DGT y robara esa información. El problema fue distinto y, acaso por eso, más interesante: la propia arquitectura de la aplicación generaba comunicaciones de datos excesivas mediante un servicio tecnológico integrado legítimamente pero configurado de forma inadecuada.

Una app pública también tiene que saber qué lleva dentro

El caso miDGT deja una enseñanza incómodamente cotidiana. Las aplicaciones modernas ya no son programas aislados; se parecen más a edificios llenos de puertas interiores. Analítica, notificaciones, estadísticas de errores, publicidad, autenticación… cada SDK añadido trae funciones, conexiones y posibles flujos de datos que el usuario jamás ve en pantalla.

Cuando detrás está una Administración y la aplicación maneja identidad, permisos de conducción y vehículos, ese control tiene todavía más peso. No basta con que una función sea útil ni con que el proveedor sea una gran tecnológica. Hay que saber exactamente qué información sale del teléfono, para qué sale y cuánto tiempo permanece fuera.

La AEPD no ha cuestionado que miDGT pueda tratar los datos necesarios para prestar sus servicios. Ha señalado algo mucho más concreto: recogió más de lo necesario, y la DGT era responsable de impedirlo. Entre una notificación push y unas coordenadas GPS, un correo electrónico o un identificador publicitario hay bastante distancia. Esta vez quedó escrita, negro sobre blanco, en una resolución administrativa.