La Agencia Española de Protección de Datos ha dado un tirón de orejas a la Dirección General de Tráfico tras detectar que su aplicación oficial miDGT llevaba años enviando datos de los usuarios a servidores de terceros sin que estos tuvieran conocimiento de ello, una situación que ni siquiera la propia DGT conocía y que salió a la luz gracias a la vigilancia de un ciudadano común. Todo comenzó el 17 de noviembre de 2023, cuando un usuario presentó una reclamación ante la AEPD en la que denunciaba que la aplicación estaba recabando y transmitiendo información de su dispositivo de una forma que calificó de extraña e innecesaria, dándose cuenta del hecho gracias a la función de protección de seguimiento de aplicaciones integrada en el navegador DuckDuckGo, que le mostró una alerta indicando que miDGT solicitaba una serie de datos que no guardaban relación con su funcionamiento básico y los enviaba a servidores externos.
El análisis posterior confirmó que la aplicación recopilaba una lista extensa de información que incluía detalles como la versión de la aplicación, la densidad de píxeles de la pantalla, la fecha de instalación, el número de compilación del sistema operativo, el nivel de batería, el nombre de la aplicación, identificadores únicos del dispositivo, datos sobre el funcionamiento de la CPU, la resolución de la pantalla, el operador de red, el nombre del dispositivo, la zona horaria, la dirección de correo electrónico, si se tenían auriculares conectados en ese momento, el identificador de publicidad, las cookies, el sexo del usuario, su código postal, el tiempo que había tardado en arrancar el dispositivo, el país desde el que se utilizaba y el idioma configurado en el sistema. Muchos de estos datos resultaban totalmente ajenos a las funciones que se esperan de una herramienta dedicada a la gestión de tráfico, permisos y vehículos, y lo más preocupante es que todos ellos eran compartidos con empresas terceras a través de los servicios de Google, sin que esta transferencia estuviera debidamente informada ni registrada.
Además, los términos contractuales de la compañía estadounidense permitían que esa información fuera procesada en cualquier lugar donde Google o sus subcontratistas tuvieran infraestructura, lo que incluía territorios fuera de la Unión Europea, un tratamiento que ni siquiera aparecía reflejado en el registro de actividades que la DGT tenía declarado ante la autoridad de control. Los responsables de la Dirección General de Tráfico afirmaron que no tenían constancia de que esto estuviera ocurriendo, de modo que nunca supervisaron qué información se estaba recabando ni a dónde se dirigía, permitiendo que el flujo de datos se mantuviera abierto durante años sin que se tomara ninguna medida al respecto. La situación no se corrigió hasta que se lanzó la versión 1.11.5 de la aplicación en el año 2024, momento en el que se cerró esta vía de transmisión de información.
La autoridad de protección de datos ha subrayado que no se trató de un ciberataque, de una filtración intencionada ni de una conducta dolosa, sino de una clara dejadez y falta de supervisión por parte de la administración, una negligencia que resulta especialmente grave teniendo en cuenta que la aplicación era utilizada por unos 2,3 millones de personas en el momento en que se detectó el problema. Pese a la gravedad del incumplimiento, la DGT no recibirá sanción económica alguna, ya que el artículo 77 de la Ley Orgánica de Protección de Datos establece un régimen especial que exime a las administraciones públicas de multas de este tipo, de modo que la consecuencia quedará reducida a la exposición pública del caso y al consiguiente daño reputacional para la institución.
