- La AEPD confirmó que miDGT recopilaba hasta 36 datos personales y técnicos sin permiso explícito.
- Un usuario detectó el envío gracias a la protección de DuckDuckGo y denunció ante la AEPD.
- El fallo se originó por una mala configuración de Firebase Cloud Messaging de Google.
- La DGT corrigió el problema en versiones sucesivas; la versión actual 1.19.7 ya no filtra datos.
Durante varios años, la aplicación oficial de la Dirección General de Tráfico, conocida como miDGT, estuvo recopilando una cantidad excesiva de información personal y técnica de sus usuarios, que terminaba en los servidores de Google. Una investigación de la Agencia Española de Protección de Datos (AEPD) ha confirmado que el comportamiento se debió a una integración errónea de una herramienta de Firebase Cloud Messaging, utilizada para notificaciones push, pero que también recopila datos de uso y errores. La DGT ha asegurado que desconocía el problema y que lo ha corregido en las versiones más recientes de la aplicación.
El caso salió a la luz a finales de 2023, cuando un usuario, al instalar miDGT, recibió alertas de la función App Tracking Protection del navegador DuckDuckGo. Esas alertas indicaban que la app estaba enviando decenas de parámetros a terceros, algo innecesario para su funcionamiento. Ese usuario presentó una denuncia ante la AEPD, que inició un expediente. La agencia determinó que la DGT vulneró el principio de minimización de datos, que exige usar únicamente la información imprescindible para prestar el servicio.
Qué datos se enviaban a Google
El estudio de la resolución, que se ha conocido a través de medios especializados como Banda Ancha, detalla que el SDK embebido en miDGT recogió hasta 36 parámetros diferentes. Entre ellos figuraban nombre y apellidos, dirección de correo electrónico, código postal, ciudad, país, operador de telefonía y coordenadas GPS. También se incluían datos técnicos del dispositivo, como el modelo y la marca del móvil, la versión del sistema operativo, la memoria disponible, el almacenamiento interno, la resolución y densidad de la pantalla, la orientación del dispositivo, el nivel de batería, la dirección IP local, el identificador único del dispositivo, el ID publicitario de Google, el estado de los auriculares, las cookies e incluso el sexo del usuario.
Según la AEPD, esta información se remitía a servidores de Google a través de los servicios asociados a la plataforma Firebase. Los propios contratos revisados por la agencia contemplaban que los datos podían procesarse fuera de la Unión Europea, algo que no estaba declarado en el registro de tratamientos de la DGT. Esto agrava la vulneración, ya que no solo se recopilaban datos innecesarios, sino que además se transferían a terceros países sin informar a los interesados.
Cómo se descubrió y la respuesta de la DGT
El descubrimiento no vino de una auditoría interna, sino de un usuario preocupado por su privacidad. El 17 de noviembre de 2023, ese ciudadano instaló miDGT y las alertas de DuckDuckGo le mostraron intentos de conexión a servidores ajenos. Ante la sospecha, presentó una reclamación en la AEPD. Durante la investigación, la DGT alegó que no tenía conocimiento de estos envíos y lo atribuyó a una configuración errónea de Firebase Cloud Messaging, una plataforma legítima para el envío de notificaciones. Según su versión, solo el equipo de desarrollo tenía acceso al panel y nunca llegaron a revisar los datos que se estaban recopilando.
El organismo también señaló que el problema era un efecto colateral del uso de una funcionalidad habitual, pero la AEPD no aceptó esa justificación como excusa. La resolución concluye que la DGT era la responsable del tratamiento y que debía haber verificado el comportamiento de la aplicación. Al tratarse de una administración pública, el artículo 77 de la Ley Orgánica de Protección de Datos exime de sanciones económicas, por lo que el castigo se limita a la exposición pública y a la obligación de corregir los fallos.
Las correcciones y el estado actual
Tras el inicio de la investigación, el equipo de desarrollo de miDGT lanzó la versión 1.11.5 en 2024, que deshabilitó la recopilación principal de datos. Sin embargo, la eliminación completa del seguimiento requirió varios ajustes posteriores. La AEPD analizó la versión 1.15.7, publicada en junio de 2025, confirmando que ya no se enviaba información a Google. La versión actual disponible en las tiendas es la 1.19.7, y desde entonces ninguna edición posterior ha vuelto a presentar este problema. Para los usuarios, la recomendación es mantener la aplicación actualizada y revisar los permisos concedidos a cualquier app institucional.
Este caso ha dejado una lección importante sobre la digitalización de los servicios públicos. La DGT se ha consolidado como una herramienta útil para millones de conductores, que pueden llevar el carnet en el móvil con plena validez legal, integrándose en la tendencia hacia un carnet de conducir digital. Pero la confianza no se da por sentada: este episodio subraya la necesidad de auditorías constantes y de una mayor transparencia en el tratamiento de datos. Aunque el error se ha subsanado, muchos usuarios se han llevado un susto al saber que su información personal estuvo viajando sin control durante años.
En definitiva, la app miDGT ya no filtra datos a terceros, pero el expediente de la AEPD ha sacado a la luz una realidad incómoda: incluso las aplicaciones gubernamentales pueden fallar en lo más básico de la privacidad. La versión 1.19.7 funciona según lo exigido, y los usuarios pueden seguir utilizándola con confianza, siempre que estén atentos a las actualizaciones. Para evitar sustos en el futuro, conviene repasar los permisos de vez en cuando y saber que, si algo parece fuera de lugar, hay mecanismos como el de DuckDuckGo que pueden destaparlo.