Un usuario detectó algo raro en la app miDGT. Acabó descubriendo años de recogida y envío de datos

La Agencia Española de Protección de Datos ha dado un tirón de orejas a la DGT. El motivo es que su app miDGT llevaba años enviando datos a servidores de terceros, todo sin el conocimiento de los usuarios. Lo llamativo es que ni la propia DGT era consciente de esta situación y que fue un ciudadano de a pie quien destapó todo el caso. 

La alerta. El 17 de noviembre de 2023, un usuario puso una reclamación ante la AEPD acusando a miDGT de enviar datos del dispositivo "de una forma extraña e innecesaria". ¿Y cómo se dio cuenta? Cuando este usuario instaló la app miDGT, de repente le saltó un aviso inesperado. Era la función App Tracking Protection que viene incluida con el navegador DuckDuckGo, le decía que la app estaba solicitando una serie de informaciones que no eran necesarias para su funcionamiento, pero es que además la estaba enviando a servidores de terceros.

Los datos. Gracias a que este usuario usaba DuckDuckGo se pudo conocer este comportamiento inusual de la app, incluyendo todos los detalles de los datos que recopilaba. Esta es la lista, tal y como aparece en el informe de la AEPD:

• Versión de la aplicación
• Densidad de píxeles.
• Fecha de instalación de la aplicación.
• Número de compilación del sistema operativo.
• Nivel de batería.
• Nombre de la aplicación.
• Identificador único.
• Datos de la CPU.
• Resolución de pantalla.
• Operador de red.
• Nombre del dispositivo.
• Zona horaria.
• Dirección de correo electrónico.
• Estado de los auriculares.
• ID de publicidad.
• Cookies.
• Sexo.
• Código postal.
• Tiempo de arranque del dispositivo.
• País.
• Idioma del dispositivo.

En Xataka Cómo saber si han investigado tus datos personales: mira si la Policía, DGT, Hacienda u otros organismos lo ha hecho

El envío. Son muchísimos datos, muchos de ellos totalmente innecesarios para el tipo de aplicación que es, pero lo peor no es que los recopilara, sino que eran compartidos con otras empresas a través de los servicios de Google. Estos datos, además, podían ser procesados fuera de la Unión Europea: los propios contratos de Google revisados por la AEPD contemplaban que la información se tratara en cualquier país donde la compañía o sus subcontratistas tuvieran servidores, algo que ni siquiera figuraba recogido en el registro de tratamientos que la DGT tenía declarado.

Un error de configuración. La DGT ha asegurado que nunca fue consciente de este envío de datos, y que todo se debió a un despiste técnico. La aplicación integraba Firebase, la plataforma de Google para gestionar las notificaciones push, que es una funcionalidad perfectamente legítima y habitual en cualquier app. El problema es que Firebase sirve para más cosas, entre ellas el envío adicional de datos de uso y errores. Esto era opcional y se podía desactivar, pero nadie en el equipo de desarrollo se molestó en hacerlo.

Según reconoció la propia DGT, solo el equipo de desarrollo tenía acceso al panel de Firebase, y aseguran que nunca accedieron, por lo que nunca vieron los datos que estaba recabando, ni tampoco que se estaban enviando fuera. 

Dejadez. No fue un ataque externo, una filtración ni tampoco mala intención, sino dejadez. El grifo estuvo abierto durante años hasta que se parcheó con la versión 1.11.5, que fue liberada en 2024. Por más que no haya habido intencionalidad, un error de este tipo resulta inaceptable, y más aún en una app de un servicio público que usan millones de personas, concretamente 2,3 millones en el momento de los hechos.

Sin multa. La DGT es una administración pública y, como tal, está sometida a un régimen especial. El artículo 77 de la Ley Orgánica de Protección de Datos exime a este tipo de organismos de sanciones económicas. Si hubiera sido una empresa privadase habría enfrentado a  una multa, pero como no lo es, el "castigo" es reputacional y de exposición pública. 

Vía | Bandaancha

En Xataka | Avisador, detector o inhibidor de radar: cuál es legal, cuál te cuesta 6.000 euros y por qué la DGT puede multarte

-
La noticia Un usuario detectó algo raro en la app miDGT. Acabó descubriendo años de recogida y envío de datos fue publicada originalmente en Xataka por Amparo Babiloni .