miDGT Enviaba Datos Personales a Google Durante Años sin que la DGT Fuera Consciente

La aplicación oficial miDGT estuvo enviando durante años datos personales y técnicos de sus usuarios a infraestructura de terceros vinculada a Google sin que ese tratamiento estuviera previsto en el registro de actividades de la Dirección General de Tráfico. La Agencia Española de Protección de Datos ha concluido que la DGT infringió el principio de minimización establecido por el RGPD.

El caso comenzó con la reclamación presentada por un ciudadano el 17 de noviembre de 2023. Una herramienta de protección contra rastreadores instalada en su teléfono detectó que miDGT estaba intentando transmitir numerosos datos del dispositivo a servidores externos. La posterior investigación de la AEPD confirmó que diferentes versiones de la aplicación recopilaban información que excedía lo necesario para prestar sus funciones.

miDGT enviaba datos desde enero de 2020

La propia DGT comunicó a la AEPD que el envío adicional de información se producía desde el 13 de enero de 2020.

El origen estaba en la integración de una plataforma de terceros utilizada para gestionar las notificaciones push. La resolución de la AEPD anonimiza el nombre de la empresa y del servicio, pero el análisis técnico de la aplicación identifica la integración como tecnología Firebase de Google, utilizada, entre otras funciones, para las notificaciones de los teléfonos.

El problema era que esa integración podía recopilar también información de uso y errores de la aplicación. Esta segunda función era opcional y no resultaba necesaria para que miDGT enviara notificaciones.

Según la explicación presentada por la DGT durante el procedimiento, una configuración incorrecta mantuvo activa esa recopilación adicional sin que el organismo fuera consciente de ello.

Qué datos personales recopilaba miDGT

La investigación distingue entre los datos inicialmente detectados por la herramienta del reclamante y aquellos que la propia DGT reconoció posteriormente que podían enviarse desde versiones anteriores a miDGT 1.11.5.

El informe técnico aportado por la DGT enumera una amplia colección de información personal y del dispositivo:

• nombre y apellidos;
• dirección de correo electrónico;
• sexo o género;
• código postal, ciudad y país;
• coordenadas GPS;
• dirección IP local;
• identificador único del dispositivo o instalación;
• ID de publicidad;
• operador de telefonía;
• tipo de conexión de red;
• modelo y marca del dispositivo;
• versión y número de compilación del sistema operativo;
• idioma y zona horaria;
• datos de CPU;
• memoria total y almacenamiento disponible;
• orientación del dispositivo;
• volumen del sistema;
• estado de los auriculares;
• cookies;
• nivel y estado de carga de la batería;
• resolución y densidad de la pantalla;
• versión de miDGT y fecha de instalación;
• nombre de la aplicación;
• tiempo de arranque del dispositivo.

La lista aportada por la DGT contenía alrededor de tres decenas de categorías. La AEPD realizó además sus propias pruebas sobre diferentes versiones de la aplicación y confirmó el envío de subconjuntos de esos datos, que variaban dependiendo de la versión instalada.

La AEPD comprobó el envío en varias versiones de miDGT

En las pruebas realizadas durante 2024, la Agencia encontró diferencias relevantes entre versiones.

En miDGT 1.8.13 se detectaron, entre otros elementos, el modelo del dispositivo, país, versión del sistema, idioma, versión de la aplicación, zona horaria, dirección IP e identificadores de la instalación.

En la versión 1.11.4 seguían apareciendo varios de esos parámetros. En versiones posteriores como 1.11.5 y 1.12.12, parte de la información había desaparecido, pero la Agencia todavía observó determinadas comunicaciones como dirección IP, identificadores técnicos y datos incluidos en el User-Agent.

La AEPD concluyó que información como la dirección IP, el país o el operador del abonado excedía lo estrictamente necesario para las finalidades legítimas de miDGT.

Los datos llegaban a servicios de Google vinculados a Firebase

La resolución pública utiliza identificadores anonimizados para referirse al proveedor y a la plataforma, pero la aplicación y los análisis técnicos del caso permiten identificar la integración como Firebase de Google.

La DGT explicó que había incorporado esa tecnología para gestionar notificaciones push. El envío adicional de datos de uso y errores era una capacidad independiente que no necesitaba estar activada para ofrecer esas notificaciones.

La propia DGT aseguró a la Agencia que el acceso a la cuenta correspondiente estaba reservado al equipo de desarrollo y que no tenía constancia de que otras unidades del organismo utilizaran la información recopilada.

También afirmó que esos datos de uso y errores no habían sido utilizados por la DGT.

Los datos podían ser procesados fuera de la Unión Europea

Otro elemento señalado por la investigación afecta a la ubicación del tratamiento.

La AEPD revisó las condiciones contractuales asociadas al proveedor y comprobó que los datos del cliente podían procesarse en cualquier país donde la empresa o sus subencargados mantuvieran instalaciones, sujeto a los compromisos contractuales correspondientes.

Esto significa que existía la posibilidad contractual de tratamiento internacional. La resolución no demuestra que cada dato recopilado por miDGT fuera efectivamente enviado a un país concreto fuera del Espacio Económico Europeo.

La cuestión resulta especialmente relevante porque el Registro de Actividades de Tratamiento de la DGT indicaba que no estaban previstas comunicaciones de estos datos a destinatarios ni transferencias internacionales.

La DGT dice que desconocía la recopilación

Durante el procedimiento, la DGT reconoció el incumplimiento, pero sostuvo que no había sido consciente.

Según su explicación, el problema apareció como un efecto colateral de utilizar la plataforma de terceros para una función legítima, las notificaciones push, con una configuración que permitió además enviar datos de uso y errores.

La AEPD no basa su resolución en que la DGT tuviera intención de recopilar esos datos. La infracción se centra en el resultado del tratamiento: miDGT recogía más información personal de la estrictamente necesaria.

El RGPD exige al responsable del tratamiento aplicar el principio de minimización independientemente de que una recopilación excesiva sea deliberada o consecuencia de un error técnico.

miDGT 1.11.5 comenzó a corregir el problema en enero de 2024

Tras recibir la reclamación trasladada por la AEPD, la DGT modificó la aplicación.

El organismo señala que el 11 de enero de 2024 liberó miDGT 1.11.5 con una configuración destinada a suprimir la recogida y el envío de los datos de usuario generados por la integración problemática.

Las estadísticas internas aportadas posteriormente mostraron una caída drástica de la recopilación después de esa versión.

Sin embargo, el problema no desapareció inmediatamente en todos los escenarios. La DGT comprobó en 2025 que todavía existían versiones anteriores a 1.11.5 operativas y que estas podían continuar enviando información.

También identificó tráfico residual en versiones posteriores, relacionado principalmente con errores y eventos técnicos de actividad.

La DGT decidió forzar la actualización de versiones antiguas

La DGT explicó que no podía modificar una aplicación que ya estuviera instalada en el teléfono de un usuario, pero sí disponía de un mecanismo para impedir que versiones antiguas continuaran funcionando normalmente.

Entre las medidas comunicadas a la AEPD se encontraba hacer inservibles las versiones anteriores una vez publicada una nueva versión mínima obligatoria.

Cuando un usuario intentara utilizar una versión demasiado antigua, la aplicación podría mostrar una pantalla de error y exigir su actualización antes de continuar.

En el momento de las alegaciones de la DGT, únicamente miDGT 1.15.7 estaba disponible en los canales oficiales de distribución. El organismo señaló que los usuarios ya no podían descargar oficialmente las versiones antiguas afectadas.

También propuso eliminar el antiguo proyecto de Firebase

La DGT planteó una segunda medida para impedir que instalaciones antiguas continuaran almacenando información en la infraestructura utilizada hasta entonces.

La propuesta consistía en crear un nuevo proyecto de la plataforma para las versiones futuras y eliminar la instalación anterior.

De esta forma, una copia antigua de miDGT podría seguir intentando transmitir información, pero lo haría hacia un proyecto que ya no existiría, evitando que esos datos quedaran almacenados o retenidos por el servicio.

La medida buscaba solucionar precisamente el problema creado por dispositivos que conservaran versiones anteriores obtenidas antes de la corrección.

La AEPD declara que la DGT infringió el RGPD

La resolución concluye que la Dirección General de Tráfico vulneró el artículo 5.1.c del RGPD, que establece el principio de minimización de datos.

Para la Agencia, miDGT tenía legitimidad para recopilar la información necesaria para proporcionar sus funciones, pero se produjo un exceso al tratar datos que no eran indispensables para ese objetivo.

La DGT reconoció durante el procedimiento que las versiones anteriores a 1.11.5 enviaban datos de uso y errores que incluían información personal.

Las medidas adoptadas posteriormente no eliminan, según la AEPD, la existencia de la infracción durante el periodo anterior.

No hay una multa económica contra la DGT

La resolución declara formalmente la infracción, pero no impone a la DGT una multa económica.

La razón está en el régimen especial que la legislación española aplica a las administraciones y organismos públicos. En estos casos, la AEPD puede declarar la infracción y establecer medidas correctivas, pero el sistema sancionador no funciona de la misma manera que para una empresa privada.

La Agencia ordenó notificar su resolución a la DGT y comunicarla también al Defensor del Pueblo. La decisión se publica además en la web de la propia AEPD.

No hay evidencia de que la DGT vendiera los datos

La resolución tampoco afirma que la DGT vendiera información de los usuarios de miDGT ni que utilizara esos datos con fines publicitarios.

Lo acreditado es que la aplicación transmitió información excesiva a una plataforma de terceros debido a la configuración de una integración utilizada para las notificaciones y otros servicios técnicos.

La DGT sostiene que no utilizó los datos recopilados y que desconocía que ese envío adicional estuviera produciéndose. La infracción declarada por la AEPD es de minimización de datos, no una resolución que acuse al organismo de comercializar información personal.

El caso empezó por una alerta de rastreo en el teléfono de un usuario

La investigación se originó cuando un usuario instaló miDGT y su sistema de protección contra rastreadores detectó comunicaciones que consideraba innecesarias.

La reclamación llevó primero a la DGT a revisar la integración y publicar la versión 1.11.5 en enero de 2024. La AEPD continuó posteriormente realizando pruebas, pidió nueva documentación y abrió formalmente el procedimiento sancionador en julio de 2025.

El resultado final confirma que, durante años, una función técnica integrada para servicios como las notificaciones permitió a miDGT recopilar y transmitir más información de la necesaria. La aplicación fue modificada después de que el caso llegara a la Agencia, y la DGT ha planteado medidas adicionales para impedir que las versiones antiguas puedan seguir generando o almacenando esos datos.