La AEPD hace saltar las alarmas con miDGT: la app enviaba datos personales a Google
Elígenos como tu fuente preferida en Google.
La app de la DGT llegó a enviar hasta 36 datos diferentes de los dispositivos de sus usuarios a servidores de Google por una mala configuración de Firebase.
Seguro que esta aplicación te suena porque, a día de hoy, la app miDGT es usada por millones de españoles. Es una gran forma de llevar siempre contigo tu carnet de conducir e, incluso, pagar las multas en pocos clics. El problema es que ha estado mandando más información de la que debería a servidores de terceros.
Entre los datos había algunos insignificantes, como el modelo del móvil o la versión del sistema operativo, pero también otros más delicados, como el nombre, el correo electrónico o las coordenadas GPS.
El problema ha sido investigado por la Agencia Española de Protección de Datos (AEPD) después de que un usuario presentara una denuncia. Este había instalado miDGT en su móvil y recibió una alerta de la función de protección contra rastreo del navegador DuckDuckGo, que detectó que la aplicación estaba enviando todo tipo de datos del dispositivo a terceros.
La investigación terminó con la AEPD acusando a la Dirección General de Tráfico (DGT) por incumplir el principio de minimización de datos.
De forma simple, se exige que una empresa recopile únicamente la información necesaria para la finalidad para la que se utiliza.
La DGT, por su parte, se ha defendido afirmando que ellos, de forma activa, no estaban tratando de hacer con todos esos datos. El problema habría estado en una herramienta de terceros integrada en miDGT: Firebase Cloud Messaging de Google, utilizada para enviar notificaciones a los smartphones. Una mala configuración hizo que, además de las notificaciones, se enviaran datos extra.
¿Qué datos estaba enviando miDGT a Google?
Según la resolución de la AEPD, el SDK de Firebase integrado en miDGT llegó a hacerse con hasta 36 parámetros diferentes.
Entre ellos estaban el nombre y los apellidos del usuario, su dirección de correo electrónico, el código postal, la ciudad, el país y el operador de telefonía.
También se recogieron datos técnicos del dispositivo, como el modelo y la marca del móvil, la versión del sistema operativo, la memoria disponible, el almacenamiento interno, la resolución y densidad de la pantalla, la orientación del dispositivo o el nivel de batería.
Pero había información todavía peor. Entre los parámetros estaban también la dirección IP local, las coordenadas GPS, el identificador único del dispositivo y el identificador publicitario de Google, además de información sobre la conexión de red, las cookies, el estado de los auriculares y el volumen del sistema.
La DGT no estaba utilizando Firebase con el objetivo de recopilar todos esos datos
Según explicó la DGT, necesitaba Firebase Cloud Messaging para enviar notificaciones a los móviles de los usuarios. El problema llegó con la integración.
La propia DGT explica que no habían sido conscientes en ningún momento de estar incumpliendo la normativa, por lo que ellos siguieron como si nada haciendo uso de la plataforma. Según su explicación, una configuración que no estaba bien hecha provocó que la app enviara todos esos datos antes comentados.
Es decir, no se trataba de una función que la DGT hubiera decidido utilizar para saber dónde estaba cada usuario o qué móvil tenía.
Por supuesto, eso no exime a la DGT de responsabilidad. Precisamente, una de las obligaciones de estas compañías es asegurarse de que las herramientas que utilizan están configuradas correctamente y respetan la normativa de protección de datos.
Eso sí, en cuanto se supo todo esto, se actualizó la app. El equipo de desarrollo publicó en junio la versión 1.11.5, con cambios para eliminar la recopilación de estos datos. La AEPD la ha analizado, confirmando que todo es seguro.
