A Agência Espanhola de Proteção de Dados (AEPD) emitiu uma repreensão formal contra a Diretoria-Geral de Trânsito (DGT), o equivalente ao Detran na Espanha. O motivo: seu aplicativo oficial, o miDGT, com mais de 2,3 milhões de usuários, passou anos coletando e enviando uma quantidade massiva de dados privados para servidores de terceiros, incluindo os do Google, sem consentimento ou mesmo conhecimento da própria autarquia. A denúncia não partiu de um auditor ou de uma investigação interna, mas de um único usuário que, em novembro de 2023, notou um comportamento anômalo em seu smartphone, conforme reportado pelo site espanhol Xataka.
O incidente não foi fruto de um ataque cibernético, mas de negligência. A DGT admitiu que a coleta de dados — que incluía desde informações técnicas do aparelho até e-mail, sexo e código postal — era uma funcionalidade opcional da plataforma Firebase, do Google, usada para o envio de notificações. Os desenvolvedores simplesmente não desativaram o módulo de analytics, que vem ligado por padrão. A defesa da agência foi ainda mais alarmante: afirmou que a equipe técnica jamais acessou o painel de controle do Firebase e, portanto, nunca soube da sangria de dados que ocorria sob seu nariz.
O padrão é o perigo
O caso miDGT é um retrato da fragilidade da governança digital no setor público. A admissão de que “ninguém olhou” os dados coletados não é um atenuante, mas uma confissão de incompetência. Em uma era de desenvolvimento ágil e integração de serviços de terceiros (SDKs), tratar ferramentas complexas como caixas-pretas é uma falha processual grave. A lista de dados extraídos ia muito além do necessário para a funcionalidade do app, e o fato de poderem ser processados fora da União Europeia violava princípios básicos do GDPR, o regulamento europeu que inspirou a LGPD brasileira.
Para o ecossistema de tecnologia no Brasil, que vê uma proliferação de aplicativos governamentais como a Carteira Digital de Trânsito (CDT) e o Gov.br, o episódio serve de alerta. A conveniência digital oferecida pelo Estado não pode vir ao custo da supervisão técnica. A ausência de uma multa financeira para a DGT — um benefício legal concedido a órgãos públicos na Espanha — acende outro debate: o Estado, como guardião dos dados mais sensíveis dos cidadãos, não deveria ser submetido a um padrão de responsabilidade ainda mais rigoroso que o setor privado?
A história do miDGT mostra que as maiores ameaças à privacidade nem sempre são os ataques sofisticados, mas os descuidos banais e a falta de diligência. A vigilância, neste caso, não veio do regulador, mas de um cidadão atento. Um lembrete de que, na economia dos dados, a primeira linha de defesa ainda é o indivíduo.
Com reportagem de Brazil Valley
Source · Xataka
