Por: Lic. Laura M. Garay
¿Tu organización recaba fotografías o datos biométricos para identificar usuarios? A la Federación Mexicana de Futbol ese tratamiento le costó una multa de $42,849,095.00 (cuarenta y dos millones ochocientos cuarenta y nueve mil noventa y cinco pesos).
Esto demuestra que el uso de herramientas tecnológicas para identificar a las personas se ha convertido en una práctica cada vez más frecuente. Un ejemplo de esto es el FAN ID, un sistema implementado por la FMF con el propósito de identificar a los aficionados que ingresan a los estadios, reforzar las medidas de seguridad y contribuir a la prevención de hechos de violencia durante los eventos deportivos.
¿Qué es el FAN ID? Es un mecanismo de identificación digital mediante el cual los aficionados proporcionan información personal para obtener una acreditación digital que les permite acceder a determinados estadios.
Para generar este registro, la plataforma solicita diversos datos personales, entre ellos nombre, datos de contacto, identificación oficial y una fotografía del rostro del aficionado. De acuerdo con la resolución emitida por la autoridad, dichas fotografías fueron tratadas como datos personales sensibles, al utilizarse con fines de identificación biométrica, circunstancia que exige un nivel reforzado de protección debido a los riesgos que su tratamiento puede representar para los derechos y libertades de las personas.
En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) establece que toda persona física o moral que trate datos personales debe observar los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, garantizando en todo momento la protección de los derechos de los titulares.
Conforme a la legislación aplicable en materia de datos personales, la Secretaría Anticorrupción y Buen Gobierno -autoridad que, tras la extinción del INAI, asumió la facultad de vigilar y sancionar el tratamiento de datos personales en el sector privado- impuso a la FMF una multa por infracciones cometidas a la normativa de protección de datos personales relacionadas con la operación del sistema FAN ID.
La resolución determinó que la FMF, en su calidad de responsable del tratamiento de los datos personales, incurrió principalmente en las siguientes infracciones:
1. No informar que las fotografías serían tratadas como datos personales sensibles.
La autoridad concluyó que el aviso de privacidad de la FMF no informaba de manera expresa que las fotografías serían tratadas como datos personales sensibles, por lo que los titulares no contaban con información suficiente para conocer el alcance real del tratamiento de sus datos y, por tanto, no podían tomar una decisión plenamente informada sobre el uso de su información.
2. No acreditar el consentimiento expreso y por escrito para el tratamiento de datos personales sensibles.
La plataforma únicamente pedía marcar una casilla de verificación (checkbox) en el sitio web. Ojo con la lección correcta: el problema no fue usar un medio digital —la ley admite la firma autógrafa, la firma electrónica o cualquier otro mecanismo de autenticación—, sino que una casilla simple, sin un mecanismo que acredite fehacientemente la identidad y la voluntad del titular, no basta para el tratamiento de datos sensibles.
Con base en lo anterior, la autoridad concluyó que la FMF incumplió, entre otros, los principios de licitud y responsabilidad. El monto de la multa se fijó considerando la gravedad de las infracciones, la naturaleza sensible de los datos biométricos y la capacidad económica de la Federación.
Cabe precisar que la resolución no ha quedado firme: la FMF cuenta con los medios de defensa previstos en ley para impugnarla.
La implementación de tecnologías para el reconocimiento facial o cualquier otro sistema de identificación biométrica debe ir acompañada de una estrategia integral de cumplimiento normativo. No basta con contar con un aviso de privacidad; es indispensable identificar correctamente cuándo se tratan datos personales sensibles, informar de manera clara las finalidades del tratamiento y obtener el consentimiento con los mecanismos de autenticación en los términos previstos por la legislación aplicable.
La protección de datos personales no es solo una obligación administrativa, es un derecho fundamental que salvaguarda la privacidad, la autodeterminación informativa y la confianza de las personas en el entorno digital.
Este caso confirma que la autoridad cuenta con facultades plenas para investigar y sancionar, y que las está ejerciendo. Cualquier organización que opere aplicaciones, plataformas digitales o sistemas biométricos debe revisar de manera permanente sus avisos de privacidad, sus mecanismos de obtención del consentimiento y sus medidas de seguridad, incorporando la protección de datos personales desde el diseño y durante todo el ciclo de vida de sus proyectos tecnológicos. Además de reducir riesgos legales y económicos, fortalecerá la confianza de sus usuarios y consolidará una cultura de cumplimiento en materia de privacidad.«El presente contenido es meramente informativo y no constituye asesoría legal»
