¿Qué disposiciones violó la FMF con el Fan ID según el gobierno federal?

La Federación Mexicana de Futbol (FMF) deberá pagar una multa de 42 millones 849,095 pesos por el tratamiento irregular de las fotografías utilizadas para generar el Fan ID, sistema de identificación biométrica para ingresar a los estadios de la Liga MX.

La Secretaría Anticorrupción y Buen Gobierno determinó que la organización omitió informar a los aficionados que esas imágenes constituían datos personales sensibles y carecía del consentimiento escrito requerido para procesarlas.

La resolución atribuye a la FMF la responsabilidad sobre la información recopilada mediante el sistema, aunque la operación tecnológica se realiza a través de la empresa Incode. El registro solicita al aficionado escanear una identificación oficial y tomarse una fotografía del rostro. Después genera un código QR que debe presentarse al ingresar a los partidos de la Liga MX. La plataforma indica que el trámite se realiza una sola vez y puede utilizarse en encuentros posteriores.

El aviso omitió datos sensibles

La omisión relacionada con el aviso de privacidad contravino el artículo 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente cuando comenzó el procedimiento. Esa disposición establecía que el documento debía señalar expresamente cuando se recabaran datos sensibles. La Federación recogía fotografías para identificar biométricamente a los asistentes, aunque su aviso carecía de esa advertencia.

La clasificación modificaba las obligaciones de la organización porque la ley consideraba sensible la información cuya utilización indebida pudiera afectar la esfera íntima del titular o generarle un riesgo grave. De acuerdo con la Secretaría Anticorrupción y Buen Gobierno, la omisión impidió que los aficionados conocieran el alcance real del tratamiento y decidieran de manera informada sobre el uso de sus datos.

El artículo 9 de esa ley exigía consentimiento expreso y por escrito para tratar información sensible. La autorización debía acreditarse mediante una firma o un mecanismo de autenticación equivalente. La FMF solicitaba al usuario marcar una casilla dentro de un sitio web, procedimiento que la autoridad consideró insuficiente para demostrar de manera indudable que el titular había autorizado el procesamiento de su rostro.

El reglamento de la ley precisaba que el consentimiento expreso debía ser inequívoco y colocaba sobre el responsable la carga de probar que lo había obtenido. También exigía que fuera informado, lo que suponía que el titular conociera previamente el aviso de privacidad y las consecuencias de permitir el tratamiento. La casilla utilizada por la Federación carecía de un elemento capaz de autenticar a quien manifestaba la voluntad.

La Secretaría concluyó además que la FMF incumplió los principios de licitud y responsabilidad enumerados en el artículo 6 y desarrollados en los artículos 7 y 14. El artículo 7 obligaba a recabar los datos conforme a la legislación mexicana. El artículo 14 hacía responsable a la organización de adoptar las medidas necesarias para cumplir la ley, incluso cuando la información fuera procesada por una empresa contratada.

Esta disposición explica por qué la intervención de Incode no trasladó la responsabilidad jurídica. La normativa denominaba encargado a quien trata información por cuenta de otra organización. La FMF conservó el carácter de responsable porque incorporó el FanID al acceso a los estadios y determinó para qué se utilizarían los datos. El artículo 14 extendía expresamente sus obligaciones al tratamiento realizado por terceros.

Las conductas corresponden a varios supuestos del artículo 63 de la legislación aplicable al inicio del caso. Entre ellos se encontraban el tratamiento contrario a los principios de protección de datos y la omisión de elementos obligatorios en el aviso de privacidad. El mismo artículo consideraba una infracción el recabar información sin consentimiento expreso cuando este fuera exigible. Para los datos sensibles, las sanciones podrían incrementarse hasta por el doble.

Buen Gobierno heredó el procedimiento

El procedimiento comenzó bajo la ley publicada en 2010 y continuó después de la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (Inai). El régimen transitorio de la nueva legislación federal transfirió estos expedientes a la Secretaría Anticorrupción y Buen Gobierno y ordenó resolverlos conforme a las disposiciones vigentes al momento de su inicio.

El Fan ID surgió entre las medidas adoptadas después de la violencia registrada durante el partido entre Querétaro y Atlas en marzo de 2022. En diciembre de ese año, la Secretaría de Seguridad y Protección Ciudadana (SSPC) incluyó su puesta en marcha dentro de los acuerdos alcanzados con la FMF y la Liga MX para reforzar la seguridad. Su uso se volvió obligatorio durante 2023 para los mayores de edad que acudieran a partidos del máximo circuito.

La multa se calculó considerando la gravedad de las infracciones y la naturaleza sensible de los datos biométricos. La autoridad también utilizó la capacidad económica registrada por la Federación en su declaración anual de impuestos correspondiente a 2024.

La FMF no había emitido una postura pública sobre la resolución al momento de esta publicación ni había confirmado si utilizará los medios de defensa disponibles. La Secretaría Anticorrupción y Buen Gobierno advirtió que la Federación puede impugnar la multa y que, en ese supuesto, la dependencia defenderá la legalidad de su determinación.

rodrigo.riquelme@eleconomista.mx