La Federación Mexicana de Futbol Asociación (FMF) enfrenta una multa superior a 42 millones de pesos por el presunto uso ilegal del sistema Fan ID. La sanción fue impuesta por la Secretaría Anticorrupción y Buen Gobierno (SABG) al determinar que la plataforma de identificación digital y física utilizada en eventos deportivos incumple la legislación en materia de protección de datos personales.
La resolución de la SABG concluyó que «la FMF, en su carácter de responsable del tratamiento de los datos personales recopilados a través del sistema Fan ID», cometió al menos dos infracciones a la normativa vigente. Por ello, quedó sujeta a una multa de 42,849,095 pesos, monto fijado «considerando la gravedad de las infracciones, la naturaleza sensible de los datos biométricos tratados y la capacidad económica de la FMF».
La Secretaría explicó que la federación no informó de manera adecuada que la información recabada mediante el Fan ID, incluidas las fotografías de los aficionados, corresponde a datos personales de carácter sensible. Según la autoridad, «esta omisión impidió que los titulares conocieran el alcance real del tratamiento de su información personal y pudieran decidir de manera informada sobre su uso».
El Fan ID fue la solución que Gobierno y Federación dieron luego de un acto de violencia desmedida en un estadio de futbol en México. La polémica recae ahora en el control biométrico que el aficionado está obligado a ceder.
Asimismo, argumentó que el organismo rector del futbol mexicano no obtuvo el consentimiento expreso y por escrito de los usuarios para tratar este tipo de información. Explicó que la legislación exige que los titulares manifiesten su autorización de forma inequívoca, es decir, que existan elementos suficientes para acreditar que aceptan el tratamiento de sus datos sensibles.
Sin embargo, «la FMF se limitó a utilizar el marcado de una casilla en un sitio web, sin recabar firma autógrafa, firma electrónica o cualquier otro mecanismo de autenticación que acreditara, de manera indudable, que era el titular quien otorgaba su consentimiento», de acuerdo con la SABG.
Las autoridades federales también consideraron que la FMF incumplió los principios de responsabilidad y licitud «al no adoptar las medidas necesarias para garantizar el debido tratamiento de los datos personales».
Reviven las preocupaciones alrededor del Fan ID
La resolución confirma las preocupaciones expresadas desde el lanzamiento del Fan ID por miles de usuarios y diversas organizaciones defensoras de la privacidad, que cuestionaron la seguridad y el manejo de la información recopilada por la herramienta.
El Fan ID, operado por la empresa tecnológica Incode, se implementó el 20 de abril de 2023 como un requisito obligatorio para ingresar a cualquier estadio de la Liga MX. En ese momento, la liga y la FMF sostuvieron que la plataforma era un mecanismo indispensable para prevenir actos de violencia y vandalismo durante los partidos.
El sistema exige a los aficionados completar un registro gratuito que incluye el escaneo por ambos lados de la credencial para votar, el llenado de un formulario con nombre, correo electrónico, fecha de nacimiento, Clave Única de Registro de Población (CURP) y domicilio, además del envío de una selfie con el rostro descubierto, sin lentes, gorra ni cubrebocas.
Tras su puesta en marcha, el aviso de privacidad estableció que toda esta información sería almacenada durante un periodo de hasta cuatro años y resguardada por Incode con «medidas de seguridad sólidas». Además, precisó que podría compartirse con las «Autoridades de Seguridad Pública y Protección Civil, Fiscalías y Organismos Judiciales Competentes» para apoyar la investigación y sanción de conductas ilícitas o delictivas ocurridas dentro de los estadios.
El mismo documento también señala que la federación «podrá tratar datos personales para gestión de comunicaciones y acciones de fidelización de aficionados, mediante la actualización y consolidación de nuestro programa Fan Engagement«.
