La resolución de la Secretaría Anticorrupción y Buen Gobierno retoma preocupaciones que R3D señaló desde 2022 sobre el tratamiento de datos biométricos, el consentimiento de las personas usuarias y la falta de salvaguardas para proteger información sensible

La Secretaría Anticorrupción y Buen Gobierno impuso una multa de 42 millones 849 mil 95 pesos a la Federación Mexicana de Futbol (FMF) por incumplir la legislación en materia de protección de datos personales durante la implementación del sistema FAN ID. De acuerdo con la decisión, la FMF incurrió en infracciones por no informar adecuadamente a las personas usuarias sobre el carácter sensible de los datos biométricos y por no obtener su consentimiento expreso por escrito para tratarlos.

El FAN ID es un sistema de identificación física y digital implementado por la Federación Mexicana de Futbol y la Liga MX para controlar el acceso de la afición a los estadios. Tras los hechos violentos ocurridos en marzo de 2022 en el Estadio Corregidora, la Liga MX anunció que el sistema sería parte de una estrategia para reforzar la seguridad mediante la identificación de las personas que ingresan a cada recinto deportivo para prevenir y detectar conductas que alteren el orden.

Desde el anuncio, R3D advirtió públicamente que la implementación del FAN ID suponía riesgos importantes. Entre ellos se encontraban precisamente dos aspectos que hoy motivaron la sanción de la Secretaría Anticorrupción y Buen Gobierno: la falta de un consentimiento libre, informado y expreso para el tratamiento de datos sensibles, como lo son los datos biométricos, así como la ausencia de información suficiente para que las personas comprendieran el alcance del tratamiento de sus datos antes de decidir si aceptaban registrarse. 

Además del incumplimiento ahora sancionado, R3D documentó desde 2022 otros riesgos que continúan sin atenderse y son relevantes para evaluar la legalidad y proporcionalidad del FAN ID:

• La creación de una base de datos masiva y centralizada de datos biométricos incrementa el riesgo de vulneraciones cuya afectación puede ser irreversible.
• La utilización de tecnologías de reconocimiento facial presenta problemas de precisión y sesgos que pueden afectar de manera desproporcionada a mujeres, personas trans y no binarias, personas afrodescendientes y otras poblaciones históricamente discriminadas.
• La recolección de algunos datos personales solicitados por los clubes no guardan relación con la finalidad de protección de seguridad y por ende incumple el principio de proporcionalidad previsto en la legislación de protección de datos.
• El tratamiento automatizado de datos biométricos puede afectar derechos como la privacidad, la libertad de expresión, la no discriminación y la presunción de inocencia.

Además de la multa por violar la protección de datos de las personas que proporcionaron sus datos sensibles a la FMF, es fundamental conocer qué tratamiento se ha dado a la información biométrica de cada persona usuaria y las bases de datos sensibles en manos de la Federación Mexicana. Solo de esta manera se podrá determinar el alcance completo de las violaciones. También es necesario que las autoridades informen qué salvaguardas técnicas, jurídicas y administrativas se implementarán para garantizar la integridad y seguridad de la base de datos biométricos ya recopilada.

Desde 2022, R3D realizó diversas solicitudes para acceder a la documentación relacionada con la implementación del FAN ID. Entre ellas solicitó al entonces Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) los documentos entregados por la FMF y la Liga MX, así como la evaluación de impacto a la privacidad y la opinión técnica elaborada por el propio organismo. En ese momento, el Instituto negó el acceso a información clave bajo argumentos relacionados con el secreto industrial.

Tras la desaparición del INAI, la Secretaría de Anticorrupción y Buen Gobierno asumió las atribuciones del organismo en la materia. Más adelante serían estas autoridades las responsables de la sanción administrativa anunciada.

Hasta el momento, la sanción económica no implica la suspensión, cancelación o desaparición del FAN ID. La Secretaría Anticorrupción y Buen Gobierno recordó que la FMF cuenta con los medios de defensa previstos en la legislación para impugnar la resolución, mientras que la FMF y la Liga MX podrán implementar las medidas que consideren necesarias para adecuar el tratamiento de los datos personales a las obligaciones establecidas en la ley.

R3D cuenta con recomendaciones técnicas y jurídicas que pueden evitar la repetición de estos casos y asegurar que las violaciones derivadas del tratamiento de bases de datos sensibles sean atendidas. En 2022 el INAI no respondió a nuestra solicitud de incorporar personas expertas de la academia y de organizaciones de la sociedad civil en el marco de la instalación de una mesa con la FMF y Liga MX. Hoy, continuamos convencidas de que la perspectiva de sociedad civil y academia son necesarias para responder adecuadamente a la adopción de este tipo de sistemas digitales y proteger los derechos a la privacidad, protección de datos, presunción de inocencia y no discriminiación de la afición.

Imagen: (CC-BY) Gibrán Aquino