Biometría, privacidad y sanciones: lo que enseña el caso FAN ID
La reciente multa de 42.8 millones de pesos impuesta a la Federación Mexicana de Futbol (FMF) por irregularidades en el tratamiento de datos personales del sistema FAN ID reabre una discusión que va más allá del ámbito deportivo: ¿hasta dónde pueden llegar las organizaciones en el uso de tecnologías de identificación para fines de seguridad sin comprometer los derechos de privacidad de las personas?
La respuesta cobra especialmente relevancia en un entorno en el que cada vez más empresas recurren a mecanismos de validación de identidad, reconocimiento facial, biometría y sistemas digitales de acceso para clientes, trabajadores y usuarios.
Del cuestionamiento técnico a la sanción administrativa
El FAN ID surgió como una medida para fortalecer la seguridad en los estadios de futbol tras los hechos violentos ocurridos en el Estadio Corregidora en 2022. Su propósito era identificar a los aficionados que asistieran a los encuentros mediante mecanismos de verificación y registro previo.
Sin embargo, desde su anuncio, se advirtieron posibles riesgos asociados con la creación de bases de datos masivas, el tratamiento de información biométrica, la proporcionalidad de los registros recabados y la falta de transparencia sobre el funcionamiento del sistema.
Antes de la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), el organismo ya había participado en el análisis del esquema mediante opiniones técnicas y evaluaciones relacionadas con el impacto en la privacidad. No obstante, parte de la documentación relativa a la operación del FAN ID fue reservada bajo argumentos de secreto industrial, lo que generó críticas por limitar el escrutinio público de una tecnología con posibles efectos sobre derechos fundamentales.
La controversia alcanzó un nuevo nivel en julio de 2026, cuando la Secretaría Anticorrupción y Buen Gobierno dio a conocer que la FMF incumplió obligaciones legales en materia de protección de datos personales. De acuerdo con la autoridad, la Federación no comunicó adecuadamente el carácter sensible de determinados registros tratados ni obtuvo el consentimiento expreso y por escrito exigido por la legislación mexicana.
Más que una multa económica, la sanción confirma que los riesgos advertidos durante años dejaron de ser una preocupación teórica para convertirse en una consecuencia jurídica concreta.
¿Qué exige la ley cuando se tratan datos sensibles?
La protección de los datos personales sensibles exige medidas reforzadas, precisamente porque involucra información cuya utilización indebida puede afectar de manera significativa a las personas titulares.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) los define como aquellos que afectan la esfera más íntima de la persona titular o cuya utilización indebida puede dar lugar a discriminación o implicar un riesgo grave para esta. Asimismo, obliga a los responsables a observar principios como licitud, consentimiento, finalidad, proporcionalidad, información y responsabilidad durante todo el ciclo de vida del tratamiento.
Aunque la ley menciona expresamente categorías como origen étnico o racial, estado de salud, información genética, creencias religiosas, opiniones políticas y preferencias sexuales, el caso FAN ID colocó nuevamente en el centro del debate el tratamiento de datos biométricos utilizados para la identificación digital de las personas.
La resolución de la Secretaría Anticorrupción y Buen Gobierno determinó que la FMF no informó adecuadamente a los aficionados sobre el carácter sensible de los datos biométricos utilizados en el sistema ni obtuvo el consentimiento expreso y por escrito requerido para su tratamiento.
La relevancia de estas obligaciones se refleja en el artículo 8 de la LFPDPPP, que establece que el tratamiento de datos personales sensibles requiere el consentimiento expreso y por escrito de la persona titular mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que permita acreditar de manera inequívoca la manifestación de voluntad. Además, la misma disposición señala que no podrán crearse bases de datos con información sensible sin una finalidad legítima, concreta y acorde con las actividades del responsable.
Además, los artículos 14 y 15 de la LFPDPPP obligan a los responsables a comunicar, a través del aviso de privacidad, la existencia y características principales del tratamiento, así como identificar expresamente cuáles de los datos recabados tienen el carácter de sensibles. El objetivo es que las personas puedan decidir con pleno conocimiento sobre el uso de su información personal.
Por su parte, el Reglamento desarrolla los principios de información, proporcionalidad y responsabilidad. Entre otros aspectos, exige que los avisos de privacidad se redacten en lenguaje claro y comprensible; que únicamente se recaben los datos estrictamente necesarios para cumplir la finalidad perseguida; y que los responsables implementen programas de privacidad, análisis de riesgos, medidas de seguridad y mecanismos de supervisión acordes con la sensibilidad de la información tratada.
La lección para las organizaciones es clara: cuando una tecnología involucra validación de identidad, reconocimiento facial o cualquier sistema basado en biometría, no basta con describir de manera genérica el tratamiento de datos. Es indispensable identificar correctamente la naturaleza de la información recabada, justificar su necesidad, documentar las medidas de seguridad implementadas y acreditar la obtención de un consentimiento válido conforme a los estándares legales aplicables.
Un aviso de privacidad bajo la lupa
Uno de los aspectos más relevantes del caso es la relación entre la sanción y el contenido del aviso de privacidad utilizado por el sistema FAN ID.
Actualmente, el aviso de privacidad del FAN ID informa la identidad del responsable, los datos personales recabados, las finalidades del tratamiento, los mecanismos para ejercer derechos ARCO y diversos aspectos relacionados con la conservación y transferencia de información. Sin embargo, también señala expresamente que la FMF no requiere obtener ni procesar datos personales sensibles, al indicar que las validaciones biométricas vinculadas con la validación de identidad son realizadas por un proveedor tecnológico.
No obstante, la resolución emitida por la Secretaría Anticorrupción y Buen Gobierno concluyó que los registros biométricos utilizados en el sistema debían considerarse datos personales sensibles y que los titulares no fueron informados adecuadamente sobre esa circunstancia. Asimismo, determinó que no se obtuvo el consentimiento expreso y por escrito exigido por la legislación para este tipo de información.
Desde una perspectiva de cumplimiento, el caso pone de relieve la relevancia del artículo 15 de la LFPDPPP, que obliga a identificar en el aviso de privacidad los datos personales que serán utilizados, señalando expresamente aquellos que tengan carácter de sensibles. Esta obligación busca que las personas titulares conozcan con precisión el alcance del tratamiento y puedan tomar decisiones informadas respecto de su información personal.
Así, más allá de la discusión técnica sobre la operación del sistema, el caso FAN ID demuestra que el cumplimiento normativo no depende únicamente de contar con un aviso de privacidad, sino de que este refleje, de manera completa y precisa, la naturaleza de los datos efectivamente tratados y las obligaciones que derivan de ello.
Seis elementos que toda empresa debería revisar en su aviso de privacidad
A la luz del caso FAN ID, las organizaciones deberían verificar que sus avisos de privacidad incluyan, de manera clara y suficiente, los siguientes elementos:
- La identidad y domicilio del responsable.
- Los datos personales que serán objeto de tratamiento.
- La identificación expresa de los datos sensibles.
- Las finalidades específicas para las cuales se utilizará la información.
- Los mecanismos para ejercer derechos ARCO.
- El procedimiento mediante el cual se comunicarán futuras modificaciones al aviso.
La importancia de estos elementos no es meramente formal, la propia ley considera infracción omitir información obligatoria en el aviso de privacidad y sanciona el tratamiento de datos sensibles sin el consentimiento requerido. Además, cuando las infracciones involucran este tipo de registros, las multas pueden incrementarse significativamente.
El proveedor tecnológico no sustituye la responsabilidad legal
Otro aspecto relevante del caso es la participación de un proveedor especializado en los procesos de validación de identidad, el aviso de privacidad del FAN ID señala que los datos necesarios para la generación y validación de la identidad digital son procesados por un tercero, que actúa como encargado del tratamiento para la FMF y proporciona la infraestructura tecnológica asociada al sistema.
Sin embargo, la legislación mexicana distingue claramente entre la figura del responsable y la del encargado del tratamiento, mientras el encargado procesa datos personales por cuenta de otra entidad, el responsable continúa siendo quien determina las finalidades del tratamiento y quien debe garantizar el cumplimiento de los principios de protección de datos personales previstos en la ley.
En otras palabras, contratar un proveedor tecnológico especializado no traslada automáticamente las obligaciones legales ni los riesgos regulatorios. la responsabilidad de informar adecuadamente a los titulares, identificar los datos sensibles, obtener el consentimiento exigido por la ley y garantizar el cumplimiento de los principios de licitud, consentimiento, información, proporcionalidad y responsabilidad sigue recayendo en la organización que implementa la tecnología y decide para qué será utilizada.
Este punto resulta especialmente importante en un contexto en el que cada vez más organizaciones utilizan soluciones de identidad digital, biometría, reconocimiento facial, inteligencia artificial y plataformas en la nube ofrecidas por terceros especializados. El caso FAN ID demuestra que delegar la operación tecnológica no implica transferir la responsabilidad jurídica derivada del tratamiento de datos personales.
Una lección de cumplimiento para todas las organizaciones
El caso FAN ID demuestra que los principios de consentimiento, información, proporcionalidad y responsabilidad no son obligaciones burocráticas ni simples requisitos documentales.
En una economía cada vez más digitalizada, en la que sectores como el financiero, tecnológico, comercial, deportivo o laboral utilizan herramientas de identificación digital y procesamiento automatizado de datos, la protección de la información personal se ha convertido en un componente estratégico de cumplimiento regulatorio.
La multa impuesta a la FMF confirma que una gestión inadecuada de datos sensibles puede generar consecuencias económicas importantes, procedimientos de verificación, afectaciones reputacionales y cuestionamientos sobre la legitimidad misma de los tratamientos realizados.
Por ello, más allá de las particularidades del futbol mexicano, el caso constituye un recordatorio para cualquier organización que recabe, utilice o transfiera información personal: la innovación tecnológica y los objetivos de seguridad deben ir acompañados de una estrategia sólida de protección de datos personales.
Checkpoint México: cumplimiento con información confiable
Ante un entorno regulatorio en constante evolución, contar con información confiable y actualizada es fundamental para prevenir riesgos y fortalecer la toma de decisiones.
A través de Checkpoint México, los profesionales pueden consultar legislación especializada y acceder a herramientas prácticas que facilitan la identificación de obligaciones regulatorias y el fortalecimiento de programas de cumplimiento.
Porque si algo demuestra el caso FAN ID, es que una adecuada gestión de datos personales no solo protege a los titulares de la información, también a las organizaciones de contingencias legales, económicas y reputacionales.
