La Secretaría Anticorrupción y Buen Gobierno (SABG) anunció la imposición de una multa de 42.8 millones de pesos (aproximadamente USD 2.14 millones) a la Federación Mexicana de Futbol Asociación, A.C. (FMF) por presuntas infracciones a la normativa mexicana de protección de datos personales derivadas del tratamiento de datos realizado mediante el sistema FAN ID.
La SABG determinó que la FMF actuaba como responsable del tratamiento de los datos personales recabados a través del sistema y concluyó que incumplió diversas obligaciones previstas en la legislación aplicable. Entre los principales hallazgos, la dependencia señaló que la FMF no informó en su aviso de privacidad que las fotografías utilizadas para generar el FAN ID constituían datos personales sensibles, lo que, según la resolución, impidió que los titulares conocieran plenamente el alcance del tratamiento de su información y pudieran tomar una decisión informada.
Asimismo, la autoridad concluyó que la organización no obtuvo el consentimiento expreso y por escrito requerido para el tratamiento de datos personales sensibles. Según el comunicado, la FMF utilizó una casilla de aceptación en un sitio web, sin implementar mecanismos adicionales de autenticación que permitieran acreditar de manera indubitable que el consentimiento fue otorgado por el titular de los datos.
Adicionalmente, la resolución determinó que la FMF incumplió con los principios de licitud y responsabilidad, al no adoptar las medidas necesarias para garantizar el debido tratamiento de los datos personales bajo su control. En este sentido, la autoridad enfatizó la importancia de implementar medidas de gobernanza, documentación y cumplimiento cuando se utilizan tecnologías que involucran datos biométricos.
Aunque la resolución puede ser impugnada mediante los mecanismos legales correspondientes, representa uno de los precedentes más relevantes en materia de protección de datos personales, al ser la primera resolución emitida por la SABG, autoridad que sustituyó al INAI, por el monto de la sanción y por el análisis jurídico realizado respecto del tratamiento de datos biométricos.
De acuerdo con el análisis de los especialistas de Baker McKenzie, este precedente resulta especialmente relevante para las organizaciones que utilizan sistemas de reconocimiento facial, plataformas de identidad digital, herramientas de autenticación biométrica, controles de acceso físico o lógico, soluciones de prevención de fraude, sistemas de registro de usuarios, visitantes o asistentes a eventos, así como para aquellas que tratan datos cuya naturaleza sensible puede generar incertidumbre regulatoria, como los biométricos o la geolocalización.
Asimismo, el caso demuestra que la revisión regulatoria no se limita a las medidas de seguridad implementadas para proteger la información, sino que también alcanza el contenido de los avisos de privacidad y la validez de los mecanismos utilizados para documentar el consentimiento de los titulares.
Ante este escenario, Baker McKenzie recomienda a las organizaciones identificar si recopilan o utilizan datos biométricos, revisar que sus avisos de privacidad describan adecuadamente el tratamiento y la naturaleza sensible de dichos datos, verificar que los mecanismos de consentimiento cumplan con los requisitos aplicables y que exista evidencia suficiente para acreditar su obtención, además de realizar revisiones periódicas de cumplimiento para mitigar riesgos regulatorios.
