La multa de más de 42 millones de pesos impuesta por la Secretaría Anticorrupción y Buen Gobierno a la FMF por el tratamiento indebido de datos personales a través del sistema “FAN ID” trasciende el caso concreto. En mi opinión, representa uno de los precedentes más relevantes en materia de protección de datos personales de los últimos años en México.
Ahora bien, más allá del monto de la sanción, considero que existen varios aspectos que merecen especial atención:
1.- La Secretaría Anticorrupción y Buen Gobierno comienza a ejercer plenamente sus nuevas facultades. (Recordemos que antes lo hacía el INAI). Tras asumir las funciones en materia de protección de datos personales, esta resolución constituye la primera gran señal de cuál será el estándar de supervisión y aplicación de la ley bajo el nuevo modelo institucional. El mensaje es claro y contundente, y desde el punto de vista mediático, es ideal para transmitir lo que se busca por parte de la autoridad.
2.- Se trata de un precedente histórico. Desde la entrada en vigor de la legislación mexicana en materia de protección de datos personales, pocas resoluciones sancionadoras habían alcanzado un nivel de relevancia pública –o quizá ninguna–. La publicación de esta sanción marca un punto de inflexión en la forma en que la autoridad comunica y ejerce sus facultades.
3.- El monto de la multa es particularmente significativo. La sanción supera de manera importante los montos que tradicionalmente conocíamos bajo el régimen anterior, lo que evidencia una política sancionadora mucho más enérgica.
4.- Los datos biométricos vuelven a ocupar el centro de la discusión. La autoridad determinó, entre otros aspectos, que la FMF no informó adecuadamente que las fotografías utilizadas para generar el FAN ID constituían datos personales sensibles y que no obtuvo un consentimiento expreso y por escrito que acreditara de manera indubitable la voluntad de los titulares para su tratamiento.
5. El mensaje para las organizaciones privadas es claro. La protección de datos personales debe dejar de verse como un requisito opcional, sin importancia y convertirse en una realidad.
Esto es algo que ya se veía venir. Desde 2022 publiqué en Foro Jurídico una columna titulada «El FAN ID y la protección de datos en el fútbol mexicano», en la que analicé, entre otros aspectos, la problemática jurídica derivada de la implementación del “FAN ID” por parte de la Federación Mexicana de Fútbol, así como de los clubes de fútbol en su calidad de responsables del tratamiento de datos personales.
En ese momento advertí que las medidas de seguridad implementadas implicaban un tratamiento intensivo de datos personales cuyo cumplimiento con la legislación en la materia resultaba, cuando menos, cuestionable. Asimismo, señalé los riesgos legales y regulatorios a los que se exponían dichos responsables, riesgos que hoy se han materializado con la imposición de una sanción por parte de la autoridad.
Sin embargo, también destaqué que la discusión no debía limitarse al denominado “FAN ID”. El verdadero reto radica en el amplio ecosistema de tratamientos de datos personales que diariamente realizan los clubes de fútbol, la Federación Mexicana de Fútbol y las demás organizaciones y autoridades deportivas que, tanto a nivel nacional como internacional, participan en el flujo e intercambio de información personal.
Ese tratamiento comprende datos de muy diversa naturaleza: desde la información de los aficionados que asisten a los estadios, hasta la de jugadores profesionales y de fuerzas básicas —incluidos menores de edad—, árbitros, colaboradores y trabajadores. A ello se suma el creciente volumen de datos que se recopilan durante los encuentros deportivos mediante tecnologías de análisis de desempeño, destinados a evaluar variables físicas, biométricas y de rendimiento de los futbolistas, una práctica que hoy forma parte de la operación cotidiana del fútbol profesional.
Es cierto que la resolución probablemente será impugnada mediante los medios de defensa previstos por nuestro sistema jurídico y corresponderá a los tribunales pronunciarse sobre su legalidad. Sin embargo, independientemente del resultado final, el mensaje regulatorio ya fue enviado.
En mi opinión, esta no es simplemente una multa más. Se trata de un precedente que anticipa una etapa de mayor supervisión, mayor escrutinio y, muy probablemente, de sanciones más severas para quienes incumplan la legislación en materia de protección de datos personales.
Este nuevo escenario también exige una mayor diligencia, preparación y cautela por parte de los despachos y profesionales que asuman la asesoría o defensa en este tipo de asuntos. En casos como este, no basta con conocer el marco normativo en materia de protección de datos personales; resulta igualmente indispensable –como en todo– comprender el funcionamiento, la regulación y la dinámica del negocio del fútbol, tanto en México como a nivel internacional, pues solo una visión integral permite identificar adecuadamente los riesgos y diseñar estrategias jurídicas efectivas.
