La Federación Mexicana de Futbol acaba de recibir una de las sanciones más comentadas por consentimiento de datos biométricos. La Secretaría Anticorrupción y Buen Gobierno le impuso una multa de 42 millones 849 mil pesos por no informar adecuadamente sobre el uso de datos biométricos de los aficionados a través del sistema Fan ID.
El caso importa mucho más allá del futbol. Cualquier empresa que capture rostros, huellas o cualquier dato biométrico enfrenta exactamente el mismo riesgo. Y el error central de la Femexfut no fue tecnológico. Fue de consentimiento.
Qué pasó exactamente
El Fan ID es un registro obligatorio para ingresar a los estadios de la Liga MX. Para generarlo, el aficionado entrega nombre, identificación oficial y una fotografía del rostro. Esa fotografía es un dato biométrico, y la ley mexicana lo clasifica como dato personal sensible.
La sanción obedece a que la Femexfut no informó adecuadamente a las personas aficionadas que sus datos biométricos tenían el carácter de datos personales sensibles. En el aviso de privacidad nunca se advirtió el alcance real del tratamiento.
El segundo problema es el que interesa a cualquier área legal, de Recursos Humanos o de cumplimiento: la Femexfut se limitó a utilizar el marcado de una casilla en un sitio web, sin recabar firma autógrafa ni firma electrónica ni ningún otro mecanismo de autenticación que acreditara, de manera indudable, que era el titular quien otorgaba su consentimiento.
Una casilla marcada no prueba quién la marcó. Ahí está el hueco.
La casilla no es consentimiento válido para datos sensibles
Aquí conviene separar dos ideas que suelen confundirse.
Para datos personales ordinarios, un consentimiento tácito puede bastar: se pone a disposición el aviso de privacidad y, si el titular no se opone, se entiende otorgado.
Para datos sensibles la regla cambia por completo. La LFPDPPP establece que, tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito del titular para su tratamiento, a través de su firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que al efecto se establezca.
Un rostro es dato sensible. Por lo tanto, la casilla de “acepto” no cumple. La ley pide dos cosas que la casilla no da: prueba de que fue el titular quien consintió, y constancia por escrito de ese consentimiento.
Cómo debió pedirse la autorización
El método correcto no era complicado. Era un mecanismo que vinculara la identidad del titular con su manifestación de voluntad, y que dejara evidencia verificable de ambas.
En la práctica, eso significa tres capas:
- Verificación de identidad. Confirmar que quien otorga el consentimiento es realmente el titular, no un tercero ni una casilla anónima.
- Firma electrónica sobre el consentimiento. Convertir el “acepto” en un documento firmado, con validez legal y trazabilidad.
- Constancia probatoria. Guardar la evidencia de fecha, identidad y contenido consentido, para poder demostrarlo ante una auditoría.
Sin estas capas, el consentimiento existe en el discurso, pero no en el expediente. Y cuando llega la autoridad, lo que no está documentado no ocurrió.
Esto no es un problema del futbol
El mismo patrón aparece en muchos procesos cotidianos:
- Recursos Humanos que registra huella o rostro para control de acceso o asistencia.
- Banca y financieras que capturan biometría facial para alta de cuentas u onboarding.
- Retail y logística que usan reconocimiento facial en tienda o en punto de acceso.
- Salud que trata datos biométricos o de estado físico de pacientes.
En todos estos casos, la ley pide lo mismo: aviso de privacidad claro sobre el carácter sensible del dato, y consentimiento expreso y por escrito con un método de autenticación real. La sanción por incumplir con datos sensibles puede incrementarse hasta el doble.
Cómo ZERO resuelve el consentimiento de datos biométricos
En ZERO diseñamos la capa que le faltó a este caso.
ZIGN, nuestra firma electrónica con validez NOM-151 respaldada por un Prestador de Servicios de Certificación acreditado ante la Secretaría de Economía, convierte cada consentimiento en un documento firmado, fechado y probatorio. No es una casilla. Es una firma con valor legal y trazabilidad.
Z-ID y Z-KYC verifican la identidad de quien firma antes de recabar el dato sensible. Así queda acreditado, de manera indudable, que fue el titular quien otorgó su consentimiento.
ZERO CLM administra el ciclo completo: el aviso de privacidad, el consentimiento firmado, sus vencimientos y su revocación, todo en un repositorio auditable. Si mañana llega una verificación, la evidencia está a un clic.
El caso Femexfut deja una lección directa para cualquier empresa que trate biometría en México: sin un método de autorización válido, el dato sensible es un pasivo, no un activo.
Preguntas frecuentes
¿Por qué multaron a la Femexfut? Por dos infracciones en el sistema Fan ID: no informar en el aviso de privacidad que las fotografías del rostro eran datos biométricos sensibles, y no obtener consentimiento expreso y por escrito de los titulares.
¿Una casilla de “acepto” sirve como consentimiento para datos biométricos? No. Para datos sensibles la ley exige consentimiento expreso y por escrito mediante firma autógrafa, firma electrónica o un mecanismo de autenticación que acredite quién otorgó el consentimiento.
¿Qué dato biométrico está en juego en el Fan ID? La fotografía del rostro del aficionado, usada para validación facial en el acceso a estadios. La legislación mexicana la considera dato personal sensible.
¿La firma electrónica basta para cumplir? La firma electrónica es el mecanismo que la propia ley reconoce para obtener consentimiento expreso sobre datos sensibles. Combinada con verificación de identidad y constancia probatoria, cubre el requisito completo.
Fuentes
- El Financiero: multa de 42 mdp a la FMF por el Fan ID
- IMER Noticias: detalle de las dos infracciones y la casilla web
- Infobae: infracciones del Fan ID
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP)