Federación multa a la FMF por Fan ID

A punto de concluir el Mundial de Futbol 2026, un caso de negligencia y omisiones administrativas relacionadas con la liga doméstica se dio a conocer. La Secretaría Anticorrupción y Buen Gobierno impuso a la Federación Mexicana de Futbol (FMF) una multa de casi 43 millones de pesos por violaciones a la normativa en materia de protección de datos personales relacionadas con el sistema Fan ID (el sistema de identificación digital y biométrica diseñado para registrar a las personas que asisten a eventos deportivos, con el objeto de fortalecer la seguridad y erradicar la violencia en los estadios). 

La resolución de la dependencia federal identificó dos infracciones principales, la primera, no informar de manera adecuada a los aficionados que las fotografías recabadas para generar el Fan ID constituían datos biométricos sensibles, y la segunda, no obtener el consentimiento expreso y por escrito de los titulares para tratar esa información. 

ADVERTISEMENT

En concreto, la FMF recopiló fotografías de los aficionados para generar el Fan ID, pero en su aviso de privacidad no especificó que dichas imágenes constituyen datos personales sensibles, y la organización únicamente solicitó a los usuarios marcar una casilla en un sitio web para aceptar el tratamiento de sus datos, mecanismo que la autoridad consideró insuficiente al no incorporar firma autógrafa, firma electrónica u otro medio de autenticación. 

La multa evidencia un ecosistema institucional debilitado, donde la protección de datos personales quedó expuesta tras la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) y donde el Fan ID nació bajo advertencias que fueron ignoradas. 

En este caso, la sanción revela fallas estructurales en el tratamiento de datos sensibles por parte de la Femexfut  lo que propició que la autoridad concluyera que se cometieron infracciones graves como no informar de manera clara que las fotografías utilizadas para generar el Fan ID eran datos personales sensibles, lo que impedía que los aficionados entendieran el alcance real del tratamiento, así como no obtener el consentimiento expreso y por escrito, como exige la ley para datos biométricos, solamente pedían marcar una casilla en línea, sin firma autógrafa o electrónica. Estas omisiones son violaciones directas a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Cuando nació el Fan ID lo hizo bajo advertencias técnicas y legales que no fueron atendidas. Se aprobó en 2023 (después de los hechos de violencia en el Estadio Corregidora de Querétaro). Las autoridades lo presentaron como una medida de seguridad para identificar aficionados y restringir acceso a personas violentas.  El INAI, entonces aún existente, alertó públicamente sobre riesgos de opacidad y falta de garantías en el tratamiento de datos biométricos, e incluso inició un procedimiento de sanción contra la FMF por el uso opaco de la aplicación. Las advertencias estaban ahí, pero ni la FMF ni la Liga MX ajustaron sus procesos para cumplir con estándares de consentimiento y transparencia.

El Fan ID surgió como respuesta de la FMF y la Liga MX a la violencia registrada en los estadios, luego de una pelea entre aficionados de Querétaro y Atlas. Se implementó un sistema masivo de reconocimiento biométrico para resolver un problema de seguridad pública sin que existiera, desde el inicio, la infraestructura jurídica y técnica para proteger esos datos. Priorizar la velocidad de implementación sobre el cumplimiento normativo es una decisión que ahora se paga con la sanción. Y algo que debe también preocuparnos es que la causa de fondo, la violencia en los estadios, sigue sin resolverse.

Con la desaparición del INAI se amplifica el impacto de la multa porque ahora no tenemos un órgano constitucional autónomo especializado en un caso que exige supervisión técnica. El proceso sancionador inició cuando el INAI aún existía, pero la resolución final ocurre en un contexto donde el órgano garante ya no está. Esto tiene varias implicaciones críticas. Para empezar, existe un vacío institucional ya que la Secretaría Anticorrupción y Buen Gobierno asume funciones sancionadoras sin ser un órgano especializado en protección de datos; hay menor capacidad de vigilancia continua, sin el INAI, no hay una entidad autónoma que supervise el cumplimiento posterior de la FMF o de terceros como la empresa a la que le encargaron el desarrollo de la aplicación (Incode Technologies), y además se sienta un precedente peligroso porque si un actor privado poderoso incumple y la sanción llega tarde, sin un regulador técnico permanente, el incentivo para corregir prácticas es débil.

Durante la implementación del Fan ID la respuesta de la FMF fue defensiva y centrada en la narrativa de seguridad, no en la protección de datos; comunicaron que atenderían recomendaciones del INAI para la correcta implementación del Fan ID, pero no modificaron los elementos esenciales como clasificar las fotografías como datos sensibles, implementar mecanismos de consentimiento robusto y transparentar la relación con la empresa que diseñó la aplicación, así como el flujo de datos.

La comunicación pública de la FMF se enfocó en promover la aplicación como requisito para ingresar a estadios, sin explicar riesgos ni medidas de protección. Esto, en términos de gobernabilidad muestra una priorización de control y seguridad sobre derechos digitales.

Esta multa abre un frente de riesgos operativos para el deporte mexicano y las consecuencias no serán únicamente económicas porque estamos también ante un riesgo reputacional al quedar la FMF marcada como un actor que trató datos biométricos sin cumplir la ley, lo que la debe obligar a rediseñar avisos de privacidad, mecanismos de consentimiento y protocolos de seguridad. Además, la sanción se convierte en un caso emblemático sobre cómo el Estado puede, o no, regular tecnologías de identificación masiva. En un país sin órgano garante autónomo, este caso exhibe la fragilidad institucional para regular tecnologías biométricas en manos privadas.

La sanción a la FMF además de ser un castigo por malas prácticas es un recordatorio de cómo la ausencia de controles institucionales y la falta de transparencia pueden convertir una herramienta de seguridad en un riesgo para los derechos digitales. El Fan ID se aprobó sin garantías suficientes, se implementó ignorando advertencias técnicas y hoy se sanciona en un contexto donde el órgano especializado ya no existe.

El hecho de que la autoridad que hoy sanciona sea una dependencia del Ejecutivo, sin la separación institucional que tenía el INAI, obliga a evaluar con cautela si este tipo de resoluciones son un ejercicio consistente de rendición de cuentas o un caso puntual dentro de un sistema regulatorio con menor autonomía técnica que el anterior. La FMF cometió infracciones documentadas y verificables, y al mismo tiempo el entramado institucional que las vigila hoy es estructuralmente más débil en materia de independencia que el que existía cuando la medida se implementó.

Este caso representa una paradoja política. La sanción que hoy fortalece el derecho a la protección de datos personales fue posible gracias a una investigación iniciada por un órgano autónomo que ya no existe. Eso convierte al expediente del Fan ID en un caso de transición institucional que servirá para evaluar si el nuevo modelo de protección de datos mantiene el mismo nivel de independencia y rigor que caracterizó al INAI.

Sobre el autor

José de Jesús Gómez Valle es analista político. Profesor Investigador en el CUCSH de la UdeG. Contacta: jose.gomezvalle@gmail.com y en X: @jgomezvalle.