A punto de concluir el Mundial de Futbol 2026, un caso de negligencia y omisiones administrativas relacionadas con la liga doméstica se dio a conocer. La Secretaría Anticorrupción y Buen Gobierno impuso a la Federación Mexicana de Futbol (FMF) una multa de casi 43 millones de pesos por violaciones a la normativa en materia de protección de datos personales relacionadas con el sistema Fan ID (el sistema de identificación digital y biométrica diseñado para registrar a las personas que asisten a eventos deportivos, con el objeto de fortalecer la seguridad y erradicar la violencia en los estadios). 

La resolución de la dependencia federal identificó dos infracciones principales, la primera, no informar de manera adecuada a los aficionados que las fotografías recabadas para generar el Fan ID constituían datos biométricos sensibles, y la segunda, no obtener el consentimiento expreso y por escrito de los titulares para tratar esa información. 

En concreto, la FMF recopiló fotografías de los aficionados para generar el Fan ID, pero en su aviso de privacidad no especificó que dichas imágenes constituyen datos personales sensibles, y la organización únicamente solicitó a los usuarios marcar una casilla en un sitio web para aceptar el tratamiento de sus datos, mecanismo que la autoridad consideró insuficiente al no incorporar firma autógrafa, firma electrónica u otro medio de autenticación. 

La multa evidencia un ecosistema institucional debilitado, donde la protección de datos personales quedó expuesta tras la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) y donde el Fan ID nació bajo advertencias que fueron ignoradas. 

En este caso, la sanción revela fallas estructurales en el tratamiento de datos sensibles por parte de la Femexfut  lo que propició que la autoridad concluyera que se cometieron infracciones graves como no informar de manera clara que las fotografías utilizadas para generar el Fan ID eran datos personales sensibles, lo que impedía que los aficionados entendieran el alcance real del tratamiento, así como no obtener el consentimiento expreso y por escrito, como exige la ley para datos biométricos, solamente pedían marcar una casilla en línea, sin firma autógrafa o electrónica. Estas omisiones son violaciones directas a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Cuando nació el Fan ID lo hizo bajo advertencias técnicas y legales que no fueron atendidas. Se aprobó en 2023 (después de los hechos de violencia en el Estadio Corregidora de Querétaro). Las autoridades lo presentaron como una medida de seguridad para identificar aficionados y restringir acceso a personas violentas.  El INAI, entonces aún existente, alertó públicamente sobre riesgos de opacidad y falta de garantías en el tratamiento de datos biométricos, e incluso inició un procedimiento de sanción contra la FMF por el uso opaco de la aplicación. Las advertencias estaban ahí, pero ni la FMF ni la Liga MX ajustaron sus procesos para cumplir con estándares de consentimiento y transparencia.

El Fan ID surgió como respuesta de la FMF y la Liga MX a la violencia registrada en los estadios, luego de una pelea entre aficionados de Querétaro y Atlas. Se implementó un sistema masivo de reconocimiento biométrico para resolver un problema de seguridad pública sin que existiera, desde el inicio, la infraestructura jurídica y técnica para proteger esos datos. Priorizar la velocidad de implementación sobre el cumplimiento normativo es una decisión que ahora se paga con la sanción. Y algo que debe también preocuparnos es que la causa de fondo, la violencia en los estadios, sigue sin resolverse.

Con la desaparición del INAI se amplifica el impacto de la multa porque ahora no tenemos un órgano constitucional autónomo especializado en un caso que exige supervisión técnica. El proceso sancionador inició cuando el INAI aún existía, pero la resolución final ocurre en un contexto donde el órgano garante ya no está. Esto tiene varias implicaciones críticas. Para empezar, existe un vacío institucional ya que la Secretaría Anticorrupción y Buen Gobierno asume funciones sancionadoras sin ser un órgano especializado en protección de datos; hay menor capacidad de vigilancia continua, sin el INAI, no hay una entidad autónoma que supervise el cumplimiento posterior de la FMF o de terceros como la empresa a la que le encargaron el desarrollo de la aplicación (Incode Technologies), y además se sienta un precedente peligroso porque si un actor privado poderoso incumple y la sanción llega tarde, sin un regulador técnico permanente, el incentivo para corregir prácticas es débil.

Durante la implementación del Fan ID la respuesta de la FMF fue defensiva y centrada en la narrativa de seguridad, no en la protección de datos; comunicaron que atenderían recomendaciones del INAI para la correcta implementación del Fan ID, pero no modificaron los elementos esenciales como clasificar las fotografías como datos sensibles, implementar mecanismos de consentimiento robusto y transparentar la relación con la empresa que diseñó la aplicación, así como el flujo de datos.

La comunicación pública de la FMF se enfocó en promover la aplicación como requisito para ingresar a estadios, sin explicar riesgos ni medidas de protección. Esto, en términos de gobernabilidad muestra una priorización de control y seguridad sobre derechos digitales.

Esta multa abre un frente de riesgos operativos para el deporte mexicano y las consecuencias no serán únicamente económicas porque estamos también ante un riesgo reputacional al quedar la FMF marcada como un actor que trató datos biométricos sin cumplir la ley, lo que la debe obligar a rediseñar avisos de privacidad, mecanismos de consentimiento y protocolos de seguridad. Además, la sanción se convierte en un caso emblemático sobre cómo el Estado puede, o no, regular tecnologías de identificación masiva. En un país sin órgano garante autónomo, este caso exhibe la fragilidad institucional para regular tecnologías biométricas en manos privadas.

La sanción a la FMF además de ser un castigo por malas prácticas es un recordatorio de cómo la ausencia de controles institucionales y la falta de transparencia pueden convertir una herramienta de seguridad en un riesgo para los derechos digitales. El Fan ID se aprobó sin garantías suficientes, se implementó ignorando advertencias técnicas y hoy se sanciona en un contexto donde el órgano especializado ya no existe.

El hecho de que la autoridad que hoy sanciona sea una dependencia del Ejecutivo, sin la separación institucional que tenía el INAI, obliga a evaluar con cautela si este tipo de resoluciones son un ejercicio consistente de rendición de cuentas o un caso puntual dentro de un sistema regulatorio con menor autonomía técnica que el anterior. La FMF cometió infracciones documentadas y verificables, y al mismo tiempo el entramado institucional que las vigila hoy es estructuralmente más débil en materia de independencia que el que existía cuando la medida se implementó.

Este caso representa una paradoja política. La sanción que hoy fortalece el derecho a la protección de datos personales fue posible gracias a una investigación iniciada por un órgano autónomo que ya no existe. Eso convierte al expediente del Fan ID en un caso de transición institucional que servirá para evaluar si el nuevo modelo de protección de datos mantiene el mismo nivel de independencia y rigor que caracterizó al INAI.

Sobre el autor

José de Jesús Gómez Valle es analista político. Profesor Investigador en el CUCSH de la UdeG. Contacta: jose.gomezvalle@gmail.com y en X: @jgomezvalle.

El Gobierno de Jalisco entregó ayer al Congreso del Estado un documento de 421 páginas. Lo llaman “Bases Técnicas para la Priorización de las Intervenciones Estratégicas para la Seguridad Hídrica del Área Metropolitana de Guadalajara”. Un título que, por sí solo, ya es una obra de ficción; hablamos de una obra maestra del ilusionismo institucional.

Porque resulta que las obras ya arrancaron. Doce días antes.

El 2 de julio, el Gobernador Pablo Lemus anunció 31 obras y acciones con 5 mil millones de pesos (mdp) de ejecución inmediata. La instrucción, según sus propias palabras, fue que “arrancáramos las obras de inmediato”. El 14 de julio —ayer— llegó al Congreso el documento que, según su propio texto, “no determina de manera anticipada las soluciones específicas”.

El orden natural de las cosas, en cualquier país con un mínimo de respeto por la planificación pública, es: diagnóstico, análisis, decisión, ejecución. Aquí el gobierno decidió invertir la secuencia: ejecución, y después, si acaso, el diagnóstico. Es como si un cirujano operara primero y, ya con el paciente abierto, pidiera los estudios.

La audacia del texto va mucho más allá de la cronología. Estamos frente a un artefacto diseñado para justificar infraestructura y evadir responsabilidades, redactado con un bisturí sintáctico asombroso. El documento de 89 mil 693 palabras revela su verdadero objetivo: no nombrar el problema. En todo ese océano de texto, hay exactamente siete valores porcentuales. Cero cifras monetarias. Cero cuantificación de pérdidas físicas, pese a que la palabra “pérdidas” aparece 97 veces. Cero menciones de plomo, mercurio, aluminio, metales pesados, coliformes, arsénico, microcistinas o cianobacterias. Cero.

El Gobierno de Jalisco entregó al Congreso un documento sobre una crisis de agua contaminada que nunca nombra un contaminante.

Tampoco nombra una colonia. La palabra “colonia” aparece una vez en 421 páginas. La Comisión Estatal de Derechos Humanos tiene registradas 600 colonias con agua turbia, con olor o contaminada. El gobierno dice que son 200. Una discrepancia de tres a uno.

Es fascinante cómo el Estado utiliza la gramática como mecanismo de absolución.

El documento está escrito en un tiempo verbal que los lingüistas llaman “futuro de la evasión”. Contiene 995 ocurrencias de “deberá” o “deberán”. Una cada 90 palabras. El sujeto de esas 995 obligaciones nunca se identifica. No hay una sola oración con la forma “X hará Y para la fecha Z con un costo de W”. Hay 995 oraciones con la forma “deberá hacerse Y”.

Es la gramática de la promesa sin responsable, del compromiso sin fecha, de la responsabilidad sin rostro; ni en las caricaturas habríamos visto algo similar.

Y, para que no quede duda de que nadie va a pagar las consecuencias, el documento repite 64 veces fórmulas como “no implica”, “no constituye” o “no representa”. Un documento que se exime de responsabilidad 64 veces no es un plan: es un blindaje legal con pretensiones de ingeniería.

El apartado 4.3 contiene lo que el documento llama su “Matriz estratégica de restricciones y capacidades”. Seis restricciones, seis capacidades. Cada capacidad es la negación gramatical de la restricción de la izquierda: si la restricción es “confiabilidad limitada”, la capacidad es “confiabilidad”. Es como si alguien escribiera “problema: tengo hambre; solución: no tener hambre”.

No hay jerarquía. No hay población afectada. No hay costo. No hay indicador.
Y, por supuesto, ninguna de las seis restricciones es la calidad del agua. La salud pública no aparece en ninguna de las veinticuatro celdas del único instrumento analítico del documento.

El texto define “restricción estructural” como “una condición que limita de manera recurrente la capacidad del sistema”. El sistema, dice el texto, es el paciente. Tuberías, plantas, tanques. Un objeto.

Los objetos no tienen voluntad, ni presupuesto, ni Junta de Gobierno, ni responsabilidad.

El documento registra 149 veces que “algo falla”. Siempre es un equipo. Las cosas fallan; las personas, nunca. Cero menciones de “omisión”. Cero “negligencia”. Cero “rezago”.

Las dos únicas veces que el documento nombra a un responsable, nombra al “personal responsable de la operación”. El operador de la válvula, no la Junta de Gobierno. No la Dirección General; mucho menos las Secretarías que encabezan el documento.

Es como si un capitán hundiera el barco y el informe de la tragedia dijera que “el agua entró”.

El documento tampoco menciona el artículo 115 de la Constitución, que asigna a los municipios el servicio público de agua potable. No menciona la Junta de Gobierno del Siapa. No menciona la Recomendación 10/2022 de la CEDHJ, incumplida cuatro años después. No menciona la Matriz de Indicadores para Resultados del Siapa, el instrumento legal que, por obligación, evaluaría su desempeño y resultados.

Esa MIR, por cierto, con un presupuesto de 6 mil 350 mdp, mide el derecho humano al agua con el volumen extraído. No contiene un solo indicador de calidad del agua. Su meta de eficiencia física es 72 por ciento, cuando el propio director del organismo declaró ante el Congreso que la eficiencia real es 50 por ciento.

El organismo puede cumplir su propósito al 100 por ciento mientras entrega agua contaminada a 600 colonias. De hecho, eso es exactamente lo que está ocurriendo.

Las Bases Técnicas no son un plan, aunque sí merecen su propio reconocimiento en el museo del cinismo. Son una justificación ex post, una racionalización de decisiones ya tomadas, un paraguas conceptual lo suficientemente amplio como para que cualquier obra ya decidida encuentre en él una “restricción estructural” que la justifique.

El documento no reduce la incertidumbre de la decisión. Reduce la exposición de quien la tomó: 421 páginas, 995 “deberá”, 64 exenciones de responsabilidad y cero pesos, entregadas doce días después de que las obras arrancaran. No es un diagnóstico. Es un certificado de impunidad con formato PDF.

Los cinco millones de habitantes del Área Metropolitana de Guadalajara (AMG) merecen algo más que un documento que no se atreve a nombrar lo que está pasando. Merecen un gobierno que entienda que el agua no se planea con futuros, menos con la paleta de colores de la “mejora continua”, el gerundio preferido de la gestión pública. El agua se puede y debe planificar con base en evidencia, porque la salud de las personas no es un accidente en el camino de las obras, sino el propósito mismo de cualquier política pública.

El documento de 421 páginas que el Gobierno de Jalisco entregó ayer al Congreso no es un diagnóstico: es una coartada. Tampoco es un plan: es una declaración de buenas intenciones redactada en modo condicional, con el sujeto borrado y las responsabilidades diluidas en el futuro perfecto de lo que “deberá” hacerse, algún día, por alguien que nunca se nombra.

El problema no es que el documento sea malo. El problema es que es exactamente lo que sus autores necesitaban que fuera: lo suficientemente técnico para parecer serio, lo suficientemente vago para no comprometer a nadie, y lo suficientemente extenso para agotar al lector antes de que note que no dice nada.

Mientras tanto, en 600 colonias del AMG, los tapatíos abrimos la llave y sale agua turbia, con olor, con metales que nadie mide, con bacterias que nadie nombra. Siete años de quejas, ahora sin número de registro. Una recomendación de la CEDHJ incumplida. Una eficiencia física que cayó 11 puntos en ocho años. Y un gobierno que entrega al Congreso, doce días después de arrancar las obras, un documento que dice que las decisiones se tomarán después.

El agua no espera. La salud no espera. La verdad tampoco.

Lo que el Congreso debería hacer con estas Bases Técnicas es sencillo: devolverlas al Ejecutivo con una sola instrucción: que las reescriban, esta vez con datos, con responsables, con plazos, con indicadores que se puedan validar y con el nombre de las 600 colonias que hoy beben agua que no deberían beber.

Un gobierno que no puede nombrar el problema tampoco puede resolverlo; y un documento que se exime 64 veces de responsabilidad no es un instrumento de planeación: es un memorándum de absolución.

Sobre el autor

Sergio E. Gómez Partida es consultor en evaluación, gestión para resultados y planificación en sectores público y privado. Información de contacto: sgpartida@gmail.com; en X: @SergioGmezP.