Cuando el balón deja de ser el protagonista: la multa que reabrió el debate sobre los datos personales

La sanción por el tratamiento de datos biométricos en el sistema FAN ID trasciende al fútbol. Es una advertencia para cualquier empresa que considere que la información de sus clientes es un activo propio y no un préstamo sustentado en la confianza.

Durante años, las discusiones sobre el fútbol mexicano giraron alrededor del nivel de la selección, el desempeño de los clubes o las decisiones arbitrales. Sin embargo, esta vez el debate llegó desde un terreno mucho menos habitual: la protección de los datos personales.

La Secretaría Anticorrupción y Buen Gobierno impuso una multa de 42.8 millones de pesos a la Federación Mexicana de Futbol (FMF) por diversas infracciones relacionadas con el tratamiento de datos personales durante la operación del sistema FAN ID, mecanismo implementado para controlar el acceso a los estadios mediante la identificación de los aficionados.

La autoridad concluyó que la Federación no informó adecuadamente a los titulares sobre el tratamiento de datos personales sensibles, particularmente aquellos derivados del reconocimiento facial, ni obtuvo un consentimiento expreso conforme a los requisitos establecidos por la legislación mexicana. La FMF anunció que impugnará la resolución, por lo que el caso aún recorrerá una ruta judicial. No obstante, más allá del desenlace legal, el precedente ya quedó establecido: la privacidad dejó de ser un tema secundario para convertirse en un asunto estratégico.

Sería un error interpretar esta historia únicamente como una controversia deportiva. En realidad, representa uno de los primeros grandes casos mexicanos que pone sobre la mesa una pregunta que miles de organizaciones deberán responder durante los próximos años: ¿hasta dónde puede llegar una empresa cuando recopila información de sus clientes?

Del caos en Querétaro a la creación del FAN ID

La historia comenzó el 5 de marzo de 2022. Las imágenes de la violencia entre aficionados de Querétaro y Atlas recorrieron el mundo y evidenciaron la incapacidad de los mecanismos tradicionales para garantizar la seguridad dentro de los estadios. La presión social obligó a actuar con rapidez.

La respuesta fue el desarrollo del FAN ID, una plataforma que buscaba identificar individualmente a cada asistente mediante información personal, documentos oficiales y fotografías del rostro. El objetivo era impedir el ingreso de personas sancionadas, facilitar investigaciones posteriores y ofrecer un entorno más seguro para las familias.

La lógica parecía impecable. Si era posible identificar a cada espectador antes de ingresar, también sería posible reducir la violencia.

Sin embargo, la seguridad y la privacidad rara vez avanzan al mismo ritmo. El problema no fue crear un mecanismo de identificación, sino la forma en que se administró la información recopilada. Cuando una organización solicita datos biométricos, el estándar de protección deja de ser el mismo que para un nombre o un correo electrónico. El rostro de una persona es un identificador permanente y, precisamente por ello, la legislación mexicana lo considera un dato personal sensible.

La diferencia puede parecer técnica, pero tiene profundas implicaciones jurídicas y éticas.

Una fotografía ya no es solo una imagen

Durante décadas, una fotografía era simplemente un recuerdo. Hoy es una llave digital.

El mismo rostro que permite desbloquear un teléfono inteligente puede autorizar operaciones bancarias, agilizar un trámite migratorio, acceder a un edificio corporativo o ingresar a un estadio. La evolución de la inteligencia artificial ha transformado las imágenes en credenciales biométricas capaces de identificar a una persona con niveles de precisión que hace apenas diez años parecían propios de la ciencia ficción.

Esa transformación también modifica la naturaleza del riesgo.

Una contraseña puede cambiarse. Una tarjeta bancaria puede cancelarse. Un documento oficial puede renovarse. Pero un rostro no puede sustituirse cuando su información biométrica ha sido comprometida.

Por ello, las legislaciones más avanzadas del mundo han endurecido las exigencias para el tratamiento de este tipo de datos. El Reglamento General de Protección de Datos (GDPR) en Europa, la Ley General de Protección de Datos de Brasil y la legislación mexicana coinciden en un principio fundamental: la recopilación de información biométrica exige mayores niveles de transparencia, consentimiento y protección.

La multa a la FMF no cuestiona la utilidad del reconocimiento facial. Cuestiona la manera en que se obtuvo el permiso para utilizarlo.

La verdadera economía ya no gira alrededor del petróleo

Durante años se repitió que los datos eran el nuevo petróleo. La metáfora fue útil para explicar su creciente valor económico, pero hoy comienza a quedarse corta.

El petróleo puede extraerse una sola vez. La confianza debe ganarse todos los días.

Cada compra realizada con una tarjeta bancaria, cada búsqueda en internet, cada programa de lealtad y cada aplicación instalada generan información que posteriormente alimenta modelos de inteligencia artificial, motores de recomendación y algoritmos predictivos. Los datos personales dejaron de ser un subproducto de la actividad económica para convertirse en uno de sus principales insumos.

McKinsey ha señalado que las organizaciones basadas en datos tienen mayores probabilidades de captar clientes, retenerlos y aumentar su rentabilidad. Paralelamente, IBM estima que el costo promedio global de una filtración de datos alcanzó los 4.88 millones de dólares en 2024, la cifra más alta registrada por su estudio anual.

La paradoja es evidente: nunca había sido tan rentable utilizar datos personales, pero tampoco había sido tan costoso administrarlos incorrectamente.

El mayor error empresarial sigue siendo cultural

Muchas organizaciones creen que cumplir con la privacidad consiste en publicar un aviso legal de varias páginas y solicitar que el usuario marque una casilla con la leyenda "Acepto los términos y condiciones".

Ese enfoque pertenece al pasado.

Las autoridades regulatorias comienzan a evaluar algo mucho más importante: si las personas comprendieron realmente qué información estaban entregando, para qué sería utilizada y durante cuánto tiempo permanecería almacenada.

La diferencia es enorme.

Durante años las empresas preguntaron: "¿Qué datos podemos obtener?"

Las organizaciones más maduras ahora formulan otra pregunta: "¿Qué datos necesitamos realmente?"

Ese cambio de mentalidad representa una transformación mucho más profunda que cualquier actualización tecnológica. Significa reconocer que la información personal no pertenece a quien la almacena, sino a quien decidió compartirla.

La inteligencia artificial necesita datos, pero la confianza los hace posibles

Resulta imposible hablar del futuro de la inteligencia artificial sin hablar del futuro de la privacidad.

Los modelos generativos, los asistentes digitales y los sistemas predictivos aprenden a partir de enormes volúmenes de información. Cuanto mayor es la calidad de los datos disponibles, mejores suelen ser los resultados obtenidos.

Sin embargo, el entusiasmo por desarrollar nuevas capacidades tecnológicas ha llevado a muchas organizaciones a olvidar una realidad elemental: la inteligencia artificial no funciona sin confianza.

Si las personas dejan de compartir información por temor a un uso indebido, los algoritmos pierden su principal materia prima.

La protección de datos ya no es únicamente un asunto de cumplimiento regulatorio. Es una condición indispensable para sostener la innovación.

Por ello, las empresas que integran principios de "privacidad desde el diseño" no solo reducen riesgos legales; también fortalecen la calidad de sus productos, mejoran la relación con sus clientes y construyen ventajas competitivas difíciles de replicar.

Lo ocurrido en el fútbol podría repetirse en cualquier industria

Hospitales, bancos, aseguradoras, universidades, cadenas comerciales, plataformas de movilidad y aplicaciones de entrega recopilan diariamente millones de datos personales. En muchos casos, también almacenan información biométrica.

La mayoría no ocupa titulares nacionales porque aún no ha enfrentado una sanción de alto perfil.

Pero eso no significa que el riesgo no exista.

Cada organización que solicita una fotografía, una huella digital, un reconocimiento facial o un documento oficial debería hacerse la misma pregunta que hoy enfrenta la Federación Mexicana de Futbol: ¿podría demostrar ante una autoridad que cada persona comprendió plenamente cómo serían utilizados sus datos?

En una economía donde prácticamente cualquier interacción deja un rastro digital, esa respuesta puede determinar tanto la reputación como la viabilidad futura de una empresa.

El próximo gran diferenciador competitivo será la confianza

Durante la primera etapa de internet, las organizaciones compitieron por conectarse. En la segunda, por digitalizar sus procesos. Después compitieron por recopilar datos y, más recientemente, por desarrollar inteligencia artificial.

La siguiente competencia será distinta.

Las empresas ya no ganarán únicamente por tener más información, sino por demostrar que saben administrarla con responsabilidad.

La multa impuesta a la Federación Mexicana de Futbol probablemente será recordada como uno de los primeros grandes precedentes mexicanos en materia de protección de datos biométricos. Sin embargo, su verdadera relevancia no radica en los 42.8 millones de pesos ni en el litigio que aún está por resolverse.

Lo importante es el mensaje que deja para el resto del mercado.

Los datos personales ya no pueden entenderse como un activo que las organizaciones adquieren mediante un clic. Son una extensión de la identidad de las personas. Cada fotografía, cada documento y cada registro digital representan un voto de confianza que los ciudadanos depositan en instituciones públicas y privadas.

En la era de la inteligencia artificial, esa confianza será mucho más difícil de obtener que cualquier avance tecnológico. Las organizaciones que comprendan esta realidad no solo evitarán multas; construirán relaciones más duraderas con sus clientes. Las que no lo hagan descubrirán demasiado tarde que el dato más valioso nunca fue la información que almacenaban, sino la confianza que les permitió obtenerla.