Más presión sobre la Federación Mexicana de Fútbol: el INAI investiga el uso de los datos biométricos de los aficionados

El Instituto Nacional de Transparencia, INAI, ha determinado este miércoles iniciar un procedimiento de sanción contra la poderosa Federación Mexicana de Fútbol, FMF o Femexfut, por el opaco uso de su aplicación Fan ID, con la que, a través de un tercero, recaba datos personales y biométricos de los asistentes a los estadios. Los comisionados del INAI han resuelto, en una sesión privada, que se investigue a la Femexfut, pero han dejado fuera de toda sanción a la firma Incode Technologies, que recopila la información personal de los aficionados y la transfiere a la Federación de Fútbol. La decisión llega en un momento extremadamente delicado para el INAI. Está en vías de desaparecer como órgano autónomo y pasar a manos del Gobierno, amén de que, en semanas previas, estalló un escándalo por la supuesta extorsión de parte de funcionarios del órgano de Transparencia a representantes de la Femexfut para atenuar las sanciones.

En México, una ley federal obliga a las empresas a proteger los datos personales que tengan bajo su responsabilidad, y a darles un uso legítimo, controlado y que garantice la privacidad de las personas que les otorgaron acceso a ellos. El Fan ID de la Femexfut recaba datos sensibles como nombre, teléfono, correo electrónico, fecha de nacimiento, identificación oficial —en la que se advierte normalmente el domicilio— e incluso un autorretrato del usuario, con la información biométrica que de suyo se puede obtener de una selfie para un reconocimiento facial, de retina o iris. El registro en Fan ID es obligatorio para acudir a un partido de futbol. Para la recopilación de esos datos, la Federación contrató a Incode Technologies, una firma que ha prestado servicios de autenticación biométrica al INE y a la Cámara de Diputados, lo mismo que a la banca privada.

La Femexfut implementó el sistema Fan ID en 2022, inicialmente con la finalidad de identificar —y sancionar— a los aficionados detrás del grito homofóbico que llevó a la FIFA a imponer duras sanciones a la Selección Mexicana y sus seguidores. Luego, tras el episodio de violencia extrema desatado por asistentes del Estadio Corregidora, de Querétaro, en marzo de ese año, la Federación defendió la utilidad de la aplicación para ayudar a las autoridades a identificar a posibles agresores. De hecho, en medio del procedimiento de sanción al que ha estado sujeta, la Femexfut ha promocionado que el sistema ayudó a identificar al sujeto que el pasado fin de semana golpeó a otro en el Estadio Olímpico Universitario, un episodio que se volvió viral en redes sociales.

La cuestión en el INAI estaba en determinar qué entidad es la principal responsable de la protección de los datos de los aficionados registrados en Fan ID. La ley distingue entre “responsable” y “encargado”. El primero es el que decide sobre los datos personales a su disposición, mientras que el segundo interactúa con esos datos por cuenta del responsable. Las personas físicas o morales deben presentar al usuario (titular de los datos) un Aviso de Privacidad en el que detallen qué tratamiento darán a su información personal. El usuario debe dar su consentimiento expreso a dicho aviso.

En sus alegatos ante el INAI, la Femexmut reconoció ser la responsable de los datos personales de los aficionados, mientras que Incode defendió ser solo encargada, por dedicarse a recopilar y transmitir la información a la Federación. No obstante, la Secretaría de Protección de Datos Personales del INAI concluyó que Incode conforma una base de datos que, si bien envía a la Femexmut, queda bajo su control; además, el Aviso de Privacidad del servicio de Fan ID lo despliega esa firma, no la Federación, en teoría la responsable final del tratamiento de los datos. De hecho, la página de la Femexfut en la que se pide la creación del Fan ID se establece que los datos personales proporcionados “son almacenados en un sistema biométrico respecto del cual Incode es responsable de implementar los controles de seguridad necesarios para proteger la confidencialidad, integridad y disponibilidad de estos”.

El proyecto que votaron este miércoles los comisionados del INAI buscaba iniciar por igual un proceso de sanción contra la Femexfut e Incode, por no acreditar que obtuvieron “el consentimiento expreso y por escrito de las personas titulares para el tratamiento de sus datos personales sensibles”, y por “no adoptar las medidas necesarias para garantizar el debido cumplimiento de los principios de protección de datos personales establecidos por la ley de la materia, transgrediendo los principios de información, lealtad, proporcionalidad, responsabilidad y licitud”. No obstante, tras una hora y media de sesión privada, los comisionados resolvieron únicamente iniciar el procedimiento sancionatorio contra la Femexfut, mientras que a Incode decidieron dejarle fuera de toda responsabilidad.

El INAI desaparecerá oficialmente el 20 de marzo, como parte de la reforma impulsada por Morena para extinguir las instituciones autónomas. El procedimiento de sanción contra Femexfut, y la eventual imposición de un castigo, quedará en manos de la Secretaría Anticorrupción y de Buen Gobierno, dependencia del Ejecutivo que asumirá las funciones del INAI. La investigación de este caso ha durado más de dos años, y se ha atrasado, en parte, por el proceso de desaparición al que el Instituto ha sido sometido por el oficialismo, que le orilló a una parálisis técnica de varios meses que le impidió sesionar.

En el largo camino de la investigación ha habido tropiezos y faltas al debido proceso. A finales de enero, cuando se iba a discutir la responsabilidad de la Femexfut e Incode —lo que finalmente sucedió este miércoles—, estalló en los medios la acusación de la Federación contra dos funcionarios que supuestamente, dos años atrás, habían exigido varias entradas para el partido inaugural del mundial de fútbol de 2026, que se jugará en el Estadio Azteca, en Ciudad de México, a cambio de ayudar a la Femexfut a reducir los alcances de la sanción. Los funcionarios señalados, Jonathan Mendoza, secretario de Protección de Datos del Instituto, y Miguel Novoa, director general de Protección de Derechos y Sanción, negaron los señalamientos, pero días después fueron expulsados del Instituto.

Fuentes del INAI consultadas por este periódico ven con escepticismo la resolución alcanzada contra la Femexfut, pues consideran que ha habido vicios corruptores que podrían beneficiar a la poderosa Federación en los tribunales, por ejemplo, el hecho de que se hayan filtrado partes del expediente y que algunos comisionados hayan adelantado el sentido de su voto antes de la sesión de este miércoles, además de la acusación de supuesta extorsión. Queda por verse si el intrincado manejo de datos personales y biométricos recabados por Fan ID impacta en la posición de México como sede de algunos partidos de la Copa Mundial de 2026.