Mientras el país sigue hablando del Mundial, la Federación Mexicana de Fútbol acaba de protagonizar uno de los autogoles más caros del año… y ocurrió fuera de la cancha.
La Secretaría Anticorrupción y Buen Gobierno impuso una multa por $42,849,095 debido a irregularidades en el tratamiento de datos personales mediante el sistema FAN ID.
Pero lo verdaderamente interesante no es solo la sanción, sino la forma en que fue calculada.
La autoridad tomó como referencia la declaración anual del ejercicio fiscal 2024 de la FMF. En otras palabras, el tamaño económico de una organización también puede convertirse en la medida de su castigo.
Dos errores que costaron $42.8 millones
Lo sorprendente es que la multa no nació de un sofisticado ciberataque ni de una filtración masiva de información.
Nació de dos decisiones aparentemente pequeñas.
- La primera: la FMF solicitó fotografías para generar el FAN ID, pero no informó claramente que serían utilizadas como datos biométricos, considerados datos personales sensibles.
- La segunda: pretendió acreditar el consentimiento mediante un simple checkbox de “Acepto los términos”.
Para la autoridad, eso no fue suficiente.
Cuando se tratan datos personales sensibles, el consentimiento debe poder atribuirse de manera inequívoca a la persona que lo otorgó. Un clic, por sí solo, difícilmente acredita esa voluntad.
En otras palabras, el checkbox no pasó la revisión del VAR.
La verdadera lección
En el fútbol suele decirse que los partidos se ganan en la cancha, pero se preparan durante la semana. El resultado visible depende de una estructura previa que casi nadie observa.
En materia de datos personales ocurre exactamente lo mismo.
El cumplimiento no depende solo de tener un Aviso de Privacidad bien redactado. Depende de todo lo que sucede detrás: cómo se obtiene el dato, cómo se informa al usuario, cómo se acredita su consentimiento y qué evidencia conserva la empresa.
La multa de la FMF no nació cuando intervino la autoridad. El partido se había perdido mucho antes, desde el diseño del proceso.
¿Qué deben hacer las empresas? No se trata de volver al papel.
Se trata de revisar si los mecanismos digitales realmente generan evidencia jurídica suficiente.
Firmas electrónicas, autenticación multifactor, pruebas de vida y otros sistemas pueden ayudar a acreditar quién otorgó el consentimiento y bajo qué condiciones, sin convertir a la empresa en una bóveda de datos biométricos.
La privacidad dejó de ser un documento. Hoy es una decisión de diseño.
En materia de datos personales, no siempre se necesita un gran ciberataque para perder el partido.
A veces, un error defensivo en el diseño del proceso basta para dejar a la empresa frente a una sanción millonaria.
