En su momento, era la única salida para los dueños de los clubes de la Liga BBVA del futbol mexicano. La violencia desatada por las barras tuvo uno de sus peores eventos en el estadio Corregidora de Querétaro, ese sábado 5 de agosto del 2022, y la Federación Mexicana de Futbol decidió implementar un registro de aficionados.
La recopilación de los datos personales —identificación oficial vigente, número celular y una selfie— que permitiría la verificación de la identidad de los asistentes a los estadios quedó a cargo de la firma Incode Technologies. Entre sus funciones específicas estuvo la creación de un sistema biometrico para el almacenamiento de los datos y la implementación los controles de seguridad para proteger la confidencialidad, integridad y disponibilidad de estos.
En el proceso, contó con el acompañamiento del Instituto Nacional de Acceso a la Información, entonces encabezado por el comisionado Francisco Acuña Llamas. Si la implementación del FAN ID se apegó a los lineamientos sugeridos por la autoridad regulatoria a la Federación, se comprobaría en la práctica.
Pasaron cuatro torneos de la máxima liga del balompié nacional hasta que se generaron —en el verano del 2024— los primeros señalamientos periodísticos sobre la aplicación de Incode. El entonces presidente del Inai, Adrián Alcalá, instruyó a la Secretaría de Protección de Datos Personales que atendiera las denuncias.
Justo antes de que el Pleno resolviera sobre el asunto, directivos de la FMF denunciaron un presunto intento de extorsión. El proyecto original definía que los datos biométricos, debía considerarse información de carácter sensible. Los comisionados Alcalá y Josefina Román no manifestaron comentario alguno, mientras que las Blanca Lilia Ibarra y Norma Julieta del Río argumentaron en contra. A su juicio, el análisis sobre la sensibilidad de los datos es insuficiente y no cumple con los requisitos legales para justificar sanciones.
La investigación revelaba que los asistentes a los estadios no dieron su consentimiento para que su información fuera tratada en el ID wallet a pesar de que aceptaron generar su FAN ID. La determinación sobre si la firma tecnológica era encargada o responsable del tratamiento de los datos era procedente, antes de establecer quien había incumplido con sus obligaciones. Siempre hubo claridad sobre un punto: la FMF tenía la facultad de determinar si los datos eran sensibles y que no lo eran, por lo que puede acusársele de incumplir recomendaciones que no eran obligatorias.
Sin embargo, entonces hubo evidencia de que las áreas técnicas del Inai realizaron la investigación sin notificarles formalmente o darles oportunidad de defenderse. Ante esos visos de origen y la denuncia presentada por la FMF por la presunta extorsión, los comisionados postergaron su decisión. Discutieron el nuevo proyecto en febrero 2025. El disenso entre los comisionados impidió que hubiera una sanción.
Incluso antes de la resolución de Transparencia para el Pueblo, divulgada el pasado domingo 12, la Federación se asumió como responsable de recabar los datos personales de los asistentes a los estadios y de manejarlos “con medidas de seguridad sólidas y adecuadas” para la generación y gestión de su FAN ID.
Nunca hubo duda o controversia sobre las funciones de Incode Technologies ni de la transferencia de los datos personales. El prestador de servicios recabó los datos personales para la generación de un Incode ID Wallet y, además, para la generación de una FAN ID. También quedó obligado a brindará las medidas de seguridad tecnológicas para proteger la integridad, disponibilidad y confidencialidad de sus datos personales, en su calidad de Encargado de la FMF.
