Sobre aviso no hay engaño
¿ Q ué pasó con la FMF y la multa impuesta por la SABG?
Recientemente nos enteramos de que la Federación Mexicana de Futbol (FMF) fue sancionada por la Secretaría Anticorrupción y Buen Gobierno (SABG), debido a una serie de incumplimientos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), pero hay cosas que usted, amable lector, debe saber:
1) Esta ley no es nueva, como algunos comunicadores han dicho, esta ley surge en julio de 2010 y en 2025 se reestructuró dado que el Gobierno de Claudia Sheinbaum desapareció al Instituto Nacional de Acceso a la Información y Protección de Datos Personales (INAI).2) El INAI justo advirtió a la FMF sobre los riesgos en el diseño, seguridad y gestión del FanId que entraría en operación luego de los trágicos acontecimientos en Querétaro de 2022, advirtiendo sobre violaciones a la LFPDPPP en 3) La FMF ha dicho que no fueron vulnerados los datos recabados, pero la ley no aplica sólo ante vulneraciones, sino que también se anticipa a riesgos y este fue el caso.4) Hay al menos cuatro casos de multas millonarias previas al caso de la FMF, el más reciente fue el de Banorte al que el INAI sancionó con 32 millones de pesos, pero sólo en el sector financiero las sanciones cumuladas sumaban $183 millones 705 mil 889 pesos;$46 millones 605 mil 371, al sector de información en medios masivos; $19 millones 562 mil 990 en 13 multas al sector de comercio al por menor.5) De acuerdo con la decisión de la SABG (quien concluyó el caso iniciado por el INAI en 2022), la FMF incurrió en infracciones por no informar adecuadamente a las personas usuarias sobre el carácter sensible de los datos biométricos y por no obtener su consentimiento expreso por escrito para tratarlos.La LFPDPPP en un inicio fue la vanguardia en América Latina, pero ante la desaparición del INAI y la posterior inserción de sus funciones dentro de una secretaría como organismo garante, la Ley quedó disminuida, pero no inoperante.
La ley desde su concepción se compone de 8 principios y dos deberes, dichos principios son:
Licitud: Que significa tratar los datos apegándose estrictamente a las leyes mexicanas y al derecho.
Consentimiento: Que se refiere a la forma en que se obtiene la autorización expresa o tácita del titular para usar sus datos.
Información: Dar a conocer las características del tratamiento mediante el Aviso de Privacidad.
Calidad: Asegurar que los datos recolectados sean exactos, pertinentes, correctos y actualizados.
Finalidad: Utilizar los datos únicamente para los objetivos declarados en el Aviso de Privacidad.
Lealtad: Que quien trata y/o es el responsable de tratamiento de los datos personales recabados proteja los intereses del titular, sin usar engaños o medios fraudulentos para obtener datos.
Proporcionalidad: Esto se refiere a solicitar solo los datos estrictamente necesarios para la finalidad perseguida.
Responsabilidad: Velar y responder por el cumplimiento de todos los principios, incluso ante terceros, que es precisamente lo que tiene que ver con la advertencia que el INAI hizo en 2022 y que no fue atendida.
Los 2 Deberes Fundamentales son la Seguridad, de establecer y mantener medidas administrativas, técnicas y físicas para evitar daños, pérdidas o accesos no autorizados y la Confidencialidad al guardar secreto respecto de los datos personales, obligación que subsiste aun después de finalizar la relación con el titular de los datos personales.
Según la SABG, la sanción proviene básicamente de la falta de un consentimiento libre, informado y expreso para el tratamiento de datos sensibles, como lo son los datos biométricos (Principio de consentimiento); y de la ausencia de información suficiente para que las personas comprendieran el alcance del tratamiento de sus datos antes de decidir si aceptaban registrarse (Principio de información).
Esta columna está dirigida a tratar temas de cumplimiento legal y la prevención de riesgos de sanciones desde la óptica de la prevención y el valor económico que conlleva.
La enseñanza que nos deja este caso para quienes dirigimos empresas, es que:
1. Debemos conocer los riesgos de manejar datos personales de clientes, proveedores y empleados.2. Tomar medidas de control y prevención de riesgos de sanciones y vulneraciones, pues al final estos son una señal para el mercado, es decir le decimos a clientes y proveedores que pueden hacer negocios con una empresa que cuida su información.Espero encontrarnos cada semana en este espacio y juntos la construyamos, por el momento le deseo buenos y prósperos negocios.