Noticias
Alerta para Clientes - Primeros criterios públicos de la SABG en materia de protección de datos personales tras la resolución del caso FAN ID
El 12 de julio de 2026, la Secretaría Anticorrupción y Buen Gobierno (“SABG”) impuso una multa de $42,849,095.00 pesos a la Federación Mexicana de Futbol Asociación, A.C. (“FMF”) por incumplimientos a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares(1) (“LFPDPPP”) relacionados con el tratamiento de datos personales a través del sistema FAN ID.(2)
De acuerdo con el comunicado emitido por la autoridad, la SABG concluyó que la FMF: (i) omitió informar en su aviso de privacidad que las fotografías recabadas constituían datos personales sensibles; (ii) obtuvo el consentimiento para el tratamiento de dichos datos mediante una casilla de verificación en un sitio web, sin implementar un mecanismo que permitiera acreditar de manera inequívoca el consentimiento expreso y por escrito exigido por la legislación aplicable; e (iii) incumplió los principios de licitud y responsabilidad al no adoptar las medidas necesarias para garantizar el debido tratamiento de los datos personales.
Aunque la resolución puede ser impugnada mediante los medios de defensa previstos por nuestro sistema jurídico, constituye uno de los primeros pronunciamientos públicos en los que se conocen los criterios adoptados por la SABG al ejercer sus facultades de supervisión y sanción en materia de protección de datos personales desde que asumió las atribuciones del extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (“INAI”).
Principales implicaciones
Más allá del monto de la sanción, la resolución ofrece indicios relevantes sobre la forma en que la autoridad parece interpretar las obligaciones previstas en la LFPDPPP y las áreas que previsiblemente concentrarán su actividad de supervisión.
Del comunicado y de las conductas sancionadas pueden desprenderse tres áreas de particular atención para la autoridad: (i) la transparencia respecto del tratamiento de datos personales sensibles; (ii) la obtención y conservación de evidencia suficiente del consentimiento cuando éste resulte legalmente exigible; y (iii) la implementación efectiva de medidas de cumplimiento derivadas del principio de responsabilidad.
Resulta especialmente significativo que la resolución no derive de una vulneración de seguridad, un acceso no autorizado o una filtración de información. Las conductas sancionadas están relacionadas principalmente con la manera en que el responsable documentó el tratamiento de los datos personales y obtuvo el consentimiento de sus titulares. Ello sugiere que la supervisión de la autoridad no se limitará a investigar incidentes de seguridad, sino que también abarcará el cumplimiento cotidiano de las obligaciones previstas en la LFPDPPP.
Asimismo, aunque el comunicado oficial no desarrolla el razonamiento completo contenido en la resolución, resulta relevante que la SABG haya considerado un incumplimiento a los principios de licitud y responsabilidad además de las infracciones específicas relacionadas con el aviso de privacidad y el consentimiento. De confirmarse este enfoque en futuras resoluciones, podría anticiparse una interpretación más amplia del principio de responsabilidad, bajo la cual la autoridad valore no sólo la existencia formal de políticas y documentos, sino también la implementación efectiva de medidas de gobernanza y control durante todo el ciclo de vida del tratamiento de los datos personales.
Si bien el caso involucra datos biométricos, las obligaciones analizadas por la autoridad trascienden ese contexto. Los requisitos relativos al contenido del aviso de privacidad, la obtención del consentimiento, la implementación de medidas de seguridad y el cumplimiento del principio de responsabilidad resultan aplicables a cualquier organización que recabe, utilice, almacene o transfiera datos personales en México. El tratamiento de datos biométricos únicamente incrementa el nivel de exigencia aplicable al involucrar datos personales sensibles.
Aspectos que las empresas deberían revisar
A la luz de este precedente, resulta recomendable que las organizaciones revisen, entre otros, los siguientes aspectos de sus programas de cumplimiento:
Aspecto | Preguntas que conviene plantearse |
Avisos de privacidad | ¿El aviso de privacidad identifica correctamente las categorías de datos personales tratadas y distingue expresamente los datos personales sensibles cuando corresponda? |
Consentimiento | ¿La empresa puede acreditar, mediante evidencia verificable, el consentimiento expreso y por escrito cuando la legislación lo exige? |
Procesos digitales | ¿Las plataformas, aplicaciones y formularios electrónicos implementan mecanismos adecuados para documentar el consentimiento y conservar evidencia de éste? |
Datos sensibles | ¿El tratamiento de datos biométricos, de salud u otros datos sensibles resulta necesario y cuenta con las salvaguardas jurídicas y operativas correspondientes? |
Gobernanza | ¿Existen políticas, procedimientos, registros, programas de capacitación y mecanismos de supervisión que permitan demostrar el cumplimiento del principio de responsabilidad? |
Proveedores | ¿Los contratos celebrados con encargados del tratamiento y proveedores tecnológicos regulan adecuadamente las obligaciones en materia de protección de datos personales y seguridad de la información? |
Magnitud de las sanciones
La LFPDPPP prevé multas calculadas con base en la Unidad de Medida y Actualización (“UMA”)(3), las cuales pueden duplicarse cuando las infracciones involucren datos personales sensibles.
Tipo de infracción | Exposición aproximada |
Omisiones relacionadas con el aviso de privacidad | Hasta $18.7 millones de pesos |
Consentimiento insuficiente y otras infracciones de mayor gravedad | Hasta $37.5 millones de pesos |
Incremento aplicable cuando intervengan datos personales sensibles | Hasta $75 millones de pesos |
La multa impuesta en este caso, cercana a $43 millones de pesos, demuestra que la autoridad está dispuesta a imponer sanciones de magnitud considerable cuando advierta incumplimientos relacionados con el tratamiento de datos personales sensibles.
Asimismo, constituye un recordatorio de que la exposición regulatoria no depende exclusivamente de la existencia de una vulneración de seguridad o de un incidente de datos personales, sino también del cumplimiento de obligaciones estructurales relacionadas con la transparencia, el consentimiento y la responsabilidad.
Reflexiones finales
Aun cuando será necesario conocer el texto íntegro de la resolución para evaluar con mayor detalle el razonamiento adoptado por la SABG, este precedente permite advertir algunos de los criterios que la autoridad ha utilizado al ejercer sus facultades de supervisión y sanción en materia de protección de datos personales.
En este contexto, resulta aconsejable que las organizaciones revisen periódicamente si sus prácticas actuales de tratamiento de datos personales, así como la documentación que las respalda, reflejan adecuadamente la manera en que sus operaciones, plataformas digitales y procesos internos funcionan en la práctica. Con frecuencia, los programas de cumplimiento evolucionan a un ritmo distinto al de las operaciones del negocio, lo que puede generar brechas entre la documentación existente y la realidad operativa.
Esta resolución constituye un recordatorio de que el cumplimiento en materia de protección de datos personales debe entenderse como un proceso continuo y no como un ejercicio meramente documental. Conforme la SABG continúe desarrollando criterios de interpretación y aplicación de la LFPDPPP, es previsible un mayor nivel de escrutinio respecto de la forma en que las organizaciones implementan y documentan sus programas de cumplimiento.
(1) Publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, junto con su Reglamento y demás disposiciones aplicables. El valor de la
(3) UMA para 2026 en México es de $117.31 pesos diarios.