Estefanía Rueda García
Con la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) en marzo de 2025, se pensó que la absorción de sus funciones por parte de la Secretaría Anticorrupción y Buen Gobierno (SABG), no sería suficiente para garantizar la privacidad y la protección de datos personales de los particulares, sin embargo, hoy podemos constatar que la vigilancia de la ley de la materia está más viva que nunca.
La multa que la Secretaría Anticorrupción impuso recientemente a la FIFA por casi 43 millones de pesos, derivada de un tratamiento de datos personales sensibles fuera del marco regulatorio, ha dejado claro que este no es un tema del pasado: las normas no sólo continúan vigentes, sino que también la autoridad sigue supervisando su cumplimiento.
Esta sanción se relaciona con el sistema Fan ID que habilitó la FIFA en nuestro país para que los asistentes a partidos de la Copa del Mundo tuvieran acceso a beneficios especiales. El quebrantamiento legal ocurrió al solicitarles a los aficionados proporcionar su fotografía para tramitar éste de manera electrónica.
Y es que, de acuerdo con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la fotografía de una persona es considerada como un dato personal sensible, ya que su uso indebido "puede dar origen a discriminación” o generar un daño grave para el titular, como, por ejemplo, la suplantación de identidad en redes sociales o, incluso, en cuentas bancarias.
Es por ello que la misma legislación establece una protección adicional y especial para procesar dicha información. En estos casos, la persona física o moral que va a utilizar la información no solo debe informar a través de un aviso de privacidad los datos personales que se tratarán y para qué; con la finalidad de que los dueños de las fotos acepten de manera expresa dicho tratamiento de datos.
Lo interesante en este caso es que la Secretaría consideró que no era suficiente que los aficionados marcaran en la plataforma una casilla aceptando compartir sus datos, pues por un lado, la FIFA no proporcionó a los particulares el aviso de privacidad que cumpliera con todos los requisitos de la legislación mexicana y, por el otro, no había elementos suficientes para que la FIFA pudiera acreditar la identidad de la persona que marcaba la casilla, ya sea a través de una firma autógrafa o electrónica o, bien, de un usuario y contraseña.
Es importante considerar que aunque la FIFA no sea una persona moral mexicana, está sujeta a la ley de protección de datos de nuestro país en virtud de que el tratamiento de los datos (ej. recabar información) se está llevando a cabo en México.
Adicionalmente, nuestra legislación establece que quien procesa la información es quien tiene la obligación de probar el haber recabado el consentimiento de los dueños de los datos y, en el caso de información sensible, debe ser claro que el titular de éstos fue quien aceptó que se utilizara su información y que la misma incluía datos sensibles.
Este caso adquiere especial relevancia para los empleadores que recaban fotografías u otros datos sensibles de su personal, tales como resultados de exámenes médicos y psicológicos, identidad de género, resultados de estudios socioeconómicos, así como cualquier otro dato que pudiera ocasionar que la persona sea víctima de discriminación.
En este supuesto, es muy importante que los patrones verifiquen si cuentan con avisos de privacidad robustos que no sólo cumplan con todos los requisitos legales, sino que también prevean el tratamiento de información sensible y que permitan a los trabajadores que manifiesten si están de acuerdo con éste o no, ya sea a través del llenado de casillas o declarar con sus palabras tal acuerdo. Finalmente, la firma del empleado en el aviso, así como la inclusión de su nombre completo, permitirá asegurar la identidad de la persona que está autorizando a la organización el uso de su información personal sensible.
Lo anterior, aunado a procesos y políticas internas que garanticen la seguridad de los datos personales, permitirá que las empresas eviten la aplicación de multas cuantiosas como la que recibió la FIFA.
*Socia de Littler
X: @Littler