La Secretaría Anticorrupción y Buen Gobierno multó a la Femexfut con 42.8 millones de pesos por el manejo indebido del consentimiento en el sistema Fan ID. La sanción castiga cómo se recolectaron los datos —una casilla marcada, sin firma ni verificación real—, pero no toca el fondo del asunto: millones de rostros siguen almacenados sin que nadie haya explicado qué pasará con ellos. El reconocimiento facial en estadios de México lleva más de cuatro años operando bajo esa ambigüedad, y esta multa apenas empieza a ponerle precio.
Una multa que llega tarde y resuelve poco
El expediente lo abrió el extinto INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) hace más de un año. La resolución, publicada el 12 de julio de 2026, es clara en el diagnóstico: la Femexfut se limitó a un clic en un sitio web para dar por hecho el consentimiento de millones de aficionados. En un reportaje publicado por El País se detalla que ese mecanismo viola directamente la Ley Federal de Protección de Datos Personales, que exige consentimiento verificable —firma autógrafa, electrónica o algo equivalente— y no una simple palomita prellenada.
¿Por qué esto debería importarle a cualquier director, no solo a la Femexfut?
Porque la lógica de “clic y ya” es exactamente la que usan miles de empresas en México para checkboxes de términos y condiciones, apps de lealtad o registros de eventos. La Femexfut no hizo algo exótico: hizo lo que hace la mayoría, a una escala mucho mayor y con datos mucho más sensibles.
Si tu empresa recolecta biometría —control de acceso, asistencia, verificación de identidad— y tu consentimiento se resuelve con una casilla, técnicamente estás en el mismo terreno que acaba de costarle 42.8 millones de pesos a una federación deportiva.
El reconocimiento facial en estadios de México siguió operando cuatro años sin consentimiento válido
Ese es el dato que más debería incomodar. El sistema arrancó tras la violencia del estadio Corregidora en 2022, se implementó con la empresa Incode, y ató el rostro de cada aficionado a su boleto y tarjeta de crédito.
Organizaciones como R3D advirtieron desde el inicio que era una medida desproporcionada frente al problema que decía resolver. Según reportó R3D, el reconocimiento facial obligatorio vulneraba derechos humanos sin garantías claras sobre el destino de esas bases de datos. La advertencia se cumplió: el sistema siguió operando, con datos acumulándose, mientras la autoridad tardaba años en resolver algo tan básico como si el consentimiento había sido válido.
Hay un dato adicional que vale la pena tratar con cautela: se ha reportado, como autoevaluación propia de cada empresa involucrada más que como hecho verificado de forma independiente, que el sistema se conectó con Plataforma México, la red nacional de bases de datos criminalísticas. Si eso es exacto, el alcance de esos rostros va mucho más allá del estadio.
¿Qué pasa con los millones de rostros ya almacenados?
Nada, hasta ahora. La resolución sancionó el proceso de consentimiento, no ordenó borrar la base de datos biométrica acumulada. Es la parte que ninguna nota destacó lo suficiente: puedes multar a alguien por cómo pidió tu rostro, y aun así dejar tu rostro exactamente donde estaba.
Para dimensionar el problema, así se ve la cronología completa:
| Fecha | Evento |
|---|---|
| Marzo 2022 | Violencia en el estadio Corregidora detona el proyecto Fan ID |
| 2022 | R3D advierte que el reconocimiento facial obligatorio es desproporcionado |
| Agosto 2022 | Femexfut y Liga MX anuncian que dejarán de recabar biometría (varios estadios ya la tenían instalada) |
| 2023-2025 | El sistema sigue operando en estadios como Jalisco, BBVA y Nemesio Díez |
| Julio 2026 | Sanción de 42.8 mdp por consentimiento inválido; los datos ya recabados no se eliminan |
La lección para cualquier empresa que recolecta datos biométricos
Si tu negocio toca reconocimiento facial, huella o cualquier dato biométrico —control de acceso, apps, eventos corporativos— este caso es el mapa de lo que NO hacer: consentimiento simulado, sin fecha de expiración de los datos, sin plan claro de eliminación.
La multa a la Femexfut no es un caso aislado de fútbol; es la muestra de que el regulador mexicano ya está dispuesto a sancionar exactamente este patrón. Es justo el tipo de riesgo regulatorio y reputacional que abordo en mis conferencias de inteligencia artificial para empresas, porque casi ninguna organización tiene claro dónde termina su responsabilidad legal sobre datos biométricos.
Si quieres profundizar en cómo funciona la tecnología detrás de estos sistemas y por qué el consentimiento técnico no es lo mismo que el legal, tengo una guía completa sobre qué es la inteligencia artificial que conecta estos conceptos de forma práctica. Y si te interesa recibir este tipo de análisis apenas pasa —antes de que se vuelva nota masiva— puedes sumarte a mi lista de correo diaria.
El reconocimiento facial en estadios de México seguirá siendo un tema abierto mientras la sanción no venga acompañada de un plan real de eliminación de datos. Por ahora, la multa cierra un expediente administrativo, no el riesgo.
Supervisado por Santiago González y Musi.
