En los últimos años, muchos grandes clubes han intentado modernizar su relación con los socios a través de herramientas digitales. El FC Barcelona dio un paso más al impulsar un sistema que permitía verificar la identidad de sus socios mediante datos biométricos, como la voz o la imagen facial, dentro de su proceso de actualización del censo. La iniciativa buscaba reforzar la identificación y reducir posibles suplantaciones. Sin embargo, este proyecto ha terminado generando un conflicto regulatorio que se ha salvado con una multa de 500.000 euros impuesta por la Agencia Española de Protección de Datos (AEPD).
El expediente. La AEPD no cuestiona de forma genérica el uso de herramientas biométricas, sino un requisito previo que el regulador considera imprescindible. De acuerdo con El Confidencialel FC Barcelona no llevó a cabo una evaluación de impacto en protección de datos ajustada a lo que establece el artículo 35 del Reglamento General de Protección de Datos (RGPD). Este tipo de análisis debe realizarse antes de poner en marcha tratamientos que pueden suponer un riesgo elevado para los derechos y libertades de las personas afectadas.
Perfil Digital del socio. En ese proceso, el sistema procesaba determinados rasgos biométricos con el objetivo de autenticar a cada persona dentro del ecosistema digital del club. La documentación analizada por la AEPD señala que el mecanismo permitía “generar vectores biométricos a partir de la imagen del socio y de su voz para su autenticación”. Estos vectores se empleaban como referencia para validar la identidad del socio en distintos trámites vinculados con el club.
Campaña organizada en varias fases. La fase de verificación comenzó el 21 de marzo de 2023 mediante herramientas digitales de identificación. De esta forma, los socios podrían completar el proceso de actualización tanto a distancia como de manera presencial. El sistema también contemplaba una vía alternativa para quienes no quisieran utilizar biometría, que podían seguir identificándose mediante mecanismos tradicionales.
El factor escala. Uno de los elementos que el regulador tuvo en cuenta fue el número de personas afectadas por el sistema. El censo del FC Barcelona ronda los 143.000 socios, lo que sitúa el proyecto en una dimensión especialmente sensible desde el punto de vista de protección de datos. Este volumen, a juicio de la AEPD, elevaba el nivel de riesgo potencial para los derechos y libertades de los afectados.
Proceso previo de evaluación. El RGPD obliga a realizar una evaluación de impacto en protección de datos cuando un tratamiento puede suponer un riesgo elevado para los derechos y libertades de las personas. Durante la investigación, recoge el medio mencionado, el FC Barcelona presentó informes sobre los sistemas biométricos empleados en el proyecto. La AEPD concluyó que esos documentos no podían considerarse una evaluación de impacto completa en los términos exigidos por el artículo 35 del Reglamento.
Esquivando una infracción. El artículo 9 del RGPD regula, entre otros aspectos, el tratamiento de datos biométricos cuando se utilizan para identificar de forma unívoca a una persona, dentro de las llamadas categorías especiales de datos. Según recoge la resolución, la AEPD decidió finalmente archivar esa posible infracción al no quedar acreditados los elementos necesarios para aplicar ese precepto.
La respuesta. El FC Barcelona ha decidido recurrir la sanción impuesta por la AEPD y defiende su actuación en el proceso de actualización del censo. Los servicios jurídicos del Barça también destacan que la sanción planteada inicialmente era mucho mayor que la finalmente fijada por el regulador. En palabras del club, se propuso una sanción de casi 6 millones de euros, pero lograron reducirla hasta los 500.000 euros.
Imágenes | Fikri Rasyid
En Xataka | OpenAI se las prometía muy felices como nueva IA del ejército. Hasta que millas de usuarios empezaron a desinstalar ChatGPT
