Golpe a LaLiga por el control a los ultras: multa de 1M y retirada de la vigilancia biométrica en los estadios

LaLiga ha recibido un revés por parte de la Agencia Española de Protección de Datos (AEPD). El organismo dirigido desde hace unos días por Lorenzo Cotino ha impuesto una sanción de un millón de euros a la patronal del fútbol profesional y ha ordenado que comunique a sus clubes y sociedades anónimas deportivas (SAD) la suspensión del sistema de acceso biométrico que se utilizaba en las gradas de animación de los estadios de Primera y Segunda División, áreas frecuentadas habitualmente por grupos ultras.

"Para salvaguardar el derecho fundamental de los abonados a las gradas de animación", el expediente ordena a LaLiga que “limite temporal o definitivamente el tratamiento”, con el sistema de reconocimiento biométrico para los accesos a la grada de animación de los Clubes y SAD afiliados. Protección de Datos continúa que LaLiga debe trasladar a sus asociados "la suspensión definitiva del tratamiento de datos biométricos en tanto en cuanto no se ejecute y supere una Evaluación de Impacto en Protección de Datos" que aborde el específico régimen de acceso a las gradas de animación con datos biométricos, "con el contenido preceptuado en las disposiciones que lo regulan".

El argumento de la AEPD en la resolución es claro: LaLiga implementó un sistema de reconocimiento biométrico sin cumplir con los requisitos esenciales de protección de datos. "El tratamiento analizado carece de las garantías mínimas exigibles por la falta de la presentación y superación de la EIPD", señala el expediente.

Una resolución que desde LaLiga rechazan por considerar que se basa en premisas rotundamente erróneas y que va en contra de las tendencias europeas en materia de seguridad en los estadios. Por este motivo, muestran su voluntad de recurrir la sanción.

TE PUEDE INTERESAR

La Ley de Protección de Datos también protege a los ultras: "Sentimos impotencia y frustración"

Kike Marín

Según Protección de Datos, la organización presidida por Javier Tebas no llevó a cabo la EIPD, un requisito obligatorio cuando se gestionan datos sensibles como la identificación facial o la huella dactilar de los abonados. Además, se le reprocha haber diseñado e impuesto este sistema sin ofrecer garantías suficientes para los derechos de los aficionados.

La patronal implantó este tipo de control en la temporada 2015/2016, alegando su adecuación al Reglamento Europeo de Protección de Datos, que supuestamente le facultaba para adoptar medidas en función del "interés público", como la prevención de "delitos de odio". Sin embargo, según la AEPD, este método no solo obligaba a los aficionados a ceder datos altamente sensibles sin una justificación suficiente, sino que tampoco garantizaba alternativas adecuadas para quienes no quisieran someterse a este control.

El impulso del sistema

El regulador destaca que el organismo dirigido por Tebas impuso este sistema en sus normativas internas, dejando a los clubes con escaso margen de maniobra. “El establecimiento de un sistema biométrico de acceso a los recintos deportivos procede de la decisión unilateral de LaLiga, manifestada en el Reglamento de Venta de Abonos y Entradas (RVAE), integrado en el Reglamento de la competición”, señala el expediente.

Además, la AEPD subraya que LaLiga debería haber realizado una evaluación de impacto antes de implantar el sistema, pero no lo hizo. "Una EIPD es un proceso concebido para describir el tratamiento de datos de carácter personal, evaluar su necesidad y proporcionalidad y ayudar a gestionar los riesgos para los derechos y libertades de las personas físicas derivados de tal tratamiento, identificándolos, evaluándolos y determinando las medidas para mitigarlos. Definirlo como proceso significa que no es una actividad puntual y aislada en el tiempo", recoge la resolución.

Respaldo legal

El regulador ha determinado que LaLiga no contaba con una base legal suficiente para exigir el control de acceso mediante datos biométricos. "El informe determina que el apoyo normativo del artículo 13.1 de la Ley 19/2007, que se desarrolla en el artículo 15.3 del RD 2023/2010 hace referencia a sistemas de verificación de la identidad, pero no contempla la posibilidad de que dichos sistemas puedan implicar tratamiento de datos biométricos, ni establece garantías pertinentes y adecuadas para la protección del derecho fundamental a la protección de datos personales", señala el expediente.

Durante el procedimiento sancionador, la patronal del fútbol profesional argumentó que su normativa se apoyaba en la Ley contra la Violencia en el Deporte y en el Reglamento de prevención de la violencia, el racismo, la xenofobia y la intolerancia en el deporte.

El regulador recuerda que los datos biométricos están catalogados como "categoría especial" en el Reglamento General de Protección de Datos (RGPD) y que su tratamiento “en principio está prohibido”, salvo que se justifique con una habilitación legal clara y específica y con garantías adecuadas para la protección de los derechos fundamentales. La AEPD insiste en que el uso de tecnologías como el reconocimiento facial o la huella dactilar para controlar accesos "exige una evaluación previa de proporcionalidad, necesidad e idoneidad del tratamiento", un paso que LaLiga no llevó a cabo antes de implantar el sistema.

En el expediente sancionador se menciona también que existían otros métodos de control de acceso menos invasivos, como la identificación manual con DNI o abonos nominativos, los cuales habrían sido suficientes para garantizar la seguridad. Al no justificar por qué la biometría era imprescindible, la AEPD concluye que se produjo un uso desproporcionado de la tecnología en relación con los riesgos que se pretendían mitigar.

Reacción de LaLiga y batalla judicial en camino

Tras la publicación de la sanción, LaLiga ha anunciado que recurrirá la resolución ante la Audiencia Nacional, calificándola de “basada en premisas rotundamente erróneas”. Fuentes del organismo presidido por Javier Tebas sostienen que la patronal “no puede ser legalmente responsable del tratamiento de los datos biométricos utilizados en las gradas de animación de los estadios, al no tratar directamente dichos datos, no mantener ninguna relación con los aficionados de los clubes ni tomar decisiones sobre su gestión”.

En este sentido, insisten en que resulta “materialmente imposible que pueda realizar una evaluación de impacto relativa a la protección de datos en los términos que exige la ley”. Asimismo, recuerdan que la normativa interna de control en los estadios fue aprobada por el Consejo Superior de Deportes (CSD) en el marco de sus funciones públicas de supervisión y control de la legalidad. “Nunca se trató de una decisión arbitraria y unilateral de LaLiga”, recalcan.

Pese a la sanción, la entidad reafirma su compromiso con “garantizar la seguridad de los jugadores y de los aficionados” y asegura que “desarrollará todas las acciones oportunas para lograr que se adopten las medidas legislativas necesarias para combatir la lacra de la violencia, el racismo, la xenofobia y la intolerancia en el deporte”.

Por último, LaLiga recuerda que ya venció a la AEPD en una disputa similar ante el Tribunal Supremo. El pasado verano, el Alto Tribunal revocó una sanción de 250.000 euros impuesta por la AEPD debido a la activación del micrófono de los usuarios que habían dado su consentimiento a través de la aplicación oficial de la patronal del fútbol profesional.