El Estadio Corona será sancionado por obtener datos personales de menores sin consentimiento de sus padres para la FanID.

El Estadio TS Corona será sancionado por el INAI por obtener datos de menores sin el consentimiento de sus padres para la FanID.

Un padre denunció al Estadio por el tratamiento indebido de los datos personales de su hijo menor de edad, ya que no obtuvo el consentimiento de sus padres para la obtención de la FanID para el ingreso al estadio. Asimismo, alegó que se recolectó datos biométricos faciales sin una debida finalidad y proporción.

El INAI realizó una visita al Estadio y constató que no cuenta con la tecnología necesaria para el análisis de biometría facial a partir de la fotografía digital tomada al menor para el registro de asistencia mediante la plataforma yosoyaficionado.com. Sin embargo, acreditó que sí trató datos del menor, tales como nombre, género, fecha de nacimiento, correo electrónico, número de teléfono celular e imagen digital.

En cuanto al consentimiento, el Estadio indicó que lo obtuvo del padre, conforme a la credencial de elector obtenida mediante la plataforma; no obstante, esta correspondía al abuelo materno. El Pleno determinó que esto no acreditaba el consentimiento de uno de los padres y que la plataforma no cuenta con controles precisos para el registro de un menor de edad.

El análisis al contrato de prestación de servicios entre el Estadio y la empresa encargada de la plataforma no evidenció una instrucción para el bloqueo y supresión de los datos. El Estadio tampoco acreditó un periodo de conservación proporcional a la finalidad, ni un proceso de bloqueo y supresión, por lo que no garantizaba la debida protección de los datos, incumpliendo así con el principio de responsabilidad y por consiguiente, el de licitud.

En cuanto a los principios de finalidad y proporcionalidad, el Pleno manifestó que los datos del menor guardan relación lógica con las finalidades previstas en el Aviso de Privacidad. Estas finalidades consistían en fines estadísticos, control y administración de la asistencia, seguridad e integridad de los asistentes, actividades comerciales, promoción de servicios y marcas socias, y generación de estadísticas. Sin embargo, el INAI no realizó un análisis sobre la proporcionalidad, idoneidad y necesidad de cada dato personal para las finalidades específicas informadas en el Aviso de Privacidad, lo cual habría sido una gran oportunidad para un análisis exhaustivo.

Este caso subraya la importancia crítica de cumplir con las normas de protección de datos personales, especialmente cuando se trata de menores de edad. Las empresas deben garantizar que obtienen el consentimiento adecuado mediante controles y procesos rigurosos para ello. El incumplimiento no solo expone a las empresas a sanciones legales, sino que también pone en riesgo la confianza del público y la seguridad de los datos personales. Es esencial adoptar prácticas de privacidad sólidas para proteger los derechos de los individuos y mantener la integridad en el tratamiento de sus datos.