La Agencia Española de Protección de Datos culpa a LaLiga de no realizar un análisis previo de impacto en los derechos y libertades de los aficionados, lo que vulnera el artículo 35 del reglamento General de Protección de Datos, que exige una evaluación cuando se trata de datos biométricos a gran escala 

Además, la AEPD estima que LaLiga no adoptó "suficientes medidas" para minimizar los riesgos asociados al tratamiento de datos biométricos, lo que conllevaba un incremento del riesgo de usos indebidos o accesos no autorizados a esta información.

La resolución de la AEPD es fruto de varias denuncias presentadas en los ejercicios de 2022 y 2023 contra el uso de sistemas de reconocimiento facial y de huella dactilar en las gradas de animación de los estadios de fútbol de Primera y Segunda División.

Los aficionados tenían que proporcionar un dato biométrico (huella dactilar o reconocimiento facial) en el momento de comprar el abono. Este dato se almacenaba y se utilizaba en el acceso a los estadios, donde se verificaba la identidad del aficionado comparando su rostro o huella dactilar con la información almacenada en el sistema; si el sistema no podía confirmar la identidad, se denegaba el acceso.

La resolución sancionadora de la AEPD también prescribe que el consentimiento no era libre porque "la única alternativa en tal caso era no acceder a las gradas de animación".

Pese a alegar LaLiga que el uso de sistemas biométricos estaba respaldado por la Comisión Estatal contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte, además del aval del CSD, la AEPD considera que "no eximía a LaLiga de su responsabilidad en el tratamiento de datos personales".

Estima igualmente que el control impuesto por LaLiga "era desproporcionado y la identificación mediante DNI o abonos nominales podía haber sido suficiente sin necesidad de recurrir a la recopilación de datos biométricos".

La AEPD ordena a LaLiga suspender temporal o definitivamente el uso del reconocimiento biométrico para el acceso a las gradas de animación de los estadios hasta que se garantice el cumplimiento del reglamento. Y exige que LaLiga realice y supere una evaluación de impacto en protección de datos que determine necesidad, idoneidad y proporcionalidad del sistema, analice los riesgos para los derechos y libertades de los aficionados y asegure la existencia de medidas técnicas y organizativas adecuadas para su implementación.

Se trata de una noticia muy relevante en la tramitación de la reforma legislativa emprendida en Castilla-La Mancha donde los establecimientos de juego incorporan sistemas biométricos en el control de acceso porque así lo determinó el reglamento de Máquinas Recreativas en vigor.