La Agencia Española de Protección de Datos ha impuesto una sanción de 500.000 euros al FC Barcelona por implantar reconocimiento facial y verificación de voz en el censo de sus socios sin realizar previamente la evaluación de impacto exigida por el RGPD. El caso, que inicialmente apuntaba a casi 6 millones de euros, deja una lección clara para cualquier empresa que use — o planee usar — tecnología biométrica.
Qué hizo el FC Barcelona
En 2023, el club inició un proceso de actualización del censo de socios denominado "Perfil Digital del Socio", con el objetivo de modernizar la identificación de sus más de 143.000 socios mediante tecnología biométrica.
El sistema funcionaba a través de una aplicación móvil que pedía a los socios cargar una imagen de su documento de identidad y realizar una fotografía tipo selfie con movimientos de cabeza. A partir de esos datos, el sistema generaba vectores biométricos que se usaban para autenticar la identidad en trámites del club, incluido el acceso al estadio.
El club ofrecía una vía alternativa para quienes no quisieran usar biometría. Sin embargo, esto no fue suficiente para evitar la sanción.
Los datos biométricos son categoría especial de datos bajo el artículo 9 del RGPD. Su tratamiento — sea obligatorio o voluntario — exige garantías específicas y, cuando afecta a un número elevado de personas, una Evaluación de Impacto previa.
Por qué sancionó la AEPD
La resolución de la AEPD es clara: el problema no fue la tecnología en sí, sino el incumplimiento de un requisito previo e imprescindible — la evaluación de impacto en protección de datos (EIPD).
El artículo 35 del RGPD obliga a realizar una EIPD antes de poner en marcha tratamientos que puedan suponer un riesgo elevado para los derechos y libertades de las personas. El uso de datos biométricos aplicado a 143.000 personas, incluidos menores, entra claramente en esa categoría.
El FC Barcelona presentó durante el procedimiento informes y análisis de riesgos sobre los sistemas biométricos empleados. Sin embargo, la AEPD concluyó que esos documentos no cumplían los requisitos del artículo 35.7 del RGPD. Los análisis eran demasiado genéricos y no detallaban los riesgos concretos para los derechos de los socios.
Según el regulador, una EIPD correcta debe incluir como mínimo:
- Descripción sistemática del tratamiento y sus finalidades
- Evaluación de la necesidad y proporcionalidad respecto a los fines perseguidos
- Evaluación de los riesgos para los derechos y libertades de los interesados
- Medidas concretas para afrontar esos riesgos, incluyendo garantías técnicas y organizativas
⚠️ El error clave: el FC Barcelona no llegó sin documentación — llegó con documentación insuficiente. La AEPD considera que un análisis genérico de riesgos no equivale a una EIPD. Esta distinción es crítica.
De 6 millones a 500.000 euros
La propuesta inicial de sanción ascendía a casi 6 millones de euros. El club logró reducirla durante el procedimiento hasta los 500.000 euros finales — una rebaja significativa, pero que sigue siendo una de las multas más relevantes impuestas por la AEPD en los últimos meses.
El FC Barcelona ha anunciado que recurrirá la sanción, considerando que la penalización resulta excesiva y defendiendo que actuó correctamente en el proceso de actualización del censo.
Cinco lecciones para cualquier empresa
Este caso no es exclusivo de los grandes clubes de fútbol. Cualquier empresa que use o planee implantar tecnología biométrica — reconocimiento facial, huella dactilar, verificación de voz, análisis del iris — debe tener muy presente este precedente.
La EIPD es obligatoria, no opcional
Cuando el tratamiento implique datos biométricos o afecte a un número elevado de personas, la evaluación de impacto no es una recomendación — es una obligación legal que debe realizarse antes de poner en marcha el tratamiento.
Un análisis genérico no equivale a una EIPD
El error del Barça no fue no tener ningún documento, sino presentar análisis que la AEPD consideró insuficientes. La EIPD debe ser específica, detallada y orientada a los riesgos concretos de ese tratamiento.
La biometría exige máxima cautela
Los datos biométricos son categoría especial bajo el artículo 9 del RGPD. Su tratamiento requiere base jurídica reforzada y medidas adicionales. Consulta con un especialista antes de implantar cualquier sistema de reconocimiento facial o verificación biométrica.
El tamaño no protege
Si el FC Barcelona, con todo su equipo legal, recibe una multa de 500.000€ por este motivo, cualquier empresa que cometa el mismo error puede enfrentarse a consecuencias similares. El RGPD aplica con independencia del tamaño.
Innovación y cumplimiento no están reñidos
La AEPD no cuestionó el uso de biometría. Lo que exigió es que esa innovación fuera acompañada de las garantías legales necesarias. La privacidad desde el diseño significa que el sistema debe ser legal antes de que el primer usuario lo use.
¿Tu empresa usa tecnología biométrica?
El control de acceso por huella dactilar, el reconocimiento facial en tornos de entrada, los sistemas de verificación de identidad para empleados o clientes — todos implican tratamiento de datos biométricos y pueden requerir una evaluación de impacto previa.
Si tu empresa tiene estos sistemas instalados o está planteando implantarlos, el momento de revisar el cumplimiento es ahora — y no cuando llegue la reclamación o la inspección. Considera también contar con un DPO externo certificado que supervise de forma continua el cumplimiento normativo.
¿Necesitas una evaluación de impacto para tu empresa?
En Artico Consultores somos especialistas en EIPD y cumplimiento RGPD para tecnologías biométricas.DPOs certificados AEPD/ENAC · 25 años de experiencia · 0 sanciones a clientes activos.
Solicitar presupuesto →Fuentes: resolución AEPD, Xataka, Legal Army, Metricson, AT Group. Los datos del caso son públicos y han sido contrastados con múltiples fuentes.
Escríbenos por WhatsApp