Imagen generada con IA.
Reconocimiento facial, biometría de voz y 134.000 socios afectados: sobre el papel, el expediente sancionador de la AEPD contra el FC Barcelona tiene todos los ingredientes para ser un caso sobre los límites del tratamiento de datos biométricos. Pero la lectura de la resolución revela algo distinto y, para cualquier empresa que valore usar tecnología biométrica, mucho más instructivo: el club no fue sancionado por usar reconocimiento facial, sino por firmar los contratos con sus proveedores antes de terminar de evaluar los riesgos de esa decisión.
El caso: reconocimiento facial y biometría de voz para 134.000 socios
En 2023, el FC Barcelona puso en marcha una campaña para actualizar el censo de personas socias del club, con dos objetivos declarados: tener controlados a todos los aficionados y detectar prácticas fraudulentas, como la reventa de abonos o el uso de carnés de socios ya fallecidos. Entre el 20 de marzo y el 30 de noviembre de 2023, el club pidió a cada socio, a través de la app o la web, que completara un proceso de verificación en varios pasos: mostrar el documento de identidad a la cámara, hacerse una foto tipo selfie y grabar su voz durante cinco segundos.
El club amparo este tratamiento en el artículo 6.1.b) del RGPD, es decir, en la necesidad de tratar esos datos para ejecutar el contrato de socio. Para un proyecto de esta envergadura —134.000 personas afectadas, datos biométricos, comparación automatizada de imágenes— cualquier responsable de tratamiento diligente debería haber hecho antes una Evaluación de Impacto en la Protección de Datos (EIPD). Y ahí es donde empezaron los problemas.
Por qué se archivó la parte sobre categorías especiales de datos
La AEPD analizó primero si el club había vulnerado el artículo 9 del RGPD, que regula las categorías especiales de datos personales —entre ellas, los datos biométricos dirigidos a identificar de forma unívoca a una persona—. El Barcelona se defendió alegando que su sistema realizaba una autenticación 1:1 (comparar el selfie con la foto del DNI), no una identificación biométrica propiamente dicha, y que ese matiz lo dejaba fuera del artículo 9.
Aquí entró en juego un factor temporal decisivo: cuando el club diseñó y ejecutó la campaña, el criterio vigente —tanto del Comité Europeo de Protección de Datos como de la propia AEPD— distinguía entre autenticación e identificación, y no consideraba la primera como dato de categoría especial. Ese criterio cambió con la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, publicada por la AEPD el 23 de noviembre de 2023, es decir, prácticamente en el último tramo de la campaña, cuando la inmensa mayoría de los tratamientos ya se habían ejecutado. La Agencia reconoció que no podía reprochar al club una infracción basada en un criterio que aún no existía cuando actuó, y archivó este punto por falta de culpabilidad.
El verdadero motivo de la sanción: contratar antes de completar la EIPD
Donde el club no tuvo la misma suerte fue en el análisis del artículo 35 del RGPD, la obligación de realizar una Evaluación de Impacto cuando un tratamiento entraña un riesgo alto para los derechos de las personas. La AEPD constató dos problemas graves y, estos sí, independientes de cualquier cambio de criterio posterior.
El primero es de orden: el club firmó los contratos de prestación de servicios y de encargo de tratamiento con sus proveedores tecnológicos antes de haber completado el análisis de riesgos correspondiente. Es decir, ya había comprometido el diseño técnico del tratamiento cuando todavía debía estar evaluando si ese diseño era arriesgado y cómo mitigarlo. El segundo es de contenido: los análisis de riesgo que finalmente se hicieron resultaron genéricos e insuficientes para un tratamiento de este calibre, sin la profundidad exigible dado el volumen de personas afectadas y la sensibilidad de los datos biométricos implicados.
La resolución es explícita al respecto: el club «debería haber realizado dos EIPD» —una para el reconocimiento facial y otra para la biometría de voz— y los análisis que sí llevó a cabo «adolecen de virtualidad» por haberse elaborado después de firmar los contratos y por sus defectos de planteamiento. La sanción inicial se estimó en 6 millones de euros, pero se moduló hasta los 500.000 euros finales al ponderar como atenuantes que el sistema de reconocimiento por voz nunca llegó a implementarse realmente y que los registros se eliminaron cuando cambió el criterio interpretativo del regulador.
La evaluación de impacto (art. 35 RGPD): cuándo es obligatoria y cuándo debe estar lista
El artículo 35 del RGPD no exige una EIPD para cualquier tratamiento, pero sí la hace obligatoria cuando concurren, según la lista de criterios de referencia, dos o más factores de riesgo. En el caso del Barcelona, la AEPD identificó hasta cuatro: decisiones basadas en tratamiento automatizado o que contribuyen significativamente a ellas, tratamiento de datos a gran escala, tratamiento de colectivos vulnerables —incluyendo, potencialmente, menores de 14 años dentro de la masa social— y uso de tecnología nueva o innovadora aplicada de forma no habitual.
Pero el aspecto más relevante para cualquier empresa no es solo si hace falta EIPD, sino cuándo tiene que estar terminada: antes de poner en marcha el tratamiento, y desde luego antes de contratar a los proveedores que lo van a ejecutar. Una EIPD hecha a posteriori, para justificar una decisión ya tomada, no cumple su función preventiva y, como ha demostrado este caso, no sirve como defensa ante la AEPD por mucho que exista en el expediente.
Lección para pymes: el orden de los pasos importa tanto como el contenido
Es tentador pensar que este caso solo afecta a grandes clubes o empresas con millones de usuarios, pero la lógica se aplica igual a una clínica que valora instalar control de accesos por huella dactilar, a un gimnasio que quiere identificar a sus socios por reconocimiento facial o a cualquier negocio que se plantee incorporar biometría de voz en su atención al cliente. El riesgo no depende del tamaño de la empresa, sino de la naturaleza del dato y del volumen de personas afectadas.
La lección práctica es clara: antes de firmar nada con un proveedor de tecnología biométrica, la EIPD tiene que estar hecha, ser específica para ese tratamiento concreto y documentar de verdad los riesgos y las medidas para mitigarlos, no ser un formulario genérico rellenado por cumplir el trámite. Si tu negocio maneja o se plantea manejar datos biométricos —huellas, reconocimiento facial, voz—, conviene parar antes de contratar, no después.
En Dataibérica ayudamos a pymes y autónomos a determinar cuándo es obligatoria una Evaluación de Impacto y a elaborarla correctamente antes de poner en marcha el proyecto, no como parche posterior. Contacta con nosotros si tu empresa está valorando incorporar tecnología biométrica.
Conclusión
La sanción de 500.000 euros al FC Barcelona no castiga el uso de reconocimiento facial ni de biometría de voz en sí mismos, sino haber puesto en marcha esa tecnología sin haber cerrado antes una evaluación de impacto seria. Es la prueba de que, en protección de datos, el orden en el que se hacen las cosas —evaluar riesgos, después contratar, después implementar— pesa tanto como el contenido de la evaluación misma.
Fuente principal: Confilegal — El FC Barcelona, sancionado con medio millón de euros por su campaña de actualización de socios a través de voz y reconocimiento facial (08/03/2026).
