El 4 de marzo de 2025, la Agencia Española de Protección de Datos (AEPD) notificó a LaLiga sobre la imposición de una multa de 1 millón de euros, derivada del uso no conforme de sistemas de reconocimiento biométrico en los accesos a los estadios. Esta sanción, fundamentada en el Reglamento General de Protección de Datos (RGPD), destacó graves fallos en las garantías de protección de datos de los espectadores. Inicialmente, la AEPD consideró aplicar a LaLiga una multa de hasta 10 millones de euros, aunque la cifra final se redujo a 1 millón tras el análisis de los hechos.

Según la AEPD, el sistema de reconocimiento facial instalado por LaLiga recopila datos altamente sensibles, como patrones de rostro, de manera desproporcionada y sin una justificación adecuada. Esta tecnología, argumentó el organismo, también representa un riesgo significativo para la privacidad de los ciudadanos, y su uso queda suspendido hasta que se revise y garantice el cumplimiento total de la normativa vigente.

La infracción ocurre pese a las advertencias previas de la AEPD. En enero de 2024, el organismo ya había pedido a LaLiga garantizar el respeto a las normas de protección de datos antes de incorporar tecnologías de vigilancia avanzadas. No obstante, LaLiga procedió con el uso de esta tecnología argumentando que su propósito era mejorar la seguridad en los estadios, evitando la entrada de individuos con prohibiciones específicas. Sin embargo, la AEPD señaló que dicha motivación no es suficiente para justificar la recogida masiva de datos biométricos.

En su defensa, LaLiga ha recurrido la multa y calificado las premisas de la AEPD como erróneas. También señaló que la normativa que regula el uso de tecnologías biométricas había sido aprobada por el Consejo Superior de Deportes (CSD). Además, LaLiga declaró no ser directamente responsable del tratamiento de los datos, ya que estos serían administrados por los clubes individuales.

El caso de LaLiga se da en un contexto de creciente escrutinio respecto al uso de datos biométricos en eventos deportivos. En enero de 2025, el Club Atlético Osasuna recibió una multa de 200.000 euros por implementar un sistema similar, mientras que el Atlético de Madrid optó por retirar su sistema de reconocimiento facial en 2023 debido a las quejas de los aficionados.

La normativa vigente estipula que, para realizar tratamientos de datos sensibles como los biométricos, es obligatoria una evaluación de impacto. Este proceso debe considerar la necesidad, proporción e idoneidad del uso de esta tecnología. El RGPD también establece que el tratamiento de datos sensibles debe limitarse a situaciones muy concretas y con el consentimiento explícito de los afectados.

Esta situación subraya la evolución del debate sobre privacidad y vigilancia, con el deporte como un ámbito en el que las tecnologías avanzadas de control generan tanto interés como controversia.