El reconocimiento facial ‘made in Spain’ que España veta en sus estadios se exporta a América Latina

Este reportaje se ha realizado en colaboración con la AI Accountability Network del Pulitzer Center.

En el Estadio Centenario de Montevideo, feudo de la selección uruguaya —dos veces campeona del mundo—, el público desfila antes de cada partido por los torniquetes de entrada, bajo la atenta mirada de cuarenta y un cámaras de seguridad. Tras sus lentes funciona un software que escanea unas veinticinco caras por segundo y las coteja con una lista de vigilancia en manos del Ministerio del Interior, la Policía, la Asociación Uruguaya de Fútbol y los clubes. Cuando hay coincidencia, salta una alerta en la tableta que sostiene un agente en la puerta. El software detrás de todo este proceso se escribió en Barcelona.

Su fabricante, Herta Security, ha exhibido el despliegue uruguayo como un trofeo. Su software de reconocimiento facial funciona en el Centenario desde abril de 2017 y más tarde se extendió a los otros dos grandes estadios del país —el Campeón del Siglo, campo del Peñarol, y el Gran Parque Central, campo del Nacional—, dentro de un plan que el Ministerio del Interior impulsó para dejar fuera de las gradas a los alborotadores. Preguntada por infoLibre e Investigate Europe, Herta confirmó su participación en los tres recintos, aunque puntualizó que se limitaba a aportar el software: ni operaba el sistema ni “definía las listas de vigilancia”.

La compañía presume de que su tecnología “ganó” la Copa Libertadores de 2021, el mayor torneo de clubes de Sudamérica, al escanear a los espectadores de la final de noviembre, en un operativo que el ministerio calificó de “impecable”. La violencia en los estadios, llegó a proclamar Herta, “puede ser ya cosa del pasado”.

Pero no lo era. Investigadores uruguayos acabarían describiendo 2025 como un año “marcado por la violencia en el deporte”. El 6 de julio de ese año, un policía resultó gravemente herido por una bengala lanzada desde las gradas del Centenario. Preguntada por infoLibre e Investigate Europe acerca del episodio, Herta respondió que no había tenido noticia de él y que la persona implicada “no figuraba en la lista pertinente de delincuentes conocidos”: su sistema, adujo, puede dejar fuera a los infractores fichados, pero no impedir lo que haga alguien que nunca ha sido señalado como un riesgo.

El próximo gran acto del estadio será uno de los más importantes. En junio de 2030, el Centenario acogerá el partido inaugural del Mundial, la edición del centenario de un torneo cuyo primer encuentro se disputó justo allí, en Montevideo, en 1930, y cuya organización recae conjuntamente en España, Portugal y Marruecos. Si las cámaras siguen encendidas para entonces, la afición que acuda al duelo inaugural hará lo que lleva haciendo en las gradas del Centenario desde 2017: desfilar, cara a cara, ante un sistema español de vigilancia biométrica.

Aquí, en el país donde se escribió ese software, la práctica sería casi imposible, sostiene Lorena Pérez Campillo, profesora de Derecho y experta en protección de datos de la Universidad Europea de Madrid. La Agencia Española de Protección de Datos (AEPD) lleva años tirando por tierra la vigilancia biométrica en los estadios españoles. Su golpe más rotundo llegó en diciembre de 2024: una multa de un millón de euros a LaLiga por exigir a los aficionados una huella dactilar o un escaneo del rostro para entrar en las gradas de animación de Primera y Segunda. La patronal, concluyó la agencia, había instalado la tecnología sin la evaluación de impacto que marca la ley. La AEPD ordenó apagar los escáneres hasta que LaLiga demostrara que eran necesarios y proporcionados. La patronal ha recurrido.

Las objeciones de la agencia iban más allá de un defecto de forma. El consentimiento de los aficionados, dictaminó la AEPD, nunca fue libre: la única alternativa era quedarse fuera del campo. Medidas menos invasivas —un abono nominativo cotejado con el DNI— habrían servido para lo mismo. Lo que la resolución no dice es quién desarrolló la tecnología hoy suspendida en España.

Vigilancia ‘made in Spain’

Herta Security nació en Barcelona en 2009 de la mano de Javier Rodríguez Saeta, un ingeniero que había trabajado en biometría en el grupo industrial alemán Bosch. La baza de su empresa fue la velocidad: al ejecutar el reconocimiento sobre los chips gráficos que hoy mueven casi toda la inteligencia artificial, Herta era capaz de aislar un rostro dentro de una imagen abarrotada en tiempo real. En 2019, Rodríguez presumía ya de más de 200 empresas asociadas en 50 países. Una huella notable para una firma que, según el Registro Mercantil, no llega a la veintena de empleados.

Su producto estrella, BioSurveillance NEXT, está pensado para las multitudes. La ficha técnica promete búsquedas en vivo contra bases de datos de hasta 100 millones de rostros, y el software sigue funcionando aunque el individuo se cubra en parte con una bufanda, una gorra o una mascarilla. Rodríguez no ha ocultado nunca para qué escenarios lo concibe. El producto, dijo a una publicación del sector, “puede aplicarse a grandes concentraciones de personas, como manifestaciones, carreras, congregaciones religiosas y aeropuertos”.

El fútbol le abrió a Herta las puertas de América Latina, donde hoy mantiene oficinas en México y Uruguay. Pero su alcance va mucho más allá de las gradas de la región. Los materiales comerciales consultados para esta investigación citan entre sus clientes un hospital en Brasil, el principal aeropuerto de Nicaragua y cuerpos policiales mexicanos. En Medellín, la policía colombiana conectó su software a ochenta cámaras de calle para cruzar a los viandantes con una lista de 19.000 personas reclamadas por la justicia. En la frontera con Venezuela, el servicio de inmigración colombiano empleó una tecnología parecida para registrar los datos biométricos de los migrantes y contrastarlos con una base de datos, un despliegue reconocido por la propia empresa. En una respuesta escrita a infoLibre e Investigate Europe, Herta confirmó despliegues en Colombia, pero no quiso identificar clientes concretos: alegó que sus “materiales de marketing históricos" pueden aludir a proyectos pasados, pilotos o "referencias heredadas”.

Los estadios, con todo, siguen siendo uno de los principales escaparates de la empresa. Y Uruguay no es el único país donde el software de Herta escanea a los hinchas. En Perú, el club Alianza Lima recurre al sistema español en su campo, el Estadio Alejandro Villanueva. Cuando renovó la seguridad del recinto y cambió dieciséis viejas cámaras analógicas por cincuenta conectadas en red, varias de las nuevas incorporaron las analíticas de reconocimiento de Herta, que cotejan a los espectadores con una base de datos criminal en tiempo real. El gerente general del club celebró la mejora: se declaró "entusiasmado por implementar el software de reconocimiento facial de Herta Security" y animó a que todos los estadios del país siguieran el ejemplo. Herta confirmó dicho despliegue; Alianza Lima no respondió a esta investigación.

En una respuesta escrita, Herta asegura que no comenta "información confidencial de clientes". La empresa desarrolla su tecnología “conforme a los principios europeos de protección de datos, sea cual sea el mercado en el que se despliegue”, y sostiene que la responsabilidad de “definir la finalidad lícita del despliegue” recae, en último término, en quien opera el sistema. “Nuestro software se suministra bajo contratos que obligan a clientes e integradores a cumplir las leyes y normativas locales”, añade. Puede rescindir esos contratos ante violaciones de derechos humanos, dice, y vigila su cumplimiento “dentro de nuestras posibilidades”.

Despliegues como los de Uruguay o Perú serían difíciles de concebir en España, y no solo por la multa a LaLiga. El obstáculo de fondo es el propio Reglamento General de Protección de Datos, apunta Pérez Campillo. Escanear a los espectadores para cruzarlos con una lista no es el control rápido que describen los clubes, argumenta, sino una identificación masiva de todo el que pasa, “por muy veloz que sea el escaneo”. Y el consentimiento no parece ser la respuesta: en la cola de un estadio “no es libre ni voluntario”, porque negarse significa perderse el partido. La única justificación que quedaría, un “interés público esencial”, exigiría una ley expresa. Y ninguna norma española, recuerda, permite a un club someter a sus aficionados a vigilancia biométrica masiva. Surge entonces, según Pérez Campillo, la pregunta de la proporcionalidad: si lo que se gana en seguridad compensa “el sacrificio de la privacidad de 50.000 ciudadanos inocentes que van a ver un partido de fútbol”.

Herta rechaza la idea de que el reconocimiento facial en los estadios sea "siempre ilegal” en Europa y apunta a Dinamarca, que lo ha autorizado en campos de fútbol bajo condiciones estrictas. Lo que defiende, dice, “no es un uso sin restricciones, sino un uso selectivo, lícito y proporcionado”.

La multa millonaria fue solo el último eslabón de una cadena de avisos. Ya en 2022, la AEPD dictaminó en un informe que los planes de la Comisión Antiviolencia para colocar controles biométricos en las entradas de las gradas de animación no encajaban con la ley de protección de datos. Al año siguiente, cuando LaLiga sacó a concurso una tecnología de reconocimiento facial, la agencia volvió a intervenir y advirtió de que primero era necesaria una evaluación de impacto; y aunque los controles biométricos pudieran resultar “útiles”, difícilmente cabía justificarlos como “necesarios”. En diciembre de 2023 ordenó a todos los clubes de las dos primeras divisiones suspender esos controles hasta que existiera una evaluación válida, una decisión que un tribunal avaló la primavera siguiente. Menos de un año después, el Osasuna fue multado con 200.000 euros por escanear rostros en sus accesos sin acreditar que la medida fuera necesaria ni proporcionada. Ni LaLiga ni Osasuna han respondido a las preguntas de infoLibre e Investigate Europe.

Protegidos sobre el papel, escaneados en la práctica

Sobre el papel, al otro lado del Atlántico existen protecciones parecidas a las españolas. La Unión Europea reconoce como “adecuado” el régimen uruguayo de protección de datos, lo que equivale a decir que un uruguayo goza de garantías legislativas equiparables a las europeas. Desde 2020, su ley exige una evaluación de impacto antes de tratar cualquier dato biométrico. Las cámaras de los estadios nunca pasaron ese examen: cuando se encendieron, en 2017, esa exigencia aún no existía, y el Gobierno se había limitado a aprobar la tecnología por decreto y dar cuatro meses a la asociación de fútbol para instalarla. Y cuando el Ministerio del Interior compró en 2020 una plataforma nacional de reconocimiento facial, se saltó la revisión que la ley ya imponía. La misma omisión que a LaLiga le costó un millón de euros. Una demanda de transparencia del colectivo Datysoc acabó demostrándolo, y algo más: la base de datos nunca se había registrado ante el regulador y los responsables no sabían decir para qué servía. Ni el Ministerio del Interior uruguayo ni la asociación de fútbol respondieron a las preguntas detalladas de esta investigación.

Y el Gobierno del país quiere ir más lejos. En la rendición de cuentas de este año, el Ministerio del Interior pide fondos para una nueva plataforma biométrica nacional —un “Sistema Automatizado de Identificación Biométrica”— que fusione los registros civiles y penales, con variantes para cárceles, control de fronteras y, “llegado el momento”, la verificación de personas buscadas en la vía pública. La memoria del proyecto no la describe como una compra informática, sino como “infraestructura crítica de identidad y seguridad pública”.

Las gradas han dejado sus propios damnificados. En 2017, la primera temporada del sistema, un hincha de Peñarol fue retenido en el Centenario porque las cámaras lo confundieron con un hombre de la lista de vetados. Contó después que guardias privados y policías lo golpearon antes de que se aclarara el error. DDBA, el socio de Herta que da soporte técnico al sistema, cifra la tasa de falsos positivos en el 0,015%: entre diez y veinte identificaciones erróneas por cada 150.000 rostros escaneados. Cuando salta la alerta, según la respuesta de la compañía, la persona es detenida en la entrada y se le pide la identificación. 

Cuando el Parlamento se sirvió del aparente éxito de los estadios para autorizar en 2020 la base nacional de rostros —alimentada con la foto del documento de identidad de cada adulto—, más de una veintena de organizaciones protestaron. Datysoc lo llamó un "cheque en blanco" para el Ministerio del Interior y desde entonces sostiene que hoy no hay base legal para que la policía use reconocimiento facial automatizado. Un empleado de la firma que equipó los estadios lo dijo sin rodeos: la tecnología "sustituye al humano de forma muy eficaz”. DDBA afirma justo lo contrario: “ayuda al operador y nunca lo sustituye”.

La ley peruana de protección de datos, calcada de la europea, clasifica la información biométrica como sensible y exige consentimiento expreso. Si eso convierte en ilegal un escáner como el del estadio de Alianza Lima es, de momento, una cuestión de interpretación más que una resolución publicada. Dilmar Villena, abogado del grupo de derechos digitales Hiperderecho, interptreta que la norma reserva la tecnología de reconocimiento facial en tiempo real a la policía y la fiscalía; una lectura que, a su juicio, dejaría el sistema del club fuera de la ley, aunque admite que "la fiscalización es débil". Incluso el nuevo reglamento de 2025 establece como voluntarias las evaluaciones de impacto, y los sistemas instalados antes de su aprobación —"no solo en estadios; también en colegios o en hospitales"— siguen funcionando sin escrutinio.

Hasta dónde llega esa fiscalización lo ha puesto a prueba la organización de Villena en el mismo distrito en el que está el campo del Alianza Lima. Cuando la municipalidad de La Victoria anunció cámaras de reconocimiento facial en 2019, Hiperderecho y el grupo internacional Access Now preguntaron con qué base legal. La respuesta solo llegó después de que un tribunal de transparencia obligara a darla: el distrito reconoció operar nueve de esas cámaras sin ninguna de la documentación exigida —ni protocolos, ni medidas de seguridad, ni estudios de impacto—. La denuncia terminó en una sanción por la red de cámaras, pero la cuestión biométrica quedó sin resolver: La Victoria alegó que, pese a estar instaladas y anunciadas, las cámaras nunca se habían encendido, así que no se había tratado ningún dato. Y cuando Hiperderecho señaló el reconocimiento facial en el centro de Lima, donde se celebran las mayores protestas del país, la autoridad respondió que la ley de protección de datos no se aplicaba a la ciudad. "Un vacío total", resume Villena. Además de la falta de protección legal, Villena señala también la falta de debate social al respecto, y la imposibilidad de ofrecer soluciones políticas a la violencia que no sean tecnológicas: "Está la coartada fácil del 'es por seguridad', y si te opones, estás del lado de los delincuentes".

Europa restringe su uso, no su exportación

La Unión Europea vigila el uso de estas herramientas dentro de casa. Su exportación, en cambio, no se vigila en absoluto. Nada en el derecho europeo impide a una empresa como Herta vender sus productos en países donde los ciudadanos están mucho menos protegidos por la legislación.

Es más: Europa ayudó a pagar la investigación que ha llevado al desarrollo de estos productos. Desde 2020, Herta ha recibido más de 3,3 millones de euros en fondos europeos para trabajos que incluyen el "análisis del comportamiento de multitudes" y el reconocimiento facial. El caso de uso que detallan sus propios documentos de proyecto —la identificación en tiempo real de sospechosos en espacios públicos concurridos— es precisamente el que la Agencia Española de Protección de Datos no deja de tumbar.

La vigilancia biométrica prohibida en la UE se propaga por India exportada por España

Ver más

La Comisión Europea dejó sin responder a este medio las preguntas planteadas. Herta, por su parte, declaró que "el conocimiento adquirido en proyectos de investigación puede contribuir a la evolución general de nuestra experiencia, nuestras metodologías y nuestra hoja de ruta de producto", y negó usar "proyectos financiados por la UE para eludir los estándares legales o éticos europeos". Los fondos europeos, agregó, "no se emplean para financiar, operar ni subvencionar despliegues comerciales concretos en América Latina ni en ningún otro lugar".

La FIFA, que impone requisitos de derechos humanos a los anfitriones del Mundial, no respondió a si el sistema estará operativo durante el torneo.

En junio de 2030, si las cámaras siguen en su lugar actual, la multitud que llene el Centenario para el partido inaugural del Mundial 2030 será sometida al mismo ritual al que ha sido sometido cada visitante desde hace trece años. Los rostros de cada aficionado serán captados en el torniquete y contrastados, en tiempo real, con una lista que nunca han visto ni pueden disputar. Una forma de vigilancia de la que Europa ha decidido, en gran medida, proteger a sus propios ciudadanos, y que una empresa de Barcelona llevará al mundo en el estadio donde nació el Mundial.