Por Daniel Monastersky – www.danielmonastersky.com
Imaginate por un momento que sos padre o madre de un chico de 13 años que acaba de firmar su primer contrato con las inferiores de un club de fútbol. Para que el club lo evalúe, lo cuide y lo proyecte, no vas a entregar solamente una autorización firmada: vas a entregar su historia clínica completa, sus evaluaciones psicológicas, datos biométricos de seguimiento físico y nutricional, información económica de tu familia, certificados de antecedentes y, cada vez más seguido, su ubicación en tiempo real durante los entrenamientos. Confiás esa intimidad porque asumís que un club profesional la cuida con el mismo rigor con el que la cuidaría un hospital o un banco.
Ese supuesto se acaba de romper en Europa, y la advertencia es válida para todos nosotros.
Una multa de 66.000 euros que no es la noticia
La Real Sociedad, uno de los clubes históricos de la liga española, sufrió un ataque de ransomware que expuso los datos de unas 60.000 personas: jugadores, empleados, juveniles, familiares, profesionales del cuerpo médico. La Agencia Española de Protección de Datos (AEPD) investigó el incidente y detectó un combo difícil de explicar en una entidad de ese porte: información de categoría especial —salud, biometría, antecedentes penales— almacenada sin cifrado; copias de seguridad conviviendo en los mismos servidores comprometidos; y una red interna sin segmentación, donde bastó un equipo personal infectado para que el ataque se expandiera por toda la infraestructura.
La sanción fue de 110.000 euros, reducida a 66.000 por pago voluntario. Pero la multa, en este caso, es lo menos importante. Lo verdaderamente relevante es el diagnóstico que viene atrás: no estamos frente a una desprolijidad puntual, sino frente a un modelo de gestión de riesgos que no se corresponde con el volumen y la sensibilidad de la información tratada.
Lo que este expediente revela es un problema cultural que excede largamente a un club. Se trata de la convicción —tan extendida en el mundo del deporte profesional— de que las entidades deportivas son “solo” clubes, y no organizaciones intensivas en datos críticos. La realidad es otra, y conviene decirla con todas las letras.
Un club de élite hoy es, simultáneamente, una clínica (por el volumen de datos de salud, rendimiento y rehabilitación), una entidad financiera (por la información económica de contratos, comisiones, primas y patrimonio familiar), un juzgado en miniatura (por los certificados de antecedentes que exige procesar para trabajar con menores) y un laboratorio biométrico (por la captura permanente de variables fisiológicas de los jugadores). Todo eso, en una sola estructura que muchas veces sigue gestionando la seguridad de la información como si su mayor exposición fuera la cuenta de Instagram del primer equipo.
El RGPD —como debería ocurrir con cualquier régimen serio de protección de datos— no hace excepciones por escudos, colores o cantidad de hinchas. La obligación de aplicar medidas de seguridad adecuadas al riesgo es la misma que la de cualquier hospital o aseguradora. Y, sin embargo, los hallazgos de la AEPD parecen describir una organización que todavía no terminó de asumir esa equivalencia.
El espejo incómodo para Argentina y la región
Si esto pasa en España, donde el RGPD lleva años de implementación y la AEPD tiene un historial activo de sanciones, la pregunta inevitable es qué está pasando en el ecosistema deportivo argentino y regional.
¿Cuántos clubes de primera división tienen hoy una política formal de gobierno de datos, segmentación de red, cifrado sistemático de información sensible y un plan probado de respuesta ante incidentes? ¿Cuántos cuentan con un responsable identificable de privacidad? ¿Cuántos aplican un enfoque de protección reforzada para los datos de los menores que pasan por sus divisiones inferiores, sus predios formativos y sus escuelitas de fútbol?
Las respuestas, hoy por hoy, son incómodas.
Lo más preocupante es que la fragilidad crece a medida que bajamos de categoría. Si un club con los recursos de la Real Sociedad llegó hasta acá, ¿cuál es el estado real de la seguridad en clubes del ascenso, en federaciones con estructuras mínimas o en las academias privadas que captan chicos desde los seis o siete años?
Qué tiene que cambiar, en serio
El caso Real Sociedad debería servirnos como punto de inflexión, no como anécdota internacional. No alcanza con un antivirus, una copia de seguridad ocasional y la delegación de todo “al área de sistemas”.
No hay misterio sobre qué hay que hacer: los estándares están escritos hace años y son los mismos que cualquier hospital o entidad financiera viene aplicando desde hace tiempo. Pero conviene enumerarlos, porque a veces lo evidente es justo lo que falta. Hace falta una política clara de gobierno de datos que defina qué información se trata, con qué finalidad, durante cuánto tiempo y con qué base de legitimación. Hace falta cifrado sistemático de la información sensible —salud, biometría, antecedentes, datos de menores— tanto en tránsito como en reposo. Hace falta segmentación de la red interna, de modo que un equipo comprometido no pueda contaminar toda la infraestructura. Hacen falta copias de seguridad aisladas, idealmente bajo la regla 3-2-1 y con al menos una copia offline. Y hace falta, sobre todo, un plan de respuesta ante incidentes probado, que involucre a la dirigencia, al cuerpo médico, a recursos humanos y a los asesores legales, no únicamente a sistemas.
Sería deseable, además, que las autoridades de control de la región —en nuestro caso, la AAIP— impulsen guías sectoriales específicas para entidades deportivas, fijando expectativas mínimas y buenas prácticas adaptadas a una realidad muy particular. Y que las propias federaciones y ligas asuman un rol activo: la seguridad de los datos de los jugadores y sus familias no puede depender de la voluntad o el presupuesto de cada club.
Volvamos un momento al chico de 13 años del principio. Su historia clínica, sus evaluaciones, su ubicación en tiempo real durante los entrenamientos. Su intimidad, en definitiva, viajando por servidores que sus padres nunca van a ver y por redes que nadie les explicó. La protección reforzada de los datos de menores no es un capítulo más de la agenda: es el eje no negociable sobre el que debería ordenarse todo lo demás.
Porque la próxima brecha no se va a medir solamente en euros, dólares o pesos de multa. Se va a medir en la confianza de quienes entregaron lo más íntimo de sus vidas creyendo que su club también los iba a cuidar fuera del campo de juego. Esa confianza, cuando se rompe, no la recupera ni el mejor fichaje de la temporada.
Deja un comentario