Gabrielle FortinLa Fédération mexicaine de football (FMF) a écopé le 13 juillet 2026 d'une amende de 42 849 095 pesos (environ 3,3 millions de dollars canadiens) pour la façon dont son système Fan ID collecte les données biométriques des supporters. La sanction, imposée par le Secrétariat à l'anticorruption et au bon gouvernement, tombe à quelques jours du coup d'envoi du tournoi Apertura 2026 et de l'affiche Querétaro–América — un rappel troublant, puisque c'est précisément au stade Corregidora de Querétaro qu'est né ce dispositif de reconnaissance faciale.
Un fichier biométrique né d'une émeute
Le Fan ID a été instauré après les violences du 5 mars 2022 au stade Corregidora, lors d'un match entre Querétaro et l'Atlas. La bagarre entre groupes de supporters avait fait au moins 26 blessés et provoqué des dégâts majeurs. En réponse, la Liga MX a imposé un identifiant unique, personnel et non transférable pour entrer dans les enceintes.
Concrètement, le supporter s'inscrit en ligne, transmet une photo de son visage et reçoit un code QR. À l'entrée du stade, une caméra couplée à un logiciel de reconnaissance faciale et d'intelligence artificielle vérifie l'identité. Le visage devient donc la clé d'accès — et, du même coup, une donnée conservée dans une base centralisée.
Deux manquements pointés du doigt
Selon le Secrétariat à l'anticorruption, la FMF a commis deux infractions précises. D'abord, elle n'a pas informé clairement les supporters que les photos servant à générer le Fan ID constituaient des données biométriques sensibles. Ensuite, elle n'a pas recueilli le consentement écrit et explicite des personnes concernées avant de traiter ces informations.
Autrement dit, cocher une case sur une page web ne suffit plus. La FMF et la Liga MX devront désormais mettre en place un véritable mécanisme de consentement — signature numérique ou système d'authentification équivalent — pour continuer à exploiter le dispositif pendant l'Apertura 2026. La fédération a d'ailleurs annoncé le 15 juillet qu'elle contesterait la sanction, invoquant des irrégularités dans la procédure.
L'organisation R3D (Red en Defensa de los Derechos Digitales) a rappelé qu'elle avait alerté dès le départ sur les risques du traitement de données aussi sensibles. Le visage, contrairement à un mot de passe, ne se change pas : une fois qu'un gabarit biométrique fuite, il est compromis à vie.
Pourquoi cette affaire concerne aussi les Canadiens
L'histoire se déroule au Mexique, mais elle touche une corde sensible de ce côté-ci de la frontière. Le Canada coaccueille la Coupe du monde 2026, et l'accès à plusieurs événements passera par un identifiant numérique de la FIFA qui recueille lui aussi des renseignements personnels. La logique est la même : échanger une donnée corporelle contre un droit d'entrée.
Au Canada, la loi encadre strictement ce type de collecte. La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) exige qu'une organisation obtienne un consentement valable, limite la collecte à une fin acceptable et protège les données recueillies. Le Commissariat à la protection de la vie privée du Canada considère depuis longtemps la reconnaissance faciale comme l'une des technologies biométriques les plus intrusives, justement parce qu'elle peut fonctionner sans que la personne participe sciemment. Ses documents d'orientation sur la biométrie détaillent les obligations des entreprises en la matière.
L'avis d'un expert en cybersécurité
Un spécialiste en sécurité informatique ne se contente pas de lire les conditions d'utilisation : il évalue la surface de risque. Face à un système comme le Fan ID — ou tout billet numérique exigeant une photo, une pièce d'identité ou un scan facial — voici ce qu'il conseille de vérifier avant de transmettre quoi que ce soit.
Qui conserve la donnée, et où? Un gabarit biométrique hébergé sur un serveur étranger n'offre pas les mêmes recours qu'une donnée traitée localement. Combien de temps est-elle gardée? Une conservation illimitée est un signal d'alarme. La photo est-elle transformée en gabarit chiffré ou stockée telle quelle? Et surtout : le consentement demandé est-il réellement libre, ou imposé comme condition d'accès?
Un professionnel peut aussi auditer les traces que vous laissez : comptes créés pour un événement, applications de billetterie aux permissions excessives, courriels d'hameçonnage imitant l'organisateur. Ces attaques se multiplient autour des grands rendez-vous sportifs, car les fraudeurs savent que des milliers de personnes s'inscrivent à la hâte.
Ce que vous pouvez faire dès maintenant
Avant de créer un identifiant lié à un visage, lisez la politique de confidentialité et repérez la mention explicite « données biométriques ». Utilisez une adresse courriel dédiée aux événements, activez la double authentification et méfiez-vous des liens reçus par message. Après l'événement, demandez la suppression de vos données lorsque la loi le permet — c'est un droit, pas une faveur.
Si un doute subsiste sur la conformité d'un service que vous utilisez, ou si vous soupçonnez une fuite touchant vos renseignements, un consultant en informatique et protection de la vie privée peut analyser la situation, formuler une demande d'accès et vous orienter vers le bon recours. Sur Expert Zoom, vous pouvez décrire votre besoin et être mis en relation avec un spécialiste en cybersécurité en quelques minutes.
L'affaire du Fan ID le montre : la reconnaissance faciale s'installe dans les stades comme une évidence, mais l'encadrement, lui, se construit à coups de sanctions. Rester maître de son visage numérique commence par une question simple — à qui, exactement, ai-je dit oui?
