La AEPD, abierta a estudiar el uso de datos biométricos en exámenes universitarios online

Madrid, 3 jun (EFE).- La Agencia Española de Protección de Datos (AEPD) ha recordado que las universidades no pueden emplear tecnologías de reconocimiento facial para obtener datos biométricos de los alumnos y evitar fraudes en las evaluaciones universitarias online, pero está dispuesta a estudiar esta posibilidad en el futuro "con un adecuado desarrollo normativo".

La AEPD ha hecho esta puntualización en una resolución originada tras una denuncia contra la Universitat Internacional Valenciana (UIV) por imponer un sistema de monitorización de exámenes a distancia.

Este sistema implicaba, obligatoriamente y sin alternativas válidas para el alumnado, el uso de tecnologías biométricas de reconocimiento facial y doble cámara (monitorización 360) con la finalidad de evitar fraudes y suplantaciones en evaluaciones académicas online.

El software usaba un sistema de reconocimiento facial mediante inteligencia artificial por el que se capturaban y analizaban imágenes en tiempo real para verificar de forma continuada la identidad de los estudiantes durante los exámenes, explica la AEPD en un comunicado.

La UIV, que justificaba el tratamiento de los datos personales biométricos para asegurar la autenticidad y calidad de las evaluaciones online y prevenir suplantaciones, decía contar con el consentimiento libre y expreso del alumnado (otorgado al matricularse y aceptar las condiciones generales), así como con un supuesto 'interés público esencial' en la lucha contra el fraude académico.

Para identificar a los alumnos, la universidad utilizaba una verificación continua basada en datos biométricos (patrones faciales generados y suprimidos cada pocos segundos), la monitorización del escritorio de la persona examinada (captura de pantallas, detección de programas, periféricos conectados, etc.) y la monitorización del entorno del estudiante mediante una segunda cámara, con la que se analizaba con inteligencia artificial la presencia de otras personas u objetos no permitidos.

Según la UIV, los datos tratados eran suprimidos rápidamente, si bien la propia Universidad reconocía que el tratamiento suponía un riesgo muy alto de impacto para los derechos y libertades de las personas afectadas.

En su resolución -que puede ser recurrida-, la AEPD recuerda que los datos requeridos por el centro universitario son datos de 'categoría especial' que están regulados en el artículo 9 del Reglamento General de Protección de Datos.

Y aunque el apartado 2 de este artículo establece algunas excepciones, la resolución aclara que en este caso "no había ninguna excepción legítima" que permitiese el tratamiento realizado por la UIV.

Una de esas excepciones es el consentimiento, algo que la AEPD no considera válido en este caso porque aunque la universidad lo recababa en varios momentos (al formalizar la matrícula, al registrar la imagen en el software utilizado y al instalar la aplicación), los estudiantes no tenían más remedio que aceptarlo si querían ser evaluados.

La resolución también rechaza que exista una base de legitimación del interés público esencial, dado que no existe actualmente ninguna ley nacional específica del ámbito educativo universitario ‒que es el que corresponde‒ que habilite expresamente a las universidades a realizar este tratamiento biométrico en el marco de los exámenes a distancia.

Aunque la UIV invocó el artículo 46.3 de la Ley Orgánica de Universidades, que establece la obligación general de las universidades de verificar los conocimientos adquiridos por sus estudiantes, la AEPD considera insuficiente esta base normativa.

Ante esta situación, la AEPD reconoce que hace falta una ley habilitante específica -como ya han recomendado sentencias previas del Tribunal Constitucional o la jurisprudencia del TEDH- que determinase concretamente en qué casos, condiciones y bajo qué garantías puede realizarse este tratamiento biométrico.

A juicio de la AEPD, dicha ley habría de expresar la finalidad de prevención del fraude académico como interés público esencial perseguido.

También habría de incluir las circunstancias y modalidades específicas de aplicación del tratamiento biométrico y en su caso con IA de considerarse posible y los elementos básicos de las garantías técnicas, organizativas y procedimentales exigidas para proteger derechos fundamentales.

Por tanto, la resolución no cierra la puerta al uso de estos sistemas para la identificación de los estudiantes con la finalidad de prevención del fraude en el contexto educativo, incluso con sistemas de inteligencia artificial.

De hecho, recuerda la nota de la AEPD, estos sistemas están expresamente previstos en el Reglamento de Inteligencia Artificial (RIA) de la UE como de alto riesgo, aunque esta normativa no proporciona cobertura legal para amparar el uso actual de este tipo de tecnologías en el ámbito educativo en España, sino que -como indica expresamente el propio RIA- se requiere una decisión nacional (o europea) al respecto que establezca las garantías oportunas. EFE