La AEPD exige garantías para utilizar el reconocimiento facial en los exámenes

• La Agencia Española de Protección de Datos (AEPD) ha publicado un informe en el que examina cuestiones relativas al uso de técnicas de reconocimiento facial para posibilitar la realización de pruebas de evaluación online ante la situación de crisis sanitaria ocasionada por el COVID-19.

Como ha reiterado y advertido la Agencia en las últimas semanas, la normativa de protección de datos personales, en tanto que está dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a pesar de la situación actual derivada de la extensión del virus COVID-19, no existiendo así razón alguna que determine la suspensión de derechos fundamentales.

En primer lugar, apunta la AEPD que la realización de evaluaciones online no es algo novedoso ni generado por el estado de alarma, sino que este es un método de evaluación que viene aplicándose por algunas universidades españolas desde hace años, existiendo métodos alternativos al reconocimiento facial, como son la asignación de identificadores de acceso o el empleo de herramienta de videoconferencia o webcams.

Igualmente, y partiendo de lo dispuesto en el art. 46.3 de la LO 6/2001, de 21 de diciembre, de Universidades (LOU), que establece que “las Universidades establecerán los procedimientos de verificación de los conocimientos de los estudiantes”, la Agencia informa e incide en la posibilidad y necesidad de potenciar la evaluación continua mediante prácticas, trabajos, el uso de herramientas antiplagio, u otras alternativas como, establecer periodos breves para que se proceda a la respuesta, la monitorización del alumno por parte del profesorado y personal de asistencia mediante videoconferencia, realización de exámenes orales por este último medio, o la realización de videos explicativos elaborados por el alumnado; recomendándose así, que sólo como última opción, y para las asignaturas más complejas con un gran número de estudiantes, se recurra a la solución del reconocimiento facial o e-proctoring.

Partiendo de dichos criterios, los datos personales derivados de la necesaria evaluación de los alumnos, se encuentran amparados por el art. 6.1.e) del RGPD, como consecuencia de la existencia de un interés público derivado de la configuración de la educación superior como un servicio público por la LOU, si bien deben respetarse en todo caso los principios relativos a la protección de datos recogidos en el art. 5 del RGPD, especialmente los de limitación de la finalidad y minimización de datos, correspondiendo a cada Universidad, en virtud de su autonomía y del principio de responsabilidad proactiva, velar por el adecuado cumplimiento de los mismos.

Asimismo, en el momento actual, entre las distintas técnicas para la identificación y control que se están utilizando durante las pruebas de evaluación online, detalla el Informe, que entre las menos intrusivas se encontraría por ejemplo, el acceso a la imagen y micrófono del alumnado, incluyendo grabación de la imagen y sonido del alumnado durante el examen, visualización del alumno multicámara desde distintas perspectivas, grabaciones del entorno personal del alumno previa a la prueba y/o durante la prueba; o el acceso al sistema del alumno, incluyendo la pantalla, el control del sistema o la grabación de la interacción del alumno con el mismo. En cambio, entre las más intrusivas, y además, consideradas por la Agencia como tratamiento de categoría especiales de datos, se encontraría el tratamiento de la información biométrica, y en concreto, la identificación mediante reconocimiento facial o el tratamiento de datos biométricos para perfilar actitudes, gestos, estados de ánimo o de ansiedad, etc. De esta manera, la AEPD informa, que el consentimiento del alumno debe ser esencial, matizando de igual modo, que no puede existir coacción alguna a realizar el examen por esta vía, y siendo necesarios que existan alternativas reales y equivalentes a dichas evaluaciones en las que no fuera necesario su tratamiento. Así, advierte la Agencia, “que no sería admisible, en ningún caso, es que como consecuencia de la denegación del consentimiento, se denegara la posibilidad de matriculación o de acceder a la evaluación o cualquier otra consecuencia negativa importante para el alumno”.

Por tanto, cabe preguntarnos, ¿se puede obligar al alumno a someterse a estas técnicas de evaluación que precisan de la utilización de datos biométricos especialmente sensibles? Según la doctrina constitucional, y según lo previsto en el art. 9.2 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el tratamiento de tales datos “deberán estar amparados en una norma con rango de ley”. Además, dicha ley deberá especificar el interés público esencial que justifica la restricción del derecho a la protección de datos personales, las circunstancias en las que puede limitarse, las reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias, las garantías adecuadas que prevengan los riesgos de distinta probabilidad y gravedad, y todo ello, por supuesto, respetando en todo caso el principio de proporcionalidad.

Finalmente, iniciado ya el plan de desescalada que podría permitir realizar, con las correspondientes medidas de seguridad y sanitarias oportunas, pruebas presenciales, y ante la oleada de exámenes que se avecinan, el informe de la AEPD indica que debe primar un criterio de prudencia que permita un análisis de sus implicaciones y, en todo caso, un riguroso estudio de los riesgos que implican esos tratamientos y de las garantías necesarias para proteger el derecho a la protección de datos personales, y en caso de duda, recomienda la Agencia, consulta previa a la autoridad de control.

Acceso al informe completo.