EXÁMENES ON-LINE Y TECNOLOGÍA DE RECONOCIMIENTO FACIAL

Recientemente se ha publicado por parte de la Agencia Española de Protección de Datos un informe relativo a la realización de exámenes online en el ámbito educativo universitario y a la posibilidad de usar técnicas de reconocimiento facial o proctoring existentes para controlar la identidad de los alumnos en la realización de las pruebas de evaluación. Puede acceder al informe en este enlace. 

A pesar de que estos sistemas no son nuevos, sí hay una motivación acuciante por la previsible obligación de la realización de los exámenes en un entorno online, en vez de su realización presencial, por la actual situación en que nos encontramos por el estado de alarma provocado por el Covid-19 y las medidas sociales que hay que adoptar por recomendación de las autoridades sanitarias.  

Actualmente ya existen distintos modos de identificación para que los alumnos puedan acceder a las clases o contenidos educativos en entornos virtuales, como los identificadores en línea para poder acceder a las aulas virtuales o las videoconferencias. Sin embargo, se requiere de un “plus” de verificación para la realización de las pruebas de evaluación y evitar la tentación de que los alumnos puedan recibir “ayudas” no autorizadas o ser suplantados en su realización. Es en este punto dónde surge la idea de la utilización de la biometría y la posibilidad de usar técnicas de reconocimiento facial. El art. 4. 14 del RGPD define “datos biométricos” como datos personales obtenidos a partir de un tratamiento técnico especifico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos. Y aunque podamos caer en la tentación de considerar automáticamente todo tratamiento de dato biométrico como tratamiento de categoría especial de datos, el art. 9.1 del RGPD especifica que se refiere a los “datos biométricos dirigidos a identificar de manera unívoca a una persona física”, por lo que se puede inferir que solo constituirían una categoría especial de datos en el caso de que se sometan a un tratamiento técnico específico dirigido a identificar de manera unívoca a una persona física. 

En este punto resulta interesante la distinción recogida en el Dictamen 3/2012 del Grupo del Artículo 29 entre identificación biométrica y verificación/autenticación biométrica. Siendo la primera, la identificación resultado de un proceso de búsqueda de los datos biométricos de un individuo en una base de datos con datos de múltiples individuos (uno frente a varios), y la segunda, la verificación, un proceso de confrontación de los datos biométricos con una única plantilla biométrica (uno frente a uno), lo que lleva a considerar, por tanto, como categoría especial de datos los primeros, los supuestos de identificación. Sin embargo, es importante señalar que la Agencia incide en la complejidad de dicha interpretación, y no se decanta por una conclusión general, sino que aboga por un estudio caso a caso, a la espera de un pronunciamiento de los órganos jurisdiccionales o del Comité Europeo de Protección de Datos. 

En el caso que nos ocupa, los sistemas de reconocimiento facial implican el tratamiento de categorías especiales de datos. Esto implica acudir al artículo 9.2 del Reglamento, que establece que se podrán tratar estos datos con el consentimiento del interesado. Como ya sabemos, el consentimiento requiere que sea libre, específico, informado e inequívoco. ¿Se puede considerar como libre el consentimiento del alumno? Difícil, ya que parece clara la situación de desigualdad existente entre éste y la autoridad universitaria, lo cual queda reflejado en el considerando 43 del RGPD que indica claramente que no es probable que las autoridades públicas puedan basarse en el consentimiento para realizar el tratamiento de datos ya que cuando el responsable del tratamiento es una autoridad pública, siempre hay un claro desequilibrio de poder en la relación entre el responsable del tratamiento y el interesado. Sin embargo, cabría la posibilidad siempre y cuando se ofrecieran alternativas equiparables para su realización. La más clara sería ofrecer la posibilidad de realizar el examen presencialmente. Además, el no otorgamiento del consentimiento no puede conllevar situaciones lesivas para el alumno, como sería, por ejemplo, la no evaluación. 

Por tanto, deben ser las Universidades quienes determinen en sus normas de evaluación los distintos procedimientos que consideren oportunos y acrediten la igualdad entre los alumnos que consientan el tratamiento de sus datos biométricos y los que no lo hagan. Únicamente de este modo, el consentimiento podría legitimar dicho tratamiento. 

También existe la posibilidad de basar el tratamiento en el interés público esencial recogido en el art.9.2.g.). Sin embargo, esto requeriría de una serie de condicionantes que no parece que sea fácil que se den. Tomando como referencia la Sentencia del Tribunal Constitucional 76/2019 acerca de la impugnación del artículo 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, introducido por la disposición final tercera de la Ley Orgánica 3/2018, relativo a la legitimación de la recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos en el marco de sus actividades electorales, que declaró inconstitucional, se requiere invocar un interés público esencial con su necesaria especificación, no permitiéndose conceptos genéricos, y el establecimiento de garantías adecuadas de tipo técnico, organizativo y procedimental, que prevengan los riesgos de distinta probabilidad y gravedad y mitiguen sus efectos. 

Es decir, se necesitaría de una norma con rango de ley que cumpliera con estos requisitos mencionados, además de superar el consabido “principio de proporcionalidad”: idoneidad (sirva para cumplir el fin perseguido), necesidad (no exista otra medida menos gravosa y con la misma eficacia) y proporcionalidad (que se deriven más beneficios para el interés general que perjuicios sobre los otros derechos en conflicto). 

Por último, señalar que, en cualquier caso, tanto si se aceptara el consentimiento como si se publicara una norma con rango de ley con las características mencionadas, habría que, por supuesto, cumplir con la normativa de protección de datos, adoptando todas las medidas necesarias para su cumplimiento, como, especialmente, la realización de una evaluación de impacto. 

Miguel Pérez 

Abogado