← España

PS-00067-2024

1/225  Expediente N.º: EXP202305233 Procedimiento Sancionador Nº PS/00067/2024 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Contenido ANTECEDENTES.......................................................................................................... 2 HECHOS PROBADOS................................................................................................ 29 FUNDAMENTOS DE DERECHO................................................................................. 50 I.Competencia y procedimiento.................................................................................... 50 II. Cuestiones previas sobre el tratamiento realizado por la UIV.................................. 50 2.1. Datos personales objeto de tratamiento............................................................ 50 2.2. Características y riesgos del tratamiento de los datos biométricos de carácter personal................................................................................................................... 59 2.3. Los datos biométricos como datos personales de categoría especial y alto riesgo....................................................................................................................... 62 2.4. Sobre las operaciones de tratamiento de datos biométricos y el responsable de su tratamiento........................................................................................................... 67 III. Sobre la admisión y valoración de la prueba........................................................... 69 IV. Contestación de las alegaciones contra el Acuerdo de Inicio.................................. 92 V. Contestación a las alegaciones formuladas frente a la Propuesta de Resolución.. 119 5.1. Contestación de las cuestiones previas/preliminares planteadas....................122 5.2. Contestación a las alegaciones formuladas en relación con la naturaleza jurídica de los datos tratados y la atipicidad de la conducta imputada por el artículo 9 del RGPD..................................................................................................................... 137 5.3. Contestación de la ALEGACIÓN QUINTA. La Propuesta de Resolución vulnera el principio de culpabilidad: ante las dudas interpretativas que se derivan del RGPD, no cabe imponer una sanción................................................................................. 164 5.4. Contestación de la ALEGACIÓN SEXTA sobre:“Incorrecta aplicación de los criterios de graduación de las sanciones”............................................................... 168 VI. Sobre la concurrencia de excepción a la prohibición del tratamiento del artículo 9 del RGPD, y base legitimadora del artículo 6 del RGPD............................................ 172 6.1. Sobre la necesidad de que concurra excepción a la prohibición del tratamiento de datos biométricos.............................................................................................. 172 6.2. Necesidad de base de licitud del tratamiento del artículo 6.1.......................... 174 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/225 6.3. Análisis de la concurrencia de una excepción y una base de licitud en el supuesto presente.................................................................................................. 175 VII. Sobre el incumplimiento del artículo 5.1.

  1. c)del RGPD......................................... 201 7.1. Sobre la exigencia de que el tratamiento sea necesario, idóneo y proporcional. ............................................................................................................................... 201 7.2. Precisiones preliminares sobre el análisis de idoneidad, necesidad y proporcionalidad realizado por la UIV..................................................................... 204 7.3. Sobre la falta de superación del análisis de idoneidad, necesidad y proporcionalidad realizado por la UIV..................................................................... 207 VIII. Tipificación de las infracciones y calificación a los efectos de la prescripción.....226 8.1. Infracción del artículo 9 del RGPD................................................................... 226 8.2. Infracción del artículo 5.1.c del RGPD............................................................. 226 IX. Sanción a imponer................................................................................................ 227 9.1. Normativa aplicable......................................................................................... 227 9.2. Graduación de la sanción por la infracción del artículo 9 del RGPD................229 9.3. Graduación de la sanción por la infracción del artículo 5.1.
  2. c)del RGPD.........231 RESUELVE:............................................................................................................... 233 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La ***EMPRESA.1 (en adelante, la denunciante) con fecha 24 de marzo de 2023 presentó denuncia ante la Agencia Española de Protección de Datos. La denuncia se dirige contra UNIVERSITAT INTERNACIONAL VALENCIANAVALENCIAN INTERNATIONAL UNIVERSITY, S.L. con NIF B98585797 (en adelante, la UIV/ la Universidad), en la que pone de manifiesto a esta Agencia la posible falta de proporcionalidad del tratamiento de datos biométricos de los estudiantes matriculados en la Universidad Internacional de Valencia. Según los hechos que constan en la denuncia: - La Universidad remitió información a los alumnos bajo la referencia ‘activación apartado exámenes’, en la que se les instaba a descargar una herramienta de monitorización de exámenes que utiliza reconocimiento facial sin proporcionar otras alternativas para realizar las evaluaciones. Dicha herramienta es un software llamado ***APLICACIÓN.1 que, entre otras cosas, utiliza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/225 reconocimiento facial e inteligencia artificial para comprobar la identidad de los alumnos y evitar, a través de la intromisión en su ordenador, la comisión de posibles fraudes, además de capturar imágenes de los estudiantes durante su evaluación. Asimismo, los alumnos recibieron un documento en el cual se les informaba que deberían de colocar un sistema de videovigilancia que se compone por un doble dispositivo de grabación. - En concreto, se afirma en la denuncia que un grupo de alumnas inscritas en los cursos virtuales recibieron correo electrónico de 3 de octubre de 2022 con el siguiente contenido: “El uso del campus virtual no requiere de la instalación de ningún programa o software (excepto complemento navegador para funcionalidades concretas). Con disponer de equipo actualizado, navegador web compatible y conexión aceptable, se puede disfrutar de una experiencia académica completa. Sin embargo, sí que existen requisitos mínimos que detallamos a continuación: cámara web y micrófono, velocidad de conexión 7.2 y 3.6 Mbps de bajada y subida, recomendación cable LAN para pruebas, exámenes y presentaciones TFM”. - Posteriormente, el 19 de diciembre de 2022, las alumnas recibieron nuevo correo en el que se les informaba que a partir del día 16 de enero de 2023 debían descargar una herramienta de monitorización de exámenes que utilizaba reconocimiento facial, sin que se les proporcionara otras opciones. El contenido de este correo es el siguiente: “Estimados estudiantes: ya ha sido activado el apartado de exámenes del aula general. Es importante que reviséis dicho apartado, así como descargaros la herramienta de monitorización ***APLICACIÓN.1, ya que, como os informamos, podéis hacer los exámenes a partir del 16 de enero. Tenéis un manual y video informativo para la descarga del Proctor. Del mismo modo, el servicio de soporte técnico de la universidad va a impartir unos talleres de resolución de dudas sobre exámenes online y control biométrico”. Se afirma que las alumnas recibieron también adjunto a dicho correo un documento informando que debían colocar un sistema de videovigilancia que se compone de doble dispositivo de grabación. - Que, tras recibir el correo de 19 de diciembre de 2022, el grupo de alumnas solicitó que sus complementos formativos y evaluaciones se llevaran a cabo sin las medidas de vigilancia anteriormente descritas, a lo que la Universidad respondió “la implementación de dichas medidas fue aprobada por el Consejo de Gobierno Académico”, sin ofrecerles soluciones alternativas que no requiriese el tratamiento de datos biométricos. - La denuncia hace referencia al Informe Jurídico 0036/2020 de esta Agencia, que analizó el uso de datos biométricos por parte de universidades e instituciones educativas, indicando que: “la posibilidad de admitir un consentimiento libre de los alumnos que permitiera el empleo de técnicas de reconocimiento facial para tratar sus datos biométricos en las evaluaciones online requeriría que a los mismos se les ofreciera la posibilidad de realizar dichas evaluaciones en una situación equiparable en la que no fuera necesario su tratamiento, como pudiera ser la realización de la misma actividad presencialmente, u ofreciendo otras alternativas que no requieran el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/225 tratamiento de sus datos biométricos y que fueran equiparables en cuanto a su duración y dificultad respecto a las que se realicen con reconocimiento facial.” - La denuncia también referencia la resolución del expediente E/05454/2021 de la AEPD de fecha 27 de julio de 2021, que analiza un supuesto parecido donde se afirma que: “(..) No se justifica la necesidad del tratamiento, ya que la identificación online de los alumnos se ha estado realizando de forma habitual por los centros Universitarios mediante la visualización del alumno sin emplear técnicas de reconocimiento facial. Sobre este particular es necesario subrayar que no cabe confundir necesidad con conveniencia (…)”. En este mismo sentido, en la referida resolución la AEPD determina: “(…) que las técnicas de reconocimiento facial implican una mayor intrusión en el derecho a la protección de datos personales y que el tratamiento que se pretende realizar podría suponer un alto riesgo para los derechos y libertades de las personas físicas, debido a la utilización de nuevas tecnologías, y al alcance y contexto en el que se realizará”. Junto con su denuncia, la Fundación aporta 3 documentos: - Documento 1. Acta fundacional constitutiva de la fundación denunciante. - Documento 2. Estatutos de la Fundación. - Documento 3. “Evidencias de personas alumnas de la Universidad Internacional de Valencia”, donde aparecen un total de 5 documentos, denominados “evidencias”. Evidencia 1. Mensaje UIV que aparece sin fecha, indicando que el uso del campus virtual no requiere instalación de software adicional. Evidencia 2. Correo electrónico de 3-10-22 referido por la denuncia. Evidencia 3. Correo de 19-12-22 referido por la denuncia. Evidencia 4. Pantallazos del contenido de los adjuntos al correo de 19-12-22. Evidencia 5. Respuesta de la UIV a una consulta sobre el nuevo sistema de exámenes en el que se indica que se ha adoptado por decisión del Consejo de Gobierno de 3 de mayo de 2022. SEGUNDO: Con fecha 26 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acuerda mediante nota interior abrir una investigación de oficio e insta a la Subdirección General de Inspección de Datos a que inicie actuaciones previas de investigación tendentes a acreditar la posible concurrencia de estos hechos y su autoría. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/225 El objeto de esta investigación se centró en analizar la proporcionalidad del tratamiento y el cumplimiento de los principios de protección de datos por parte del software ***APLICACIÓN.1, utilizado por la UNIVERSITAT INTERNATIONAL DE VALENCIA (en adelante UIV o VIU) para la realización de exámenes por los alumnos, y que utiliza técnicas de reconocimiento facial para su identificación, así como el sistema de doble cámara utilizado por este sistema para monitorizar las pruebas (lo que habitualmente es conocido como “Proctoring” o monitorización ***APLICACIÓN.2). Dentro del procedimiento se realizan las siguientes actuaciones previas de investigación, que se señalan en el Informe de Actuaciones Previas de Investigación emitido por el inspector actuante con fecha de 18 de enero de 2024: En fecha 30 de octubre de 2023 se realiza un primer requerimiento de información a la UIV marcado por la siguiente línea de investigación: Solicitar e investigar el Registro de Actividades de Tratamiento (RAT) en relación con las actividades en las que interviene los tratamientos realizados por ***APLICACIÓN.1. Informar sobre el funcionamiento y casos de uso del software ***APLICACIÓN.1. Información sobre los detalles sobre los tratamientos de datos personales que realiza ***APLICACIÓN.1 y la base legitimadora utilizada para ello. Información que se proporciona a los alumnos en relación con los tratamientos realizados por ***APLICACIÓN.1. Informar y aportar la elaboración del análisis de riesgos para los derechos y libertades de las personas afectadas por estos tratamientos, y la elaboración y superación de una Evaluación de Impacto para la Protección de Datos Personales previa a la implantación del sistema de reconocimiento facial. En fecha 16 de noviembre de 2023 se recibe respuesta de la UIV al primer requerimiento de investigación. Del análisis de la documentación aportada, de acuerdo con el Informe del inspector, se extrae la siguiente información relevante: - Afirman que “***APLICACIÓN.1 es un sistema de autenticación continua de la identidad de la persona que va a realizar el examen y que utiliza un algoritmo de reconocimiento facial, un sistema de monitorización de la pantalla y un sistema de control del entorno mediante una segunda cámara, con el fin de prevenir la suplantación de identidad y el fraude en los exámenes”. o Afirman que el funcionamiento de ***APLICACIÓN.1 incluye tres fases: o o o C/ Jorge Juan, 6 28001 – Madrid Aceptación por parte del alumno de los términos y condiciones. Registro de la identidad del alumno, capturando por primera vez la imagen del alumno, procediendo a instalar el software necesario en el dispositivo del alumno. Monitorización de las actividades durante el examen, donde el estudiante es autenticado de forma continua. www.aepd.es sedeagpd.gob.es 6/225 o Aportan varios documentos redactados por la empresa fabricante/ suministrador del software, ***EMPRESA.2 (en adelante, ***EMPRESA.2), con la descripción funcional de ***APLICACIÓN.1 con el nombre “Documentos Agrupados (Documentos 1.1, 1.2, y 1.3). Del análisis de estos documentos el inspector extrae en su informe la siguiente información relevante: En el “Documento 1.2” sobre el funcionamiento de ***APLICACIÓN.1 y sus características esenciales, elaborado por ***EMPRESA.2 se destaca la siguiente información: (
  3. i)Descripción del sistema: “En función de las necesidades de la institución, el sistema se puede configurar para monitorizar al usuario por medio de distintas herramientas (niveles de seguridad). Estas herramientas se pueden usar de forma independiente o combinadas, siendo las siguientes: (…)”. (
  4. i)En cuanto a las medidas técnicas de seguridad, en el apartado 2.2 de las especificaciones, el sistema ***EMPRESA.2 manifiesta que “el sistema implementa las medidas más avanzadas”: “-Se siguen todas las recomendaciones y buenas prácticas en desarrollo de código y revisión de vulnerabilidades web como las de (...) entre otras. -Auditorías externas anuales. -Almacenamiento de datos anonimizado: El sistema trabaja con datos anonimizados, donde ***EMPRESA.2 nunca conoce la identidad de los usuarios que está supervisando, ***APLICACIÓN.1 no maneja identidades y todos los datos que llegan se relacionan a un código alfanumérico. La relación entre códigos y la identidad de las personas reside en los servidores del responsable de tratamiento. -***EMPRESA.2 ha diseñado un sistema teniendo en cuenta la privacidad por defecto y desde el diseño: (
  5. ii)En el apartado 3.3. sobre “responsabilidad proactiva” las especificaciones de ***EMPRESA.2 manifiestan, entre otros aspectos, lo siguiente: -“El procesamiento biométrico que se realiza es de autentificación/verificación y no de identificación. Esto quiere decir que se realizan comparaciones de 1 a 1 y no de uno a varios”. -El procesamiento biométrico que se realiza es de bajo impacto al ser autenticación/verificación y no identificación. -No almacena datos biométricos: cuando el sistema ***APLICACIÓN.1 recibe una imagen, extrae los datos biométricos de la imagen y del registro del usuario y los compara, obteniendo un resultado. Estos datos se destruyen y no quedan almacenados, quedando en el sistema muy pocos segundos. -El control reside en el usuario, antes de comenzar a utilizar ***APLICACIÓN.1, el estudiante recibe toda la información necesaria por pe de la institución académica, además, la monitorización se basa siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/225 en el consentimiento del usuario, y en caso de que se deniegue, el responsable del tratamiento debe ofrecerle una alternativa a este estudiante”. En el documento agrupado 1.3 sobre el funcionamiento de la herramienta de monitorización de escritorio denominada ***HERRAMIENTA.1 que se ha desarrollado e instalado en la UIV, ***EMPRESA.2 manifiesta, entre otras cosas que: -***APLICACIÓN.1 no graba video, captura screenshots cada vez que el alumno cambia de programa, pestaña en navegador, navega por internet o cualquier aplicación de su ordenador, se captura pantallazo. -Se detecta apertura y cierre de programas partiendo de una black list que se pueden considerar como incidencias. -Detección de periféricos conectados al equipo, como varias pantallas o cámaras. -Detección de textos que pueda copiar el alumno, registrándose texto copiado y programa desde el que se copia. -Además de lo anterior, el software monitoriza la actividad del alumno, pero en ningún momento accede a información en el equipo del estudiante”. o Por otra parte, la UIV afirma en su escrito de 16 de diciembre de 2023, que el proyecto ha contado con la aprobación de la Comisión Europea, que destinó fondos dentro del programa H2020 durante el periodo 2018 a 2020, incluyen la URL con la ficha del proyecto: https://cordis.europa.eu/article/id/429031-cybersecurity-steps-in-to-keep-academic-integrity-in-check/es. o Se aporta, así mismo, como Documento 2.1 el Registro de Actividades de Tratamiento (RAT) de la UIV con la actividad afectada por los tratamientos de datos que realiza ***APLICACIÓN.1: a. Nombre de la actividad de tratamiento: “Proctorización de exámenes online”. b. Finalidades del tratamiento: 1. Verificar que el estudiante que se presenta al examen es quien dice ser. 2. Evitar suplantaciones de identidad. 3. Evitar el fraude o la copia en los exámenes. 4. Garantizar la calidad e integridad académica. 5. Dar cumplimiento a los requisitos de las entidades certificadoras (ANECA). c. Categorías de datos tratados: datos de identificación, imagen del alumno, datos biométricos - patrón facial, comportamiento durante el examen, contenido de la evaluación. d. Base Jurídica utilizada para el tratamiento: i. 1.Consentimiento explícito del usuario recabado en fase precontractual y contractual. ii. 2. Ejecución del contrato. iii. 3. Interés legítimo para la prevención del fraude. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/225 e. Plazo supresión: durante el plazo necesario para llevar a cabo las finalidades para las que han sido recabadas y, en cualquier caso, hasta el momento en que las actas de evaluación de cada prueba sean firmes. Posteriormente, los datos se conservan debidamente bloqueados durante el plazo de prescripción de las acciones, reclamaciones e infracciones. f. Medidas de seguridad: “La aplicación ***APLICACIÓN.1 tiene la certificación ***CERTIFICACIÓN.1, por lo que las medidas de seguridad son las descritas en dicha norma. Adicionalmente, la VIU está integrada en el marco de seguridad, organizativo y normativo de ***EMPRESA.3. Entre las normas de ***EMPRESA.3 aplicables a la seguridad de la VIU destacan Política de Seguridad de la Información y Norma sobre Uso de los sistemas de Información”. o En relación con las bases jurídicas incluidas en el RAT y listadas en apartado anterior, incluyen también en la respuesta las siguientes afirmaciones aclaratorias: “Para la finalidad de verificación mediante reconocimiento facial y datos biométricos de que el alumno es parte del contrato de enseñanza, las bases jurídicas aplicadas son: 1.-La ejecución del contrato de enseñanza. 2.-El consentimiento: otorgado al aceptar las condiciones generales en el momento de la matrícula (contrato de enseñanza). Este consentimiento se otorga previamente cuando el interesado todavía no es alumno de la universidad y tiene plena capacidad para elegir centro universitario. El consentimiento por tanto es libre debido a que el alumno puede escoger cualquier centro y todavía no está sujeto a la normativa de la universidad. Para la finalidad de verificación del entorno con la segunda cámara para prevenir fraude: 1.- El interés legítimo (no se realiza ningún tratamiento biométrico con los datos obtenidos, solo se visualiza el entorno para disuadir al alumno de realizar actuaciones fraudulentas y para detectarlas). 2.- Consentimiento (el alumno consiente expresamente en las condiciones generales el uso de la cámara del entorno) Para la prevención del fraude en los exámenes online: 1.- El interés legítimo. La ponderación de este interés se realiza en la evaluación de impacto aportada”. o En relación con la información proporcionada al alumno sobre el uso de ***APLICACIÓN.1, se aportan los siguientes documentos que se ponen a disposición de los estudiantes tanto en fase precontractual (aún no se ha matriculado) como en la fase contractual (al matricularse), y post-contractual (una vez el estudiante ya ha formalizado la matrícula): a. Previamente a formalizar la matrícula: El inspector manifiesta en su Informe que: Ha quedado constatado que la UIV informa al alumno sobre el uso de datos biométricos en ***APLICACIÓN.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/225 para reconocimiento facial a través de varios documentos facilitados al estudiante en momentos previos al proceso de matriculación (fase precontractual), pues ha quedado acreditado que estos documentos están publicados abiertamente en la web de la universidad”. Estos documentos son los siguientes:  Links informativos sobre el funcionamiento del campus virtual y las preguntas frecuentes. (
  6. ii)La Normativa de Evaluación de la Universidad entre 2019 y 2022 como Documento 3.5, comprobándose por el Inspector en su Informe de Actuaciones Previas que la misma se halla publicados en la página web y pueden consultarse por el alumno antes de tomar la decisión de matricularse, a través de los dos links que proporciona la Universidad. Se observa que Normativa de Evaluación de 25-2-2019, y 10-102020, afirma en su capítulo IV, art 11 y siguientes que los exámenes online se realizarán de forma obligatoria a través de reconocimiento biométrico. Y la Normativa de Evaluación aprobada el 3-5-21 y el 21-10-22, realizan en el artículo 2 la misma afirmación. (
  7. i)La UIV señala que también se ofrece información al alumno en los documentos con cada Memoria de Verificación de Máster, a la que éstos tienen acceso público a través de la web de la UIV. Aportan un ejemplo de memoria de un máster como Documento 3.2, en cuyo apartado 5.4.1.
  8. b)y Anexo se ha referencia al control de identidad y plagio mediante reconocimiento facial describiendo el funcionamiento del programa ***APLICACIÓN.1. (
  9. ii)Como documento 3.3 aporta un ejemplo de Plan de Estudios de la UIV. (iii) Como documento 3.4 presentado en 2018 por la UIV, se aporta el Informe de Evaluación Favorable de ANECA de 31 de mayo de 2019 sobre propuesta de modificación del Plan de Estudios formulada en 2018 que fue sometido a ANECA, realizando este organismo, según la UIV, 3 recomendaciones de mejora del sistema de evaluación de exámenes online que la UIV dice haber corregido, introduciendo las medidas de autenticación, control de la pantalla y control del entorno de una segunda cámara. (
  10. iv)Y por último, se aporta como documento 3.11 un ejemplo de catálogo de master con apartado de exámenes online (pág 19). a. Al contratar (formalizar la matrícula). Se aporta como documento agrupado 3.1 las Condiciones Generales que el estudiante deberá aceptar en el proceso de matrícula publicadas por la UIV entre el año 2017 hasta 2023. Que la UIV denomina “Contrato de Enseñanza”, cuya aceptación, supone, a su vez, manifestar el consentimiento contractual. La UIV manifiesta que éste está disponible desde la fase previa a la contratación para ser consultado, si bien se acepta y convierte en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/225 consentimiento al formalizar la matrícula. Por lo que también puede considerarse que se ofrece como información previa al formalizar la matrícula. Respecto a las Condiciones Generales publicadas por la universidad en los años a los que corresponden los hechos a los que se refiere la denuncia presentada en el presente expediente: 2022 y 2023, se aportan 3 documentos (“condiciones generales 2022”, “condiciones generales 2022 septiembre” y “condiciones generales 2023”). Y en todos ellos, aparece una cláusula novena sobre “responsabilidades del alumno” en la que se hace referencia a la aceptación de “un sistema de tecnología de reconocimiento facial que permitirá controlar su efectiva participación en los exámenes y pruebas realizados por este centro universitario. Dicho sistema será utilizado única y exclusivamente para esta función de control y nunca para ninguna otra finalidad distinta”. Así como la posibilidad de realizar un curso totalmente online, sin desplazamientos ni pruebas presenciales, constituye un elemento esencial para la contratación de la UIV. c. Una vez formalizada la matrícula: Se afirma que, una vez formalizada la matrícula (lo que denominan fase contractual), el alumno recibe formación constante sobre el reconocimiento facial y el tratamiento biométrico realizado por ***APLICACIÓN.1. Se aportan por la Universidad varios documentos que contienen formación relativa al registro biométrico del alumno en ***APLICACIÓN.1 como Documentos 3.6 a 3.9, como son: el Manual de formación online con control biométrico como documento 3.6 (***APLICACIÓN.4) y la actualización de este mismo manual de agosto de 2023 como documento 3.7 (***APLICACIÓN.5), una guía de instalación e instrucciones de ***APLICACIÓN.1 como documento 3.8 y el protocolo de monitorización mediante esta herramienta como Documento 3.9. Afirman que a través de estos documentos se informa al alumno, al inicio del curso, sobre el reconocimiento facial, el tratamiento biométrico y el uso de las dos cámaras de monitorización. o En relación con el consentimiento explícito de los alumnos al tratamiento biométrico afirman que, además de disponer de las bases jurídicas antes mencionadas, se solicita el consentimiento explícito, que “es solicitado al usuario tanto en fase precontractual, cuando el interesado aún no es alumno y tiene plena capacidad de elección de centro universitario, como en fase contractual”. Afirman que el consentimiento es recabado en los siguientes momentos: (
  11. i)A través de la aceptación de las Condiciones Generales aportadas como Documento 3.1 por la persona que va a realizar la matrícula. (
  12. ii)En el momento de registro de la imagen de la cara del usuario en la herramienta, que debe aceptar también la Política de Privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/225 específica del tratamiento realizado con el software ***APLICACIÓN.1. Se acredita documentalmente esta Política- de Privacidad (“Documentos Agregados – (…)”). Del análisis de este documento 3.10 Política privacidad el inspector concluye que se informa al interesado sobre la identificación del responsable de tratamiento, la finalidad del tratamiento, el tiempo de conservación de los datos, la legitimación del tratamiento, los derechos, sobre la inexistencia de transferencias internacionales y sobre los posibles destinatarios. Y en relación con la legitimación del tratamiento incluye el siguiente texto: “Le informamos que realizamos los tratamientos indicados anteriormente de acuerdo con las siguientes bases jurídicas: consentimiento y ejecución del contrato de enseñanza suscrito con Usted para verificar que la persona que se presenta al examen es parte en dicho contrato, e interés legítimo en el caso de la prevención del fraude.”. (
  13. ii)Por último, afirman que “todos los dispositivos utilizados durante el examen deben ser instalados de forma manual y expresa por el alumno, lo cual implica una acción expresa y categórica que refuerza el consentimiento inicial al aceptar las condiciones”. Lo que consta acreditado en el Manual de formación y descarga aportado como documentos 3.6 y 3.7. o En respuesta a nuestra consulta para que aporten la fecha de inicio de la actividad de tratamiento del RAT, afirman que la UIV utiliza reconocimiento facial y datos biométricos en exámenes desde el año 2017. Y consideran que es un hecho notorio y conocido entre la comunidad de habla hispana que su universidad responde al modelo académico de enseñanza 100% online con reconocimiento facial y cumplimiento requisitos ANECA. o Se aportan dos documentos como Documento 5 que contienen la Evaluación de Impacto para la Protección de Datos Personales (EIPD), una evaluación inicial realizada en septiembre del año 2020, y un segundo documento con una actualización posterior de esta EIPD realizada en julio de 2023. Ninguno de ellos está sellado ni firmado por la Universidad ni por la encargada del tratamiento. Ambos documentos son idénticos en sus primeros 29 apartados, siendo la diferencia básica entre ambos que en el documento denominado “EIPD 2020-actualización julio 2023” se incluyen dos anexos de actualización. Del análisis de ambos documentos, se extrae la siguiente información relevante para la investigación: (
  14. i)La EIPD incorpora una descripción sistemática de las operaciones de tratamiento que detalla el flujo de datos existente en los tratamientos. (
  15. i)Las finalidades del tratamiento son las 5 anteriormente mencionadas en el RAT. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/225 (
  16. ii)Se analizan las Bases Jurídicas aplicables a este tratamiento con las siguientes afirmaciones realizadas: i. Sobre la Base Jurídica – Consentimiento del interesado ii. Sobre la Base Jurídica 2 – Ejecución del contrato: iii. Sobre la Base Jurídica – Interés Legítimo iv. Sobre la Base Jurídica – Interés Público (
  17. i)No aparece un análisis de las excepciones del artículo 9.2 del RGPD que habiliten al tratamiento: la UIV niega que trate datos de categoría especial porque el programa realiza comparaciones 1.1 propias de un sistema de autenticación, y la EIPD señala que están excluidos de este concepto según el Dictamen 3/2019 del Grupo de Trabajo del Artículo 29. (
  18. ii)No obstante, incluye un análisis sobre el nivel de sensibilidad de los datos biométricos del tratamiento, en el que se hace referencia a los informes jurídicos de esta Agencia 0036/2020, 0047/2021 y las Directrices 05/2022 del CEPD, afirmándose: “El EDPB considera (en el ámbito Enforcement Law) la normativa de manera restrictiva al suponer una injerencia grave sobre los derechos y libertades de los interesados, siendo además un tratamiento que afecta a una parte significativa de la población y que no supone una acción positiva por parte de los individuos al procesamiento de sus datos biométricos, cosa que no sucede en el tratamiento en cuestión realizado por la UIV que si es conocido por parte de los interesados y que afecta únicamente a los alumnos de la entidad. Sin embargo, la AEPD en la consulta N/REF 0098/2022 parece abrir la puerta a que si el EDPB reafirma que el tratamiento de datos biométricos (identificación y verificación) supone un tratamiento de datos de categoría especial, dicha autoridad de control seguirá el mismo criterio. Es importante recalcar que estos cambios de criterio en Poder Ejecutivo constatan la falta de claridad en Poder Legislativo al redactar el RGPD y obligan a acudir al Poder Judicial para que determine finalmente el criterio a aplicar en la interpretación de la norma”. El análisis concluye: “La conclusión no puede ser otra que la de entender que la definición de datos biométricos incluye dos finalidades, identificación y autenticación, y que únicamente la identificación convierte a los datos biométricos en categorías especiales de datos”. (iii) La EIPD incluye las siguientes afirmaciones sobre la existencia de decisiones automatizadas por parte de ***APLICACIÓN.1: “El mecanismo de detección de conductas anómalas realizada por la UIV no genera un perfil del estudiante, únicamente se alerta de conductas sospechosas o anómalas”…“Aunque se puede decir que no existe decisión automatizada en la medida que la alerta enviada al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/225 profesor de que existe posible infracción implica que el profesor realiza la revisión, hay una decisión automatizada en sentido contrario ya que el sistema selecciona aquellos alumnos cuyo proceso de evaluación (en cuanto a la posibilidad de fraude) no van a ser revisados”. “En relación con el control del escritorio la herramienta analiza entre otras medidas programas abiertos, si el usuario entra en internet durante el examen etc. Sin perjuicio de lo anterior, la herramienta únicamente realiza capturas de pantallas y no es capaz de acceder a información privada del ordenador del alumno. Asimismo, entre las medidas para el control del fraude, también se realiza control del alumno a través de segunda cámara, dicha información se procesa mediante IA pero sin utilizar técnicas biométricas. En cualquier caso no se toman decisiones automatizadas e interviene siempre la intervención humana en la revisión. Para poder usar la segunda cámara, el alumno debe acceder a código QR que remite a una URL del encargado de tratamiento que solicitará permiso para acceder a cámara de dispositivo personal.”. (
  19. iv)La EIPD de 2020 y su actualización de 2023 incluyen la misma evaluación de la necesidad y proporcionalidad del tratamiento, que se encuentra dispersa en diversos apartados de la misma, concluyendo en que el tratamiento es necesario y proporcional en un apartado de conclusiones comunes, que señala lo siguiente: “Las conclusiones son: 1.-Las operaciones de tratamiento analizadas son necesarias para poder conseguir los fines propuestos por el responsable, ya que no se ha identificado otra forma para conseguir los fines de tratamiento sin tratar estos datos personales, o tratando menos datos. 2.- El uso de este tipo de sistema es necesario para que el proceso sea eficiente y se aporten las garantías de calidad educativas necesarias. 3.- El estudiante recibe toda la información relativa a la modalidad de impartición de la formación con anterioridad al inicio de contratación, de manera que puede escoger entre la metodología de la UIV y la de otras universidades. El estudiante conoce antes de ingresar que los exámenes serán online y que habrá controles para evitar el fraude, por lo que tiene otras alternativas de examen presencial en otras universidades y el acceso a UIV es libre y con conocimiento de los detalles del tratamiento analizado en esta Evaluación de Impacto. 4.-. Las operaciones de tratamiento realizadas son proporcionales, en el sentido que no resultan excesivas para conseguir los fines propuestos 5.-El fabricante/suministrador dispone de datos biométricos anonimizados, aportando por tanto garantías de seguridad sobre dichos datos. Para poder realizar la comprobación de a que persona pertenecen los datos biométricos será necesario el identificador disponible en la herramienta Blackboard de la UIV. 6.- Ante el incremento del fraude académico, se considera que la única manera de garantizar que no se produce dicho fraude en exámenes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/225 distancia es utilizar la tecnología y los medios ofrecidos por ella para garantizar la igualdad de oportunidades y calidad de los estudios.”. -La ventaja injusta frente a los demás que genera el fraude en la evaluación para los alumnos que lo cometen y correspondiente desventaja para el alumno que ha hecho el esfuerzo de estudiar. -Mantener el prestigio y la confianza en la titulación obtenida por el alumno, y conseguir que su valor en el mercado no disminuya”. o (
  20. v)Las dos EIPDs incluye el mismo análisis de los medios alternativos al uso de tecnologías de reconocimiento facial para evaluar a los alumnos, todos los medios analizados son los que la AEPD menciona en su informe 0036/2020, así como los propuestos por la autoridad holandesa de protección de datos. Y descarta su aplicación. (
  21. vi)La EIPD incluye un análisis de los riesgos inherentes al tratamiento tanto para los derechos y libertades de los afectados como la seguridad de los datos personales tratados, concluyendo con la existencia de riesgos de probabilidad ALTA e impacto MUY ALTO, aportándose un plan de acción que incorpora diferentes controles y medidas preventivas que se tienen por acreditadas en el Informe de Actuaciones Previas de Investigación. En respuesta a la solicitud para que acrediten las medidas de seguridad para garantizar los tratamientos, se aporta como Documentos 6.1 a 6.8, respecto de los cuales el inspector considera que existen evidencias de haber adoptado las siguientes medidas de seguridad: - Certificación ***CERTIFICACIÓN.1 de ***EMPRESA.2 con fecha de certificación inicial 28 de julio de 2023. -Buenas prácticas de seguridad definidas por AWS. -Medidas de seguridad de la infraestructura AWS (protección código fuente, WAF, control acceso basado en IAM de AWS, cifrado de buckets Amazon S3, Acceso SSH para administración de servidores, conexiones BD túnel SSH, tráfico https, monitorización de permisos y actividad a través de Access Advisor, colección de eventos con filebeat-logstash-kibana, acceso restringido a instancias EC2, segregación de roles y mínimo privilegio). - Medidas de seguridad del sistema ***APLICACIÓN.1 a nivel de usuario. a. Certificado de ***EMPRESA.2 firmado en fecha 3 de julio de 2023 en el que confirma que no realiza perfilado de usuarios y que la monitorización de la segunda cámara no hace uso de datos biométricos. b. La Política de Seguridad de la Información del ***EMPRESA.3. c. Normas de uso de sistemas de información de ***EMPRESA.3. o Por último, la reclamada realiza en el apartado 7 de su escrito “Otras afirmaciones relevantes” referidas a que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/225 (
  22. i)La implantación de la tecnología ***APLICACIÓN.1 no es voluntaria, sino que se realiza en cumplimiento del requisito de implantar controles de prevención del fraude en los exámenes impuestos por la ANECA, en el informe antes referido. Y a su vez, la Resolución de 6 de abril de 2021 de la Secretaría General de Universidades indica la necesidad de utilizar una cámara de control del entorno. Se acompaña copia de la misma como Documento 7.1 También es una exigencia del mercado, puesto que los alumnos buscan universidades que garanticen que no existiría fraude sino igualdad de oportunidades. El informe del inspector entiende destacable la afirmación siguiente: “La Universidad Internacional de Valencia (UIV) cuenta con alumnos en todo el mundo, especialmente América Latina. La alternativa de desplazamiento a España o la creación de sedes físicas en todos los países para realizar un examen presencial no se contempla en la UIV, ya que se trata de una universidad internacional 100% online. El mercado reconoce que los exámenes de la UIV utilizan reconocimiento facial mediante datos biométricos, tecnología que viene utilizándose desde 2017”. (
  23. ii)(iii) Tras las dudas suscitadas tras la información aportada en la respuesta al primer requerimiento de información, en fecha 29 de noviembre de 2023 se decide realizar un segundo requerimiento de información a la UIV marcado por la siguiente línea de investigación: o o o Requerir el contrato de encargo con ***EMPRESA.2. Investigar los detalles del contrato de enseñanza que firma el alumno. Investigar las posibles opciones de utilizar el software ***APLICACIÓN.1 eliminando la parte de reconocimiento facial haciendo uso de datos biométricos. En fecha 20 de diciembre de 2023 se recibe respuesta al segundo requerimiento anterior por parte de la UIV, en la que: o Se aporta como Documento 1 el contrato de encargo suscrito con la entidad que desarrolla el sistema ***EMPRESA.2. En concreto, se trata de un documento que contiene una segunda adenda modificativa, firmada el 19 de diciembre de 2022, que actualizaba un contrato previo de servicios firmado el 27 de mayo de 2015. o De esta adenda de 19 de diciembre de 2022 -que coincide con la fecha en que los alumnos a los que se refiere este expediente recibieron el primer correo electrónico que les instaba a utilizar la aplicación ***APLICACIÓN.1 a partir del 16 de enero de 2023-, se extraen las siguientes conclusiones en el Informe de actuaciones previas de investigación: (
  24. i)C/ Jorge Juan, 6 28001 – Madrid “Que ambas partes celebraron el 27 de mayo de 2015 contrato de servicio del sistema ***APLICACIÓN.1 de autenticación del alumno online, en virtud del cual el cliente tiene contratado el sistema de software ***APLICACIÓN.1 del suministrador. Posteriormente, el 18 de marzo de 2020 suscribieron una www.aepd.es sedeagpd.gob.es 16/225 extensión al citado contrato y en fecha 20 de diciembre de 2021 una adenda modificativa al mismo”. (
  25. i)La adenda de 19 de diciembre de 2022 incorpora un anexo con el contrato de encargo de tratamiento, este contrato incorpora, entre otros aspectos: i. Las obligaciones del suministrador como encargado de tratamiento. ii. Facultades de UIV como responsable de tratamiento. iii. Los datos objeto del tratamiento, indicándose que se tratan categorías especiales de datos de los estudiantes. iv. Las operaciones de tratamiento. o Como “contrato de enseñanza” se aporta acreditación documental de todo el proceso de matriculación del alumno, a través de capturas de pantalla con leyendas explicativas contenidas en el escrito de respuesta, considerando el inspector en su informe que el contrato de enseñanza se celebra al formalizar dicho proceso de matrícula online y aceptar las condiciones generales que fueron aportadas en su Escrito 1. o En respuesta al requerimiento para que indiquen las opciones existentes en ***APLICACIÓN.1 que permitan excluir el tratamiento biométrico, afirman en su punto tercero apartado b del escrito que como puede verse en el contrato de encargado del tratamiento con ***APLICACIÓN.1 la oferta de esta empresa contempla tres modalidades de servicio: “ La oferta de ***EMPRESA.2 contempla tres modalidades de servicios: ***APLICACIÓN.1+ Control de Monitor y control biométrico ***APLICACIÓN.2Vigilancia con cámara externa ***APLICACIÓN.3 Revisión humana sin biometría o Respecto al análisis de otras alternativas, señalan lo siguiente: “El servicio de Revisión humana sin análisis biométrico nunca se ha contratado porque consiste en un único proceso de verificación humana de la identidad del alumno al inicio del curso y antes de empezar un examen, pero este servicio no incluye la autenticación continua durante el examen y carece de la eficacia necesaria en la prevención de la suplantación de identidad en los exámenes online”. “El servicio de ***APLICACIÓN.3 consiste en que los alumnos no pasan por el control biométrico, sino que conectan con un agente de ***APLICACIÓN.1, le enseñan su cara a través de la webcam y el agente de ***APLICACIÓN.1 simplemente marca a ese alumno como ‘checkeado’ antes de iniciar el examen. Se trata por lo tanto de un proceso de identificación humana analógica que no es una alternativa válida al control biométrico y que no habría tenido la misma consideración por la Agencia Estatal ANECA para otorgar la oficialidad de un título. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/225 Como puede verse en la evaluación de impacto aportada en el escrito anterior, antes de adoptar el control biométrico la VIU analizó las distintas alternativas de control existentes y llegó a la conclusión de que la única medida que evitaba de forma eficaz la suplantación de identidad en los exámenes online era el control biométrico Este modelo de control fue validado por la Agencia Estatal ANECA tras presentar las oportunas alegaciones y superar las no conformidades identificadas previamente por ANECA en la prevención de la suplantación de identidad y la prevención del fraude en los exámenes online.” o Finalmente, señalan que han contratado únicamente las dos primeras modalidades de ***APLICACIÓN.1 (***APLICACIÓN.4 y ***APLICACIÓN.2), indicando lo siguiente: “Como puede verse en la muestra de facturas que se aporta como DOCUMENTOS 2, 3 y 4, los servicios contratados y facturados se limitan al Control de monitor y control biométrico, que aparece en las facturas como CM y el servicio de vigilancia con cámara externa, que aparece en la factura como Externa.” CUARTO: Con fecha de 22 de abril de 2024 se obtiene informe mercantil de la herramienta AXESOR, en el que consta que la entidad UNIVERSITAT INTERNACIONAL VALENCIANA-VALENCIAN INTERNATIONAL UNIVERSITY, S.L. es una empresa de tamaño grande constituida en el año 2013, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2021. QUINTO: Con fecha 25 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la comisión de dos presuntas infracciones administrativas del Artículo 9 del RGPD y Artículo 5.1.
  26. c)del RGPD, tipificadas en el Artículo 83.5
  27. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a la LPACAP con fecha de 29 de abril de 2024, la parte reclamada solicitó ampliación de plazo el 30 de abril de 2024 y ésta le fue concedida mediante acuerdo de 7 de mayo de 2024. Finalmente, y dentro del plazo concedido, la entidad reclamada presentó escrito de alegaciones el 21 de mayo de 2024, en el que, en síntesis, alega que se trata de una resolución manifiestamente injusta y contraria a derecho, realizando una alegación previa más 10 motivos que se exponen a continuación (incluyendo por razones similitud, la alegación previa y primera en un solo motivo): o Dos categorías de datos biométricos. Sobre la verificación/autenticación e identificación biométrica. diferenciación entre Mantienen que se trata de una resolución manifiestamente injusta y contraria a derecho puesto que la verificación/autenticación que realiza su Programa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/225 ***APLICACIÓN.1 no supone tratamiento de datos biométricos según lo que disponen las directrices del CEPD, y la propia normativa existente. Según la Universidad, tanto el Comité Europeo de Protección de Datos (CEPD) como la propia AEPD han mantenido durante años una doctrina consolidada sobre la diferenciación entre identificación biométrica (1:
  28. n)y verificación/autenticación biométrica (1:1), que ahora se ha cambiado. El artículo 9.1 del RGPD, únicamente se refiere a la identificación biométrica y no incluye la verificación biométrica en la lista de tratamientos de alto riesgo ni, por consiguiente, en la lista de categorías especiales de datos. Ello significaba, según manifiesta la UIV que existen dos categorías de datos biométricos: los que comportan un alto riesgo para los derechos y libertades de los interesados y los que no. Según su entender, recientemente, se ha cambiado dicha interpretación por el Comité Europeo de Protección de Datos (en adelante, CEPD) en las Directrices del CEPD 5/2022, de acuerdo con la cual los procesos de verificación/autenticación también serían considerados como datos biométricos, incluidos como datos de alto riesgo y de categoría especial. La universidad discrepa del nuevo criterio expresado en estas Directrices, manifestando que la extensión que se realiza en las mismas del Considerando 51 del RGPD es contradictoria con lo señalado en el Considerando 91 del RGPD -según el cual existen dos categorías de datos biométricos: los que implican alto riesgo y los que no- y con el artículo 9.1 del RGPD, que solo incluye los tratamientos biométricos de identificación unívoca como de categoría especial, y no los de verificación. Y por otra parte, entiende que las Directrices 5/22 no son aplicables a este supuesto, puesto que se refieren únicamente al contexto de la ley e investigación policial, cuando el sistema ***APLICACIÓN.1 utilizado por la Universidad se basa en el consentimiento. Por otra parte, la universidad señala que la AEPD mantuvo una posición ambivalente hasta noviembre de 2023, momento en el que publicó una "guía no vinculante" sobre tratamientos de control de presencia mediante sistemas biométricos (en adelante, Guía de Biométricos), que sigue el nuevo criterio de las Directrices del CEPD 5/202. Entiende que durante un periodo de 6 años no existía criterio, que éste no puede serle aplicable retroactivamente, y que la guía no es una norma jurídica porque no es vinculante. E indican también que según el nuevo Reglamento de Inteligencia Artificial (en adelante, RIA) la verificación biométrica de identidad que realiza el programa de la UIV se considera excluida, y no se considera tratamiento de datos biométricos de categoría especial ni tratamiento de alto riesgo. Señalan que el RIA establece dos categorías de datos biométricos:
  29. a)de carácter general, que son los que no suponen alto riesgo; y
  30. b)los datos biométricos que suponen alto riesgo. Lo que corrobora la interpretación que excluye la verificación biométrica de los datos de categoría especial, según la entidad reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/225 o El sistema ***APLICACIÓN.1 contratado por la universidad para realizar el reconocimiento facial continuo del alumno no cumple las características de la definición de datos biométricos a la que se refiere el apartado 2.1 del Acuerdo de Inicio. Básicamente, se insiste en que al registrar al alumno no se guarda lo que la UIV denomina como un “patrón biométrico”, sino que éste se crea y se destruye en el momento de la verificación que se realiza durante el examen, que se guarda un máximo de dos segundos. Verificación que “se realiza en tiempo real comparando el patrón biométrico creado en ese momento a partir de la foto realizada por el alumno en el momento de registro y el patrón biométrico creado en ese momento a partir de la captura realizada durante el examen”. Se señalan otras características técnicas de ***APLICACIÓN.1, como que utiliza datos personales pseudononimizados, de manera que la aplicación no contiene la identidad del alumno, y que utiliza un código numérico para el tratamiento de los datos. Que el proceso elimina la posibilidad de que se produzcan falsos positivos o negativos. o Inexistencia de riesgos adversos. Puesto que la muestra tomada para crear el patrón biométrico es muy reducida y limitada, e insuficiente para realizar otras acciones que no sean la verificación de identidad. o La aplicación ***APLICACIÓN.1 no cumple con las características de las plantillas biométricas establecidas en el apartado 2.2 del Acuerdo de Inicio. Se insiste en que no guarda patrones biométricos en el momento de registro, y que solo archiva el patrón biométrico por dos o tres segundos, tal y como demuestra la tabla de Roxburgh. Se añaden que las dos primeras EIPD realizadas por la universidad siguieron el criterio anterior mantenido por el CEPD y la Agencia que no consideraba dato biométrico a los obtenidos de sistemas de verificación. o Exégesis del artículo 9 del RGPD: Aportan la tabla de Roxburgh publicada en un Libro de 2017 sobre la huella dactilar por el departamento de justicia de Estados Unidos para argumentar por qué no existen falsos positivos o negativos en su sistema, y justificar que la verificación biométrica que cuenta con el consentimiento del interesado elimina radicalmente el número de falsos positivos o negativos. Además de insistir, una vez más, en que la verificación biométrica no entra dentro del ámbito de aplicación del artículo 9.1 del RGPD. o Consentimiento explicito como excepción del artículo 9.2 del RGPD y base jurídica del tratamiento. Se cambia lo manifestado en su primer escrito de respuesta, y se señala que presta el consentimiento por el alumno en 4 fases:
  31. a)Consentimiento pre-contractual, en la que a través de la publicidad ofertada del curso y las condiciones generales en las que se expresa que el curso es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/225 100%online, incluidos los exámenes, el alumno tiene libertad de elección sobre si contratar con esa Universidad u otra.
  32. b)Consentimiento contractual: en que el alumno consiente expresamente al formalizar la matrícula y aceptar las condiciones generales.
  33. c)Consentimiento durante el proceso de registro de la imagen: al aceptar la política de privacidad.
  34. d)Consentimiento al instalar la aplicación ***APLICACIÓN.1: que describe en un video y tutorial cómo es todo el proceso de verificación durante el examen. Siendo una universidad 100% online se descarta cualquier alternativa que implique la realización de exámenes presenciales. El alumno puede elegir libremente contratar con otra universidad. No hay desequilibrio de poder entre estudiante y universidad, y tiene multitud de beneficios para el estudiante que se detallan. Se adjunta como DOCUMENTO 1, el informe de ponderación de intereses adjunto a la EIPD. Sin embargo, señala también la universidad que su consentimiento es necesario para poder matricularse y poder realizar los exámenes, puesto que es obligatorio comprobar su identidad y que está compitiendo con garantías y las mismas oportunidades que los demás. o El interés público esencial como excepción del artículo 9.2 del RGPD y base del tratamiento. Tras reconocerse que no existe una necesidad social acuciante que acredite la existencia de un interés público esencial en prevención del fraude en los exámenes, se indican los factores que la Agencia no ha tenido en cuenta al respecto. o Concurrencia de una base de licitud del artículo 6.1 del RGPD. Concurre base de licitud amparada en el consentimiento libre y pleno del estudiante, y en el interés legítimo de ambas partes, siendo la Agencia la que debe acreditar la carga de la prueba por tratarse de un sancionador. o La aplicación ***APLICACIÓN.1 es necesaria, idónea y proporcional: dada la extensión de las alegaciones realizadas, se hará referencia a ellas en el Fundamento de Derecho V, dedicado a su análisis. o En relación con las circunstancias agravantes. Se alega respecto a los siguientes: o Respecto a la circunstancia de graduación relativa a la “Naturaleza. gravedad y duración de l a infracción”, se señala que es arbitrario e injusto que la AEPD aplique como circunstancia agravante la duración del tratamiento, superior a 6 años, cuando la práctica totalidad de este periodo ha coincidido con la situación en que la propia AEPD no ha clarificado su posición hasta noviembre de 2023, es decir, con posterioridad a los hechos denunciados. Es más, podría entenderse que con ello, la AEPD va contra sus propios actos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/225 o Sobre la circunstancia relativa a la concurrencia de “lntencionalidad o negligencia en la infracción”, niega su concurrencia, dado que se ha demostrado que la VIU ha actuado en todo momento de forma diligente, realizando las evaluaciones de impacto oportunas, que fueron actualizadas tras la publicación de las Directrices 5/2022 del CEPD. La VIU ha entendido en todo momento que la autenticación biométrica no está incluida en el alcance del artículo 9.1 del RGPD, ya que los datos necesarios para realizar una comparación 1:1 son mínimos y no pueden ser utilizados para ninguna otra finalidad. Esta tesis ha sido confirmada por el nuevo RIA. Por tanto, es inadmisible la calificación de negligencia grave al analizar estas Directrices en su evaluación de impacto y considerar que no le eran aplicables. Se alega así mismo que según la reciente sentencia del Tribunal de Justicia de la UE de 5 de diciembre de 2023 el incumplimiento del RGPD únicamente puede sancionarse en el caso de que concurra dolo o negligencia, la prueba del dolo o negligencia corresponde a la administración, y la Agencia no ha probado la misma en este procedimiento. Por otra parte, señalan que la UIV ha acreditado ampliamente su diligencia al verificar de forma continuada que el tratamiento no ponía en riesgo los derechos y libertades de los estudiantes. o En relación con la circunstancia de vinculación de la actividad del infractor con la realización de tratamientos de datos personales, se alega que esta circunstancia está reservada para las empresas cuyo objeto social y su actividad principal es el tratamiento de datos personales, por lo que no es aplicable a la VIU que es una universidad internacional que se dedica a la enseñanza. o Por último, en cuanto a la aplicación de la circunstancia relativa a las categorías de los datos de carácter personal afectados por la infracción, vuelve a mantener que la UIV no trata datos biométricos. Junto con su escrito de alegaciones, la UIV aporta la siguiente documentación: o o Como Documento 1, acompaña Informe de Ponderación del interés legítimo del tratamiento, que consta como actualización de enero de 2024 de la EIPD. Como Documentos 2 a 4, aporta las facturas emitidas entre agosto y noviembre de 2023 al objeto de abonar el pago de los exámenes contratados con ***EMPRESA.2, que se han realizado de acuerdo con el programa ***APLICACIÓN.1 contratado en diciembre de 2022. SÉPTIMO: Con fecha de 24 de julio de 2024 se presenta nuevo escrito por la Universidad que amplía las alegaciones formuladas al objeto de aportar el Informe de peritaje de la herramienta de “Proctoring online ***APLICACIÓN.1” elaborado por el ***EMPRESA.3 el 22-7-2024. OCTAVO: Con fecha de 22 de julio de 2024 se dicta por la Directora de la AEPD Acuerdo de cambio de instructor, que le es notificado a la entidad reclamada el 26 de agosto de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/225 NOVENO: Con fecha de 24 de julio de 2024, se presenta escrito por la UIV, aportando un informe pericial de la consultoría informática ***EMPRESA.3, en el que se señala lo siguiente: “Que, por medio del presente escrito, y de conformidad con el “Otrosí” en el que se solicitó el recibimiento del procedimiento a prueba, se viene a aportar un Dictamen Pericial sobre la herramienta de vigilancia ***APLICACIÓN.1, emitido por A.A.A., en fecha 23 de julio de 2024, junto con un certificado final, y cuyas conclusiones son: “El peritaje realizado a la herramienta de proctoring online ***APLICACIÓN.1 ha demostrado que esta cumple con los requisitos establecidos por la Agencia Española de Protección de Datos (AEPD) y los criterios específicos definidos por VIU (***EMPRESA.3). Las pruebas y verificaciones técnicas aseguran que: 1. No se crean ni almacenan patrones biométricos permanentes de los alumnos. 2. Los datos biométricos se procesan y destruyen inmediatamente después de cada verificación en tiempo real. 3. Se realizan múltiples verificaciones durante el examen para confirmar la identidad del alumno. 4. El proceso incluye supervisión humana para minimizar errores y falsos positivos. 2 5. El tratamiento de datos se realiza en un entorno seguro y cifrado proporcionado por AWS y por la configuración de los servicios que forma parte de la arquitectura de la aplicación, aplicando un modelo de responsabilidad compartida entre AWS y ***APLICACIÓN.1. 6. Los datos de los alumnos se pseudonimizan durante todo el proceso. Con base en los resultados obtenidos, se concluye que la herramienta ***APLICACIÓN.1 cumple con todos los requisitos de conformidad establecidos y no existen alternativas menos intrusivas que ofrezcan el mismo nivel de seguridad y autenticidad en la verificación de la identidad de los alumnos. Se emite, por tanto, un certificado de conformidad en favor de la herramienta ***APLICACIÓN.1 para su continua utilización por parte de VIU (***EMPRESA.3).” Junto a dicho escrito se aportan 3 documentos firmados por A.A.A., de la entidad de consultoría informática denominada ***EMPRESA.3, que se expide con fecha de 23 de julio de 2024: o o o “Certificado Report final Peritaje Herramienta Vigilancia ***APLICACIÓN.1”. Informe de seguridad: informe técnico con la descripción de las pruebas realizadas y los resultados. – Anexo I evidencias recopiladas durante las pruebas. DÉCIMO: Con fecha de 16 de diciembre de 2024 se expide Diligencia de la instructora para unir al procedimiento la actualización del Informe mercantil de la herramienta Axesor que se obtiene con fecha de 2 de octubre de 2024, en el que se hace constar que la UNIVERSIDAD INTERNACIONAL DE VALENCIA dispone de un volumen anual de negocio de ***CANTIDAD.2 € para el ejercicio 2022. ÚNDÉCIMO: Con fecha de 16 de diciembre de 2024 se expide Diligencia de la instructora para hacer constar los datos relativos a la oferta académica de la UIV publicada en su página web, así como los alumnos que constan matriculados en los estudios de grado, máster y doctorado de la UIV entre los cursos 2019-2020 y 2023C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/225 2024, que se tienen en consideración para graduar el alcance de la infracción y la sanción a imponer. DUODÉCIMO: Con fecha de 15 de enero de 2025 se dicta Acuerdo de apertura de período de Prueba, dando por reproducidos todos los documentos obrantes en el expediente, se unen las Diligencias de volumen de negocio y alumnos matriculados expedidas el 16 de diciembre de 2024, se admite como prueba el informe pericial presentado y requiriendo a la UIV que aporte en un plazo de 10 días: o o o o 4.1.Todos los contratos celebrados con la entidad encargada del desarrollo del programa ***APLICACIÓN.1, que se mencionan en la adenda modificativa de 19-12-22 que fue aportada como Documento 1 de su respuesta al segundo requerimiento de investigación realizado por esta Agencia. 4.2. Aclare en qué fechas se contrató y pusieron en funcionamiento efectivo las diferentes modalidades de ***APLICACIÓN.1 con reconocimiento facial que se hayan contratado con ***EMPRESA.2, aclarando a qué se corresponde la versión “***APLICACIÓN.5” que consta aportada como Documento 3.8, que no consta mencionada en la adenda contractual aportada. 4.3. Aporte las prescripciones técnicas de cada modalidad de ***APLICACIÓN.1 que haya sido puesta en funcionamiento emitidas por el fabricante/suministrador o entidad encargada de su desarrollo. 4.4. Dado que solo se aportan dos manuales, que se corresponden ***APLICACIÓN.4 y ***APLICACIÓN.5 y datan de agosto de 2023, aclare y aporte acreditación de las fechas de puesta a disposición o entrega de los manuales de formación e información técnica correspondiente a las versiones ***APLICACIÓN.4, ***APLICACIÓN.2, ***APLICACIÓN.5 y cualesquiera otras que se hayan podido emplear como método de verificación de identidad y control de fraude en los exámenes de la universidad desde mayo de 2018. DECIMO TERCERO: Tras solicitar ampliación de plazo y entrega de copia del expediente (no solicitada hasta el momento) con fechas de 29 y 30 de enero de 2025, se concede ampliación de plazo y entrega la copia del mismo con fecha de 4 de febrero de 2025. DÉCIMO CUARTO: Con fecha de 6 de febrero de 2025, la UIV presenta escrito de contestación al requerimiento de prueba realizado, en el que aporta los siguientes documentos, y realiza alegaciones: o o DOC 1. Contratos y adendas suscritos con ***EMPRESA.2, que según la UIV “estaban vigentes a 25-4-21”
  35. a)Contrato de servicios suscrito el 27 de mayo de 2015.
  36. b)Extensión del contrato de servicio de 27 de mayo de 2015, suscrita el 18 de marzo de 2020.
  37. c)Adenda modificativa al contrato de servicio de 27 de mayo de 2015, suscrita el 14 de junio de 2021.
  38. d)Adenda modificativa al contrato de servicio de 27 de mayo de 2015, suscrita el 20 de diciembre de 2021. DOC 2. Informe de ***EMPRESA.2 sobre las modalidades del programa ***APLICACIÓN.1 contratadas por la UIV. Que señala que: “únicamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/225 disponen de tres planes o versiones del programa ***APLICACIÓN.1, cuyas denominaciones y características técnicas serían las siguientes: “• ***APLICACIÓN.6: Diseñado para la monitorización de los equipos de los usuarios en entornos de aula. En este caso, el sistema solo supervisa o bloquea el ordenador, mientras que la verificación de la identidad de los estudiantes queda bajo la responsabilidad del profesor. • ***APLICACIÓN.4: Incluye todas las funcionalidades de ***APLICACIÓN.6, pero añade un sistema de autenticación de identidad mediante la webcam del ordenador. • ***APLICACIÓN.7: Contiene todas las características de ***APLICACIÓN.4, con la diferencia de que incorpora la supervisión del entorno del usuario, tal como exigen las agencias de acreditación. Para ello, se requiere el uso de una segunda cámara”. Se corrigen dos datos que se habían proporcionado en escritos anteriores, puesto que el Informe de ***EMPRESA.2 señala que: “Las referencias a las versiones “***APLICACIÓN.2” o “***APLICACIÓN.5” son erróneas y deben entenderse referidas a la versión ***APLICACIÓN.7, que incorpora la supervisión del entorno del usuario a través de una segunda cámara. Es fundamental destacar que el Informe ***EMPRESA.2 expone que todas las versiones descritas funcionan del mismo modo en lo que se refiere a los aspectos técnicos del sistema —según se expondrá en el apartado siguiente— y que, en el caso de VIU, en el año 2018 se pasó de la versión ***APLICACIÓN.4 a la versión ***APLICACIÓN.7:  Respecto a las prescripciones técnicas de funcionamiento de todas las versiones del programa: señala que no puede aportarlas porque el propio fabricante/suministrador del programa indica lo siguiente: “Finalmente, y en respuesta al requerimiento del apartado 4.3 del acuerdo de la AEPD, debemos aclarar que no se han publicado unas prescripciones técnicas de cada modalidad ***APLICACIÓN.1, más allá de la información que se encuentra disponible en nuestra página web”. Para completar esta prueba, en su apartado 3º, el Informe ***EMPRESA.2 expone cuáles son las prescripciones técnicas relativas al tratamiento de los datos biométricos, las cuales son comunes en las 3 versiones existentes” o DOC 3. Manuales de Formación del programa. La UIV señala que: “En atención al hecho que estos manuales son puestos a disposición en el aula general virtual, la cual técnicamente siempre tiene la misma dirección URL, y al no existir registros sobre el momento en que fueron colgados estos manuales, no nos resulta posible precisar la fecha exacta en la que fue puesta a disposición cada una de las versiones de los manuales”, y aporta como Documento núm. 3 las siguientes versiones de los manuales, adicionales a las que ya fueron aportadas de agosto de 2023:
  39. a)Versión de diciembre de 2020.
  40. b)Versión de agosto de 2022. DÉCIMO QUINTO: Con fecha de 26 de febrero de 2025 se presenta un nuevo escrito de alegaciones al acuerdo de inicio por parte de B.B.B., actuando en nombre y representación de la UIV, en el que se señala que como consecuencia de la producción de hechos nuevos se formulan nuevas alegaciones solicitando el archivo del expediente. En síntesis, se alega lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/225 Primera. – El Expediente Sancionador parte de una premisa errónea: los datos biométricos para la autenticación/verificación no constituyen una categoría especial de datos personales al amparo del artículo 9.1 del RGPD. Se vuelven a reiterar las alegaciones realizadas en el escrito de 21 de mayo de 2024, y se añade una sentencia. Segunda. – El Reglamento de Inteligencia Artificial (RIA) y la Directiva 2024/2831 acreditan que los datos biométricos para la autenticación/verificación no constituyen una categoría especial de datos personales. Además de reiterar todo lo antedicho respecto a la regulación del RIA, se añade que la nueva Directiva 2024/2381 de 23 de octubre, relativa a la mejora de las condiciones laborales en el trabajo en plataformas (en adelante, la “Directiva 2024/2831”), señalando que su considerando 41 diferencia claramente entre los “datos biométricos con fines de identificación” y los “datos biométricos con fines de verificación de la identidad de la persona”, únicamente prohibiendo el tratamiento de los primeros; y que el artículo 7.1.
  41. f)de la misma únicamente limita el tratamiento de los datos biométricos con fines de identificación, no los datos biométricos con fines de verificación: “1. Las plataformas digitales de trabajo no podrán, mediante sistemas automatizados de seguimiento ni sistemas automatizados de toma de decisiones: […) DÉCIMO SEXTO: Con fecha de 6 de marzo de 2025 se dicta propuesta de resolución de este expediente, que se notifica con fecha de 12 de marzo de 2025, en la que se acuerda desestimar las alegaciones realizadas por la universidad reclamada, y se propone que: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a UNIVERSITAT INTERNACIONAL VALENCIANA-VALENCIAN INTERNATIONAL UNIVERSITY, S.L., con NIF B98585797, por la comisión de dos infracciones: o Una infracción del Artículo 9 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 450.000,00 € (*cuatrocientos cincuenta mil euros). o Una infracción del Artículo 5.1.
  42. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 550.000,00 € (* quinientos cincuenta mil euros)”. DÉCIMO SÉPTIMO: Con fecha de 20 de marzo de 2025 se solicita por la UIV ampliación de plazo de alegaciones para contestar a la propuesta de resolución, y con fecha de 24 de marzo de 2025 se acuerda dicha ampliación del plazo de alegaciones por un periodo de 5 días hábiles. DÉCIMO OCTAVO: Con fecha de 1 de abril de 2025, la UIV presenta escrito de alegaciones frente a la propuesta de resolución del expediente (en adelante, AlegPR), que se compone de 88 páginas organizadas en las siguientes alegaciones (cuestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/225 previa, alegación preliminar y alegaciones primera a sexta), cuyos enunciados se enumeración a continuación (transcripción literal): o “CUESTIÓN PREVIA: La Propuesta de Resolución vulnera los derechos fundamentales de VIU: vulneración del principio de aplicación retroactiva de la ley más favorable y del principio non bis in ídem. 1. Existencia de hechos nuevos que conllevan el archivo del Expediente Sancionador: el RIA y la Directiva 2024/2831 disponen que los datos biométricos para la autenticación/verificación (1:1) no constituyen una categoría especial de datos personales. Aplicación retroactiva de la ley más favorable. 2. Vulneración del principio non bis in idem: se imputan dos infracciones a unos mismos hechos. o ALEGACIÓN PRELIMINAR– Síntesis de la controversia suscitada. 1. Conducta imputada a mi representada: uso del programa ***APLICACIÓN.1 en la realización de exámenes por parte de los alumnos. Relación de Hechos Probados. 2. Infracciones imputadas a mi mandante. 3. Síntesis de los motivos oposición a la Propuesta de Resolución. o ALEGACIÓN PRIMERA: La Propuesta de Resolución parte de una premisa errónea: los datos biométricos para la autenticación/verificación (1:1) no constituyen una categoría especial de datos personales al amparo del artículo 9.1 del RGPD. La conducta imputada a VIU es atípica. 1– Introducción. 2.–Diferenciación del tratamiento de datos biométricos para la verificación/autenticación de una persona (1:1) del tratamiento de estos datos para identificar a una persona (1:n). Esta distinción se ha mantenido tras la aprobación del RGPD, como así lo ha reconocido la AEPD. 3. – El tratamiento de datos biométricos para la verificación/autenticación (1:1) está excluida de las categorías especiales de datos personales previstas en el artículo 9.1 del RGPD. 4. –Prohibición de aplicar retroactivamente normas sancionadoras desfavorables. 5. – El RIA y la Directiva 2024/2831 acreditan que los datos biométricos para la autenticación/verificación no constituyen una categoría especial de datos personales. En todo caso, se deben aplicar retroactivamente estas normas. 6. – La Propuesta de Resolución lleva a cabo una interpretación extensiva “in malam parte”. 7. – Idoneidad de los sistemas biométricos de verificación y su nula afección a los derechos fundamentales. 8. – Conclusiones. o ALEGACIÓN SEGUNDA: La Propuesta de Resolución vulnera el principio non bis in idem, establecido en el artículo 39.5 de la LRJSP, ya que imputa la comisión de dos infracciones por unos mismos hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/225 o ALEGACIÓN TERCERA: No se ha vulnerado el artículo 9 del RGPD: el consentimiento prestado por los alumnos es libre y el tratamiento es necesario por razones de interés público esencial. 1.--Introducción. 2. – El consentimiento prestado por los alumnos es libre. El consentimiento debe valorarse en el momento en que se presta, cuando se consuma el contrato, sin que, de manera sobrevenida y con posterioridad, sean exigibles. 3. – El tratamiento está amparado por razones de interés público esencial, según así lo ha reconocido la AEPD en casos anteriores. 4-. Conclusiones. o ALEGACIÓN CUARTA. No se ha vulnerado el artículo 5.1.
  43. c)del RGPD: el tratamiento es necesario y proporcional. 1– Introducción. 2. – No existen medidas alternativas que sean adecuadas, necesarias y proporcionales en sentido estricto. Por tanto, el tratamiento llevado a cabo por VIU es necesario. 3. – El tratamiento llevado a cabo por VIU es proporcional en sentido estricto. No se debían ponderar los (inexistentes) beneficios y perjuicios derivados de las medidas alternativas, ya que estas no son aptas para cumplir con la finalidad pretendida. 4. – Conclusiones. o ALEGACIÓN QUINTA. La Propuesta de Resolución vulnera el principio de culpabilidad: ante las dudas interpretativas que se derivan del RGPD, no cabe imponer una sanción. 1. – Introducción. 2. – Como así lo ha reconocido esta Agencia, es una cuestión controvertida que el tratamiento de datos biométricos para la verificación constituya una categoría especial de datos personales. 3. – El principio de culpabilidad impide que se pueda sancionar a un sujeto que haya actuado bajo una interpretación razonable de la norma. La Propuesta de Resolución vulnera la doctrina del Tribunal Supremo y su reciente pronunciamiento en el caso de LaLiga. 4. No se puede considerar que VIU ha actuado con una negligencia grave o muy grave por haber sostenido una interpretación distinta que la mantenida por la Guía AEPD 2023. 5. Conclusiones. o ALEGACIÓN SEXTA: Incorrecta aplicación de los criterios de graduación de las sanciones. 1. – Introducción. 2. – Incorrecta graduación de la sanción impuesta por la supuesta infracción del artículo 9 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/225 3. . – Incorrecta graduación de la sanción impuesta por la supuesta infracción del artículo 5.1.
  44. c)del RGPD. 4. Conclusiones.” Al escrito de alegaciones frente a la propuesta de resolución del expediente se acompañan 3 documentos: o Documento 1. Informe del Centro Criptográfico Nacional de diciembre de 2024 sobre Tecnologías Biométricas Seguras para el Control de Acceso. o Documento 2. Resolución de procedimiento sancionador núm. PS 41/2022, referente a la Fundación para la Universidad Oberta de Catalunya ( en adelante FUOC), de la Autoridad Catalana de Protección de Datos. o Documento 3. Informe TESLA “D5.3 – Instruments technical description and development scheduling” de 29/07/2016. En idioma inglés, sin acompañar la traducción al español. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta acreditado que la UIV utiliza para la realización de sus exámenes online el programa/software de “***PROGRAMA.1” que emplea técnicas de reconocimiento facial, inteligencia artificial y mecanismos de decisión automatizada con el objeto de verificar la identidad de los alumnos que participan en sus exámenes online y monitorizar su comportamiento a los efectos de evitar el fraude/plagio en los exámenes y garantizar la calidad e integridad académica. Sistema que está implantado como método obligatorio de examen para sus alumnos, sin que se ofrezca a los mismos otra alternativa. La herramienta contratada se denomina ***APLICACIÓN.1 y ha sido desarrollada por la empresa ***EMPRESA.2, con la que la UIV formalizó un contrato inicial de servicios y encargo del tratamiento el 27 de mayo de 2015 que fue objeto de varias extensiones y actualizaciones, la última de las cuales fue suscrita mediante adenda contractual de 19-12-22. De acuerdo con la cláusula primera de adenda contractual suscrita el 19-12-2022 entre ***EMPRESA.2 y la UIV, aportada como Documento 1 del escrito de 20 de diciembre de 2023, se dispone que: “Que ambas partes celebraron el 27 de mayo de 2015 contrato de servicio del sistema ***APLICACIÓN.1 de autenticación del alumno online, en virtud del cual el cliente tiene contratado el sistema de software ***APLICACIÓN.1 del suministrador. Posteriormente, el 18 de marzo de 2020 suscribieron una extensión al citado contrato y en fecha 20 de diciembre de 2021 una adenda modificativa al mismo”. Todas estas extensiones y adendas modificativas han sido aportadas por la universidad con fecha de 6-2-25. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/225 De acuerdo con las especificaciones técnicas que han sido aportadas al procedimiento como Documento 1.2 del escrito de 16 de noviembre de 2023, el funcionamiento de ***APLICACIÓN.1 -en cualquiera de sus diferentes modalidades- incluye las siguientes 3 acciones(fases): a. Aceptación de los términos y condiciones - Durante la fase de registro el alumno lee y acepta los términos y condiciones que regulan el uso del sistema ***APLICACIÓN.1. b. Registro de identidad - El sistema captura la imagen del alumno por primera vez y formaliza su alta en el sistema con la correspondiente instalación del software y los periféricos. Este proceso necesita la colaboración del alumno en la fase contractual. c. Monitorización de actividades durante el examen - El estudiante es monitorizado y autenticado de forma continua durante las diferentes actividades del examen(…)” No obstante, se ha constatado que la UIV ha contratado diversas versiones o modalidades de ***APLICACIÓN.1 desde el 27 de mayo de 2015 hasta la actualidad, con el objeto principal de ampliar las herramientas de la fase de monitorización de actividades durante el examen. De acuerdo con las manifestaciones de la propia Universidad, el informe del fabricante que desarrolló el programa ***EMPRESA.2 de 30 de enero de 2025, los diversos documentos contractuales suscritos con ***EMPRESA.2, y las facturas aportadas como Documentos 2 a 4 del mismo escrito de 20 de diciembre de 2023, consta acreditado que la UIV ha contratado e implantado diversas modalidades del citado programa de reconocimiento facial y monitorización de exámenes: o En el año 2015 la Universidad contrató con ***EMPRESA.2 una primera versión del programa ***APLICACIÓN.1 que empleaba reconocimiento facial para la identificación de los alumnos que participaban en los exámenes de la UIV, que pasó a denominarse como ***APLICACIÓN.4 a partir del contrato de 18-3-20, y que continua en vigor y aplicándose en la actualidad, según consta en la última adenda contractual 19-12-22. De acuerdo con el Anexo I del Contrato suscrito el 27 de mayo de 2015, esta versión inicial del software contratado ya utilizaba un sistema de reconocimiento facial como medio de verificación de identidad de los alumnos que participan en los exámenes online y monitorizaba su actividad a través de la cámara web, a través de una monitorización del escritorio, y la grabación de imágenes y audio, durante la realización de sus exámenes online, que se analizan de forma automatizada mediante técnicas de inteligencia artificial, y eran supervisadas posteriormente por un profesor. Hasta la firma de la extensión contractual de 18-3-20, la Universidad tenía contratada la versión inicial de ***APLICACIÓN.1, que pasó a denominarse posteriormente ***APLICACIÓN.4, en la que la fase de monitorización de actividades durante el examen, se realizaba de acuerdo con las siguientes herramientas, que constan señaladas en dicho Documento 1.2, y coinciden con las indicadas en el Manual de formación sobre ***APLICACIÓN.4, aportado como Documento 3.6: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/225 -Monitorización a través de la webcam del equipo: el sistema captura imágenes de forma periódica con la webcam del usuario que se analizan con algoritmos de IA, es importante destacar que el análisis se realiza sin almacenar ningún tipo de dato biométrico del usuario, además las comparaciones se realizan siempre de 1 a 1 y no de 1 a varios, resultando un tratamiento muy poco intrusivo. -Monitorización de escritorio: el sistema monitoriza las acciones (programas abiertos, navegación web…) que realiza el alumno durante la actividad online, este sistema garantiza que en ningún momento se accede a información privada del usuario. El estudiante es consciente de la monitorización. -Grabación de audio: es uno de los complementos que ofrece el software y se basa en un umbral de sonido que, si se supera, comenzará la grabación de audio. Las grabaciones se ponen a disposición de la institución.” o Con fecha de 31-5-2019 se emite informe favorable de la ANECA a la propuesta de modificación del plan de estudios presentado por la UIV en relación con el Máster Universitario en Nutrición y Salud, que se acompaña como DOCUMENTO 3.4 (Pág. 337 expediente), en el que tras haberse realizado alegaciones por la UIV sobre la mejora del control del entorno en el examen online, proponiendo incluir un sistema de monitorización del entorno mediante doble cámara, la ANECA considera que: “Dicho sistema no permite asegurar completamente que el estudiante no recibe ningún tipo de ayuda externa durante la realización de la misma. Se recomienda subsanar esta cuestión. Esta recomendación es de obligado cumplimiento y dicho cumplimiento será revisado especialmente en las fases de seguimiento y acreditación del título.” o Consta que la Universidad -pretendiendo cumplir con las recomendaciones de la ANECA para asegurar que no se cometía fraude en los exámenes- modificó su Plan de Estudios para incluir el control de entorno a través de doble cámara, y con fecha de 18-3-20 amplió el contrato de servicios y encargo del tratamiento para incluir una nueva herramienta de monitorización del entorno a través de doble cámara, contratando para ello una nueva modalidad de este programa denominada inicialmente ***APLICACIÓN.8, que pasó a denominarse ***APLICACIÓN.2 a partir de la firma del contrato de 14-6-21, y que sigue estando vigente en la actualidad con dicho nombre tras la firma de la adenda de 19-12-22. Denominaciones contractuales que se corresponden con la versión del Plan ***APLICACIÓN.7 del programa que el fabricante desarrolló a partir de 2018, según manifiesta la misma en su informe de 30 de enero de 2025. De acuerdo con lo señalado por la UIV en su escrito de 20 de diciembre de 2023,y las extensiones y adendas del contrato aportados el 6-2-25, la diferencia existente entre la modalidad inicial (***APLICACIÓN.1, o ***APLICACIÓN.4) y la nueva modalidad contratada a partir de 18-3-20 ( que recibió diversas denominaciones como ***APLICACIÓN.8, y ***APLICACIÓN.2) se ceñía a añadir una herramienta más de control en la fase de monitorización del alumno que se correspondía con el nuevo sistema de monitorización del entorno a través de la instalación de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/225 doble cámara, que de acuerdo con el Documento 3.7 antes mencionado, consistía en lo siguiente: “-Monitorización del entorno a través de una segunda cámara: mediante el uso de teléfono móvil como cámara externa, el software es capaz de monitorizar el entorno del estudiante, aportando un mejor ángulo de visibilidad, siendo capaz de detectar la presencia de otras personas o el uso de elementos no permitidos por parte del estudiante. El análisis de estas imágenes se realiza por medio de algoritmos de IA sin aplicar análisis biométrico”. o Por último, de acuerdo con la cláusula segunda de la última adenda contractual firmada el 19-12-22:, la oferta de ***EMPRESA.2 contempla en la actualidad 3 modalidades de servicios, habiendo señalado la UIV en su segundo escrito de respuesta al requerimiento de investigación que ha contratado las dos primeras modalidades y abonado las facturas correspondientes a los exámenes del primer semestre de 2023 conforme a los precios pactados en dicha adenda-Se hace constar que las modalidades son las siguientes: o o o ***APLICACIÓN.4.. ***APLICACIÓN.2 ***APLICACIÓN.3. Consta, pues, acreditado que desde el 18-3-20 hasta la actualidad la UIV ha venido contratando ambas modalidades ***APLICACIÓN.4 y ***APLICACIÓN.2 (si bien con distintas denominaciones), y que a la versión conjunta de ambas modalidades contratadas el 19-12-22 se la denomina en los Manuales de Formación y documentación informativa publicada en la web como “***APLICACIÓN.5,” y se corresponden con lo que el fabricante desarrollador del programa ofrece como Plan ***APLICACIÓN.7, según se hace constar por el mismo en su informe de 30 de enero de 2025. Así pues, la UIV en su escrito de 6-2-25, tras la emisión de dicho informe de ***EMPRESA.2 señala que: “ii. Que las referencias a las versiones “***APLICACIÓN.2” o “***APLICACIÓN.5” deben entenderse referidas a la versión ***APLICACIÓN.7, que incorpora la supervisión del entorno del usuario”. SEGUNDO: En relación con los hechos que constan en la denuncia a la que se refiere el presente procedimiento, consta acreditado en el mismo día de firma de la última adenda contractual con el fabricante de ***APLICACIÓN.1 (19-12-22), la Universidad informó a los alumnos mediante correo electrónico de que esta la monitorización del entorno a través del doble sistema de cámara iba a ser de aplicación obligatoria para los exámenes realizados a partir de 16-1-23, y que debían descargarse los programas necesarios que constan en el documento 3.4 de la denuncia. Ante la queja de los alumnos, consta acreditado que la UIV contestó a los mismos que se había tomado esta decisión por el consejo de gobierno de la UIV de 3-5-22. Las facturas aportadas en el segundo escrito de respuesta (Documentos 2 a 4) confirman que dichos exámenes de 2023 fueron celebrados utilizando la versión del programa ***APLICACIÓN.1 que empleaba reconocimiento facial y monitorizaba el entorno, puesto que consta en las mismas que se ha abonado el 9-8-23 a la prestadora del servicio y encargada del tratamiento la parte correspondiente a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/225 exámenes realizados ***APLICACIÓN.2. utilizando las modalidades ***APLICACIÓN.4 y a TERCERO: También consta acreditado que la UIV tuvo la opción de contratar la modalidad de ***APLICACIÓN.3 desde la firma de la adenda modificativa de 14-6-21, que permitía la supervisión humana sin utilizar la biométrica, pero que ésta fue descartada por la UIV -sin analizarla en su EIPD de 2020, ni en sus actualizaciones posteriores de 2023 y 2024- por los siguientes motivos que son expresados en su escrito de 20 de diciembre de 2023: “El servicio de Revisión humana sin análisis biométrico nunca se ha contratado porque consiste en un único proceso de verificación humana de la identidad del alumno al inicio del curso y antes de empezar un examen, pero este servicio no incluye la autenticación continua durante el examen y carece de la eficacia necesaria en la prevención de la suplantación de identidad en los exámenes online. El servicio de ***APLICACIÓN.3 consiste en que los alumnos no pasan por el control biométrico, sino que conectan con un agente de ***APLICACIÓN.1, le enseñan su cara a través de la webcam y el agente de ***APLICACIÓN.1 simplemente marca a ese alumno como “checkeado” antes de iniciar el examen. Se trata por lo tanto de un proceso de identificación humana analógica que no es una alternativa válida al control biométrico y que no habría tenido la misma consideración por la Agencia Estatal ANECA para otorgar la oficialidad de un título”. CUARTO: Respecto al funcionamiento del programa ***APLICACIÓN.1, queda acreditado que éste emplea un sistema de reconocimiento facial con la finalidad de verificar la identidad de los alumnos que participan en los exámenes de la universidad, que de acuerdo con la información que se ofrece actualmente en la web de la UIV a los alumnos -según consta acreditado mediante el Anexo I de la Memoria de Verificación de Máster sobre “Control de identidad y plagio”, aportada como Documento 3.2 del escrito de 16 de noviembre de 2023-, consta de dos fases (el subrayado es nuestro): Fase 1: Proceso Onboarding: El aseguramiento de la identidad y para dar cumplimiento a la garantía de que el sujeto que se matricula es el que efectivamente accede al campus y se evalúa” se observa que está relacionado con el proceso de “onboarding”, esto es, el primer acceso al campus virtual. (…). Una vez finalizado este proceso y firmado el documento, la Universidad recoge la traza técnica del proceso y genera el certificado acreditativo de la videoidentificación y firma del documento. (…). El proveedor de esta solución es la empresa ***EMPRESA.2. Fase 2: Acreditar la autoría del proceso de evaluación continua y tutela de exámenes online: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/225 De esta forma a través de este proceso, se audita y vigila a tres niveles: (…) Por otra parte, queda acreditado que, como señala el informe de ***EMPRESA.2 de 30 de enero de 2025: (…). Señala el informe de ***EMPRESA.2: “Por ello, queremos dejar claro que la utilización de datos biométricos no se ve afectada en ningún momento por la elección de un plan u otro. (…)”. Pese a no acompañarse sustrato documental de esta afirmación, se tiene por acreditada la misma, dado que coincide con lo descrito en el Documento 1.2 y las EIPDs aportadas, que al describir las 4 herramientas de monitorización del programa ***APLICACIÓN.1 hacen referencia a que el proceso de verificación de identidad del alumno a través de las comparaciones 1:1 y fotografías tomadas se realiza únicamente dentro de la herramienta de “Monitorización a través de la webcam del equipo”. QUINTO: La UIV ha aportado una EIPD del tratamiento fechada en septiembre de 2020 y dos actualizaciones de la EIPD fechadas de julio de 2023 (como Documento 5 del escrito de 16 de noviembre de 2023), y en enero de 2024 (Documento 1 sobre “Informe de ponderación del interés legítimo” que se aporta con el escrito de alegaciones al acuerdo de inicio). Ninguna de estas EIPD aparece firmada ni se indica el nombre del responsable de su aprobación, y sus apartados no aparecen en el orden y con el nombre que se señala en el índice, por lo que no consta acreditado en qué fechas concretas se han realizado, ni que estas fueran firmadas por el responsable del tratamiento. El contenido esencial de la EIPD y sus actualizaciones que consta en dichos documentos es el siguiente: 5.1. La primera EIPD de septiembre de 2020, ha sido aportada primero de los documentos incluidos en el Documento 5, denominado ““Reconocimiento facial y control del escritorio y del entorno en exámenes online. Septiembre de 2020”:” (Pag.552 exp). Su contenido esencial es el siguiente: -El índice señala que la EIPD consta de 30 apartados, siendo el último de éstos el “anexo de actualización de la evaluación”. No obstante, los apartados no aparecen en el orden señalado, la EIPD no está paginada, no existe un anexo de actualización, y se incluyen otros documentos como las “evidencias” que no constan en el índice y se desconoce en qué fecha se han realizado. - El nombre y descripción del tratamiento es: “Reconocimiento facial y control del escritorio y del entorno en exámenes online”. - Aparecen como finalidades del tratamiento: 1. Verificar que el estudiante que se presenta al examen es quien dice ser. Evitar suplantaciones de identidad, y 3. Evitar el fraude o la copia en los exámenes. -En la descripción sistemática de las operaciones de tratamiento señalándose los datos objeto de tratamiento en cada una y el encargado del mismo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/225
  45. a)En las acciones subencargadas a ***EMPRESA.2, referidas al registro del alumno en el campus virtual, no se tratan datos biométricos sino los datos personales (rostro facial) de los alumnos, puesto que se señala que “(…)”.
  46. b)Pero en las acciones subencargadas a ***APLICACIÓN.1, se señala que se trata el patrón facial del alumno y se indica que se realiza lo siguiente: (
  47. i)***APLICACIÓN.1 (Registro Plataforma): se indica que el patrón facial es el dato tratado, y que “(…)”; (
  48. ii)y ***APLICACIÓN.1 (Realización de un examen) consta que se tratan el patrón facial y las expresiones faciales de la forma siguiente: “(…)” - Pese a que en la descripción sistemática de operaciones de tratamiento no se hace referencia al control del escritorio ni del entorno, si se dedica un apartado al “control del escrito y entorno” (pág.616), lo que corrobora el hecho de que en septiembre de 2020 la UIV ya empleaba la monitorización del entorno correspondiente al Plan ***APLICACIÓN.7 y modalidades contractuales ***APLICACIÓN.2 y ***APLICACIÓN.5. -En el apartado 11 señala que no se tratan datos de categoría especial. Y al analizar las bases jurídicas señala que: “El consentimiento explícito del interesado es la primera base jurídica que se presenta al hablar de categorías especiales de datos. A pesar de que los datos biométricos no se consideran categorías especiales de datos, la VIU viene solicitando el consentimiento de la persona que desea ser alumno de la universidad desde 2018, mediante la aceptación de las condiciones generales antes de formalizar la matrícula”. -Posteriormente, la EIPD analiza 4 Bases Jurídicas aplicables a este tratamiento: consentimiento del interesado, ejecución del contrato, interés legítimo e interés público. - Se contiene un análisis de los riesgos inherentes al tratamiento tanto para los derechos y libertades de los afectados como para la seguridad de los datos personales tratados, concluyendo con la existencia de riesgos de probabilidad ALTA e impacto MUY ALTO, aportándose un plan de acción que incorpora los siguientes controles y medidas preventivas. Se realiza análisis del riesgo residual concluyéndose valor ACEPTABLE. - Se realiza una evaluación de necesidad y proporcionalidad del tratamiento dispersa, a través de diversos apartados, sin hacer referencia expresa a la evaluación de idoneidad del tratamiento. Dentro de la cual, se incluye un análisis de los medios alternativos al uso de tecnologías de reconocimiento facial para evaluar a los alumnos, en el que se mencionan los medios alternativos que fueron analizados por la AEPD en el informe 0036/2020 del Gabinete Jurídico de esta Agencia, en relación con la consulta formulada por una Universidad de educación a distancia en la que se planteó la utilización de un programa de ***PROGRAMA.1 que utilizaba reconocimiento facial en sus exámenes online en un supuesto muy similar al presente: 5.2. La EIPD de 2020 fue actualizada en julio de 2023, cuyo documento se aporta también con el Documento 5 y con el nombre de “Reconocimiento facial y control del escritorio y del entorno en exámenes online. (...). Septiembre de 2020 - Actualizada en julio de 2023 fechada en julio de 2023” (Pag. 693 exp). Respecto a la que cabe destacar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/225 o Su índice se compone de 30 apartados (Pag. 693 a 839), y dos anexos en los apartados 31. II - actualización de la evaluación (Pág.840), y el del apartado 32. Anexo II – actualización de la evaluación (evidencias) en la (Pág.842) Exp. o En los primeros 30 apartados, la UIV hace las siguientes modificaciones esenciales respecto a la anterior de 2020: o o o o La descripción del tratamiento, pese a que hace referencia en la fecha de evaluación “septiembre de 2020” no coincide con la que se realizó en dicha fecha, puesto que el nombre del tratamiento es “Reconocimiento facial del usuario y prevención del fraude en exámenes online”, y las finalidades del tratamiento son ahora 5: 1. Verificar que el estudiante que se presenta al examen es quien dice ser, 2. Evitar suplantaciones de identidad, 3. Evitar el fraude o la copia en los exámenes, 4. Garantizar la calidad e integridad académica, 5. Dar cumplimiento a los requisitos de las entidades certificadoras (ANECA). Se añaden las 3 acciones de monitorización encargadas a ***EMPRESA.2 que no habían sido incluidas en la descripción sistemática de operaciones de tratamiento EIPD de 2020: se precisa que en las operaciones de monitorización a través de web cam se trata el patrón facial, en la el ID de usuario en la monitorización a través de escritorio, y en la monitorización del entorno segunda cámara se trata solamente la imagen. Se incluye un nuevo apartado sobre el tratamiento relativo a la “Monitorización de la actividad del alumno”, que responde a la finalidad de prevención de fraude. Se mantienen las 4 bases jurídicas del tratamiento anteriores. Pero se añade en la base del interés legítimo una “tabla de ponderación del interés legítimo”, y se incluye un análisis de sensibilidad de los datos biométricos del tratamiento, y diversos apartados dedicados a la diferenciación entre autenticación-identificación en los que la universidad referencia los informes jurídicos de esta Agencia 0036/2020, 0047/2021 y las Directrices 05/2022 del CEPD para llegar a la conclusión de que su programa no trata datos de categoría especial porque se basa en un proceso de autenticación que realiza comparaciones 1:1.(Pag.739 exp). o En los anexos de actualización se añaden las evidencias de la información precontractual prestada como base jurídica del consentimiento prestado por el alumno, a las que se hace referencia en el Hecho Probado Décimo, y de la adopción de algunas medidas de seguridad del tratamiento. 5.1. Por último, consta que se ha realizado una última actualización de la EIPD en enero de 2024, al objeto de incluir el Informe de Ponderación del interés legítimo, que se acompaña como Documento 1 del escrito de alegaciones al acuerdo de inicio- (Pág. 1081 exp), de 18 páginas, en las que se hace referencia a las siguientes fases del “procedimiento de ponderación”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/225 Primera fase. - Identificación del interés legítimo y valoración del cumplimiento de los requisitos establecidos en el RGPD y en la normativa local. Segunda fase. - Evaluación de la idoneidad del tratamiento. Tercera fase. - Evaluación de la necesidad del tratamiento. Cuarta fase. - Evaluación del equilibrio entre el interés legítimo del responsable del tratamiento y los derechos y libertades fundamentales de los interesados. Una vez realizada esta evaluación, se realizará la ponderación y se tomará la decisión final, en la que se concluirá si el tratamiento puede o no ser realizado tomando como base jurídica el interés legítimo de la empresa. SEXTO. Queda acreditado que la UIV adoptó las siguientes medidas técnicas dirigidas a garantizar un nivel de seguridad adecuado a los riesgos del tratamiento realizado, que se incluyen en todas las versiones de su programa ***APLICACIÓN.1, según manifiesta la desarrolladora del programa en su informe de 30 de enero de 2025: 6.1. En primer lugar, se tienen por acreditadas las medidas a las que hace referencia el documento de especificaciones técnicas de ***APLICACIÓN.1 aportado en el Documento 1 (cuya autoría y fecha se desconoce, puesto que no consta fecha ni pie de firma), que fueron incluidas en la EIPD de 2020 y sus actualizaciones: -Se siguen todas las recomendaciones y buenas prácticas en desarrollo de código y revisión de vulnerabilidades web como las de (...) entre otras. Se dispone de Certificación ***CERTIFICACIÓN.1. - Se hacen auditorías externas anuales. Habiendo presentado la última realizada durante el año 2024. -Almacenamiento de datos anonimizado: ***EMPRESA.2 nunca conoce la identidad de los usuarios que está supervisando, ***APLICACIÓN.1 no maneja identidades y todos los datos que llegan se relacionan a un código alfanumérico. La relación entre códigos y la identidad de las personas reside en los servidores del responsable de tratamiento. -El procesamiento biométrico que se realiza es de (comparaciones 1.1) y no identificación (comparaciones 1.N). autenticación - El procesamiento ha sido diseñado para garantizar que los datos biométricos no se almacenan. Siendo el procedimiento de captura y análisis de imágenes el que describe el informe del fabricante de 30 de enero de 2025: 1. Registro de identidad del usuario: Antes de ser monitorizado, cada alumno: debe completar un proceso de registro. Durante este paso, el sistema captura la imagen de su rostro, que servirá posteriormente para la autenticación de identidad. 2. Monitorización de actividades: Una vez iniciado el proceso de supervisión, el sistema captura imágenes del usuario a través de la webcam de manera periódica. a. Cada imagen recibida se compara con la foto registrada previamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/225 b. Para realizar la comparación, se extraen datos biométricos de ambas imágenes (registro + imagen capturada) y se analizan. c. Estos datos no se almacenan en ningún momento, solo se guarda el resultado de la comparación. d. Este procedimiento se repite para cada imagen obtenida durante la supervisión. - Los aspectos que monitoriza la herramienta mientras el alumno está realizando su examen son según la EIPD: -***APLICACIÓN.1 no graba video, (…). 6.2. Y por otra parte, de acuerdo con lo señalado en el Informe de Actuaciones Previas de Investigación del presente procedimiento, de acuerdo con los Documentos 6.1 a 6.8, existen evidencias de haber adoptado las siguientes medidas de seguridad: Certificación ***CERTIFICACIÓN.1 de ***EMPRESA.2 con fecha de certificación inicial 28 de julio de 2023. o Buenas prácticas de seguridad definidas por AWS. o Medidas de seguridad de la infraestructura AWS (…) o Medidas de seguridad del sistema ***APLICACIÓN.1 a nivel de usuario. Certificado de ***EMPRESA.2 firmado en fecha 3 de julio de 2023 en el que confirma que no realiza perfilado de usuarios y que la monitorización de la segunda cámara no hace uso de datos biométricos. La Política de Seguridad de la Información del ***EMPRESA.3. Normas de uso de sistemas de información de ***EMPRESA.3. o SÉPTIMO: Se ha reconocido por la UIV que todas las modalidades del programa ***APLICACIÓN.1 que fueron puestas en funcionamiento por la misma tratan datos biométricos personales (patrón facial), puesto que así se deduce de la siguiente documentación: o El RAT aportado al procedimiento como Documento 2, indica que se tratan las siguientes categorías de datos tratados: “datos de identificación, imagen del alumno, datos biométricos-patrón facial, comportamiento durante el examen, y contenido de la evaluación”. Ello se confirma por la EIPD elaborada en 2020 y su actualización de 2023, en cuya descripción sistemática de operaciones de tratamiento se observa que la UIV identifica el concepto de “datos biométricos” con la imagen o fotografía del rostro del alumno que se capturan en la fase de registro del alumno en el campus virtual, y lo distingue del concepto de “patrón facial”, que se trata por la sub-encargada de tratamiento ***APLICACIÓN.1 durante la fase de “registro plataforma” y “realización de un examen”, y por la encargada del tratamiento ***EMPRESA.2 durante la fase de ***APLICACIÓN.1 “monitorización a través de la webcam” según se ha hecho constar en el Hecho Probado Quinto. OCTAVO: De los Hechos Probados Primero a Séptimo se deduce que también ha quedado constatado que el software ***APLICACIÓN.1 utilizado por la UIV, en todas las modalidades contratadas desde su implantación hasta la actualidad, emplea un sistema de reconocimiento facial para realizar una autenticación continua de la o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/225 identidad de los alumnos que participan en sus exámenes online, que cumple con las siguientes características: 8.1. Toma muestras de las características físicas, fisiológicas o conductuales de los alumnos que se registran en el sistema (las imágenes selfie proporcionadas por el alumno y las que son capturadas por el sistema de monitorización implantado), y las procesa técnicamente para generar una plantilla o patrón biométrico (código alfanumérico) obtenido de los mismos. 8.2. En segundo lugar, consta acreditado que el software utilizado por la UIV realiza un procesamiento técnico de los datos biométricos (imágenes de la cara del alumno), y genera una plantilla biométrica (patrón facial) de la cara los alumnos que se emplea para realizar verificaciones de identidad del alumno cada dos segundos durante el examen. La generación y utilización del patrón biométrico para realizar el proceso de autenticación de la identidad de los alumnos comienza con el examen y se repite cada dos segundos durante toda la realización del mismo, conservándose durante el tiempo necesario para realizar la comprobación 1-1 del alumno, sin almacenarse en el sistema. Ello se deduce de las siguientes evidencias aportadas por la UIV: (
  49. i)En primer lugar, de las referencias continuas a la generación de un patrón biométrico facial que se realizan a lo largo de la documentación, bajo la denominación de “algoritmo de reconocimiento facial” o “código alfanumérico” en el Documento 1.2, 6.1 y 6.2 sobre información técnica del programa ***APLICACIÓN.1, o como “modelo matemático personal”. (
  50. ii)En segundo lugar, de las referencias realizadas al patrón facial y la comparación del patrón inicial del alumno con el generado durante el examen que se contienen en el Documento 3.2, que se aporta como Ejemplo de Memoria de Verificación de Máster, y en las EIPD aportadas como Documento 5. (iii) En tercer lugar, de las afirmaciones realizadas por el informe de peritaje de 23 de julio de 2024 emitido por A.A.A. de la consultoría informática ***EMPRESA.3 con fecha de 23 de julio de 2023, que tras realizar las comprobaciones y verificaciones oportunas, señala que: o “(…)” (
  51. ii)Esto mismo se manifiesta por la entidad suministradora del programa ***APLICACIÓN.1 y encargada del tratamiento ***EMPRESA.2 en el informe elaborado el 30 de enero de 2025 al objeto de contestar al requerimiento realizado durante la fase de prueba, en cuyo apartado tercero se hace referencia al procedimiento de captura y análisis de imágenes al que se ha hecho referencia en el hecho probado sexto, relativo a las medidas de seguridad del tratamiento. 8.3. Y por último, no cabe duda de que la finalidad del sistema es y siempre ha sido la identificación unívoca del alumno (confirmar la identificación única del alumno) que se presenta y participa en el examen durante toda la duración del mismo, cuya actuación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/225 se monitoriza mediante un sistema de videovigilancia que combina técnicas de reconocimiento facial, inteligencia artificial y mecanismos de decisión automatizada con la finalidad de evitar el fraude o plagio. Lo que queda acreditado en las finalidades descritas por la EIPD, así como en el propio proceso de en el Anexo I de la Memoria de Verificación de Master publicada en la web de la Universidad y aportada como Documento 3.2 al procedimiento, que al regular el “Control de Identidad y Plagio”, establece que durante la Fase 2 (denominada “enrollement”) se hace constar que para acreditar la autoría del proceso de evaluación continua y tutela de exámenes online, la tecnología ***APLICACIÓN.1 “Utiliza un algoritmo de reconocimiento facial automático para verificar la identidad del usuario y detectar comportamientos incorrectos a través de todo el proceso de desempeño de la prueba de contenido (examen)” NOVENO: Queda constatado, según señala el Informe de Actuaciones Previas y consta en los Documentos 3.1 a 3.11 del escrito de 16 de noviembre de 2023, que la UIV proporciona información específica a sus alumnos sobre el tratamiento de datos biométricos que realiza ***APLICACIÓN.1 a través de varios documentos facilitados al estudiante en diversas fases previa, contractual, y post-contractual. o En momentos previos al proceso de matriculación (fase precontractual), pues ha quedado acreditado que la UIV advierte de este método de evaluación en diversos documentos que están publicados abiertamente en la web de la universidad, según hace constar el Informe de Inspección. En concreto, consta información al respecto del tratamiento de datos personales biométricos en los links sobre funcionamiento de campus virtual y preguntas frecuentes, y en los documentos 3.1 a 3.5, y 3.11, correspondientes a las Condiciones de Matriculación, Ejemplo de Memoria de Master, Ejemplo de Plan de Estudios, Informe ANECA, Normas de Evaluación 2019 a 2022, y Ejemplo de catálogo de master. De entre estos, cabe destacar la Normativa de Evaluación, publicada en la web, donde se observa que Normativa de Evaluación de 25-2-2019, y 10-10-2020, afirma en su capítulo IV, art 11 y siguientes que los exámenes online se realizarán de forma obligatoria a través de “un sistema de tecnología de reconocimiento facial que permite controlar su efectiva participación en los exámenes y pruebas realizados”. Y la Normativa de Evaluación aprobada el 3-5-21 y el 21-10-22, realizan en el artículo 2 la misma afirmación. Regulándose en el Capítulo IV.Pruebas de evaluación online. Artículo 11, las Instrucciones técnicas (Pag 377 EXP). A su vez, consta que la Normativa de Evaluación de 21-10-22 incluye un Anexo I sobre causas de invalidación de la prueba de evaluación online en el que destaca el siguiente párrafo (página 409 EXP), por ser el único que hace mención al sistema ***APLICACIÓN.1 de vigilancia del entorno con sistema de doble cámara que había sido contratado a través de la adenda de 19 de diciembre de 2022 antes mencionada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/225 “14. En las titulaciones en las que, por sus necesidades, se aplique la herramienta ***APLICACIÓN.1 con la tipología ***APLICACIÓN.5 (informe de imágenes, Informe de Control de Monitor e Informe de cámara externa), y así venga recogido en sus memorias de verificación, se aplicarán todos los apartados anteriores, y se sumará la monitorización externa, debiéndose cumplir lo exigido en los apartados 2 y 3 respecto de la cámara externa. o Queda también acreditado que se ofrece información detallada al respecto en el momento de formalizar la matrícula: Documento de Condiciones Generales de Matrícula 3.1, que está a disposición antes y durante el proceso de matrícula, constituyendo su aceptación el consentimiento al tratamiento. o Y posteriormente a esta formalización (fase post-contractual), amplía dicha información, entregando tras la formalización de la matrícula los Manuales, Guías y Protocolos de formación del programa ***APLICACIÓN.1 que se aportan como Documentos 3.6 a 3.9 del primer escrito de respuesta, y como Documento 3 del escrito de 6-2-25 respondiendo a la prueba DÉCIMO: Ha quedado constatado que la UIV ha venido recabando entre 2019 y 2022 el consentimiento explícito, informado e inequívoco del usuario manifestado tanto a través de la aceptación de las Condiciones Generales, en el momento de formalizar la matrícula (fase que la UIV denomina como contractual), como también en el momento de registrarse en ***APLICACIÓN.1 al aceptar la política de privacidad y de uso de este software; y descargarse el programa (fase que la UIV denomina post-contractual). Ello se acredita mediante la aportación de los siguientes documentos en el escrito de 16 de noviembre de 2023:
  52. a)“Consentimiento contractual: en que el alumno consiente expresamente al formalizar la matrícula y aceptar las condiciones generales. Lo que denomina como Contrato de Enseñanza.” Lo que se acredita mediante el Documento 3.1, sobre Condiciones de Matriculación vigentes entre 2019 y septiembre-octubre de 2022, considerados como el “Contrato de Enseñanza”. Donde el artículo 9 señala que la UIV utiliza técnicas de reconocimiento facial para controlar la efectiva participación de los alumnos en los exámenes y pruebas realizadas por el centro.
  53. a)Consentimiento post-contractual: que se realiza durante el proceso de registro del alumno en el programa ***APLICACIÓN.1 al aceptar la política de privacidad, y descargarse el programa. Lo que se acredita mediante los Manuales de Formación del programa ***APLICACIÓN.4 y ***APLICACIÓN.5 aportados como Documento 3.6 y 3.7, así como la Guía de Instalación de ***HERRAMIENTA.1. Ambos Manuales de Formación describen el funcionamiento del programa ***APLICACIÓN.1, se corresponden con una versión de agosto de 2023, y describen al completo el sistema de reconocimiento facial y monitorización, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/225 incluida la doble cámara. No se aportan los Manuales de Formación entregados a los alumnos en los años 2019 a 2022. De acuerdo con la evidencia 4 aportada en la denuncia, consta que se remitió a los alumnos, junto con el correo electrónico de 19-12-22 que les instaba a descargarse el programa ***APLICACIÓN.5 el Manual que se aporta como Documento 3.7. Donde consta que es necesario aceptar esta política de privacidad para poder descargar los programas y registrar sus datos biométricos durante la fase de “enrollement”. Se aporta como Documento 3.10 la Política de Privacidad de la UIV advertía del tratamiento biométrico realizado en las evaluaciones. No obstante, consta acreditado que el consentimiento prestado por el alumno en cada una de esas fases no es libre, lo que se deduce de las siguientes evidencias: (
  54. i)En primer lugar, la propia Universidad reconoce en su EIPD que “la normativa relativa a la formación universitaria parece generar un desequilibrio claro entre la posición de la universidad y la del estudiante, por lo que se podría considerar que el consentimiento dado por el estudiante no sería libre”, tras realizar un análisis de los Considerandos 92 y 93 (cuando no se goza de verdadera libertad de elección, y cuando exista un desequilibrio claro entre interesado y responsable del tratamiento), y aunque posteriormente llegue a la conclusión errónea de que no existe un desequilibrio entre Universidad y estudiante porque éste tiene la posibilidad de optar por este método o dejar de matricularse, o renunciar a ser evualuado en 4 momentos diferentes. (
  55. i)De la documentación acreditativa de ambos consentimientos (contractual y precontractual) se deduce que no existe libertad de elección del alumno: puesto que consentir el tratamiento biométrico a través de reconocimiento facial es condición obligatoria para poder matricularse, presentarse al examen y ser evaluado, así como para superar el mismo, tal y como reconoce la UIV en su escrito de 16 de noviembre de 2023. En concreto, respecto al consentimiento contractual, queda acreditado mediante el Documentos 3.1 sobre las condiciones generales de matriculación vigentes entre 2019 y septiembre-octubre de 2022, que los alumnos debían consentir la siguiente cláusula como requisito para poder matricularse: “El alumno queda informado y consiente la utilización por parte de VIU de un sistema de tecnología de reconocimiento facial que permitirá controlar su efectiva participación en los exámenes y pruebas realizados por este centro universitario. Dicho sistema será utilizado única y exclusivamente para esta función de control y nunca para ninguna otra finalidad distinta. El alumno reconoce que la posibilidad de realizar un curso totalmente online, sin desplazamientos ni pruebas presenciales, constituye un elemento esencial para la contratación de VIU, ya que, los beneficios que le aporta esta modalidad de exámenes y pruebas compensan los controles preventivos reforzados que exigen las pruebas de evaluación online y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/225 tratamiento de los datos relativos a su patrón facial y al control de elementos periféricos. El alumno confirma que ha escogido esta universidad porque estos sistemas de control le ofrecen garantías suficientes de que todos los alumnos tendrán las mismas oportunidades de aprobar y que no se producirán déficits de control que permitan a otros alumnos aprobar las asignaturas con un menor esfuerzo” Y lo mismo respecto al consentimiento post-contractual, en el que es obligatorio aceptar la política de privacidad aportada como Documento 3.10 para darse de alta del programa ***APLICACIÓN.1, y descargarse los aplicativos y herramientas necesarias para realizar el reconocimiento facial, según consta en los Manuales de Formación aportados como Documento 3.6 y 3.7, que contienen la información de funcionamiento del programa que se entrega a los alumnos. . (
  56. ii)Consta acreditado, además, que la UIV -pese a que conocía los criterios expresados por esta Agencia en el Informe nº 0036/2020 – no ofrecía ninguna alternativa equiparable (sea presencial u online) a los alumnos que no quisieran consentir el uso de este software de reconocimiento facial, puesto que no había arbitrado ninguna alternativa. (iii) Porque consta acreditado también que la no prestación del consentimiento o renuncia posterior a emplear el método de evaluación mediante el software ***APLICACIÓN.1 tenía consecuencias negativas para los interesados, que se reconocen abiertamente por la UIV. En palabras de la Universidad, en su alegación sexta, punto 4: “Si el estudiante retira el consentimiento respecto de la aplicación ***APLICACIÓN.1 no se podrá verificar si es quien tiene suscrito el contrato de enseñanza y no podrá realizar el examen. De la misma manera que si un estudiante retira el consentimiento para el tratamiento de los datos relativos a su examen no se podrá corregir su examen

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.