PS-00447-2025

(0)Invalidación de la prueba final de evaluación si: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/58 - No se realiza un registro previo válido en ***SISTEMA.1 para confirmar la identidad del alumno. - No se ejecutan correctamente los dispositivos de monitorización durante toda la prueba. - Se registran desconexiones. - Tras 3 avisos de comportamiento inadecuado o infracciones, el sistema expulsa al alumno de la prueba. - Que la Cámara frontal y/o externa no esté colocada en la posición correcta, mostrando el espacio requerido. - Que la persona evaluada se levante o desaparezca del campo de visión. - Que se registre más de un rostro en la grabación o se identifiquen otras personas distintas al evaluado. - Que se detecten elementos no permitidos (libros, otras pantallas, intercambiadores de información, etc). - Registro de alteraciones de audio que el sistema interprete como ayudas externas. - Hablar durante la prueba o leer las preguntas en voz alta. - Mirar de forma reiterada a un punto concreto fuera de la pantalla. - Anomalías que pongan en duda la realización lícita de la prueba de evaluación.” 3. Documentos sobre aspectos prácticos para la realización de la prueba con ***SISTEMA.1. 4. Copia del correo electrónico de fecha 11/03/2024, del reclamante a los siguientes: ***EMAIL.1, ***EMAIL.2, ***EMAIL.3, en relación a las pruebas evaluativas de los días 6 y 7/04/2024 y el software ***SISTEMA.1. El reclamante afirma que en ningún momento se ha informado a los estudiantes, no se conoce la preceptiva evaluación de impacto, el software implica el tratamiento de datos biométricos por lo que debe contar con consentimiento del interesado, no se cumplen los juicios de necesidad y proporcionalidad al existir otros medios alternativos menos invasivos y una referencia a que el Ministerio de Justicia no implementa tal medida en el propio examen oficial de acceso a la abogacía. 5. Copia de correo electrónico de fecha 24/03/2024, desde el correo electrónico del reclamante enviado a diferentes correos electrónicos de la UNIVERSIDAD con contenido similar al anterior. 6. Copia de correo electrónico de fecha 25/03/2024 enviado desde el correo electrónico ***EMAIL.4 al correo electrónico del reclamante donde acusan recibo de su correo electrónico. 7. Copia de correo electrónico enviado en fecha 03/04/2024 desde el correo electrónico ***EMAIL.4 al correo electrónico del reclamante donde se le indica que recibirá una comunicación posterior, que todo estudiante cuando accede al campus acepta las condiciones de uso del campo virtual y todas las herramientas existentes; que todas las universidades online de la Comunidad Valenciana utilizan la herramienta ***SISTEMA.1 y que es la herramienta que el regulador dependiente del Ministerio y la Conselleria autoriza para la realización de los exámenes y que la UNIVERSIDAD solo utiliza los datos para fines académicos y en cuanto finaliza el periodo los destruye. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/58 8. Copia de correo electrónico enviado en fecha 04/04/2024 desde el correo electrónico ***EMAIL.5 al correo electrónico del reclamante, donde se indica lo siguiente: “Ante todo, debe tenerse en cuenta que esta cuestión no es nueva en el ámbito académico universitario, habiendo sido ya tratada y resuelta en diversas ocasiones por la Agencia Española de Protección de Datos (AEPD). Cabe destacar el INFORME JURÍDICO 0036/2020, emitido ante la consulta planteada por la Conferencia de Rectores de las Universidades Españolas (CRUE), y los más recientes criterios de la AEPD sobre este punto, en los que tal organismo se viene pronunciando a favor de la implementación de esta tipología de softwares (incluyendo concretamente el software ***SISTEMA.1 frente al que ahora usted plantea su cuestión). Dichos criterios de la AEPD pueden resumirse de la siguiente forma: 1. Respecto al software instalado en el ordenador del alumno: Dado que el principal objetivo es capturar el escritorio y hacer uso de la cámara frontal, no accediendo a ninguna información personal almacenada en el propio dispositivo, la AEPD se muestra favorable al uso e implementación de ***SISTEMA.1. El tratamiento autorizado comprende el mínimo necesario para permitir la identificación del alumno y la supervisión de su identidad y de la correcta realización de la evaluación online. 2. Respecto a la base que legitima el tratamiento a efectos del artículo 6 RGPD: A la hora de identificar la base de legitimación aplicable al tratamiento de datos de este tipo de sistemas de supervisión de los alumnos en la realización de los exámenes online, la AEPD ha venido reiterando la elección del apartado

1. e)del artículo 6.1 RGPD como base legitimadora, esto es, el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos por la norma con rango de ley, en este caso, la Ley Orgánica del Sistema Universitario. 3. Respecto a la segunda cámara externa: Esta segunda cámara tiene como finalidad, y así ha sido debidamente informado a los alumnos, el captar el entorno del estudiante, con el objetivo de identificar cualquier posible fraude, sea por uso de herramientas, apoyo de terceros, consulta de documentación externa no permitida durante la realización del examen u otros medios no autorizados. En este aspecto la AEPD se ha mostrado igualmente favorable a su admisión, dado que se ha verificado que dicho tratamiento no va más allá de su activación en caso de detectarse algún posible fraude, no suponiendo la instalación de ningún software invasivo en el dispositivo del alumno. 4. Respecto a la información proporcionada a los interesados (art. 13 RGPD): En cumplimiento del deber de información enunciado en el RGPD, la AEPD ha determinado la necesidad de ofrecer la respectiva información sobre el tratamiento al alumno. Así, al momento de ingresar en la aplicación ***SISTEMA.1, los alumnos de la UEV visualizan una primera capa informativa sobre el tratamiento de datos que la herramienta va a realizar (art. 13 RGPD y art. 11 LOPDGDD). En ella se incluye la debida redirección a la segunda capa informativa (art. 13 RGPD) en la que se aporta la pertinente información: · Identificación del responsable (la Universidad a la que pertenece el alumno). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/58 · Finalidades del tratamiento. · Bases de legitimación. · Plazo de conservación. · Posibilidad de retirar el consentimiento. · La no realización de cesiones ni transferencias internacionales. · Datos de contacto del DPO. · Ejercicio de los respectivos derechos (incluyendo modelos, formularios…). · Posibilidad de presentar reclamación ante la AEPD. 5. Respecto al sistema de reconocimiento facial de los estudiantes En los criterios aplicados por la AEPD, se admite la posibilidad de implementar un sistema de reconocimiento facial de los estudiantes basándolo en el consentimiento de los interesados. La observancia de tal criterio queda evidenciada en el caso de la UEV, puesto que se solicita el consentimiento necesario en el momento de acceso al software ***SISTEMA.1 para la realización del examen. Por todo lo anterior, y teniendo en cuenta los más recientes pronunciamientos de la Agencia Española de Protección de Datos, la Universidad Europea de Valencia se encuentra en disposición de afirmar que actualmente lleva a cabo todo tratamiento de datos personales de los alumnos encaminado a la identificación durante los exámenes online en cumplimiento de la normativa de protección de datos y, en todo caso, ateniéndose a los más estrictos criterios y garantías respecto a la protección de los derechos de los interesados.” 9. Copia de correo electrónico enviado en fecha 04/04/2024 por el reclamante a ***EMAIL.5, el cual hace referencia a la resolución de advertencia de esta Agencia ante la Universidad Internacional de La Rioja, S.A. (UNIR) expediente número E/05454/2021. Consta en dicho correo entre otros aspectos lo siguiente: - Que la AEPD valida alguna de las anteriores técnicas empleadas por ***SISTEMA.1, siempre que ello no sea una imposición lo cual es lo que no sucede en esta situación. Que falta consentimiento libre y expreso, que se les está imponiendo la modalidad de examen online mediante el uso obligado del software ***SISTEMA.1 so pena de no poder examinarse. - Que, en relación al reconocimiento facial con base de legitimadora en el consentimiento, manifiesta que no se otorga. - Que en la resolución de advertencia en relación a la UNIR, la AEPD no considera justificada la necesidad del tratamiento de datos personales. - Que no se tiene conocimiento que se haya realizado una evaluación de impacto del software ***SISTEMA.1. - Que, según las bases de la convocatoria publicadas en el BOE en relación al examen oficial de acceso a la profesión de la abogacía que convoca el Ministerio de la Presidencia, Justicia y Relaciones con las Cortes, el sistema de videovigilancia que se utiliza es AVEX de la UNED, distinto al que se les pretende imponer con ***SISTEMA.1 y donde se expresa textualmente: “Los dispositivos estarán dotados de webcam y durante la celebración de la prueba se podrán tomar de modo aleatorio una o más imágenes sin utilizar técnicas de reconocimiento facial. Estas imágenes se emplearán únicamente para comprobar que las personas aspirantes durante la celebración de la prueba no se valen de medios no permitidos para su realización. La webcam C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/58 deberá estar activa el día de la celebración de la prueba y durante todo el tiempo que permanezcan conectados a la plataforma para su realización.”. - Que se efectúa únicamente un visionado remoto y con una sola cámara. - Aporta copia de resolución de advertencia de esta Agencia ante la Universidad Internacional de La Rioja, S.A. expediente número E/05454/2021. - Solicita que se habiliten las sedes oficiales de la UNIVERSIDAD con el fin de examinarles presencialmente, como alternativa a la imposición de ***SISTEMA.1, sin que se generase perjuicio alguno para aquellos compañeros que por sus circunstancias personales no pudieran dada la proximidad y poca antelación con la que se estimaría la medida. - Que para el caso de aquellos alumnos que opten por examinarse de manera online solicita se adopten medidas de supervisión sin que en ningún caso pueda efectuarse el reconocimiento facial. 10. Copia de correo electrónico enviado en fecha 05/04/2024 desde el correo electrónico ***EMAIL.5 hacia el correo electrónico del reclamante, donde consta, entre otra información: “PRIMERO. – A efectos de la presente contestación ha de quedar evidenciada la diferencia entre las diferentes modalidades de titulaciones que determina el Real Decreto 822/2021, de 28 de septiembre, por el que se establece la organización de las enseñanzas universitarias y del procedimiento de aseguramiento de su calidad: · «Se entiende por modalidad docente presencial en un Grado aquella en que el conjunto de la actividad lectiva que enmarca el plan de estudios se desarrolla de forma presencial (interactuando el profesorado y el estudiantado en el mismo espacio físico, sea este el aula, laboratorios o espacios académicos especializados)». · «Se entiende por modalidad docente híbrida en un Grado aquella en que la actividad lectiva que enmarca el plan de estudios engloba asignaturas o materias en modalidad presencial y virtual (no presencial), siempre manteniendo la unidad del proyecto formativo y la coherencia en todos aquellos aspectos académicos más relevantes –aunque la conjugación de la doble modalidad docente implique adaptaciones de los elementos académicos a las mismas– […]». · «Se entiende por modalidad docente virtual en un Grado aquella en que el conjunto de la actividad lectiva que se enmarca en el plan de estudios se articula a través de la interacción académica entre el profesorado y el estudiantado que no requiere la presencia física de ambos en el mismo espacio docente de la universidad. Esta modalidad de enseñanza universitaria se caracteriza fundamentalmente por basarse en el uso intensivo de tecnologías digitales de la información y la comunicación. […]». SEGUNDO. – Previo al análisis y desarrollo de nuestra contestación a su escrito, igualmente resulta necesario poner de manifiesto que el EXP Nº: E/05454/2021 que usted adjunta y cita en reiteradas ocasiones, únicamente aborda, como fondo del asunto, el tratamiento de datos que se lleva a cabo con motivo del reconocimiento facial automático habilitado como funcionalidad del Software ***SISTEMA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/58 Así, a modo ejemplificativo, se manifiesta que el escrito de respuesta presentado por la UNIR ante el requerimiento de la AEPD dispone: «El uso de técnicas de reconocimiento facial a través de datos biométricos [...]» Por lo tanto, toda cita que se haga de dicho documento debe ir exclusivamente referenciada al análisis del tratamiento de datos biométricos con motivo de reconocimiento facial, y no ser extraída parcialmente del documento y puesta en relación con el resto de tratamientos de datos que pueda realizar el Software ***SISTEMA.1 con motivo de la supervisión de la realización de la prueba de evaluación. TERCERO. – En relación con el punto anterior, a la hora de analizar el uso del software ***SISTEMA.1, tal y como ya hicimos en nuestra contestación previa, y tal y como la propia AEPD ha venido reiterando en el proceso puesto de ejemplo, ha de diferenciarse entre: - El tratamiento de datos personales realizado con motivo del uso del software ***SISTEMA.1, esto es, a modo enunciativo: captura del escritorio del ordenador del alumno, acceso a su cámara frontal, acceso a la cámara secundaria, registro del alumno en la plataforma, etc. - El tratamiento de datos personales llevado a cabo con motivo de la funcionalidad del software ***SISTEMA.1 de reconocimiento facial automatizado. CUARTO. – Respecto al primero de los tratamientos mencionados reiteramos lo ya contestado, citando el contenido exacto de la Resolución de Archivo de Actuaciones de la AEPD Expediente N.º: EXP202200367, donde la Agencia aborda todos los posibles tratamientos derivados del uso de ***SISTEMA.1: «[…] en el proceso de registro del alumno en el sistema […]. La base de legitimación del tratamiento no es el consentimiento, sino que es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, la UNIR. […]». En este mismo sentido se pronunció la AEPD en su Informe Jurídico N/REF: 0036/2020. «Asimismo, se ha verificado que no se instala software en el dispositivo del alumno, el acceso a la cámara del dispositivo se realiza desde una URL que solicita previamente permiso para acceder a ella. Esta segunda cámara tiene como única finalidad captar imágenes del entorno y enviarlas al encargado de tratamiento, y en caso de detectarse posible fraude se activa alerta que es revisada de forma manual por personal cualificado, por lo que nunca se toman decisiones automáticas en relación con las imágenes captadas por cualquiera de las dos cámaras». «Con respecto al software instalado en el ordenador del alumno, el principal objetivo de este es capturar el escritorio y hacer uso de la cámara frontal, por lo que no se accede a ninguna otra información personal almacenada en el propio dispositivo, salvo que el alumno la muestre en pantalla mientras se realiza la prueba». Con todo ello se acredita que dichos tratamientos de datos personales (registro del alumno en la plataforma, acceso a la cámara frontal del ordenador, captura del escritorio, acceso a la cámara del dispositivo secundario, etc.) se realizan de acuerdo a la normativa de protección de datos, e incluso basados no en el consentimiento del interesado, sino en el interés público del responsable del tratamiento, esto es, la Universidad Europea de Valencia. Cabe añadir, al igual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/58 que menciona la AEPD en sus conclusiones, que dichos tratamientos deben ir previamente informados al interesado, circunstancia que, reiteramos, también se ve cumplida en este caso al acceder al alta en la plataforma de supervisión del examen. QUINTO. – Por otro lado, debemos aludir al segundo y diferenciado tratamiento de datos personales al que se refiere de manera independiente y autónoma la AEPD tanto en su Informe Jurídico 0036/2020, como en el EXP E/05454/2021, como en la resolución EXP202200367: las técnicas y algoritmos de reconocimiento facial habilitados por ***SISTEMA.1 para acreditar la identidad del alumno. Dicho reconocimiento facial conlleva el tratamiento de datos personales biométricos de los alumnos, una categoría especial de datos, por lo que se requiere que concurra alguna de las circunstancias habilitantes del artículo 9 RGPD, y siendo ésta el consentimiento prestado por el interesado. Como bien indica usted, el consentimiento debe ser prestado mediante un acto afirmativo libre, específico, informado e inequívoco, para cuya evidencia, la AEPD ha determinado que es necesario habilitar una alternativa a dicho tratamiento sobre el que se vaya a prestar el consentimiento. Es decir, en el caso que nos ocupa, dado que el reconocimiento facial mediante técnicas automáticas y algorítmicas es el único tratamiento que requiere el consentimiento del interesado, ha de ser sobre este tratamiento sobre el cual se habilite una alternativa menos intrusiva, no sobre el conjunto del resto de tratamientos de datos ya mencionados anteriormente. Por ello, la adopción de la presencialidad como medida alternativa al reconocimiento facial del alumno resulta extremadamente excesiva, máxime teniendo en cuenta que dicha alteración de la titulación universitaria supondría una modificación de la modalidad a efectos de lo dispuesto en la normativa sectorial aplicable, es decir, el ya mencionado Real Decreto 822/2021, convirtiéndose en una modalidad híbrida de enseñanza. Por todo lo anteriormente mencionado, la Universidad ha decidido adoptar las siguientes MEDIDAS: - A la vista de las más recientes directrices de la AEPD respecto al tratamiento de datos personales con motivo del reconocimiento facial automático (mediante técnicas algorítmicas) que realiza el software ***SISTEMA.1, se ha decido prever como alternativa la deshabilitación de dicha función. - Como consecuencia de lo anterior, se ha solicitado al proveedor del software la habilitación alternativa de la funcionalidad de revisión manual de la identidad de los alumnos que vayan a realizar la evaluación online, por lo que no se realizará ningún reconocimiento facial en estos casos, sino que será personal humano cualificado quien realice la tarea de identificar a los interesados. - Con ello se cumple con lo expresamente dispuesto y resuelto por la AEPD en su EXP. Nº. E/05454/2021; y su resolución de Archivo de Actuaciones EXP202200367. - Sin embargo, dada la proximidad temporal de la adopción de estas medidas alternativas con la realización de los exámenes previstos para los grupos de alumnos a los que afectan, se ha previsto retrasar la realización de los mismos a una fecha supeditada a la correcta configuración de la nueva funcionalidad en el software ***SISTEMA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/58 11. Copia de correo electrónico enviado en fecha 05/04/2024 desde el correo electrónico ***EMAIL.6 y con pie de correo de la tutora del máster, dirigido al correo electrónico del reclamante, donde consta lo siguiente: “Ante las reservas trasladadas por el delegado de vuestra titulación en materia de protección de datos personales, y a fin de asegurar la protección de vuestros derechos con las máximas garantías, se ha determinado habilitar una doble posibilidad para la realización de los exámenes de vuestra titulación (convocatorias ordinarias de cada semestre y convocatoria extraordinaria): Opción 1: Realización del examen en modo virtual mediante utilización del software ***SISTEMA.1 con activación automática del reconocimiento facial. Opción 2: Realización del examen en modo virtual mediante utilización del software ***SISTEMA.1 sin activación automática del reconocimiento facial (identificación por sistema manual). La elección de uno de los sistemas excluye la posibilidad de acogerse al otro y opera en relación a todos los exámenes de la titulación. Los estudiantes que se acojan a la Opción 1, deberán comunicarlo hoy, viernes 5 de abril de 2024 antes de las 20:00 horas (hora peninsular española), prestando su consentimiento expreso referente al uso del software ***SISTEMA.1 con reconocimiento facial automático activado mediante cumplimentación del formulario disponible en el siguiente enlace: (...). Los exámenes correspondientes al primer semestre bajo esta Opción 1 se realizarán con sujeción a los horarios ya aprobados y comunicados. Los estudiantes que se acojan a la Opción 2 (y todos los que no se hayan acogido a la Opción 1 de forma expresa en los términos indicados en el párrafo anterior) realizarán sus exámenes el fin de semana del 20 y 21 de abril, en horarios que serán comunicados por la Universidad próximamente.” 12. Copia de correo electrónico enviado en fecha 06/04/2024 desde el correo electrónico del reclamante hacia el correo electrónico ***EMAIL.5, entre otros destinatarios, donde consta, entre otra información: - Que en relación a la estimación parcial de su reclamación en cuanto a la no imposición del reconocimiento facial, compañeros que se examinan hoy, le comunican que se han visto obligados a firmar el formulario remitido por la institución en el que se pedía el consentimiento para el reconocimiento facial so pena de no poder examinarse en el día de hoy y mañana, consentimiento el cual no ha sido otorgado libremente. Que se ha condicionado la realización de los exámenes en el día de hoy y mañana, a menos de 24 horas de los mismos, a la aceptación de someterse al reconocimiento facial, es decir, se ha supeditado la ejecución del contrato de formación. Que para que el consentimiento sea libre, la persona debe tener libre elección y poder denegar o retirar el consentimiento sin sufrir perjuicio alguno. - Que no resulta serio otorgar un consentimiento mediante un formulario de Google que de ninguna manera acredita fehacientemente la persona que suscribe la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/58 - Solicita, entre otras cuestiones, disponer de alternativas presencial de evaluación frente a la imposición del software ***SISTEMA.1. Aporta captura de pantalla de formulario en el dominio docs.google.com con membrete de la Universidad Europea y con título “Exámenes, abogacía y procura” donde constan los siguientes datos obligatorios a rellenar; nombre, apellidos, Número de expediente/ID. En el formulario puede leerse el siguiente texto: “Al rellenar este formulario usted manifiesta su voluntad de realizar el correspondiente examen de su titulación en su fecha y horario ya estipulados (6 y/o 7 de abril), prestando su consentimiento a que el software de supervisión del examen lleve a cabo el reconocimiento facial previamente informado al momento de acceder a la plataforma. Igualmente, le recordamos que, como medida alternativa a dicho reconocimiento facial, la Universidad ha habilitado la posibilidad de realizar el examen en una fecha posterior (20 y/o 21 de abril) una vez configurada la funcionalidad de identificación manual del alumno por personal cualificado. Asimismo, le informamos que la Universidad Europea de Valencia, en calidad de responsable, tratará sus datos personales introducidos en el presente formulario y, en base a su consentimiento, con la finalidad de gestionar su inscripción en el examen del 6 y 7 de abril y mantener un registro de aquellos alumnos que hayan consentido la realización en los términos expuestos; y en su caso, el cumplimiento de la normativa impuesta al responsable. No se realizarán transferencias internacionales. Sus datos únicamente podrán ser comunicados a los proveedores necesarios para la consecución de las finalidades, así como, en su caso, a la Administración Pública y Tribunales. Sus datos se conservarán mientras sea necesario para alcanzar las finalidades informadas, y posteriormente serán bloqueados durante el plazo legalmente previsto, pasando, una vez cumplido, a ser eliminados. Usted puede revocar su consentimiento en cualquier momento, así como ejercitar los derechos reconocidos en la normativa dirigiéndose al buzón de correo del DPO de la Universidad: ***EMAIL.2, así como presentar reclamación ante la Agencia Española de Protección de Datos (https://www.aepd.es/)” Igualmente consta un único selector con el texto: “Sí, acepto” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a UNIVERSIDAD, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 09/05/2024 la UNIVERSIDAD remite escrito de respuesta al traslado, que contiene las siguientes afirmaciones (el subrayado es de esta AEPD): “el uso que hace esta Parte del software ***SISTEMA.1 para para la realización de las pruebas de evaluación de las titulaciones on-line, contempla todo lo dispuesto por la Agencia en su Resolución de Archivo de Actuaciones Exp. Nº EXP202200367, así como en el precedente Expediente E/05454/2021. En particular: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/58 - En el proceso de registro del alumno en el sistema se tiene en consideración, como legitimación del tratamiento, el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable. - Respecto al software que el alumno debe instalar en su ordenador para la realización del examen, el único objetivo es capturar la pantalla de escritorio y hacer uso de la cámara frontal, no accediendo a ninguna otra información personal almacenada en el dispositivo del interesado. - Por último, respecto a la segunda cámara que debe colocar el alumno para captar imágenes del entorno durante la realización del examen, y cuya activación y revisión manual se activa en caso de detectarse un posible fraude, no se trata de un software instalado en el propio dispositivo del alumno, sino el acceso y concesión de permisos para el uso de la cámara a través de una URL o Código QR. Por ello, no se toman decisiones automáticas respecto a las imágenes captadas por las cámaras, ni se accede a ningún contenido o información adicional del dispositivo. Cabe reiterar que, entre la información suministrada al alumno con anterioridad a la fecha de realización de las pruebas y al momento de acceder a la plataforma de exámenes, además de la respectiva capa informativa sobre el tratamiento de datos, se incluye una descripción y guía de uso de todas las funcionalidades y acciones necesarias para implementar el software durante la realización de los exámenes. (…) Que, respecto a la funcionalidad de reconocimiento facial para la identificación del alumno al inicio del examen que incorpora el software ***SISTEMA.1, cabe señalar que se recaban los respectivos consentimientos de los interesados proveyéndose como alternativa la deshabilitación de dicha funcionalidad y la consiguiente identificación manual por medio de personal interno cualificado. Para ello, en el presente caso, y ante la solicitud del reclamante, en aparente representación de su grupo, se lanzó un formulario a todos los alumnos para conocer su preferencia de cada a la realización de los respectivos exámenes en dos fechas alternativas, aprovechando, a su vez, para recabar el consentimiento de aquellos que optasen por la habilitación del reconocimiento facial como método de identificación de los alumnos al acceder a la plataforma. Así, en dicho formulario, se informaba a los alumnos de la modalidad on-line de las dos siguientes alternativas: OPCIÓN 1: realizar las pruebas en fecha 6 y 7 de abril, con la habilitación de reconocimiento facial como método de identificación al acceder a la plataforma y para lo cual se recababa su expreso consentimiento mediante la respectiva check box. OPCIÓN 2: realizar las pruebas en fecha 20 y 21 de abril, y siendo identificadas mediante un método manual realizado por personal cualificado, y, por tanto, sin ningún tipo de reconocimiento facial” (…) Que, como parte de los procesos de mejora continua y controles periódicos en materia de protección de datos implementados por la UEV, y con el propósito de aportar un nivel aún mayor del ya existente respecto de las garantías de los derechos y libertades de los interesados, la UEV implementó la siguiente medida: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/58 1. Ante la situación planteada y como escucha activa de la opinión de los interesados (aunque representasen a un porcentaje mínimo), esta Parte adoptó la decisión de deshabilitar por completo la funcionalidad de reconocimiento facial del software ***SISTEMA.1, no volviendo a ser utilizada en ningún otro proceso o tratamiento similar, comunicándoselo al encargado del tratamiento, y adoptando en su lugar, como único método para toda prueba evaluativa online, la identificación manual de los alumnos por parte de personal del centro universitario. Pese a cumplir con los requisitos normativos para llevar a cabo dicha funcionalidad, haber recabado los respectivos consentimientos, y haber constatado que más del 75% de los alumnos de la modalidad on-line preferían la identificación por reconocimiento facial, esta Parte ha identificado como aspecto de mejora en pro de la totalidad de los interesados, la deshabilitación de la opción del reconocimiento facial y la habilitación única de la identificación manual por personal cualificado.” TERCERO: Con fecha 14/05/2024 la Directora de la AEPD acordó la inadmisión a trámite de la reclamación, de conformidad con lo establecido por el artículo 65 de la LOPDGDD, al considerar que, analizadas las razones expuestas por la parte reclamada, ésta había atendido la reclamación presentada. CUARTO: Con fecha 14/06/2024 el reclamante interpuso recurso de reposición contra la inadmisión a trámite alegando que en la inadmisión solo se había valorado la imposición del reconocimiento facial, pero no había un pronunciamiento sobre los restantes elementos de la reclamación. En concreto, la imposición de someterse a reconocimiento facial en los exámenes de 6 y 7 de abril no permitió ninguna alternativa, alegando que no resulta equivalente la realización de un examen presencial en fechas 20 y 21/04/2024. QUINTO: Con fecha 09/09/2024 se concedió audiencia a la UNIVERSIDAD en el ámbito del citado recurso de reposición, no formulando alegaciones.. SEXTO: Con fecha 04/11/2024 la Directora de la AEPD resolvió estimar el recurso de reposición interpuesto por el reclamante y admitir a trámite la reclamación, de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. En dicha resolución se señala lo siguiente en relación con los motivos por los que se estima el recurso: “Conforme a las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, “Como ha subrayado el GT29 en diversos dictámenes, el consentimiento solo puede ser válido si el interesado puede realmente elegir y no existe riesgo de engaño, intimidación, coerción o consecuencias negativas importantes (por ejemplo, costes adicionales sustanciales) si no da su consentimiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/58 En el presente caso, se aprecia que la parte reclamada no ha aportado suficiente información sobre el uso de la tecnología de reconocimiento facial por la que se reclama y su situación actual. Por tanto, en el presente caso, en el recurso de reposición se han aportado argumentos relevantes a los efectos de lo planteado, que debe ser analizados por la Subdirección General de Inspección de Datos, y procede la estimación del recurso interpuesto”. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Con fecha 22/04/2025 se requirió información a la UNIVERSIDAD, que contestó mediante escrito de fecha 08/05/2025, en el que manifiesta lo siguiente: En relación con la admisión a trámite de la reclamación señala lo siguiente: “[…] SEGUNDA. – Que, en primer lugar, la AEPD ya había tenido ocasión de valorar los hechos, en tanto ya le había sido solicitada la información a la UEV en el año 2024, y fue archivada conforme a la documentación entregada con Número de Registro: O00007128e24P0006783. Y, en segundo lugar, que de la nueva reclamación de este expediente no se esclarece ni se traslada, ni se incorpora, ni se acredita, ningún hecho ni noticia nueva. Pues bien, transcurrido el procedimiento señalado, y habiendo concluido la valoración anunciada, en fecha 14 de mayo de 2024, la AEPD notificó a UEV que: “Una vez analizadas las razones expuestas por UNIVERSIDAD EUROPEA DE VALENCIA, S.L. y de conformidad con lo dispuesto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos ha acordado no admitir a trámite la reclamación presentada, contra UNIVERSIDAD EUROPEA DE VALENCIA, S.L., por una presunta vulneración del Artículo 13 del RGPD, Artículo 21 del RGPD, Artículo 5.1.
2. c)del RGPD y Artículo 9 del RGPD”. Esto es, comunicó a la administrada una declaración de archivo, sin más que las advertencias usuales. Y, por otra parte, al no haberse producido ninguna nueva noticia que revelase aspectos desconocidos que afectasen al expediente EXP202405320, cabe concluir que no es posible una nueva valoración distinta por parte de la Administración sin incurrir en contradicción consigo misma o en arbitrariedad. Por consiguiente, el requerimiento de información notificado contradice la previa actuación de la propia Administración, lo que afecta de lleno al principio de seguridad jurídica en perjuicio de UEV. Efectivamente, análogamente a la doctrina de los actos propios operante en el ámbito del derecho privado, en cuanto sujeta al ciudadano a su conformación previa de una apariencia con relevancia jurídica que influye decisivamente sobre la conducta de alteridad, en el ámbito administrativo es conocido el principio de confianza legítima que resulta fácilmente trasladable y ajustable al presente caso; ya que, de suyo va (in C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/58 rem ipsa loquitur) que las decisiones administrativas comunicadas al administrado determinan su conducta en conformidad con las mismas. En consecuencia, para que la Administración entrara a valorar nuevamente el expediente EXP202405320 necesitaba, de conformidad con la naturaleza de las cosas, haber recibido noticias o hechos nuevos, cosa que no se ha producido. Debería, asimismo, en cuanto se rectifica a sí misma, comunicar a esta administrada las razones que condujeron al reexamen y las del cambio de criterio a fin de posibilitar el control de legalidad de las mismas, lo cual no ha tenido lugar hasta el momento. Tampoco puede olvidarse que, en cuanto la Administración altera su criterio sin hechos ni noticias nuevas, está implícitamente haciendo una declaración de voluntad de error propio. Finalmente, pero de relevancia trascendental, lo que la Administración está manifestando es que comprometió por su propia conducta la salvaguardia de los derechos fundamentales de los afectados al no haber adoptado la diligencia que le correspondía. Por todo ello, la solicitud de información iniciada debe ser resuelta sin acción alguna para UEV. No obstante, UEV reitera su total disposición a continuar colaborando con esta Agencia y a proporcionar cualquier información adicional que se estime pertinente.[…]” En relación con la utilización del software ***SISTEMA.1 manifiesta que: “***SISTEMA.1 está siendo utilizado por la UEV desde enero 2024, aplicándose, por tanto, a los exámenes realizados por los estudiantes matriculados en el «Máster Universitario en Abogacía y Procura – 100% ONLINE» que iniciaron en el curso académico 2023-2024, cuyo inicio fue a partir de septiembre 2023. Desde 2024 se han examinado 153 alumnos del «***CURSO.1 – 100% ONLINE con la activación de ***SISTEMA.1 para la calificación de las distintas asignaturas que conforman el itinerario de esta enseñanza.” Reitera que “adoptó la decisión de deshabilitar por completo la funcionalidad de reconocimiento facial del software ***SISTEMA.1, no volviendo a ser utilizada en ningún otro proceso o tratamiento similar, comunicándoselo al encargado del tratamiento, y adoptando en su lugar, como único método para toda prueba evaluativa online, la identificación manual de los alumnos por parte de personal del centro universitario”. Adjunta a su escrito la siguiente documentación: “1. Informe técnico y recomendaciones del Delegado de Protección de Datos de la UEV sobre el análisis del sistema ***SISTEMA.1, descripción de su funcionamiento, finalidades y aplicación del principio de privacidad desde el diseño y por defecto. Documentos adjuntos: - Pto 1-2-11 ***SISTEMA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/58 - Pto 1. Curso Informacion y pruebas Alumnos. - Pto 1. ***SISTEMA.1_studentguide_es. 2. Aplicación de la privacidad desde el diseño y por defecto. Documento adjunto: - Pto 1-2-11 ***SISTEMA.1. 3. Registro de actividades del tratamiento (RAT) sobre la finalidad relativa al Software de supervisión de exámenes on-line – ***SISTEMA.1. Documento adjunto: - Pto 3. Informe de finalidad RAT 4. Evaluación de Impacto (EIPD) y evidencia del asesoramiento del DPO. Documento adjunto: - Pto 4. Informe EIPD y análisis de riesgo.” En el informe técnico aportado, en relación con la descripción del sistema ***SISTEMA.1, se indica lo siguiente: “***SISTEMA.1, es un sistema desarrollado por ***EMPRESA.1 (en adelante, ***EMPRESA.1) que monitoriza a los usuarios durante la realización de alguna actividad de formación online para garantizar la calidad e integridad académica. Así, podría definirse ***SISTEMA.1 como una herramienta de supervisión en línea que proporciona las evidencias de lo que sucede en la evaluación online de la institución para la toma de decisiones. En función de las necesidades de la institución, el sistema se puede configurar para monitorizar al usuario por medio de distintas herramientas (niveles de seguridad). Estas herramientas, se pueden usar de forma independiente o combinadas, siendo las siguientes: • Monitorización a través de la webcam del equipo: por medio de este sistema, ***SISTEMA.1 monitoriza lo que ocurre al otro lado del equipo del usuario. El sistema captura imágenes de forma periódica con la webcam del usuario que se analizan por medio de algoritmos de IA. Es importante destacar que el análisis se realiza sin almacenar en ningún momento datos biométricos del usuario. Además, las comparaciones se realizan siempre 1 a 1 y no uno a varios, resultando en un tratamiento muy poco intrusivo. • Monitorización de escritorio: con esta herramienta, el sistema es capaz de monitorizar las acciones (programas abiertos, navegación web...) que realiza el alumno en su equipo durante el transcurso de la actividad online que esté desarrollando. Este sistema, cuenta con todos los certificados de seguridad necesarios y garantiza que en ningún momento se accede a información privada del usuario. El estudiante es consciente en todo momento de la monitorización y se registran exclusivamente sus actividades durante la realización de la actividad online. • Grabación de audio: la grabación del sonido es uno de los complementos que ofrece la solución de ***EMPRESA.1. El funcionamiento de este sistema se basa en un determinado umbral de sonido que, si se supera, comenzará la grabación de audio. Estas grabaciones, se pondrán a disposición de la institución para que pueda reproducirlas sin realizar ningún tipo de análisis. • Monitorización del entorno a través de una segunda cámara: mediante el uso de un teléfono móvil como cámara externa, ***SISTEMA.1 es capaz de monitorizar el entorno del estudiante, aportando un mejor ángulo de visibilidad y siendo capaz de detectar, entre otras cosas, la presencia de otras personas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/58 el uso de elementos no permitidos por parte del estudiante. El análisis y procesamiento de las imágenes de este servicio se realiza mediante algoritmos de IA sin aplicar técnicas de análisis biométrico. De esta manera, combinando las distintas herramientas mencionadas, ***SISTEMA.1 es capaz de monitorizar la actividad del usuario online a través de distintos niveles de seguridad. Esta monitorización, permite mejorar el aseguramiento de la calidad académica y aporta credibilidad a la evaluación de la formación online, consiguiendo procesos mucho más fiables y a la par, proporcionando a los usuarios mayor flexibilidad y beneficios, como por ejemplo, reducción de gastos, eliminación de desplazamientos, reducción de tiempos, libertad para el usuario o equidad.” En el mismo informa, en relación con los datos tratados, se indica: “En el caso del sistema ***SISTEMA.1, se tratan de datos personales exclusivamente destinados a autenticar a las personas y a detectar comportamientos inadecuados. Las categorías y clasificación de los datos tratados es la siguiente, en función de cada herramienta de monitorización: ● Datos genéricos aplicables a todas las herramientas: o Código de actividad/usuario. ***EMPRESA.1 recibe toda la información del usuario asociada a un identificador del que no es posible extraer la identidad de la persona, la relación con la identidad se mantiene en el responsable del tratamiento. ***EMPRESA.1 no obtiene ninguna información sobra el contenido de la actividad o examen online del usuario o las respuestas que proporciona. o Nombre, apellido y correo electrónico. ***EMPRESA.1 accede a esta información con la finalidad de proporcionar ayuda al usuario sobre el uso del sistema. o Información del sistema del usuario: ***EMPRESA.1 detecta información del sistema del usuario como el sistema operativo y versión o dirección IP que ha utilizado el alumno durante su actividad. ● Datos obtenidos por el “Bloqueo del navegador”: o Detección de eventos por parte del alumno/a para intentar salir de la actividad monitorizada. ● Datos obtenidos por la “Supervisión del ordenador”: o Detección de la actividad del alumno/a en su equipo mientras realiza la actividad monitorizada como por ejemplo los programas en uso, capturas de pantalla, detección de navegación web o uso de comandos. ● Datos obtenidos por la “Supervisión por webcam”: o Imágenes captadas aleatoriamente por la webcam del usuario/a previa aceptación de éste del uso de dichos dispositivos. o Obtención a través de las imágenes de un modelo biométrico de las características del usuario/a para poder realizar la autenticación y comprobaciones posteriores sobre la identidad del usuario/a. Categoría especial de datos. o Nota: el análisis biométrico se puede eliminar si el cliente lo requiere, como sucede en el presente caso. ● Datos obtenidos por la “Monitorización del audio”: o Audios captados por el micrófono del usuario/a previa aceptación de éste del uso de dichos dispositivos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/58 ● Datos obtenidos por la “Monitorización 360º”: o Captura de imágenes por medio de una segunda cámara.” En relación con el tratamiento de datos biométricos y a su riesgo, manifiesta: “5.7.1 Procesamiento biométrico de bajo impacto El procesamiento biométrico que se realiza es de autenticación/verificación y no de identificación. Esto quiere decir que se realizan comparaciones de 1 a 1 y no de 1 a varios. Esta diferenciación es muy importante ya que como el propio RGPD prevé en su artículo 9.1, no todos los tratamientos biométricos corresponden a una categoría especial de datos. Este aspecto también queda recogido en el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas del Grupo de Trabajo del Artículo 29 o en el Libro blanco sobre la inteligencia artificial de la Comisión Europea. Por todo ello, resulta bajo el impacto en la protección de datos de los tratamientos que realiza ***EMPRESA.1. 5.7.2 No se almacenan datos biométricos ***EMPRESA.1 siempre ha tenido presentes todos los conceptos relacionados con la minimización de riesgos y protección de la privacidad de los usuarios. Es por ello, que el sistema se ha diseñado para trabajar sin almacenar ningún dato biométrico. Cuando el sistema ***SISTEMA.1 recibe una imagen, extrae los datos de la misma y del registro de ese usuario y los compara obteniendo un resultado. Esos datos se destruyen, por lo que no quedan almacenados y el tiempo en el que se encuentran en el sistema es de muy pocos segundos.” No se aporta documentación que acredite que no existe almacenamiento de datos biométricos. En el apartado de conclusiones, manifiesta: “6. CONCLUSIONES Tras el análisis detallado del sistema ***SISTEMA.1 y su implementación en el entorno formativo de la UEV, se concluye que la solución desarrollada por ***EMPRESA.1 cumple con los requisitos establecidos por el Reglamento General de Protección de Datos (RGPD), tanto desde el punto de vista legal como técnico. El sistema ha sido diseñado e implementado conforme al principio de privacidad desde el diseño, integrando mecanismos de seguridad, control y minimización del riesgo desde las fases más tempranas del tratamiento. Asimismo, se constata la aplicación de medidas de responsabilidad proactiva que permiten mitigar los riesgos potenciales para los derechos y libertades de los interesados, en particular en lo relativo al uso de tecnologías de reconocimiento. Aunque el uso de datos biométricos representa uno de los aspectos más sensibles en materia de protección de datos, en este caso, el sistema ***SISTEMA.1 realiza únicamente comparaciones 1:1 sin almacenamiento de datos biométricos, lo que reduce significativamente su impacto desde el punto de vista de privacidad. Por tanto, se puede afirmar que los riesgos asociados al tratamiento de datos mediante ***SISTEMA.1 son bajos y, tras la aplicación de las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/58 previstas, se sitúan en niveles residuales. Esto permite considerar que el sistema es conforme a la normativa aplicable y puede utilizarse con garantías suficientes para los derechos de los usuarios.” En la guía para estudiantes sobre ***EMPRESA.1 aportada consta la siguiente información: “[…] Las imágenes se almacenarán en los servidores de ***EMPRESA.1 el tiempo necesario para permitir la certificación. No se utilizarán para otro propósito diferente al de la autentificación y verificación de la identidad. No se copiarán ni se visualizarán por un tercero. Después de la certificación, serán destruidas. […] 3.1. Aplicación de registro Se ejecuta automáticamente la primera vez que se accede a la actividad que se esté monitorizando o cuando acceda al enlace de registro. Es una sencilla aplicación con la cual el usuario tomará tres fotos mediante su webcam para el registro de su identidad. Dichas imágenes se utilizarán para crear un modelo biométrico-matemático de sus características faciales que será utilizado en las futuras verificaciones. El usuario estará obligado a efectuar este registro una vez al inicio del curso o examen. Para posteriores cursos o exámenes, no será necesario volver a realizar el registro ya que el modelo biométrico creado al inicio se va alimentando de nuevas imágenes. […] 3.1.1. Aceptación de condiciones NOTA: Dependiendo de tu institución, puede que no sea necesario aceptar las condiciones de uso de ***EMPRESA.1 ya que ya las habrás aceptado previamente en tu institución. En ese caso, puedes pasar al siguiente paso. Para proceder al registro, tras haber habilitado la cámara, el usuario deberá primero leer y aceptar las condiciones y políticas de uso. Un link a la derecha de la casilla de aceptación llevará a la página donde se detallan las mismas. ¡IMPORTANTE leerlas! […]”. En el documento titulado “SOFTWARE DE SUPERVISIÓN DE EXÁMENES ON-LINE***SISTEMA.1. Informe Finalidad” con referencias a datos que debe contener el Registro de Actividades del Tratamiento, figuran las siguientes manifestaciones: “1.2 BASE LEGITIMADORA [RAT] La base legitimadora del tratamiento de los datos personales para esta finalidad es la siguiente: Base legitimadora del tratamiento [RAT] Consentimiento del titular de los datos Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento Justificación de la Base Legitimadora: Ley aplicable/Misión de interés público/Poderes públicos conferidos. [RAT] Ley Orgánica 6/2001, de 21 de diciembre, de Universidades. Real Decreto 822/2021, de 28 de septiembre, por el que se establece la organización de las enseñanzas universitarias y del procedimiento de aseguramiento de su calidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/58 Consentimiento del interesado para el tratamiento de su imagen. Descripción de las bases legitimadoras seleccionadas Los tratamientos de datos personales (registro del alumno en la plataforma, acceso a la cámara frontal del ordenador, captura del escritorio, acceso a la cámara del dispositivo secundario, etc.) se realizan de acuerdo a la normativa de protección de datos, e incluso basados no en el consentimiento del interesado, sino en el interés público del responsable del tratamiento, esto es, la Universidad Europea de Valencia. Todo ello, de acuerdo con el Real Decreto 822/2021, de 28 de septiembre, por el que se establece la organización de las enseñanzas universitarias y del procedimiento de aseguramiento de su calidad, así como con la Resolución de Archivo de Actuaciones de la AEPD Expediente N.º: EXP202200367 y su Informe Jurídico N/REF: 0036/2020. Asimismo, será necesario el consentimiento del interesado para el tratamiento de su imagen, conforme al artículo 7 RGPD y la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen” Consta asimismo la afirmación siguiente: “2.1 ***EMPRESA.1 (***EMPRESA.1) Observaciones Herramienta que utiliza IA y reconocimiento facial para identificar al alumno y evitar que copie durante la realización de exámenes.” En relación con el tratamiento se indica lo siguiente: “4.1.1.13 ¿La recogida de los datos tiene como finalidad el tratamiento de datos especialmente protegidos? LOPDGDD: SI (…) 4.1.2 RESULTADO DEL ANÁLISIS El resultado del análisis de la necesidad realizado mediante el cuestionario de evaluación objetiva, es el siguiente. 4.1.2.1 ¿En base a las respuestas realizadas en el cuestionario de evaluación objetiva, debe calificarse la presente actividad de tratamiento como de "RIESGO ALTO" para los derechos y libertades de las personas?: SI” (…) 4.1.1.7 ¿Cómo se recopilan los datos personales? Los datos personales de los estudiantes se recopilan inicialmente en el momento de su matrícula en la UEV, como parte del proceso habitual de gestión académica. Posteriormente, en el contexto del uso del sistema de monitorización ***SISTEMA.1, se recogen los datos a través del sistema de monitorización, previa aceptación expresa por parte del usuario para el uso de los dispositivos necesarios (webcam, micrófono, navegador, etc.). (…) 4.1.1.35. Descripción del ciclo de vida Monitorización visual: La cámara web del alumno se activa para observar si abandona la mesa. Detección de software y navegación: El sistema detecta si el alumno utiliza otro tipo de programas (como Skype) o si abre otra pestaña en el navegador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/58 ***SISTEMA.1 también tiene la capacidad de controlar las aplicaciones y pestañas que el estudiante utiliza e incluso bloquear el navegador durante el examen. Captura de audio: ***SISTEMA.1 ofrece la opción de captura de audio. Verificación de identidad: Para verificar la identidad del alumno y evitar que copie, ***SISTEMA.1 utiliza inteligencia artificial y reconocimiento facial con imágenes en lugar de video. Descarga e instalación: El alumno debe descargar e instalar ***SISTEMA.1” Aporta un documento con la Evaluación de Impacto donde consta referencia a la fecha 08/05/2025 y donde consta el siguiente contenido, entre otro: “[…] Descripción del proyecto, proceso, sistema o producto sobre el que realizar una evaluación de impacto. Uso de la herramienta de vigilancia y monitorización remota a través de reconocimiento facial “***SISTEMA.1” para la autenticación y verificación durante la durante la realización de evaluaciones y exámenes on line por parte de los alumnos de la Universidad Europea de Valencia (en adelante, UEV). ***SISTEMA.1 es un sistema de autenticación de la identidad del estudiante online que utiliza un algoritmo de reconocimiento automático para comprobar la identidad del usuario y detectar comportamientos incorrectos a lo largo del examen. Descripción de la finalidad y objetivos a alcanzar al realizar un PIA La finalidad relativa a SOFTWARE DE SUPERVISIÓN DE EXÁMENES ONLINE (***SISTEMA.1) consiste en el tratamiento de datos personales con el objetivo de verificar la identidad de los estudiantes y garantizar la autoría en la realización de pruebas de evaluación y exámenes online. Este tratamiento se lleva a cabo como una medida necesaria para el cumplimiento de lo dispuesto en el artículo 2.2.
3. f)de la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades, que reconoce a las universidades la competencia para verificar los conocimientos de los estudiantes de forma autónoma.” “[…] Los datos tratados son: Datos genéricos aplicables a todas las herramientas: Se recopila información básica como el código de actividad/usuario (asociado a un identificador anónimo), nombre, apellidos, correo electrónico y datos técnicos del sistema utilizado (por ejemplo, sistema operativo y dirección IP). ***EMPRESA.1 no accede al contenido de las actividades o exámenes. Datos por funcionalidades específicas de monitorización: Bloqueo del navegador: Registro de eventos que detectan intentos de abandonar o manipular la actividad monitorizada. Supervisión del ordenador: Detección de la actividad en el dispositivo del estudiante, como uso de programas, capturas de pantalla, navegación web o comandos utilizados. Supervisión por webcam: Captura de imágenes aleatorias para autenticar la identidad del usuario. Monitorización del audio: Captación de audio a través del micrófono, previa autorización expresa del usuario. Monitorización 360º: Captura de imágenes adicionales mediante una segunda cámara para supervisar el entorno del usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/58 […] El sistema utilizado por el proveedor se trata de un servicio cloud y garantiza que los datos residen en la UE y por tanto no hay transferencia internacional de datos […]”. Respecto a los juicios de idoneidad, necesidad y proporcionalidad manifiesta que: “2.1.2 Idoneidad, necesidad y proporcionalidad de la finalidad Determinación de la necesidad y proporcionalidad [6.2 ISO29134] ¿El tratamiento permite y logra alcanzar la finalidad perseguida? SI Justificación Los datos personales se recogen y utilizan exclusivamente para asegurar que el alumno que realiza la prueba es efectivamente quien debe realizarla, y para prevenir comportamientos irregulares durante la evaluación. Además, el uso de tecnologías como el reconocimiento, la monitorización de audio y vídeo, y la detección de actividad en el equipo del usuario está justificado bajo el principio de interés público esencial en el ámbito educativo, en relación con el cumplimiento de la Ley Orgánica 6/2001, de Universidades y el Real Decreto 822/2021, de 28 de septiembre, por el que se establece la organización de las enseñanzas universitarias y del procedimiento de aseguramiento de su calidad. Los datos recogidos se van a usar exclusivamente para la finalidad declarada y no para ninguna otra no informada ni incompatible con la legitimidad de su uso (principio de limitación de la finalidad) SI Justificación Los datos recogidos se van a utilizar exclusivamente para la declarada de verificación de identidad y la supervisión del correcto desarrollo de los exámenes online, y no serán empleados para ninguna otra finalidad no informada o incompatible, en cumplimiento del principio de limitación de la finalidad recogido en el artículo 5.1.b del RGPD. Esta finalidad ha sido claramente definida, es legítima en el contexto educativo y ha sido debidamente informada a los interesados a través de los mecanismos correspondientes, como la política de privacidad y cláusulas informativas específicas. La finalidad que se pretende cubrir requiere de todos los datos a recabar y para todas las personas/interesados afectados (principio de minimización de datos) SI Justificación ***SISTEMA.1 captura únicamente la información necesaria para cumplir con el propósito del sistema, es decir, la monitorización de los estudiantes y proporcionar evidencias a la institución. Así, los datos capturados son los mínimos para cumplir con esos propósitos, eliminando de esta forma cualquier procesamiento innecesario de datos. Las tecnologías empleadas son adecuadas para la finalidad establecida desde el punto de vista del cumplimiento de los principios fundamentales de la privacidad SI Justificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/58 Las tecnologías empleadas para el tratamiento son adecuadas y necesarias para alcanzar la finalidad establecida, desde el punto de vista del cumplimiento de los principios fundamentales de la privacidad. Estas herramientas permiten verificar de forma efectiva la identidad del estudiante y detectar posibles comportamientos irregulares durante los exámenes online, garantizando la integridad del proceso evaluador. Además, no existen alternativas menos intrusivas que permitan alcanzar este mismo nivel de garantía en un entorno no presencial. Los datos no se mantienen más tempo del necesario para las finalidades del tratamiento (principio de limitación del plazo de conservación) NO Justificación Los datos no se mantienen más tempo del necesario para las finalidades del tratamiento, en cumplimiento del artículo 5.1.e del RGPD. La información recabada durante la realización de los exámenes online se conserva únicamente durante el tempo estrictamente necesario para verificar la identidad del estudiante, garantizar la integridad del proceso evaluador y atender posibles reclamaciones académicas. Conclusión El análisis de necesidad y proporcionalidad del tratamiento concluye que el uso de la herramienta ***SISTEMA.1 para la supervisión de exámenes online es necesario y proporcionado en relación con la finalidad perseguida: verificar la identidad del estudiante y prevenir conductas fraudulentas durante las evaluaciones no presenciales. Dicha finalidad responde a un interés público y legalmente reconocido de la UEV, en el marco de su competencia para garantizar la validez de sus procesos de evaluación, de acuerdo con los poderes conferidos por la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades y el Real Decreto 822/2021, de 28 de septiembre, por el que se establece la organización de las enseñanzas universitarias y del procedimiento de aseguramiento de su calidad. Teniendo esto en cuenta, el sistema realiza toda la monitorización en base a códigos numéricos. El sistema no maneja identidades y todos los datos que llegan, son siempre relacionados a un código numérico y toda la monitorización se realiza en base a ese código. En este sentido, es la institución académica la que tiene en sus servidores la relación entre persona y código. De esta manera, al trasladar los resultados la institución puede hacer la transformación de código numérico a identidad de un usuario. La consecuencia de todo esto es que ***EMPRESA.1 en sus servidores sólo va a tener datos relacionados con un código numérico y nunca con la identidad de una persona consiguiendo así un proceso de monitorización anonimizado. Los datos relacionados con la identidad el estudiante que se manejan como son el nombre, apellido y email se almacenan y procesan de manera independiente a los de la monitorización. De esta manera, conseguimos que la monitorización siga siendo totalmente anonimizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/58 En definitiva, aunque el uso de datos biométricos representa uno de los aspectos más sensibles en materia de protección de datos, en este caso, el sistema ***SISTEMA.1 realiza únicamente comparaciones 1:1 sin almacenamiento de datos biométricos, lo que reduce significativamente su impacto desde el punto de vista de privacidad.” Consta un apartado con el siguiente contenido: “[…] Los requisitos de privacidad asociados a la evaluación son los siguientes: - Deber de información - Consentimiento - Encargos de tratamiento - Registro de actividades de tratamiento Los controles ya planeados o existentes que se espera cumplan con los requisitos de privacidad identificados en la evaluación, son los siguientes: Tras el análisis inicial realizado, la UEV ha establecido aquellas medidas correctoras con el fin de poder mitigar los niveles de riesgo detectados para el tratamiento de datos personales llevado a cabo por esta institución: - Adecuar las cláusulas legales con los requerimientos establecidos en el artículo 9 y 6 del RGPD. - Revisar la legitimación de los tratamientos de datos personales y asegurar que encaja con los requerimientos establecidos en el artículo 9 y 6 del RGPD. - Adecuar la recabación del consentimiento a las condiciones establecidas en el artículo 7 del RGPD. - Establecer procedimientos claros para manifestar la revocación del consentimiento o la solicitud de oposición a un determinado tratamiento de acuerdo con el artículo 21 del RGPD. Si la organización realiza acciones publicitarias, tener en cuenta las reglas especiales existentes para comunicaciones comerciales. - Adecuar las cláusulas legales a los requerimientos establecidos en el artículo 5 b), 9, 6, 13 y 14 del RGPD. - Supervisar que el proveedor recoge exclusivamente los datos necesarios para la finalidad prevista. - Utilizar datos anónimos o disociados siempre que sea posible y no implique un esfuerzo desproporcionado. - Permitir el uso anónimo de los servicios y productos cuando no sea necesaria la identificación de las personas. - Utilizar pseudónimos o atribuir códigos de sustitución de los datos identificativos que, aunque no consigan la disociación absoluta de los mismos, sí que pueden contribuir a que la información sobre la identidad de los afectados solo sea accesible a un número reducido de personas. - Se recogen los datos mínimos necesarios para cumplir las finalidades previstas. - Establecer procedimientos de atención y respuesta ante el ejercicio de los derechos de los interesados establecidos en el RGPD. - Establecer canales para el ejercicio de los derechos de los interesados gratuitos y fácilmente accesibles. - Adecuar las cláusulas legales a lo establecido en el RGPD. - Realizar auditorías periódicas al encargado de tratamiento para verificar que cumple las estipulaciones del contrato.[…]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/58 También entre la documentación aportada por la UNIVERSIDAD se incluye un análisis de riesgos donde, entre otros, consta el de tratar “categorías especiales de datos o que permitan inferirlos” con un nivel de riesgo “muy alto”, un nivel de riesgo inherente de “90” con color rojo y un nivel de riesgo residual de “2.85” con color verde. No consta justificación de esa reducción del nivel del riesgo. A su escrito adjunta también la UNIVERSIDAD una relación de correos electrónicos dirigidos a los estudiantes en relación con la configuración de ***SISTEMA.1 y, a continuación, un texto de consentimiento informado cuyo texto coincide con el formulario de consentimiento para los exámenes de fechas 6 y 7 de abril, aportado por el reclamante junto con la reclamación. Aporta copia de la “POLÍTICA DE PRIVACIDAD COMPLETA” donde consta la siguiente información: “Responsable del tratamiento: aquella Institución/Universidad en la que usted se encuentre matriculado y para la cual realice la presenta prueba de evaluación: • UNIVERSIDAD EUROPEA DE MADRID, S.A.U., con CIF nº A-79122305 y con domicilio social en C/ Tajo s/n 28670 Villaviciosa de Odón, Madrid. • UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U., con CIF nº B-97934467 y con domicilio social en Paseo de la Alameda 10, 46010 Valencia. • UNIVERSIDAD EUROPEA DE CANARIAS, S.L.U., con CIF nº B-57257263 y con domicilio social en C/ Inocencio García Feo 1 Casa Salazar, 38300 La Orotava, Santa Cruz de Tenerife. • INSTITUCION ARTÍSTICA DE ENSEÑANZA IADE, S.L. con CIF nº B06988380 y domicilio social en C/ Claudio Coello, 48 28001, Madrid. Para todas ellas se ha nombrado formalmente un Delegado de Protección de Datos y se ha habilitado el siguiente canal de comunicación: ***EMAIL.2 Finalidad del tratamiento: Se realiza automatizadamente tratamientos de datos personales con la finalidad de autenticar a los usuarios e identificar y observar comportamientos inadecuados en la realización de pruebas, exámenes o certificaciones a distancia principalmente en el sector de la educación universitaria. En ningún caso se utilizarán para otras finalidades no determinadas por el Responsable de Tratamiento. Los datos que obtiene la plataforma del usuario/a de la misma son los siguientes en función de las distintas herramientas contratadas: • Código de actividad/usuario. ***EMPRESA.1 recibe toda la información del usuario asociada a un identificador del que no es posible extraer la identidad de la persona, la relación con la identidad se mantiene en el responsable del tratamiento. ***EMPRESA.1 no obtiene ninguna información sobra el contenido de la actividad o examen online del usuario o las respuesta que proporciona. • Nombre, apellido y correo electrónico. ***EMPRESA.1 accede a esta información con la finalidad de proporcionar ayuda al usuario sobre el uso del sistema. • Información del sistema del usuario: el sistema detecta información del sistema del usuario como el sistema operativo y versión o dirección IP que ha utilizado el alumno durante su actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/58 • Bloqueo del navegador: Detección de eventos por parte del alumno/a para intentar salir de la actividad monitorizada. • Supervisión del ordenador: Detección de la actividad del alumno/a en su equipo mientras realiza la actividad monitorizada como por ejemplo los programas en uso, capturas de pantalla, detección de navegación web o uso de comandos. • Imágenes y/o audios captados aleatoriamente por la webcam o el micrófono del usuario/a previa aceptación de éste del uso de dichos dispositivos. • Supervisión 360 Captura de imágenes por medio de una segunda cámara. La base legal para el tratamiento de los datos es el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos por la Ley Orgánica de Universidades, así como el consentimiento del titular de la imagen, de acuerdo con la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Encargado de tratamiento: ***EMPRESA.1 actúa en todo momento como encargado de tratamiento de las entidades a las que presta el servicio de autenticación y de identificación y análisis de comportamientos que puedan ser considerados inadecuados. ***EMPRESA.1 ofrece un informe con los resultados del análisis realizado. ***EMPRESA.1 tiene firmados los correspondientes contratos en cumplimiento de la normativa de protección de datos de carácter personal y aplica las medidas de seguridad correspondientes siendo responsable activamente de garantizar la confidencialidad de los datos que trata.” No aporta evidencias de en qué momento se presenta dicho contenido a los alumnos. Aporta copia del documento “SOLICITUD DE MATRÍCULA POSTGRADO” con la firma del alumno reclamante, de fecha 27/07/2023, en la parte inferior de la cual consta: “El estudiante presta su consentimiento para que sus datos sean tratados por UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U. para las actividades propias de la Universidad en los términos reflejados en las Condiciones Generales de Matriculación anexas”. A continuación, figura una información con el título “CONDICIONES GENERALES DE ADMISIÓN Y DE MATRICULACIÓN A TITULACIONES DE POSTGRADO” en la que consta lo siguiente: “12. Normativa Interna de la Universidad. El estudiante declara expresamente aceptar y conocer la Normativa Interna de la Universidad Europea de Valencia y sus reglamentos académicos a los que queda sujeto, por su condición de estudiante, durante todo el tiempo de vinculación con la Universidad. Esta normativa se encuentra debidamente publicada en https://universidadeuropea.com/conocenos/normativa/. El estudiante que curse estudios en modalidad presencial queda obligado a la asistencia a sus clases y a la acreditación de su registro a través de las herramientas tecnológicas puestas a su disposición por la Universidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/58 (…) 14. Tratamiento de datos personales UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U., en su calidad de responsable del tratamiento, tratará los datos personales consignados en este formulario con las finalidades de gestión académica, y matriculación del titular de los mismos en la Universidad, conocer mejor las preferencias del titular de los datos por medio de la evaluación de su perfil y realizar estudios de su comportamiento, por medio de fuentes internas y externas, para el envío de publicidad y promoción de productos y servicios propios y de terceros incluso una vez finalizada su relación con UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U., enriquecer sus datos con fuentes externas, como por ejemplo, redes sociales y para usar su imagen en sesiones de trabajos del campus. La base para el tratamiento de los datos personales recogidos en este formulario se encuentra en el desarrollo y ejecución de la relación formalizada con el titular de los mismos y que se encuentra detallada en el presente documento, así como en el cumplimiento de obligaciones legales de UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U. y el consentimiento inequívoco del titular de los datos. Asimismo, los datos personales tratados por UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U. para alcanzar las finalidades detalladas anteriormente podrán ser comunicados a Organismos y Administraciones Públicas autonómicas, estatales, europeas o internacionales, responsables económicos para información acerca de resultados académicos y a entidades financieras para la gestión de cobros y pagos. El titular de los datos tiene derecho a acceder, rectificar y suprimir los datos, limitar su tratamiento, oponerse al tratamiento y ejercer su derecho a la portabilidad de los datos de carácter personal, todo ello de forma gratuita, tal como se detalla en la información completa sobre protección de datos, en el enlace https://universidadeuropea.com/politica-privacidad/. El titular de los datos podrá revocar el consentimiento otorgado para la recepción de comunicaciones comerciales o promocionales en cualquier momento, dirigiéndose a UNIVERSIDAD EUROPEA DE VALENCIA, S.L.U. en la dirección c/ Tajo, s/n, 28670, Villaviciosa de Odón (Madrid) o enviando un mensaje de correo electrónico a la dirección dpo@unviersidadeuropea.es indicando en el asunto la referencia “revocación de publicidad” Aporta copia de contrato de prestación de servicios, con fecha 18/12/2023, entre la UNIVERSIDAD (entre otras universidades) y ***EMPRESA.1. Aporta copia de contrato de encargo del tratamiento, con fecha 18/12/2023, entre la UNIVERSIDAD (entre otras) y ***EMPRESA.1. En dicho contrato figura lo siguiente: “SEGUNDA.- Identificación de la información afectada Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este encargo, RESPONSABLE DEL TRATAMIENTO, pone a disposición del ENCARGADO DEL TRATAMIENTO, la información que se describe a continuación según el servicio contratado: - Datos seudoanomizados - Bloqueo del ordenador C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/58 o Detección de eventos por parte del alumno para intentar salir de la actividad monitorizada. - Supervisión del ordenador: o Detección de la actividad del alumno en su equipo mientras realiza la actividad monitorizada como por ejemplo los programas en uso, capturas de pantalla, detección de navegación web o uso de comandos. - Supervisión por webcam: o Captura de imágenes y análisis por medio de tecnología biométrica. - Monitorización del audio: o Grabación del audio del usuario - Supervisión 360: o Captura de imágenes por medio de una segunda cámara (sin análisis biométrico). Las categorías de interesados cuyos datos podrán ser tratados por el ENCARGADO en virtud de este contrato son las siguientes: - Alumnos/as” Con fecha 24/07/2025 por parte del Inspector se comprueba lo siguiente: 1. En la segunda capa de información sobre protección de datos, a la que hace referencia el enlace o link que consta en la primera capa de la información aportada por la parte reclamada, consta publicado lo siguiente: “POLÍTICA DE PRIVACIDAD COMPLETA: ***EMPRESA.1 (en adelante ***EMPRESA.1) (…). Puede contactar con nuestro Delegado de Protección de Datos (DPO) a través del siguiente email: dpo@***EMPRESA.1.com. ***EMPRESA.1 realiza automatizadamente tratamientos de datos personales con la finalidad de autenticar a los usuarios e identificar y observar comportamientos inadecuados en la realización de pruebas, exámenes o certificaciones a distancia principalmente en el sector de la educación universitaria. La finalidad del tratamiento es prestar el servicio contratado por la Institución/Universidad (responsable de tratamiento) de la que usted forma parte. En ningún caso se utilizarán para otras finalidades no determinadas por el Responsable de Tratamiento. Los datos que obtiene la plataforma del usuario/a de la misma son los siguientes en función de las distintas herramientas contratadas: Código de actividad/usuario. ***EMPRESA.1 recibe toda la información del usuario asociada a un identificador del que no es posible extraer la identidad de la persona, la relación con la identidad se mantiene en el responsable del tratamiento. ***EMPRESA.1 no obtiene ninguna información sobra el contenido de la actividad o examen online del usuario o las respuesta que proporciona. Nombre, apellido y correo electrónico. ***EMPRESA.1 accede a esta información con la finalidad de proporcionar ayuda al usuario sobre el uso del sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/58 Información del sistema del usuario: el sistema detecta información del sistema del usuario como el sistema operativo y versión o dirección IP que ha utilizado el alumno durante su actividad. Bloqueo del navegador: Detección de eventos por parte del alumno/a para intentar salir de la actividad monitorizada. Supervisión del ordenador: Detección de la actividad del alumno/a en su equipo mientras realiza la actividad monitorizada como por ejemplo los programas en uso, capturas de pantalla, detección de navegación web o uso de comandos. Imágenes y/o audios captados aleatoriamente por la webcam o el micrófono del usuario/a previa aceptación de éste del uso de dichos dispositivos. Obtención a través de las imágenes y de los audios de un modelo biométrico de las características del usuario/a para poder realizar la autenticación y comprobaciones posteriores sobre la identidad del usuario/a. Supervisión 360 Captura de imágenes por medio de una segunda cámara. Encargado de tratamiento: ***EMPRESA.1 actúa en todo momento como encargado de tratamiento de las entidades a las que presta el servicio de autenticación y de identificación y análisis de comportamientos que puedan ser considerados inadecuados. ***EMPRESA.1 ofrece un informe con los resultados del análisis realizado. ***EMPRESA.1 tiene firmados los correspondientes contratos en cumplimiento de la normativa de protección de datos de carácter personal y aplica las medidas de seguridad correspondientes siendo responsable activamente de garantizar la confidencialidad de los datos que trata. La base legal para el tratamiento de los datos es la legitimación basada en el consentimiento del interesado/a prestado para las finalidades anteriormente descritas, que se solicitará en el momento de comenzar a utilizar el sistema. Plazo de conservación: Los datos personales proporcionados se conservarán desde el momento que el usuario haya prestado su consentimiento hasta que se revoque el mismo. Asimismo, como encargado de tratamiento se estará sujeto a lo establecido por el Responsable sobre los periodos de conservación de los datos, procediendo a su eliminación una vez que ***EMPRESA.1 deje de dar servicio o el propio Responsable de Tratamiento haya eliminado los datos. Los datos biométricos no se conservan de ningún modo puesto que se destruyen tras realizar la autenticación. Posibilidad de retirar el consentimiento: en el caso de que se haya otorgado el consentimiento, el usuario/a tiene derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. En todo caso se informará asimismo al responsable del tratamiento dicha retirada del consentimiento para que adopte las decisiones oportunas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/58 2. En el documento “REGLAMENTO DE EVALUACIÓN DE LAS TITULACIONES OFICIALES DE GRADO Y MÁSTER IMPARTIDAS EN MODALIDAD VIRTUAL EN LA UNIVERSIDAD EUROPEA DE VALENCIA” publicado en internet, consta: “[…] TÍTULO I.‐ DEL SISTEMA DE EVALUACIÓN DE LAS MATERIAS EN LOS TÍTULOS OFICIALES DE GRADO Y MÁSTER IMPARTIDOS EN MODALIDAD VIRTUAL Art. 1.‐ De la modalidad de impartición virtual 1. El Real Decreto 822/2021, de 28 de septiembre, por el que se establece la ordenación de las enseñanzas universitarias oficiales, entiende por modalidad de impartición virtual aquella en la que el conjunto de la actividad lectiva que se enmarca en el plan de estudios se articula a través de la interacción académica entre el profesorado y el estudiantado que no requiere la presencia física de ambos en el mismo espacio docente de la universidad. Esta modalidad de enseñanza universitaria se caracteriza fundamentalmente por basarse en el uso intensivo de tecnologías digitales de la información y la comunicación. En términos de carga crediticia, en las titulaciones oficiales de un Grado podrá definirse como impartido en modalidad virtual cuando al menos un 80 por ciento de créditos (ECTS) que lo configuran se imparten en dicha modalidad de enseñanza. […] Art. 4.‐ De las pruebas de evaluación final 1. En los casos en que el sistema de evaluación de una materia de una titulación impartida en modalidad virtual contemple la realización de una prueba final o global (tanto si es prueba de evaluación presencial o virtual), cuyas características estarán descritas en la Guía de aprendizaje publicada en el campus virtual del estudiante, el Departamento de Evaluaciones Online, a través del tutor online de cada titulación, hará pública la fecha de la celebración de la prueba con una antelación mínima de 30 días naturales a la fecha de su realización, siempre que sea viable por la organización de la titulación. En ambos casos, pruebas de evaluación presenciales o virtuales, aparecerá la denominación de la materia, el curso o grupo docente, la fecha, la hora y el lugar de la prueba de evaluación final. Esta norma general se establece sin perjuicio de la evaluación continua de los estudiantes. La modificación de las fechas establecidas para las pruebas de evaluación finales presenciales se regirá según la normativa específica: https://universidadeuropea.com/resources/media/documents/NormativaOnline_ UEM_c7evCak.pdf. 2. Durante la realización de las pruebas de evaluación finales, se solicitará a los estudiantes la acreditación de su identidad, mediante la presentación del D.N.I., carné de conducir o pasaporte. La universidad cuenta con herramientas para verificar la identidad del estudiante en el momento de realizar pruebas de evaluación virtuales, que facilitará al estudiante y exigirá su instalación para su realización. Si fuera preciso, también se solicitará la grabación de la ejecución de la prueba por lo que los alumnos deberán disponer del hardware necesario (cámara/s y micrófono). Todo ello respetando la legislación de protección de datos. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/58 Con fecha 26/07/2025 se comprueba que accediendo a la url (...) aparece el formulario de Google ya descrito por el reclamante y reclamado con el mismo texto ya descrito. QUINTO: Con fecha 14 de noviembre de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la UNIVERSIDAD, por la presunta infracción del artículo 35 del RGPD y del artículo 9 del RGPD, tipificadas en el artículo 83.4 del RGPD y el artículo 83.5 del RGPD, respectivamente. SEXTO: Notificado el citado acuerdo de inicio, con fecha 28 de noviembre de 2025 se recibió escrito de la UNIVERSIDAD, en el que informaba que había realizado el pago voluntario de 160.000 euros, correspondientes a la sanción fijada en el acuerdo de inicio (200.000 euros) con una reducción de un 20% de su importe. Asimismo, manifestaba expresamente su renuncia a ejercitar cualquier acción o recurso en vía administrativa contra la sanción. A su escrito aportaba el justificante bancario del ingreso realizado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes HECHOS PROBADOS PRIMERO: La UNIVERSIDAD implantó en enero de 2024 el software ***SISTEMA.1 para el control de la realización de exámenes no presenciales de la universidad. SEGUNDO: ***SISTEMA.1 incorporaba el uso de una herramienta de vigilancia y monitorización remota a través de reconocimiento facial para la autenticación (realizando comparaciones 1:1) y verificación de identidad durante la realización de exámenes online de alumnos de la UNIVERSIDAD. Dicho sistema utilizaba un algoritmo de reconocimiento automático para comprobar la identidad del usuario, previo registro del alumno, y detectar posibles comportamientos incorrectos a lo largo del examen. TERCERO: El software fue utilizado para la realización de dos exámenes, celebrados los días 6 y 7 de abril de 2024, dejando de utilizarse tras esas pruebas. El tratamiento afectó a los datos personales de 153alumnos matriculados que realizaron exámenes con la activación de ***SISTEMA.1. CUARTO: La UNIVERSIDAD no ha acreditado haber informado y solicitado consentimiento a los alumnos de la utilización del software ***SISTEMA.1 en el momento de la matrícula de éstos al recoger sus datos. QUINTO: Con fecha 5 de abril 2024 la UNIVERSIDAD remitió a los alumnos que iban a examinarse los días 6 y 7 de abril de 2024, un correo electrónico con un formulario para recoger su consentimiento para el tratamiento de sus datos mediante el software ***SISTEMA.1 en la realización de dichas pruebas. En dicho correo electrónico se les informaba de la necesidad de aportar dicho formulario para la realización de los exámenes, ofreciendo la posibilidad de realizar los exámenes los días 20 y 21 de abril de 2024 en caso de no consentir el tratamiento de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/58 SEXTO: La UNIVERSIDAD ha aportado un documento de EIPD relativa al tratamiento de datos personales del citado software sin firma y de fecha posterior a la celebración de los exámenes de 6 y 7 de abril de 2024, de 8 de mayo de 2024. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la UNIVERSIDAD contaba con un volumen de negocios de 69.027.530 euros en el año 2024. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas II.1. Datos personales objeto de tratamiento El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. En el presente caso, consta la realización de un tratamiento de datos personales, toda vez que la UNIVERSIDAD realizaba, entre otros tratamientos, la recogida de datos de los estudiantes en el marco de la realización de exámenes en remoto. Dicho tratamiento se realizaba a través del software ***SISTEMA.1 y constaba de dos operaciones diferentes:

(1)el control a través de vídeo y audio de los movimientos y sonidos en la ubicación de los alumnos y

(2)el tratamiento de datos biométricos de los alumnos para su verificar su identidad para realizar el examen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/58 Es relevante para el presente procedimiento el hecho de que parte de los datos objeto de tratamiento sean datos biométricos, de acuerdo con el artículo 4.14 del RGPD, que establece que éstos son: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. De acuerdo con lo previsto en el RGPD, para poder determinar si estamos en presencia de datos biométricos de carácter personal, deben concurrir tres requisitos, que se deducen de la interpretación conjunta del artículo 4.14 (definición de datos biométricos) y el artículo 4.1 del RGPD (definición de datos personales): (

1. i)En primer lugar, la naturaleza de los datos: deben ser relativos a las características físicas, fisiológicas o conductuales de una persona física. Si el tratamiento requiere el registro previo de la imagen, huella dactilar, voz, iris, etc. o tiene en cuenta comportamientos o diferencia características como la raza, sexo, etc., cumple con esta característica inicial, aunque no las almacene y solo las emplee para generar el patrón biométrico. (
2. ii)En segundo lugar, la finalidad del tratamiento: los datos biométricos deben permitir o confirmar la identificación única de dicha persona. No todos los datos biométricos sirven para la identificación de personas físicas, pero los sistemas biométricos dirigidos a permitir o confirmar la identificación única de una persona sí tratan datos biométricos de carácter personal. Las tecnologías biométricas permiten utilizar dos grandes tipos de sistemas que se dirigen a identificar de manera única a las personas a partir de datos biométricos, según señaló el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del Grupo de Trabajo del Artículo 29, órgano consultivo independiente europeo en materia de protección de datos, precedente del actual Comité Europeo de Protección de Datos (en adelante, Dictamen 3/2012): “- Identificación biométrica: la identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir, un proceso de búsqueda de correspondencias uno-a-varios). (En adelante, 1:N) - Verificación/autenticación biométrica: la verificación de un individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).” (En adelante, 1:1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/58 Cabe aclarar que, en ambos casos, se trate de identificación o de verificación/autenticación, las técnicas utilizadas se basan en una concordancia estimada entre plantillas: la que se compara y la(
3. s)de referencia. Desde este punto de vista, son técnicas probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se ha de autenticar o identificar y, si esta probabilidad supera un determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una coincidencia. Pero, con independencia de las diferencias existentes entre ambos sistemas biométricos respecto a la probabilidad de errores, o desde el punto de vista de las medidas de seguridad, lo cierto es que la finalidad de ambas técnicas es la misma, toda vez que ambas se dirigen a identificar de forma unívoca a una persona, considerándose que ambas tratan datos biométricos de carácter personal. (iii) En tercer lugar, los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico específico”; que “permitan o confirmen la identificación única de dicha persona”. Ya el Dictamen WP80 del Grupo de Trabajo del Artículo 29 se señalaba que los sistemas biométricos son: «aplicaciones de las tecnologías biométricas que permiten la identificación automática, y/o la autenticación/comprobación de una persona. Se suelen utilizar aplicaciones de autenticación/comprobación para diversas tareas en campos muy distintos y bajo la responsabilidad de una amplia gama de entidades diferentes.» Todo sistema biométrico dirigido a permitir o confirmar la identificación unívoca de las personas, para poder ser usado, ha de registrar antes la identidad del usuario en el sistema por medio de la captura de una serie de parámetros biométricos en bruto. Es preciso aclarar que la información biométrica de las personas (sobre las características físicas, fisiológicas o conductuales) puede procesarse y almacenarse de diferentes formas:  Una opción es que la información biométrica capturada de una persona se almacene y se trate en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales. Por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar (muestra) o una grabación de voz. Estas serán un dato personal, pero, según el artículo 4.14 del RGPD, no serán datos biométricos de carácter personal puesto que no se cumple con el requisito de que el dato biométrico en bruto haya sido procesada mediante un tratamiento técnico que permita su identificación por una máquina a través de un tratamiento automatizado.  Otra opción es que esta información biométrica se manifieste en forma de plantilla biométrica o patrón biométrico (código alfanumérico). En estos casos, la información biométrica bruta capturada es tratada por un software de manera que solo se extraen de la misma ciertas características o rasgos (como fragmentos de la muestra de huella o puntos de la imagen de la imagen de la cara) y se salvan como una plantilla biométrica, llamado “vector” o “patrón biométrico” que permite la identificación de su titular de forma automatizada. Este sería el caso del sistema de control utilizado por la UNIVERSIDAD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/58 Las Directrices sobre el uso de las tecnologías de reconocimiento facial dictadas por el Consejo de Europa el 28/04/2021 (Guidelines on Facial Recognition, Council of Europe), definen la plantilla biométrica como “una representación digital de las características únicas que se han extraído de una muestra biométrica y se almacenan en una base de datos biométrica”. Una plantilla o patrón biométrico es una forma de escritura de una característica biométrica humana, como un rostro o una huella dactilar, que se manifiesta en forma de código alfanumérico, de manera que sea interpretable por una máquina de forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica no está orientada a ser interpretada por una persona, como una fotografía, sino que está orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente interpretable por una máquina. Esta forma de almacenamiento permitiría singularizar a un individuo y ejecutar acciones de forma automática, perfilar o inferir información sobre un sujeto como actitudes o patrones de comportamiento, etc. En otras palabras, la plantilla o patrón biométrico es la forma de medición de las características físicas, fisiológicas o conductuales de una persona física que son procesadas para asignar un código identificador único a cada individuo, de forma que éste pueda ser interpretado automáticamente al realizar cada lectura por el software y los dispositivos de hardware asociados a un sistema de verificación/identificación de la identidad biométrico, permitiendo la comparación de los datos y verificación de la identidad de forma automatizada. En consecuencia, siempre que se emplee un sistema biométrico que procese características físicas, fisiológicas o conductuales de las personas para convertirlas en un patrón o plantilla biométrica que pueda interpretar una máquina de forma automatizada para verificar la identidad de una persona de forma unívoca, no hay duda de que se estarán tratando datos biométricos de carácter personal que están sometidos a las obligaciones que el RGPD establece, siendo considerados de categoría especial por el artículo 9 del RGPD y requiriendo la previa elaboración y superación de una EIPD, como se analiza más adelante en los fundamentos de derecho de este acuerdo de inicio. Las Directrices 5/2022 del Comité Europeo de Protección de Datos (CEPD), sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de 26 de abril de 2023), determinan, en su apartado 12, que el concepto de dato biométrico incluye tanto la autenticación como la identificación, y que, si bien son conceptos distintos, ambos implican el tratamiento de datos dirigidos a identificar a una persona física, como se ha señalado anteriormente, por lo que constituyen tratamientos de categorías especiales conforme al artículo 9 del RGPD. Por tanto, tanto la identificación (1:N) como la autenticación (1:1), cuando emplean datos biométricos para confirmar de forma unívoca la identidad de una persona, implica un tratamiento de “categorías especiales de datos personales” del artículo 9.1 RPGD. Ello implica la activación en general de las garantías especiales que una y otra norma confieren respecto del tratamiento de este tipo de datos especialmente protegidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/58 Ahora bien, sin perjuicio de que la autenticación y la identificación supongan un tratamiento de datos especialmente protegidos, el riesgo para los derechos del interesado será menor, en función de cómo estructure el responsable el tratamiento, y sobre todo de las medidas adecuadas y específicas que adopte. Así, la proyección concreta de estas garantías, no necesariamente habrá de serlo con la misma intensidad. No puede obviarse que -aun en el ámbito de los datos especialmente protegidos- esta distinción entre autenticación e identificación sigue siendo un elemento relevante y distintivo del impacto y riego que se genera y debe protegerse. El mismo CEPD en el apartado 17 del referido informe recuerda respecto del reconocimiento facial que: “El reconocimiento facial basado en una plantilla almacenada en un dispositivo personal (tarjeta inteligente, teléfono inteligente, etc.) perteneciente a dicha persona, utilizada para la autenticación y el uso estrictamente personal a través de una interfaz específica, no plantea los mismos riesgos que, por ejemplo, el uso con fines de identificación, en un entorno no controlado, sin la participación activa de los interesados, en el que la plantilla de cada cara que entra en la zona de supervisión se compara con las plantillas de una amplia sección transversal de la población almacenada en una base de datos. Entre estos dos extremos existe un espectro muy variado de usos y cuestiones conexas relacionadas con la protección de los datos personales.” En consecuencia, la distinción entre identificación o autenticación y especialmente de los elementos concretos de estos tratamientos tanto por sus fines como especialmente por los medios son elementos esenciales para determinar la proporcionalidad del tratamiento, la necesidad de realizar una evaluación de impacto y la aplicabilidad de excepciones al tratamiento de datos biométricos, especialmente en ámbitos como el laboral, la seguridad pública o la prestación de servicios digitales. Así, la identificación tiende a requerir justificaciones mucho más sólidas, siquiera sea porque un número mayor de interesados se ven afectados. No todos los tratamientos tienen la misma intensidad de impacto o requieren idénticas medidas de protección. La norma general se mantiene: la prohibición del artículo 9.1 del RGPD puede exceptuarse solo mediante las circunstancias específicas del artículo 9.2 del RGPD, como por ejemplo el consentimiento explícito del interesado, el interés público relevante, o el que se hayan hecho manifiestamente públicos. Sin embargo, cuando se emplean datos biométricos en contextos de bajo riesgo o control restringido, el impacto sobre derechos y libertades puede ser menor, lo que influye en la proporcionalidad de las salvaguardas exigidas. Cabe mencionar expresiones de la voluntad legislativa de mantener diferencias respecto de estos tratamientos diferentes. Así, la Directiva (UE) 2024/2831 sobre trabajadores de plataformas digitales prohíbe expresamente el uso de datos biométricos con fines de identificación (1:N), es decir, mediante el cotejo de los datos de una persona con los de una base de datos de múltiples individuos. En cambio, permite la autenticación o verificación unívoca (1:1) con las garantías correspondiente a los datos especialmente protegidos cuando esta se limita a cotejar los datos del interesado con los que él mismo proporcionó previamente, siempre que el tratamiento sea lícito conforme al RGPD u C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/58 otras normas aplicables (Considerando 41). Esta directiva mantiene así una distinción funcional y jurídica clara entre identificación y autenticación, reconociendo su diferente impacto sobre los derechos fundamentales el tratamiento de estos datos sensibles. En un sentido similar, el Reglamento (UE) 2024/1684 sobre inteligencia artificial, mantiene esa distinción operativa y jurídica (considerandos 14 y ss.). En particular, el Anexo III. 1º distingue claramente entre identificación biométrica remota (varios-a-varios, M:N), considerada de alto riesgo, y verificación biométrica (uno-a-uno, 1:1), que queda expresamente excluida cuando su única finalidad es confirmar la identidad declarada por una persona. Esta distinción, de nuevo, refleja una diferencia en el nivel de impacto y riesgo sobre los derechos fundamentales. Así las cosas y en el contexto de la normativa de protección de datos que aquí interesa, sin perjuicio de que nos encontramos ante datos especialmente protegidos del artículo 9, no todos los tratamientos basados en el artículo 9 del RGPD comportan el mismo nivel de riesgo ni exigen el mismo grado de salvaguardas. Desde una perspectiva de la legalidad y, especialmente de la proporcionalidad y evaluación de riesgos, la identificación (1:N) suele presentar mayores riesgos para los derechos y libertades fundamentales, en especial por su carácter invasivo y su tendencia a extenderse sin control en el caso de la identificación remota. En cambio, la autenticación biométrica localizada, bien diseñada y según toda una serie de circunstancias a tener en cuenta en cada caso concreto, puede ser en muchos contextos más proporcionada y menos intrusiva, especialmente si existe regulación o consentimiento libre e informado y garantías adecuadas. Por tanto, aunque desde el plano formal ambos usos pueden estar incluidos en el artículo 9 del RGPD, el impacto real sobre los derechos y la intensidad de las medidas de protección requeridas pueden variar sustancialmente, debiendo valorarse caso por caso en función del contexto, la escala, la tecnología empleada y el control efectivo que conserve el interesado sobre sus datos biométricos. En el presente caso, de acuerdo con lo que consta en el informe técnico sobre la herramienta ***SISTEMA.1 aportado por la UNIVERSIDAD, “podría definirse ***SISTEMA.1 como una herramienta de supervisión en línea que proporciona las evidencias de lo que sucede en la evaluación online de la institución para la toma de decisiones.” Tanto en el informe, como en la información contenida en el RAT y en la documentación remitida a los alumnos, se menciona el tratamiento de datos biométricos. De acuerdo con el informe técnico y la evaluación de impacto presentados por la UNIVERSIDAD, el procesamiento de los datos incluye la verificación (1:1) de la identidad de los alumnos. II.2. Operaciones de tratamiento El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/58 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, el tratamiento de datos personales se realiza con la herramienta ***SISTEMA.1, utilizada en los exámenes de la UNIVERSIDAD, a través de la cual se realiza la recogida y comparación de datos biométricos de los estudiantes. Así consta en el RAT de la UNIVERSIDAD, en el informe técnico aportado por la UNIVERSIDAD y en la documentación remitida a los alumnos. En el correo enviado en fecha 05/04/2024 desde el correo electrónico ***EMAIL.5 hacia el correo electrónico del reclamante, se incluye una descripción del tratamiento a realizar, donde se explica que existen dos tratamientos diferenciados, uno de los cuales incluye reconocimiento facial. En relación con este segundo tratamiento, en el informe técnico aportado por la UNIVERSIDAD se indica lo siguiente: “5.7.1 Procesamiento biométrico de bajo impacto El procesamiento biométrico que se realiza es de autenticación/verificación y no de identificación. Esto quiere decir que se realizan comparaciones de 1 a 1 y no de 1 a varios.” También la Evaluación de Impacto de fecha 08/05/2025 remitida por la UNIVERSIDAD contiene una descripción del tratamiento en la que se incluye el sistema de autenticación de identidad: “[…] Descripción del proyecto, proceso, sistema o producto sobre el que realizar una evaluación de impacto. Uso de la herramienta de vigilancia y monitorización remota a través de reconocimiento facial “***SISTEMA.1” para la autenticación y verificación durante la durante la realización de evaluaciones y exámenes on line por parte de los alumnos de la Universidad Europea de Valencia (en adelante, UEV). ***SISTEMA.1 es un sistema de autenticación de la identidad del estudiante online que utiliza un algoritmo de reconocimiento automático para comprobar la identidad del usuario y detectar comportamientos incorrectos a lo largo del examen.” Asimismo, en la Guía remitida a los estudiantes se menciona expresamente la creación de un patrón biométrico, en los siguientes términos: “3.1. Aplicación de registro Se ejecuta automáticamente la primera vez que se accede a la actividad que se esté monitorizando o cuando acceda al enlace de registro. Es una sencilla aplicación con la cual el usuario tomará tres fotos mediante su webcam para el registro de su identidad. Dichas imágenes se utilizarán para crear un modelo biométrico-matemático de sus características faciales que será utilizado en las futuras verificaciones. El usuario estará obligado a efectuar este registro una vez al inicio del curso o examen. Para posteriores cursos o exámenes, no será necesario volver a realizar el registro ya que el modelo biométrico creado al inicio se va alimentando de nuevas imágenes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/58 De acuerdo con la información facilitada por la UNIVERSIDAD, dicho sistema estuvo vigente desde enero de 2024, se utilizó en los mencionados exámenes de 6 y 7 de abril de ese año y no se ha vuelto a utilizar, si bien en la información sobre tratamiento de datos publicada por la UNIVERSIDAD y recogida con fecha 24/07/2025 en el marco de las actuaciones de investigación, todavía figura una referencia a dicho tratamiento. II.3. Responsable y encargado de tratamiento El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, la UNIVERSIDAD realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, de acuerdo con el artículo 4.7 del RGPD. III Obligación incumplida. Tratamiento de categorías especiales de datos personales (artículo 9 del RGPD) El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
4. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
5. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/58
6. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
7. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
8. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
9. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
10. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
11. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
12. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
13. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/58 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." En el presente caso, de acuerdo con los hechos probados, consta la realización de un tratamiento de datos personales que incluye operaciones de tratamiento sobre datos biométricos de los alumnos de la UNIVERSIDAD, en el marco de la realización de exámenes online. Como se ha detallado en el fundamento anterior, de acuerdo con la definición dada por el artículo 4.14 del RGPD, los datos biométricos tratados por estos sistemas se convertirán en datos de carácter personal siempre y cuando la finalidad del tratamiento sea la identificación o autenticación de una persona, en el sentido previsto en el artículo 4.1 del RGPD. Así, el artículo 9.1 del RGPD, prevé la prohibición del tratamiento de datos “datos biométricos dirigidos a identificar de manera unívoca a una persona física”, salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del RGPD. Cabe señalar además que cualquier excepción a dicha prohibición habrá de ser objeto de interpretación restrictiva, tal y como se deduce de los considerandos 51 y 52 del RGPD. Así las cosas, las excepciones que podrían permitir el levantamiento de la prohibición general de tratar datos biométricos dirigidos a identificar/verificar la identidad de personas físicas previstas en el artículo 9.2. del RGPD, transcrito anteriormente. En definitiva, si el responsable no acredita que su tratamiento está amparado por alguna de estas excepciones, incurre en una infracción del artículo 9 del RGPD. En el presente caso, la UNIVERSIDAD alega que excepción que permite el levantamiento de la prohibición del artículo 9 del RGPD es el consentimiento de los interesados (los alumnos). Así lo indica la propia UNIVERSIDAD en diferentes documentos, entre otros: - En el escrito de 09/05/2024 de la UNIVERSIDAD como respuesta al traslado, dice que “se recaban los respectivos consentimientos de los interesados proveyéndose como alternativa la deshabilitación de dicha funcionalidad y la consiguiente identificación manual por medio de personal interno cualificado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/58 - En el correo electrónico enviado en fecha 05/04/2024 desde la dirección ***EMAIL.5 al reclamante, donde se diferencia entre dos tratamientos para los que se utiliza ***SISTEMA.1, el segundo de los cuales sería el reconocimiento facial para acreditar la id