REPOSICION-PS-00067-2024

1/49  Expediente nº.: EXP202305233 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por UNIVERSITAT INTERNACIONAL VALENCIANA-VALENCIAN INTERNATIONAL UNIVERSITY, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 25 de abril de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 25 de abril de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202305233, en virtud de la cual se imponía a UNIVERSITAT INTERNACIONAL VALENCIANA-VALENCIAN INTERNATIONAL UNIVERSITY, S.L. (en adelante, UIV o VIU) - Una multa de 300.000 euros por la comisión de una infracción del artículo 9 del RGPD tipificada en el artículo 83.5 del RGPD. - Una multa de 350.000 euros por la comisión de una infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del RGPD. Dicha resolución, que fue notificada a la parte recurrente en fecha 30 de abril de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00067/2024, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: Consta acreditado (…) que emplea técnicas de reconocimiento facial, inteligencia artificial y mecanismos de decisión automatizada con el objeto de verificar la identidad de los alumnos que participan en sus exámenes online y monitorizar su comportamiento a los efectos de evitar el fraude/plagio en los exámenes y garantizar la calidad e integridad académica. Sistema que está implantado como método obligatorio de examen para sus alumnos, sin que se ofrezca a los mismos otra alternativa. La herramienta contratada se denomina ***SOFTWARE.1 y ha sido desarrollada por la empresa ***EMPRESA.1, con la que la UIV formalizó un contrato inicial de servicios y encargo del tratamiento el 27 de mayo de 2015 que fue objeto de varias extensiones y actualizaciones, la última de las cuales fue suscrita mediante adenda contractual de 19-12-22. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/49 De acuerdo con la cláusula primera de adenda contractual suscrita el 19-122022 entre ***EMPRESA.1 y la UIV, aportada como Documento 1 del escrito de 20 de diciembre de 2023, se dispone que: “Que ambas partes celebraron el 27 de mayo de 2015 contrato de servicio del sistema ***SOFTWARE.1 de autenticación del alumno online, en virtud del cual el cliente tiene contratado el sistema de software ***SOFTWARE.1 del suministrador. Posteriormente, el 18 de marzo de 2020 suscribieron una extensión al citado contrato y en fecha 20 de diciembre de 2021 una adenda modificativa al mismo”. Todas estas extensiones y adendas modificativas han sido aportadas por la universidad con fecha de 6-2-25. De acuerdo con las especificaciones técnicas que han sido aportadas al procedimiento como Documento 1.2 del escrito de 16 de noviembre de 2023, el funcionamiento de ***SOFTWARE.1 -en cualquiera de sus diferentes modalidades- incluye las siguientes 3 acciones(fases): a. Aceptación de los términos y condiciones - Durante la fase de registro el alumno lee y acepta los términos y condiciones que regulan el uso del sistema ***SOFTWARE.1. b. Registro de identidad - El sistema captura la imagen del alumno por primera vez y formaliza su alta en el sistema con la correspondiente instalación del software y los periféricos. Este proceso necesita la colaboración del alumno en la fase contractual. c. Monitorización de actividades durante el examen - El estudiante es monitorizado y autenticado de forma continua durante las diferentes actividades del examen(…)” No obstante, se ha constatado que la UIV ha contratado diversas versiones o modalidades de ***SOFTWARE.1 desde el 27 de mayo de 2015 hasta la actualidad, con el objeto principal de ampliar las herramientas de la fase de monitorización de actividades durante el examen. De acuerdo con las manifestaciones de la propia Universidad, el informe del fabricante que desarrolló el programa ***EMPRESA.1 de 30 de enero de 2025, los diversos documentos contractuales suscritos con ***EMPRESA.1, y las facturas aportadas como Documentos 2 a 4 del mismo escrito de 20 de diciembre de 2023, consta acreditado que la UIV ha contratado e implantado diversas modalidades del citado programa de reconocimiento facial y monitorización de exámenes: o (…) la Universidad contrató con ***EMPRESA.1 una primera versión del programa ***SOFTWARE.1 que empleaba reconocimiento facial para la identificación de los alumnos que participaban en los exámenes de la UIV, que pasó a denominarse como ***SOFTWARE.2 a partir del contrato de 18-3-20, y que continua en vigor y aplicándose en la actualidad, según consta en la última adenda contractual 19-12-22. De acuerdo con el Anexo I del Contrato suscrito el 27 de mayo de 2015, esta versión inicial del software contratado ya utilizaba un sistema de reconocimiento facial como medio de verificación de identidad de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/49 alumnos que participan en los exámenes online y monitorizaba su actividad a través de la cámara web, a través de una monitorización del escritorio, y la grabación de imágenes y audio, durante la realización de sus exámenes online, que se analizan de forma automatizada mediante técnicas de inteligencia artificial, y eran supervisadas posteriormente por un profesor. Hasta la firma de la extensión contractual de 18-3-20, la Universidad tenía contratada la versión inicial de ***SOFTWARE.1, que pasó a denominarse posteriormente ***SOFTWARE.2, en la que la fase de monitorización de actividades durante el examen, se realizaba de acuerdo con las siguientes herramientas, que constan señaladas en dicho Documento 1.2, y coinciden con las indicadas en el Manual de formación sobre ***SOFTWARE.2, aportado como Documento 3.6: -Monitorización a través de la webcam del equipo: el sistema captura imágenes de forma periódica con la webcam del usuario que se analizan con algoritmos de IA, es importante destacar que el análisis se realiza sin almacenar ningún tipo de dato biométrico del usuario, además las comparaciones se realizan siempre de 1 a 1 y no de 1 a varios, resultando un tratamiento muy poco intrusivo. -Monitorización de escritorio: el sistema monitoriza las acciones (programas abiertos, navegación web…) que realiza el alumno durante la actividad online, este sistema garantiza que en ningún momento se accede a información privada del usuario. El estudiante es consciente de la monitorización. -Grabación de audio: es uno de los complementos que ofrece el software y se basa en un umbral de sonido que, si se supera, comenzará la grabación de audio. Las grabaciones se ponen a disposición de la institución.” o Con fecha de 31-5-2019 se emite informe favorable de la ANECA a la propuesta de modificación del plan de estudios presentado por la UIV en relación con el Máster Universitario en Nutrición y Salud, que se acompaña como DOCUMENTO 3.4 (Pág. 337 expediente), en el que tras haberse realizado alegaciones por la UIV sobre la mejora del control del entorno en el examen online, proponiendo incluir un sistema de monitorización del entorno mediante doble cámara, la ANECA considera que: “Dicho sistema no permite asegurar completamente que el estudiante no recibe ningún tipo de ayuda externa durante la realización de la misma. Se recomienda subsanar esta cuestión. Esta recomendación es de obligado cumplimiento y dicho cumplimiento será revisado especialmente en las fases de seguimiento y acreditación del título.” o Consta que la Universidad -pretendiendo cumplir con las recomendaciones de la ANECA para asegurar que no se cometía fraude en los exámenes- modificó su Plan de Estudios para incluir el control de entorno a través de doble cámara, (…) amplió el contrato de servicios y encargo del tratamiento para incluir una nueva herramienta de monitorización del entorno a través de doble cámara (…) , y que sigue estando vigente en la actualidad con dicho nombre tras la firma de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/49 adenda de 19-12-22. Denominaciones contractuales que se corresponden con la versión del Plan ***SOFTWARE.6 del programa que el fabricante desarrolló a partir de 2018, según manifiesta la misma en su informe de 30 de enero de 2025. De acuerdo con lo señalado por la UIV en su escrito de 20 de diciembre de 2023,y las extensiones y adendas del contrato aportados el 6-2-25, la diferencia existente entre la modalidad inicial (***SOFTWARE.1, o ***SOFTWARE.2) y la nueva modalidad contratada a partir de 18-3-20 ( que recibió diversas denominaciones como ***SOFTWARE.3, y ***SOFTWARE.4) se ceñía a añadir una herramienta más de control en la fase de monitorización del alumno que se correspondía con el nuevo sistema de monitorización del entorno a través de la instalación de una doble cámara, que de acuerdo con el Documento 3.7 antes mencionado, consistía en lo siguiente: “-Monitorización del entorno a través de una segunda cámara: mediante el uso de teléfono móvil como cámara externa, el software es capaz de monitorizar el entorno del estudiante, aportando un mejor ángulo de visibilidad, siendo capaz de detectar la presencia de otras personas o el uso de elementos no permitidos por parte del estudiante. El análisis de estas imágenes se realiza por medio de algoritmos de IA sin aplicar análisis biométrico”. o Por último, de acuerdo con la cláusula segunda de la última adenda contractual firmada el 19-12-22:, la oferta de ***EMPRESA.1 contempla en la actualidad 3 modalidades de servicios, habiendo señalado la UIV en su segundo escrito de respuesta al requerimiento de investigación que ha contratado las dos primeras modalidades y abonado las facturas correspondientes a los exámenes del primer semestre de 2023 conforme a los precios pactados en dicha adenda-Se hace constar que las modalidades son las siguientes: o o o ***SOFTWARE.2. (…). ***SOFTWARE.4 (…) ***SOFTWARE.5. (…) Consta, pues, acreditado que desde el 18-3-20 hasta la actualidad la UIV ha venido contratando ambas modalidades ***SOFTWARE.2 y ***SOFTWARE.4 (si bien con distintas denominaciones), y que a la versión conjunta de ambas modalidades contratadas el 19-12-22 se la denomina en los Manuales de Formación y documentación informativa publicada en la web como ***SOFTWARE.7,” y se corresponden con lo que el fabricante desarrollador del programa ofrece como ***SOFTWARE.6, según se hace constar por el mismo en su informe de 30 de enero de 2025. Así pues, la UIV en su escrito de 6-2-25, tras la emisión de dicho informe de ***EMPRESA.1 señala que: “ii. Que las referencias a las versiones “***SOFTWARE.4” o “***SOFTWARE.7” deben entenderse referidas a la versión ***SOFTWARE.6, que incorpora la supervisión del entorno del usuario”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/49 SEGUNDO: En relación con los hechos que constan en la denuncia a la que se refiere el presente procedimiento, consta acreditado en el mismo día de firma de la última adenda contractual con el fabricante de ***SOFTWARE.1 (19-1222), (…) para los exámenes realizados a partir de 16-1-23, y que debían descargarse los programas necesarios que constan en el documento 3.4 de la denuncia. Ante la queja de los alumnos, consta acreditado que la UIV contestó a los mismos que se había tomado esta decisión por el consejo de gobierno de la UIV de 3-5-22. Las facturas aportadas en el segundo escrito de respuesta (Documentos 2 a 4) confirman que dichos exámenes de 2023 fueron celebrados utilizando la versión del programa ***SOFTWARE.1 que empleaba reconocimiento facial y monitorizaba el entorno, puesto que consta en las mismas que se ha abonado el 9-8-23 a la prestadora del servicio y encargada del tratamiento la parte correspondiente a los exámenes realizados utilizando las modalidades ***SOFTWARE.2 y a ***SOFTWARE.4. TERCERO: También consta acreditado (…) ***SOFTWARE.5 desde la firma de la adenda modificativa de 14-6-21, que permitía la supervisión humana sin utilizar la biométrica, pero que ésta fue descartada por la UIV -sin analizarla en su EIPD de 2020, ni en sus actualizaciones posteriores de 2023 y 2024- por los siguientes motivos que son expresados en su escrito de 20 de diciembre de 2023: “El servicio de Revisión humana sin análisis biométrico nunca se ha contratado porque consiste en un único proceso de verificación humana de la identidad del alumno al inicio del curso y antes de empezar un examen, pero este servicio no incluye la autenticación continua durante el examen y carece de la eficacia necesaria en la prevención de la suplantación de identidad en los exámenes online. El servicio de ***SOFTWARE.5 consiste en que los alumnos no pasan por el control biométrico, sino que conectan con un agente de ***SOFTWARE.1, le enseñan su cara a través de la webcam y el agente de ***SOFTWARE.1 simplemente marca a ese alumno como “checkeado” antes de iniciar el examen. Se trata por lo tanto de un proceso de identificación humana analógica que no es una alternativa válida al control biométrico y que no habría tenido la misma consideración por la Agencia Estatal ANECA para otorgar la oficialidad de un título”. CUARTO: Respecto al (…) ***SOFTWARE.1, queda acreditado que éste emplea un sistema de reconocimiento facial con la finalidad de verificar la identidad de los alumnos que participan en los exámenes de la universidad, que de acuerdo con la información que se ofrece actualmente en la web de la UIV a los alumnos -según consta acreditado mediante el Anexo I de la Memoria de Verificación de Máster sobre “Control de identidad y plagio”, aportada como Documento 3.2 del escrito de 16 de noviembre de 2023-, consta de dos fases (el subrayado es nuestro): Fase 1: Proceso Onboarding: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/49 El aseguramiento de la identidad y para dar cumplimiento a la garantía de que el sujeto que se matricula es el que efectivamente accede al campus y se evalúa” se observa que está relacionado con el proceso de “onboarding”, esto es, el primer acceso al campus virtual. A través de estas operaciones se lleva a cabo el proceso para autenticar su identidad con sistema de reconocimiento biométrico y contraste con el DNI. Las operaciones que el estudiante debe de llevar a cabo son las siguientes: 1. El alumno accede por primera vez al campus y se inicia una landing page al Prestador de Servicios de Confianza Cualificado. 2. Se inicia la video-identificación, se captura el selfie, el anverso y el reverso de su documento de identidad. 3. Con el OCR del documento se cumplimenta un formulario personalizable del que se genera el documento de aceptación de identidad y normativa de autoría de los trabajos de evaluación continua. 4. El alumno firma con un código PIN que le enviamos al móvil. Una vez finalizado este proceso y firmado el documento, la Universidad recoge la traza técnica del proceso y genera el certificado acreditativo de la video-identificación y firma del documento. Este certificado vendrá firmado electrónicamente por el prestador de Servicios de Confianza y tendrá un sellado de tiempo que garantizará la integridad de la información recogida en dicho documento. El proveedor de esta solución es la empresa ***EMPRESA.2. Fase 2: Acreditar la autoría del proceso de evaluación continua y tutela de exámenes online: Para garantizar que el estudiante matriculado es el que efectivamente está realizando el examen y además durante el desarrollo de éste su comportamiento es el adecuado y no comete fraude, así como el control recurrente del entorno, se emplea la tecnología de ***SOFTWARE.1. Utiliza un algoritmo de reconocimiento facial automático para verificar la identidad del usuario y detectar comportamientos incorrectos a través de todo el proceso de desempeño de la prueba de contenido (examen). De esta manera este software tiene como objetivo la identificación del estudiante previamente a las pruebas, la captura de imágenes durante su desarrollo, así como la alerta sobre situaciones que puedan suponer riesgos para esta identificación y la gestión de alertas de situaciones comprometedoras durante la realización del mismo. De esta forma, el software de reconocimiento facial va tomando una serie de imágenes que van informando al profesor y al personal de soporte del control de identidad del estudiante durante el desarrollo de la prueba. Esta información es consultada por el profesor antes del inicio de la corrección del examen a través de un panel de control al que se puede acceder desde la misma aula de cada asignatura. Esta información le permite detectar situaciones de fraude durante la realización del examen e intervenir disciplinariamente si es requerido anulando el examen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/49 Iniciado el despliegue de las asignaturas y una vez familiarizado el alumno en el campus, se llevará a cabo el proceso de “enrollment” en la herramienta ***SOFTWARE.1, con un link externo a la aplicación que se colocará en el aula general de la titulación. Aunque los alumnos llevan a cabo muchos exámenes, solo se precisa llevar a cabo el proceso de alta del alumno en la herramienta una sola vez. El proceso de alta en ***SOFTWARE.1 por parte del alumno es muy sencillo y no requiere de la autenticación con DNI. El estudiante debe tener la cámara abierta para tomarse tres fotografías de identificación y volver de nuevo al campus. De esta forma se crea su modelo matemático personal. El único requerimiento por tanto es que el alumno tenga webcam. Una vez que la prueba está dada de alta en el sistema, el estudiante que acceda a ella observa cómo se le activa la cámara que debe estar habilitada y funcionando perfectamente. A partir de este momento, ***SOFTWARE.1 captura imágenes de forma aleatoria (y silenciosa) 2 cada minutos y las compara con el patrón biométrico inicial del estudiante. De esta forma a través de este proceso, se audita y vigila a tres niveles: 1.Durante el examen y de manera síncrona, a través del plano frontal de la imagen empleando la cámara web del equipo del estudiante. El sistema está programado con unos filtros muy estrictos, establecidos previamente que dan alarma en tiempo real al profesor que vigila el examen cuando se detecta cualquier tipo de anomalía: desde bajos niveles de luz, posiciones inadecuadas en la cámara, presencia de otras personas frente a la pantalla, movimientos fuera de la cámara, comportamientos y movimientos anómalos. Este sistema es síncrono, se produce durante el examen y tiene una doble validación humana y técnica. El profesor supervisa y asiste al estudiante durante el examen, al mismo tiempo que el sistema ***SOFTWARE.1 monitoriza e identifica al estudiante continuamente. 2. Una segunda cámara de control del entorno permitirá captar en tiempo real el plano desde atrás, o lateralmente para asegurar que el estudiante no dispone de ninguna ayuda en el proceso de evaluación. La cámara del dispositivo móvil del alumno, ya sea teléfono móvil o Tableta, que se incorpora previo al examen al proceso de tutela online. Esta cámara servirá para realizar una primera inspección del entorno en el curso de examen y está activa durante todo el examen monitorizando el entorno. De la misma manera que en la cámara frontal, la cámara de entorno, recoge datos de vigilancia de forma síncrona, se produce durante el examen y tiene una doble validación humana y técnica (el profesor supervisa) al tiempo que el sistema ***SOFTWARE.1 monitoriza e identifica al estudiante continuamente. 3. El sistema de filtros permite el control de la pantalla del estudiante impidiendo que acceda a otros recursos de información o abra otra ventana en su ordenador que no sea la del examen.” Por otra parte, queda acreditado que, como señala el informe de ***EMPRESA.1 de 30 de enero de 2025: el proceso de verificación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/49 identidad del alumno mediante reconocimiento facial se realiza únicamente a través de la web cam del equipo, y no a través de la segunda cámara (teléfono móvil o tablet) que monitoriza el entorno. Señala el informe de ***EMPRESA.1: “Por ello, queremos dejar claro que la utilización de datos biométricos no se ve afectada en ningún momento por la elección de un plan u otro. La única diferencia entre ambos es la incorporación de una segunda cámara (generalmente un teléfono móvil) para mejorar la supervisión del entorno. No obstante, en ambos planes, la monitorización del estudiante sigue realizándose a través de la webcam del ordenador, que es donde intervienen los datos biométricos”. Pese a no acompañarse sustrato documental de esta afirmación, se tiene por acreditada la misma, dado que coincide con lo descrito en el Documento 1.2 y las EIPDs aportadas, que al describir las 4 herramientas de monitorización del programa ***SOFTWARE.1 hacen referencia a que el proceso de verificación de identidad del alumno a través de las comparaciones 1:1 y fotografías tomadas se realiza únicamente dentro de la herramienta de “Monitorización a través de la webcam del equipo”. QUINTO: (…) (como Documento 5 del escrito de 16 de noviembre de 2023), (…) (Documento 1 sobre “Informe de ponderación del interés legítimo” que se aporta con el escrito de alegaciones al acuerdo de inicio). Ninguna de estas EIPD aparece firmada ni se indica el nombre del responsable de su aprobación, y sus apartados no aparecen en el orden y con el nombre que se señala en el índice, por lo que no consta acreditado en qué fechas concretas se han realizado, ni que estas fueran firmadas por el responsable del tratamiento. El contenido esencial de la EIPD y sus actualizaciones que consta en dichos documentos es el siguiente: 5.1. La primera EIPD de septiembre de 2020, ha sido aportada primero de los documentos incluidos en el Documento 5, denominado ““Reconocimiento facial y control del escritorio y del entorno en exámenes online. Septiembre de 2020”:” (Pag.552 exp). Su contenido esencial es el siguiente: -El índice señala que la EIPD consta de 30 apartados, siendo el último de éstos el “anexo de actualización de la evaluación”. No obstante, los apartados no aparecen en el orden señalado, la EIPD no está paginada, no existe un anexo de actualización, y se incluyen otros documentos como las “evidencias” que no constan en el índice y se desconoce en qué fecha se han realizado. - El nombre y descripción del tratamiento es: “Reconocimiento facial y control del escritorio y del entorno en exámenes online”. - Aparecen como finalidades del tratamiento: 1. Verificar que el estudiante que se presenta al examen es quien dice ser. Evitar suplantaciones de identidad, y 3. Evitar el fraude o la copia en los exámenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/49 -En la descripción sistemática de las operaciones de tratamiento señalándose los datos objeto de tratamiento en cada una y el encargado del mismo:
2. a)En las acciones subencargadas a ***EMPRESA.2, referidas al registro del alumno en el campus virtual, no se tratan datos biométricos sino los datos personales (rostro facial) de los alumnos, puesto que se señala que “Se realiza un vídeo del rostro del alumno y se requiere de una imagen del DNI (anverso y reverso). Durante el registro el usuario deberá proporcionar el número de teléfono y el correo electrónico para realizar la firma del documento de Responsabilidad”.
3. b)Pero en las acciones subencargadas a ***EMPRESA.3, (…) y se indica que se realiza lo siguiente: (
4. i)***EMPRESA.3 (Registro Plataforma): se indica que el patrón facial es el dato tratado, y que “para realizar el registro, el alumno debe realizar 3 fotografías de su rostro (fotografía frontal, fotografía del perfil izquierdo y fotografía del perfil derecho), y la Plataforma le otorga un código identificador de usuario”; (
5. ii)y ***EMPRESA.3 (Realización de un examen) consta que se tratan el patrón facial y las expresiones faciales de la forma siguiente: “Se autentifica al usuario facialmente a través del código identificador que la Plataforma asignó al usuario en el registro. En este caso se autentifica al usuario comparando el patrón facial del interesado con el asociado al ID (one to one). Una vez el alumno accede, y realiza el examen se lleva a cabo un control para evitar el fraude o la copia durante el mismo (revisando si existen comportamientos o expresiones faciales anómalas, etc.)” - Pese a que en la descripción sistemática de operaciones de tratamiento no se hace referencia al control del escritorio ni del entorno, si se dedica un apartado al “control del escrito y entorno” (pág.616), lo que corrobora el hecho de que en septiembre de 2020 la UIV ya empleaba la monitorización del entorno correspondiente al ***SOFTWARE.6 y modalidades contractuales ***SOFTWARE.4 y ***SOFTWARE.1 ***SOFTWARE.7. -En el apartado 11 señala que no se tratan datos de categoría especial. Y al analizar las bases jurídicas señala que: “El consentimiento explícito del interesado es la primera base jurídica que se presenta al hablar de categorías especiales de datos. A pesar de que los datos biométricos no se consideran categorías especiales de datos, la VIU viene solicitando el consentimiento de la persona que desea ser alumno de la universidad desde 2018, mediante la aceptación de las condiciones generales antes de formalizar la matrícula”. -Posteriormente, la EIPD analiza 4 Bases Jurídicas aplicables a este tratamiento: consentimiento del interesado, ejecución del contrato, interés legítimo e interés público. - Se contiene un análisis de los riesgos inherentes al tratamiento tanto para los derechos y libertades de los afectados como para la seguridad de los datos personales tratados, concluyendo con la existencia de riesgos de probabilidad ALTA e impacto MUY ALTO, aportándose un plan de acción que incorpora los siguientes controles y medidas preventivas. Se realiza análisis del riesgo residual concluyéndose valor ACEPTABLE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/49 - Se realiza una evaluación de necesidad y proporcionalidad del tratamiento dispersa, a través de diversos apartados, sin hacer referencia expresa a la evaluación de idoneidad del tratamiento. Dentro de la cual, se incluye un análisis de los medios alternativos al uso de tecnologías de reconocimiento facial para evaluar a los alumnos, en el que se mencionan los medios alternativos que fueron analizados por la AEPD en el informe 0036/2020 del Gabinete Jurídico de esta Agencia, en relación con la consulta formulada por una Universidad de educación a distancia en la que se planteó la utilización de un programa (…) que utilizaba reconocimiento facial en sus exámenes online en un supuesto muy similar al presente: 5.1. La EIPD de 2020 fue actualizada en julio de 2023, cuyo documento se aporta también con el Documento 5 y con el nombre de “Reconocimiento facial y control del escritorio y del entorno en exámenes online. (...). Septiembre de 2020 - Actualizada en julio de 2023 fechada en julio de 2023” (Pag. 693 exp). Respecto a la que cabe destacar lo siguiente: o Su índice se compone de 30 apartados (Pag. 693 a 839), y dos anexos en los apartados 31. II - actualización de la evaluación (Pág.840), y el del apartado 32. Anexo II – actualización de la evaluación (evidencias) en la (Pág.842) Exp. o En los primeros 30 apartados, la UIV hace las siguientes modificaciones esenciales respecto a la anterior de 2020: o La descripción del tratamiento, pese a que hace referencia en la fecha de evaluación “septiembre de 2020” no coincide con la que se realizó en dicha fecha, puesto que el nombre del tratamiento es “Reconocimiento facial del usuario y prevención del fraude en exámenes online”, y las finalidades del tratamiento son ahora 5: 1. Verificar que el estudiante que se presenta al examen es quien dice ser, 2. Evitar suplantaciones de identidad, 3. Evitar el fraude o la copia en los exámenes, 4. Garantizar la calidad e integridad académica, 5. Dar cumplimiento a los requisitos de las entidades certificadoras (ANECA). o Se añaden las 3 acciones de monitorización encargadas a ***EMPRESA.1 que no habían sido incluidas en la descripción sistemática de operaciones de tratamiento EIPD de 2020: se precisa que en las operaciones de monitorización a través de web cam se trata el patrón facial, en la el ID de usuario en la monitorización a través de escritorio, y en la monitorización del entorno segunda cámara se trata solamente la imagen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/49 o Se incluye un nuevo apartado sobre el tratamiento relativo a la “Monitorización de la actividad del alumno”, que responde a la finalidad de prevención de fraude. o Se mantienen las 4 bases jurídicas del tratamiento anteriores. Pero se añade en la base del interés legítimo una “tabla de ponderación del interés legítimo”, y se incluye un análisis de sensibilidad de los datos biométricos del tratamiento, y diversos apartados dedicados a la diferenciación entre autenticación-identificación en los que la universidad referencia los informes jurídicos de esta Agencia 0036/2020, 0047/2021 y las Directrices 05/2022 del CEPD para llegar a la conclusión de que su programa no trata datos de categoría especial porque se basa en un proceso de autenticación que realiza comparaciones 1:1.(Pag.739 exp). o En los anexos de actualización se añaden las evidencias de la información pre-contractual prestada como base jurídica del consentimiento prestado por el alumno, a las que se hace referencia en el Hecho Probado Décimo, y de la adopción de algunas medidas de seguridad del tratamiento. 5.1. Por último, consta que se ha realizado una última actualización de la EIPD en enero de 2024, al objeto de incluir el Informe de Ponderación del interés legítimo, que se acompaña como Documento 1 del escrito de alegaciones al acuerdo de inicio- (Pág. 1081 exp), de 18 páginas, en las que se hace referencia a las siguientes fases del “procedimiento de ponderación”: Primera fase. - Identificación del interés legítimo y valoración del cumplimiento de los requisitos establecidos en el RGPD y en la normativa local. Segunda fase. - Evaluación de la idoneidad del tratamiento. Tercera fase. - Evaluación de la necesidad del tratamiento. Cuarta fase. - Evaluación del equilibrio entre el interés legítimo del responsable del tratamiento y los derechos y libertades fundamentales de los interesados. Una vez realizada esta evaluación, se realizará la ponderación y se tomará la decisión final, en la que se concluirá si el tratamiento puede o no ser realizado tomando como base jurídica el interés legítimo de la empresa. SEXTO. Queda acreditado (…), que se incluyen en todas las versiones de su programa ***SOFTWARE.1, según manifiesta la desarrolladora del programa en su informe de 30 de enero de 2025: 6.1. En primer lugar, se tienen por acreditadas las medidas a las que hace referencia el documento de especificaciones técnicas de ***SOFTWARE.1 aportado en el Documento 1 (cuya autoría y fecha se desconoce, puesto que no consta fecha ni pie de firma), que fueron incluidas en la EIPD de 2020 y sus actualizaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/49 -Se siguen todas las recomendaciones y buenas prácticas en desarrollo de código y revisión de vulnerabilidades web como las de OWASP entre otras. Se dispone de Certificación ISO 27001. - Se hacen auditorías externas anuales. Habiendo presentado la última realizada durante el año 2024. -Almacenamiento de datos anonimizado: ***EMPRESA.1 nunca conoce la identidad de los usuarios que está supervisando, ***SOFTWARE.1 no maneja identidades y todos los datos que llegan se relacionan a un código alfanumérico. La relación entre códigos y la identidad de las personas reside en los servidores del responsable de tratamiento. -El procesamiento biométrico que se realiza es de (comparaciones 1.1) y no identificación (comparaciones 1.N). autenticación - El procesamiento ha sido diseñado para garantizar que los datos biométricos no se almacenan. Siendo el procedimiento de captura y análisis de imágenes el que describe el informe del fabricante de 30 de enero de 2025: 1. Registro de identidad del usuario: Antes de ser monitorizado, cada alumno: debe completar un proceso de registro. Durante este paso, el sistema captura la imagen de su rostro, que servirá posteriormente para la autenticación de identidad. 2. Monitorización de actividades: Una vez iniciado el proceso de supervisión, el sistema captura imágenes del usuario a través de la webcam de manera periódica. a. Cada imagen recibida se compara con la foto registrada previamente. b. Para realizar la comparación, se extraen datos biométricos de ambas imágenes (registro + imagen capturada) y se analizan. c. Estos datos no se almacenan en ningún momento, solo se guarda el resultado de la comparación. d. Este procedimiento se repite para cada imagen obtenida durante la supervisión. - Los aspectos que monitoriza la herramienta mientras el alumno está realizando su examen son según la EIPD: -***SOFTWARE.1 no graba video, captura screenshots cada vez que el alumno cambia de programa, pestaña en navegador, navega por internet o cualquier aplicación de su ordenador, se captura pantallazo. -Se detecta apertura y cierre de programas partiendo de una black list que se pueden considerar como incidencias. -Detección de periféricos conectados al equipo, como varias pantallas o cámaras. -Detección de textos que pueda copiar el alumno, registrándose texto copiado y programa desde el que se copia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/49 -Además de lo anterior, el software monitoriza la actividad del alumno, pero en ningún momento accede a información en el equipo del estudiante. 6.2. Y por otra parte, de acuerdo con lo señalado en el Informe de Actuaciones Previas de Investigación del presente procedimiento, de acuerdo con los Documentos 6.1 a 6.8, existen evidencias de haber adoptado las siguientes medidas de seguridad: o Certificación ISO 27001 de ***EMPRESA.1 con fecha de certificación inicial 28 de julio de 2023. o Buenas prácticas de seguridad definidas por AWS. o Medidas de seguridad de la infraestructura AWS (protección código fuente, WAF, control acceso basado en IAM de AWS, cifrado de buckets Amazon S3, Acceso SSH para administración de servidores, conexiones BD túnel SSH, tráfico https, monitorización de permisos y actividad a través de Access Advisor, colección de eventos con filebeatlogstash-kibana, acceso restringido a instancias EC2, segregación de roles y mínimo privilegio) o Medidas de seguridad del sistema ***SOFTWARE.1 a nivel de usuario. Certificado de ***EMPRESA.1 firmado en fecha 3 de julio de 2023 en el que confirma que no realiza perfilado de usuarios y que la monitorización de la segunda cámara no hace uso de datos biométricos. La Política de Seguridad de la Información del Grupo Planeta. Normas de uso de sistemas de información de Grupo Planeta. SÉPTIMO: Se ha reconocido por la UIV que todas las modalidades del ***SOFTWARE.1 (…), puesto que así se deduce de la siguiente documentación: o El RAT aportado al procedimiento como Documento 2, indica que se tratan las siguientes categorías de datos tratados: “datos de identificación, imagen del alumno, datos biométricos-patrón facial, comportamiento durante el examen, y contenido de la evaluación”. o Ello se confirma por la EIPD elaborada en 2020 y su actualización de 2023, en cuya descripción sistemática de operaciones de tratamiento se observa que la UIV identifica el concepto de “datos biométricos” con la imagen o fotografía del rostro del alumno que se capturan en la fase de registro del alumno en el campus virtual, y lo distingue del concepto de “patrón facial”, que se trata por la subencargada de tratamiento ***EMPRESA.3 durante la fase de “registro plataforma” y “realización de un examen”, y por la encargada del tratamiento ***EMPRESA.1 durante la fase de ***SOFTWARE.1 “monitorización a través de la webcam” según se ha hecho constar en el Hecho Probado Quinto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/49 OCTAVO: De los Hechos Probados Primero a Séptimo se deduce que también ha quedado constatado que ***SOFTWARE.1 (…), en todas las modalidades contratadas desde su implantación hasta la actualidad, emplea un sistema de reconocimiento facial para realizar una autenticación continua de la identidad de los alumnos que participan en sus exámenes online, (…): 8.1. Toma muestras de las características físicas, fisiológicas o conductuales de los alumnos que se registran en el sistema (las imágenes selfie proporcionadas por el alumno y las que son capturadas por el sistema de monitorización implantado), y las procesa técnicamente para generar una plantilla o patrón biométrico (código alfanumérico) obtenido de los mismos. 8.2. En segundo lugar, consta acreditado que el software utilizado por la UIV realiza un procesamiento técnico de los datos biométricos (imágenes de la cara del alumno), y genera una plantilla biométrica (patrón facial) de la cara los alumnos que se emplea para realizar verificaciones de identidad del alumno cada dos segundos durante el examen. La generación y utilización del patrón biométrico para realizar el proceso de autenticación de la identidad de los alumnos comienza con el examen y se repite cada dos segundos durante toda la realización del mismo, conservándose durante el tiempo necesario para realizar la comprobación 1-1 del alumno, sin almacenarse en el sistema. Ello se deduce de las siguientes evidencias aportadas por la UIV: (
6. i)En primer lugar, de las referencias continuas a la generación de un patrón biométrico facial que se realizan a lo largo de la documentación, bajo la denominación de “algoritmo de reconocimiento facial” o “código alfanumérico” en el Documento 1.2, 6.1 y 6.2 sobre información técnica del programa ***SOFTWARE.1, o como “modelo matemático personal”. (
7. ii)En segundo lugar, de las referencias realizadas al patrón facial y la comparación del patrón inicial del alumno con el generado durante el examen que se contienen en el Documento 3.2, que se aporta como Ejemplo de Memoria de Verificación de Máster, y en las EIPD aportadas como Documento 5. (
8. ii)En tercer lugar, de las afirmaciones realizadas por el informe de peritaje de 23 de julio de 2024 emitido por A.A.A. de la consultoría informática ***EMPRESA.4 con fecha de 23 de julio de 2023, que tras realizar las comprobaciones y verificaciones oportunas, señala que: o “En el momento del registro no se crea un patrón biométrico del alumno. Únicamente se registra la imagen a través de las fotografías (selfies) que realiza el propio alumno. o ***SOFTWARE.1 utiliza un código numérico para el tratamiento efímero de los datos biométricos. o La aplicación ***SOFTWARE.1 no almacena el patrón biométrico del alumno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/49 o El patrón biométrico se crea y se destruye en el momento de la verificación que se realiza durante el examen. o La verificación se realiza en tiempo real comparando el patrón biométrico creado en ese momento a partir de la foto realizada por el alumno en el momento de registro y el patrón biométrico creado en ese momento a partir de la captura realizada durante el examen. o El tratamiento de los datos biométricos tiene una duración máxima de 2 segundos en cada verificación” (
9. ii)Esto mismo se manifiesta por la entidad suministradora del programa ***SOFTWARE.1 y encargada del tratamiento ***EMPRESA.1 en el informe elaborado el 30 de enero de 2025 al objeto de contestar al requerimiento realizado durante la fase de prueba, en cuyo apartado tercero se hace referencia al procedimiento de captura y análisis de imágenes al que se ha hecho referencia en el hecho probado sexto, relativo a las medidas de seguridad del tratamiento. 8.3. Y por último, no cabe duda de que la finalidad del sistema es y siempre ha sido la identificación unívoca del alumno (confirmar la identificación única del alumno) que se presenta y participa en el examen durante toda la duración del mismo, cuya actuación se monitoriza mediante un sistema de videovigilancia que combina técnicas de reconocimiento facial, inteligencia artificial y mecanismos de decisión automatizada con la finalidad de evitar el fraude o plagio. Lo que queda acreditado en las finalidades descritas por la EIPD, así como en el propio proceso de en el Anexo I de la Memoria de Verificación de Master publicada en la web de la Universidad y aportada como Documento 3.2 al procedimiento, que al regular el “Control de Identidad y Plagio”, establece que durante la Fase 2 (denominada “enrollement”) se hace constar que para acreditar la autoría del proceso de evaluación continua y tutela de exámenes online, la tecnología ***SOFTWARE.1 “Utiliza un algoritmo de reconocimiento facial automático para verificar la identidad del usuario y detectar comportamientos incorrectos a través de todo el proceso de desempeño de la prueba de contenido (examen)” NOVENO: Queda constatado, según señala el Informe de Actuaciones Previas y consta en los Documentos 3.1 a 3.11 del escrito de 16 de noviembre de 2023, que la UIV (…) sobre el tratamiento de datos biométricos que realiza ***SOFTWARE.1 a través de varios documentos facilitados al estudiante en diversas fases previa, contractual, y post-contractual. o En momentos previos al proceso de matriculación (fase precontractual), pues ha quedado acreditado que la UIV advierte de este método de evaluación en diversos documentos que están publicados abiertamente en la web de la universidad, según hace constar el Informe de Inspección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/49 En concreto, consta información al respecto del tratamiento de datos personales biométricos en los links sobre funcionamiento de campus virtual y preguntas frecuentes, y en los documentos 3.1 a 3.5, y 3.11, correspondientes a las Condiciones de Matriculación, Ejemplo de Memoria de Master, Ejemplo de Plan de Estudios, Informe ANECA, Normas de Evaluación 2019 a 2022, y Ejemplo de catálogo de master. De entre estos, cabe destacar la Normativa de Evaluación, publicada en la web, donde se observa que Normativa de Evaluación de 25-2-2019, y 1010-2020, afirma en su capítulo IV, art 11 y siguientes que los exámenes online se realizarán de forma obligatoria a través de “un sistema de tecnología de reconocimiento facial que permite controlar su efectiva participación en los exámenes y pruebas realizados”. Y la Normativa de Evaluación aprobada el 3-5-21 y el 21-10-22, realizan en el artículo 2 la misma afirmación. Regulándose en el Capítulo IV.- Pruebas de evaluación online. Artículo 11, las Instrucciones técnicas (Pag 377 EXP). A su vez, consta que la Normativa de Evaluación de 21-10-22 incluye un Anexo I sobre causas de invalidación de la prueba de evaluación online en el que destaca el siguiente párrafo (página 409 EXP), por ser el único que hace mención al sistema ***SOFTWARE.1 de vigilancia del entorno con sistema de doble cámara que había sido contratado a través de la adenda de 19 de diciembre de 2022 antes mencionada: “14. En las titulaciones en las que, por sus necesidades, se aplique la herramienta ***SOFTWARE.1 con la tipología ***SOFTWARE.7 (informe de imágenes, Informe de Control de Monitor e Informe de cámara externa), y así venga recogido en sus memorias de verificación, se aplicarán todos los apartados anteriores, y se sumará la monitorización externa, debiéndose cumplir lo exigido en los apartados 2 y 3 respecto de la cámara externa. o Queda también acreditado que se ofrece información detallada al respecto en el momento de formalizar la matrícula: Documento de Condiciones Generales de Matrícula 3.1, que está a disposición antes y durante el proceso de matrícula, constituyendo su aceptación el consentimiento al tratamiento. o Y posteriormente a esta formalización (fase post-contractual), amplía dicha información, entregando tras la formalización de la matrícula los Manuales, Guías y Protocolos de formación del programa ***SOFTWARE.1 que se aportan como Documentos 3.6 a 3.9 del primer escrito de respuesta, y como Documento 3 del escrito de 6-2-25 respondiendo a la prueba DÉCIMO: Ha quedado constatado que la UIV ha venido recabando entre 2019 y 2022 el consentimiento explícito, informado e inequívoco del usuario manifestado tanto a través de la aceptación de las Condiciones Generales, en el momento de formalizar la matrícula (fase que la UIV denomina como contractual), como también en el momento de registrarse en ***SOFTWARE.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/49 al aceptar la política de privacidad y de uso de este software; y descargarse el programa (fase que la UIV denomina post-contractual). Ello se acredita mediante la aportación de los siguientes documentos en el escrito de 16 de noviembre de 2023:
10. a)“Consentimiento contractual: en que el alumno consiente expresamente al formalizar la matrícula y aceptar las condiciones generales. Lo que denomina como Contrato de Enseñanza.” Lo que se acredita mediante el Documento 3.1, sobre Condiciones de Matriculación vigentes entre 2019 y septiembre-octubre de 2022, considerados como el “Contrato de Enseñanza”. Donde el artículo 9 señala que la UIV utiliza técnicas de reconocimiento facial para controlar la efectiva participación de los alumnos en los exámenes y pruebas realizadas por el centro.
11. a)Consentimiento post-contractual: que se realiza durante el proceso de registro del alumno en el programa ***SOFTWARE.1 al aceptar la política de privacidad, y descargarse el programa. Lo que se acredita mediante los Manuales de Formación del programa ***SOFTWARE.2 y ***SOFTWARE.1 ***SOFTWARE.7 aportados como Documento 3.6 y 3.7, así como la Guía de Instalación de ***SOFTWARE.8. Ambos Manuales de Formación describen el funcionamiento del programa ***SOFTWARE.1, se corresponden con una versión de agosto de 2023, y describen al completo el sistema de reconocimiento facial y monitorización, incluida la doble cámara. No se aportan los Manuales de Formación entregados a los alumnos en los años 2019 a 2022. De acuerdo con la evidencia 4 aportada en la denuncia, consta que se remitió a los alumnos, junto con el correo electrónico de 19-12-22 que les instaba a descargarse el programa ***SOFTWARE.1 ***SOFTWARE.7 el Manual que se aporta como Documento 3.7. Donde consta que es necesario aceptar esta política de privacidad para poder descargar los programas y registrar sus datos biométricos durante la fase de “enrollement”. Se aporta como Documento 3.10 la Política de Privacidad de la UIV advertía del tratamiento biométrico realizado en las evaluaciones. No obstante, consta acreditado que el consentimiento prestado por el alumno en cada una de esas fases no es libre, lo que se deduce de las siguientes evidencias: (
12. i)En primer lugar, la propia Universidad reconoce en su EIPD que “la normativa relativa a la formación universitaria parece generar un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/49 desequilibrio claro entre la posición de la universidad y la del estudiante, por lo que se podría considerar que el consentimiento dado por el estudiante no sería libre”, tras realizar un análisis de los Considerandos 92 y 93 (cuando no se goza de verdadera libertad de elección, y cuando exista un desequilibrio claro entre interesado y responsable del tratamiento), y aunque posteriormente llegue a la conclusión errónea de que no existe un desequilibrio entre Universidad y estudiante porque éste tiene la posibilidad de optar por este método o dejar de matricularse, o renunciar a ser evaluado en 4 momentos diferentes. (
13. i)De la documentación acreditativa de ambos consentimientos (contractual y precontractual) se deduce que no existe libertad de elección del alumno: puesto que consentir el tratamiento biométrico a través de reconocimiento facial es condición obligatoria para poder matricularse, presentarse al examen y ser evaluado, así como para superar el mismo, tal y como reconoce la UIV en su escrito de 16 de noviembre de 2023. En concreto, respecto al consentimiento contractual, queda acreditado mediante el Documentos 3.1 sobre las condiciones generales de matriculación vigentes entre 2019 y septiembre-octubre de 2022, que los alumnos debían consentir la siguiente cláusula como requisito para poder matricularse: “El alumno queda informado y consiente la utilización por parte de VIU de un sistema de tecnología de reconocimiento facial que permitirá controlar su efectiva participación en los exámenes y pruebas realizados por este centro universitario. Dicho sistema será utilizado única y exclusivamente para esta función de control y nunca para ninguna otra finalidad distinta. El alumno reconoce que la posibilidad de realizar un curso totalmente online, sin desplazamientos ni pruebas presenciales, constituye un elemento esencial para la contratación de VIU, ya que, los beneficios que le aporta esta modalidad de exámenes y pruebas compensan los controles preventivos reforzados que exigen las pruebas de evaluación online y el tratamiento de los datos relativos a su patrón facial y al control de elementos periféricos. El alumno confirma que ha escogido esta universidad porque estos sistemas de control le ofrecen garantías suficientes de que todos los alumnos tendrán las mismas oportunidades de aprobar y que no se producirán déficits de control que permitan a otros alumnos aprobar las asignaturas con un menor esfuerzo” Y lo mismo respecto al consentimiento post-contractual, en el que es obligatorio aceptar la política de privacidad aportada como Documento 3.10 para darse de alta del programa ***SOFTWARE.1, y descargarse los aplicativos y herramientas necesarias para realizar el reconocimiento facial, según consta en los Manuales de Formación aportados como Documento 3.6 y 3.7, que contienen la información de funcionamiento del programa que se entrega a los alumnos. . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/49 (
14. i)Consta acreditado, además, que la UIV -pese a que conocía los criterios expresados por esta Agencia en el Informe nº 0036/2020 – no ofrecía ninguna alternativa equiparable (sea presencial u online) a los alumnos que no quisieran consentir el uso de este software de reconocimiento facial, puesto que no había arbitrado ninguna alternativa. (
15. ii)Porque consta acreditado también que la no prestación del consentimiento o renuncia posterior a emplear el método de evaluación mediante el software ***SOFTWARE.1 tenía consecuencias negativas para los interesados, que se reconocen abiertamente por la UIV. En palabras de la Universidad, en su alegación sexta, punto 4: “Si el estudiante retira el consentimiento respecto de la aplicación ***SOFTWARE.1 no se podrá verificar si es quien tiene suscrito el contrato de enseñanza y no podrá realizar el examen. De la misma manera que si un estudiante retira el consentimiento para el tratamiento de los datos relativos a su examen no se podrá corregir su examen ni ser evaluarlo. E, igualmente, si un estudiante retira el consentimiento para el tratamiento de los datos relativos a la prueba de idiomas y de las restantes pruebas del proceso de admisión, no podrá matricularse. En consecuencia, el consentimiento del alumno es siempre imprescindible en todos los aspectos de la matriculación, proceso de matriculación y obtener el título (…)” UNDÉCIMO: Además de lo señalado respecto a la excepción del consentimiento, no se ha acreditado por la UIV que concurra ninguna de las excepciones previstas en el artículo 9.2 del RGPD que permita levantar la prohibición general de tratamiento de datos biométricos para la finalidad del tratamiento. DUODÉCIMO: Consta acreditado que existen otros medios alternativos no biométricos de verificación de la identidad de los alumnos aptos para cumplir con la finalidad del tratamiento descrito por la UIV con eficacia y seguridad para los derechos y libertades de los alumnos, y que la UIV conocía de su existencia, pero descartó su aplicación. o En primer lugar, consta que de acuerdo con lo señalado en ambas EIPD, se analizaron y descartaron otros posibles medios alternativos propuestos por esta Agencia, que podrían ser empleados para realizar evaluaciones 100%online, de forma individual o combinada (Pag 767 del exp) : o A continuación, la EIPD analiza y descarta otros medios alternativos propuestos por la autoridad de control holandesa, que añade más posibilidades que podrían ser utilizadas – de forma individual o combinada- para realizar exámenes íntegramente online, como pretende la UIV. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/49 o A su vez, tal y como se ha mencionado en el Hecho Probado Tercero consta que la UIV tuvo en sus manos la oportunidad real de contratar una versión del programa ***SOFTWARE.1 llamada ***SOFTWARE.5, que implicaba “revisión humana sin biometría”, mediante la que era también posible realizar una evaluación online de sus alumnos, y la descartó. o Por último, el informe técnico aportado como dictamen pericial por la UIV, elaborado con fecha de 23 de julio de 2024 por un experto de la entidad ***EMPRESA.4 de consultoría informática, realiza un “Análisis de Alternativas Menos Intrusivas en el Punto 1.9 del documento de “informe pericial de seguridad”, indicando lo siguiente: “El uso de técnicas de verificación biométrica en tiempo real, combinadas con la supervisión humana al final del examen, es la mejor alternativa disponible para garantizar la autenticidad de los alumnos en los exámenes online de la VIU (Universidad Internacional de Valencia - Grupo Planeta) y cumple con los requisitos de seguridad y privacidad establecidos por la AEPD y VIU. Se evaluaron posibles alternativas menos intrusivas para el proceso de verificación de identidad de los alumnos durante los exámenes. Verificación manual de la identidad de los alumnos: Menos eficiente e inviable para un gran número de alumnos en una modalidad de examen online. Utilización de códigos de acceso: Menos segura y menos eficiente. Verificación de identidad mediante documentos de identidad: Menos eficiente y más intrusiva (requiere de vinculación con datos personales). Verificación mediante preguntas de seguridad: Menos segura y menos eficiente. Alternativas como la verificación manual de la identidad de los alumnos, la utilización de códigos de acceso o la verificación mediante preguntas de seguridad no ofrecen el mismo nivel de seguridad y autenticidad en la verificación de la identidad de los alumnos, y pueden ser más intrusivas y/o menos eficientes en un entorno de exámenes online con un gran número de alumnos. Por tanto, se concluye que la herramienta ***SOFTWARE.1 es la mejor alternativa disponible para garantizar la autenticidad de los alumnos en los exámenes online de la VIU (Universidad Internacional de Valencia - Grupo Planeta) y cumple con los requisitos de seguridad y privacidad establecidos por la AEPD y VIU.” DECIMO TERCERO: (…), consta la UIV ha realizado diferentes juicios de ponderación de “interés legítimo” donde lista beneficios y perjuicios derivados del empleo de sistemas biométricos de reconocimiento facial.. o En primer lugar, consta acreditado que la EIPD de 2020 y su actualización de 2023 incluyeron la siguiente “tabla de ponderación del interés legítimo”·( Página 593 exp). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/49 o Posteriormente, se actualiza la EIPD para incluir en enero de 2024 un “Informe de Ponderación del interés legítimo” aportado como Documento 1 del escrito de alegaciones al acuerdo de inicio, de 18 páginas, señalando que existen las siguientes fases del “procedimiento de ponderación”: Primera fase. - Identificación del interés legítimo y valoración del cumplimiento de los requisitos establecidos en el RGPD y en la normativa local. Segunda fase. - Evaluación de la idoneidad del tratamiento. Tercera fase. - Evaluación de la necesidad del tratamiento. Cuarta fase. - Evaluación del equilibrio entre el interés legítimo del responsable del tratamiento y los derechos y libertades fundamentales de los interesados. Una vez realizada esta evaluación, se realizará la ponderación y se tomará la decisión final, en la que se concluirá si el tratamiento puede o no ser realizado tomando como base jurídica el interés legítimo de la empresa. En la página 15 de dicho documento se incluye la siguiente: “Tabla de ponderación del interés legítimo”. DÉCIMO CUARTO: En la política de privacidad aportada como Documento 3.10 del escrito de 16 de noviembre de 2023 y el Anexo I de la adenda contractual aportada como Documento 1 del escrito de 20 de diciembre de 2023, consta como responsable del tratamiento realizado la UIV y como encargada del tratamiento la entidad ***EMPRESA.1. DÉCIMO QUINTO: De acuerdo con la Diligencia expedida el 16 de diciembre de 2024, consta acreditado que la (UIV) es una gran empresa constituida en el año 2013, con un volumen de negocios de ***CANTIDAD.1 para el ejercicio 2022. DÉCIMO SEXTO: De acuerdo con la Diligencia expedida el 16 de diciembre de 2024 constan acreditados los siguientes datos de los alumnos que de acuerdo con el Instituto Valenciano de Estadística de la Generalitat (en adelante, IVE) constan como matriculados en los estudios de grado, máster y doctorado de la UIV entre los cursos 2019-2020 y 2023-2024, que se tienen en consideración para graduar el alcance de la infracción y la sanción a imponer. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/49 A. De estudios de máster en la UIV: un total de 65.163 estudiantes. B. De estudios de grado en la UIV: un total de 23.221 alumnos. C. Estudiantes matriculados en programas de doctorado: únicamente 5 alumnos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/49 TERCERO: La parte recurrente ha presentado en fecha 29 de mayo de 2025 recurso de reposición, fundamentándolo, básicamente, en los siguientes: Consideraciones previas - Caducidad del procedimiento sancionador Argumenta la recurrente que, habiendo sido incoado el expediente mediante acuerdo de 25 de abril de 2024, la caducidad del mismo, en atención al plazo de 12 meses indicado en el art. 64.2 de la LOPDGDD se cumplió el 24 de abril de 2025. Puesto que la resolución sancionadora fue dictada el 25 de abril de 2025, mismo día de la puesta a disposición para su notificación, entiende que la misma habría sido dictada cuando el procedimiento ya había caducado. En consecuencia, considera que procedería el archivo de las actuaciones. - La propia resolución sancionadora reconoce que la nueva regulación del RGPD y del RIA que va a aprobar la Comisión Europea puede afectar la resolución de este recurso. Por ello, solicita la suspensión del recurso de reposición hasta que se aclara el marco jurídico o se anule la resolución recurrida al entender que se estarían sancionando unos hechos respecto de los cuáles el propio órgano que impone la sanción manifiesta dudas de que sean típicos y antijurídicos. Argumentos del recurso de reposición: - La Resolución Sancionadora vulnera el principio non bis in idem, al imponer dos sanciones por un mismo hecho. Subsidiariamente, se debe apreciar la existencia de un concurso medial de infracciones. Como ya señalaba en su escrito de alegaciones a la propuesta de resolución dictada en el marco del procedimiento sancionador instruido, la recurrente insiste en que la AEPD está sancionando doblemente por un mismo hecho- el uso del programa ***SOFTWARE.1 para la realización de exámenes por los alumnos- que, a su juicio, ha sido calificado bajo dos infracciones distintas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/49 Subsidiariamente, considera que cabría entender la existencia de un concurso medial de infracciones por cuanto las infracciones que se le imputan derivarían una de la otra en los términos establecidos en el artículo 29.5 de la LRJSP. Y ello por cuanto considera que la AEPD, atendiendo al texto de la resolución, entiende que la circunstancia que fundamenta el incumplimiento del artículo 5.1
16. c)es haber tratado datos biométricos que se consideran de categoría especial. Por ello, el incumplimiento del art. 5.1
17. c)derivaría del incumplimiento del art. 9.2 RGPD. Y apunta que De no haber estado (a juicio de la AEPD) ante datos de categoría especial, el tratamiento llevado a cabo sí que superaría el juicio de necesidad, ya que los supuestos medios alternativos no serían menos lesivos para los derechos de los alumnos. - Considera que datos biométricos para la autenticación/verificación no constituyen una categoría especial de datos personales al amparo del artículo 9.1 del RGPD. Entiende por ello que la conducta imputada a VIU es atípica, por lo que no puede ser constitutiva de infracción. La recurrente basa este motivo de recurso en el argumento de que, si se concluye que no estamos ante una categoría especial de datos personales ambas infracciones decaerían. Para ello, reitera su argumentación respecto de la no consideración de datos de categoría especial a los datos biométricos destinados a la autenticación de una persona física. A su juicio, los términos del RGPD apuntan a que la delimitación de la categoría especial de datos personales viene determinada por la finalidad del tratamiento. Reitera sus referencias a lo señalado en el informe del Gabinete Jurídico de la AEPD 36/2020 y a la Guía de la APED sobre protección de datos en las relaciones laborales, de 2021, así como a la modificación sobrevenida y sin mayor argumentación, recogida en las Directrices 5/2022 dictadas por el Comité Europeo de Protección de Datos (CEPD) y a la asunción del mismo de forma acrítica por la AEPD en la Guía de noviembre de 2023 sobre sobre tratamiento de control de presencia mediante sistemas biométricos, Alude a distintos tipos de datos biométricos, con finalidades médicas - patrón de sueño, la actividad cerebral, el patrón respiratorio o cardíaco, el patrón de movimiento ocular o el patrón de voz- deportivas- patrón postural, la temperatura corporal, el patrón de pisada y marcha, el patrón glucógeno y de consumo calórico- de interacción con sistemas (HCI/UX)-, patrón de movimiento, el patrón de movimiento ocular, el patrón facial, el patrón de tecleo o el patrón de uso del ratón- o con finalidades contractuales, como pueden ser la firma biométrica, el patrón fácil, el patrón dactiloscópico, el patrón de voz o el patrón de iris- que, aunque permiten la identificación del interesado, no tienen esta finalidad de identificación, sino que se usan para la detección y diagnóstico de enfermedades o lesiones. Señalan que el tratamiento llevado a cabo por VIU no tiene esta finalidad de identificación, sino que meramente se persigue poder verificar que dicho estudiante es quien dice ser. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/49 Insisten en que el RIA y la Directiva 2024/2831 acreditan que los datos biométricos para la autenticación/verificación no constituyen una categoría especial de datos personales. Normas que no consideran que haya desplazado o derogado al RGPD, pero que sí requieren una interpretación coherente y sistemática. Y es que, precisamente, la interpretación rígida y rigurosa que la AEPD lleva a cabo del RGPD genera una antinomia que impide la aplicación efectiva del RIA y de la Directiva 2024/2831 y considera constitutivo de infracción lo que con arreglo a tales normas no lo es. - Alegan que no se ha vulnerado el artículo 9 del RGPD ya que el consentimiento prestado por los alumnos es libre y el tratamiento es necesario por razones de interés público esencial. De conformidad con el artículo 1262 del Código Civil, el momento en que se manifiesta el consentimiento, y cuando se debe valorar si éste es libre, es en la formalización de la matrícula, que consuma la relación contractual entre VIU y los alumnos. Y en este momento en que los estudiantes formalizan la matrícula no existe ninguna relación de prevalencia entre VIU y éstos. Asimismo, en el momento en que los estudiantes se matriculan a VIU, saben de un modo específico, inequívoco e informado cuáles son las condiciones de evaluación; y éstos son plenamente libres para escoger cualquier otro centro universitario que no lleve a cabo evaluaciones online para cuya identificación se usen métodos biométricos. Cuestionan que el consentimiento otorgado en el momento de formalización de la relación contractual pueda ir modificándose a voluntad de los alumnos y, en consecuencia, que la UIV deba ofrecer alternativas ante cambios de criterios de los alumnos. Añadido a lo anterior, la recurrente considera que el tratamiento se ampara en razones de interés público esencial y rechaza el argumento indicado en la resolución sancionadora en el sentido de que sería necesaria una ley orgánica específica que, de modo explícito e individual, autorizara el uso de sistemas biométricos para identificar a los alumnos durante la evaluación. Si ello fuera así consideran que la previsión del RIA en el sentido de reconocer la posibilidad de usar sistemas de verificación biométrica no tendría un efecto útil. Consideran por tanto que el tratamiento de los datos personales de carácter biométrico llevado a cabo por VIU está amparado por el artículo 9.2.
18. g)del RGPD, en relación con el artículo 46.3 de la LOU, el artículo 33.
19. f)de la LOSU y la habilitación al uso de sistemas biométricos de verificación establecida en el RIA; sin que existan motivos que justifiquen excluir la cobertura que otorgan dichos preceptos al tratamiento realizado. - No se ha vulnerado el artículo 5.1.
20. c)del RGPD: el tratamiento es necesario y proporcional. Para ello argumentan que el tratamiento llevado a cabo por VIU es necesario dado que la finalidad del tratamiento es “verificar que el estudiante que se presenta al examen online es quien dice ser al objeto de evitar el fraude”: afirman que ello ya permite rechazar de entrada todas aquellas supuestas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/49 medidas alternativas planteadas por la AEPD que nada tienen que ver con dicha finalidad y que, en realidad, supone su alteración. Rechazan el argumento de las alternativas planteadas por la autoridad holandesa de control o las propuestas por la Conferencia de Rectores de las Universidades Españolas. Alegan que la resolución sancionadora sigue sin concretar cuál sería este supuesto método alternativo. Y ello a pesar de que le correspondería a la Agencia probar esta afirmación, por constituir un elemento de cargo y porque, en sentido contrario, mi representada no puede probar un hecho negativo (que no existen métodos que no sean adecuados). Las supuestas medidas alternativas reflejadas en la resolución se reducirían, en realidad, únicamente a dos:
21. a)Asignar a los alumnos factores de acceso al examen online. Es decir, que accedan a través de una clave que ellos sepan o que ellos tengan (una contraseña, un token, etc.).
22. b)Que el control de los alumnos a través de sus cámaras se haga por los propios profesores. Es decir, que, en lugar de usar un control biométrico, se haga un control humano. Aluden al informe del CCN que indica que hay 3 tipos de factores de autenticación: