La AEPD advierte sobre el reconocimiento facial para hacer exámenes: requiere consentimiento "libre" y garantías reforzadas

Las medidas de prevención de contagios del nuevo coronavirus exigen distanciamiento físico y evitar en la medida de lo posible los desplazamientos. Por ello se han suspendido las clases en todos los niveles del sistema educativo y las evaluaciones, en muchos casos, van a realizarse de forma telemática.

En este contexto, ha estado encima de la mesa el uso del reconocimiento facial para evitar que el alumnado copie durante la realización de exámenes. Una iniciativa que puede colisionar con el derecho fundamental a la protección de datos y que la Agencia Española de Protección de Datos acaba de analizar.

No se puede obligar al alumno

El regulador español viene recordando durante las últimas semanas que la situación actual que estamos viviendo "no implica la suspensión del derecho fundamental a la protección de datos, por lo que todo tratamiento de datos personales debe ajustarse a las previsiones del Reglamento General de Protección de Datos". Es decir, no vale todo, aunque las circunstancias actuales sean excepcionales.

Esto implica, en cuanto a la utilización del consentimiento como base legal para utilizar el reconocimiento facial a la hora de llevar a cabo pruebas académicas de forma telemática, que el consentimiento del afectado debe ser libre tal y como establece el RGPD. Es decir, no se considerará como libre ni, por tanto, válido cuando el alumno "no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno". Tampoco, explican, cuando exista un desequilibrio claro entre el interesado y el responsable del tratamiento.

Esto implicaría, de acuerdo a este informe, que a los alumnos se les ofrezca la posibilidad de realizar esas mismas pruebas en una situación equiparable en cuanto a duración y dificultad en la que no sea necesario el tratamiento de sus datos. "Como pudiera ser la realización de la misma actividad presencialmente, u ofreciendo otras alternativas que no requieran el tratamiento de sus datos biométricos", dicen.

Para la Agencia Española de Protección de Datos no sería admisible que, si un alumno no otorga el consentimiento, se le deniegue la posibilidad de acceder a la evaluación, la matriculación o sufra cualquier otra consecuencia negativa importante.

El informe añade que, "en virtud del principio de autonomía universitaria y como responsables del tratamiento, determinar en sus normas de evaluación y en sus planes de formación los procedimientos de evaluación que acrediten la igualdad entre los alumnos que consientan el tratamiento de sus datos biométricos y los que no lo hagan". Es la única manera, dicen, de que el tratamiento esté basado en el consentimiento.

El interés público no aplica

La AEPD explica, además, que pese a que el tratamiento de datos personales necesarios para la prestación del servicio público de educación se encuentra legitimado por existir un interés público, el caso del reconocimiento facial es distinto. "Al tratarse de categorías especiales de datos, el Reglamento requiere la existencia de un 'interés público esencial' para que pueda ser legítimo, profundizando así en la importancia y necesidad de mayor protección de los datos tratados", señalan.

Y no es posible aplicar el interés público como base de legitimación porque requiere de una norma con rango de ley que justifique "en qué medida y en qué supuestos la identificación de los alumnos mediante el empleo de la biometría respondería al mismo". Una garantías reforzadas traducidas en una norma que no existe en la actualidad en nuestro ordenamiento jurídico.

"Por tanto, debe primar un criterio de prudencia que permita un análisis de sus implicaciones y, en todo caso, un riguroso estudio de los riesgos que implican esos tratamientos y de las garantías necesarias para proteger el derecho a la protección de datos personales, atendiendo al principio de responsabilidad proactiva, la necesidad de realizar los correspondientes análisis de riesgos, evaluaciones de impacto en la protección de datos y, si correspondiese, consulta previa a la autoridad de control", concluyen.