Google Classroom: seguridad y protección de datos.

El Equipo de Respuesta ante Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN-CERT, avisa de la actualización del Abstract ‘Google Classroom. Seguridad y Cumplimiento normativo’, un documento en el que el CCN-CERT presenta su análisis de este paquete de herramientas desde el punto de vista de protección de datos y seguridad.

Privacidad para centros educativos. Fichas de la APEP

Uso de técnicas de reconocimiento facial en la realización de pruebas de evaluación online

Volviendo al uso de técnicas invasivas para controlar el fraude en exámenes a distancia, como las de reconocimiento facial en la realización de pruebas de evaluación online, la Agencia Española de Protección de Datos ha publicado un Informe Jurídico, al que se puede acceder en el siguiente enlace:

Informe Jurídico AEPD 36/2020 

que, tras un largo recorrido, llega a la conclusión de que sería necesario realizar una adecuada ponderación de la medida y una evaluación de impacto de la misma por sus especiales características, asunto que ya recogíamos en una entrada anterior de este blog respecto a una aplicación (Respondus Monitor) que utiliza dichas técnicas.

En estos tiempos del Coronavirus, no podemos bajar la guardia de los derechos anteponiendo los medios  los fines y creyendo que cualquier fin justifica cualquier medio, incluso los que vulneran o pueden vulnerar gravemente los derechos.

Análisis del uso de las aplicaciones Lockdown Browser y Respondus Monitor en relación con la legislación de protección de datos.

Lockdown Browser y Respondus Monitor son dos aplicaciones informáticas integrables en sistemas de e-learning o aprendizaje a distancia (vgtia. Moodle) cuya finalidad es el control de los estudiantes durante la realización de un examen a distancia u on-line.

Ambas aplicaciones utilizan la tecnología “Cloud computing” mediante almacenamiento en la “nube” propiedad de Respondus Inc.

Lockdown Browser y Respondus Monitot son propiedad de Respondus Inc., empresa norteamericana localizada en Redmond, Wahsintong (USA).

1. Descripción de su actividad.

1.1. Lockdown Browser.

Esta aplicación, integrada en la plataforma de evaluación que se utilice (p. ej. Moodle), establece un sistema de bloqueo (lockdown) del ordenador del estudiante de modo que, mientras se está respondiendo el examen, no es posible salir del mismo, ni abrir algún otro programa o archivo, como un chat, o realizar determinadas acciones de “control” o “copia” del examen -como se podrían realizar con atajos de teclado o con el botón derecho del ratón-, de tal modo que garantiza cierta integridad al realizar el examen, no cesando en este bloqueo hasta que se “salga” del examen finalizándolo, bien respondiendo, bien no o dejándolo en blanco, etc.[1]

1.2. Respondus Monitor.

Esta aplicación, que se puede usar sola o en combinación con otras, como Lockdown Browser, es un producto complementario que permite a los estudiantes grabarse -es decir, ser grabados- con una cámara web y un micrófono durante un examen en línea. Las grabaciones y otros datos de la sesión de examen se procesan automáticamente; además, se proporciona información resumida al instructor, por ejemplo, si el alumno dejó el cuadro de video durante la sesión de examen.

De la información extraída de la página de privacidad de la aplicación se desprende lo siguiente:

Respondus Monitor registra la actividad individual del estudiante, tanto de forma audible como visual, durante ciertas sesiones de evaluación, realizando una grabación completa tanto de audio como de video mediante la cámara y el micrófono del ordenador que se use.

Otra serie de datos se procesan automáticamente durante una sesión de examen que utiliza Respondus Monitor. La grabación de la cámara web, mediante un proceso automatizado de "post-procesamiento" utiliza la detección facial y la tecnología de reconocimiento facial para determinar: si el estudiante permaneció en el cuadro de video, si aparecen varias personas en el cuadro de video, si la persona en el cuadro de video difiere de la persona que inició el examen y la posición de la cara del usuario con respecto al dispositivo de grabación de la cámara web. Se genera una "firma biométrica" ​​del usuario y se usa temporalmente en este paso de procesamiento posterior, pero la firma -según especifica la política de privacidad de la aplicación- NO se almacena en el servidor de Respondus Monitor.

Respondus Monitor procesa otros datos de la sesión de examen, como: la fecha y hora en que el usuario inicia y completa una sesión de examen; el momento en que se responde cada pregunta del examen; cuánto tiempo se dedica a cada pregunta del examen; si / cuando se cambia una respuesta a una pregunta del examen; la calidad de la conexión a internet del usuario durante la sesión de examen (incluido el tiempo y la duración de cualquier desconexión de internet); actividad del mouse, teclado y pantalla; la calidad de la grabación de video (en términos de iluminación, contraste, movimiento); y la calidad de la grabación de audio, entre otros datos.

Respondus Monitor realiza un seguimiento continuo de las aplicaciones y procesos que se ejecutan en el dispositivo informático durante una sesión de examen.

Los datos del usuario pueden agregarse, y luego los datos individuales del usuario pueden compararse con los datos agregados para buscar patrones o anomalías, como si un usuario pasó un tiempo inusualmente largo respondiendo una pregunta en relación con otros usuarios.

La información resumida para cada sesión de examen se pone a disposición del instructor, incluida una "línea de tiempo" donde se anotan eventos importantes (por ejemplo, cuando se respondió una pregunta del examen; cuando ocurrió una desconexión de Internet; cuando aparecieron varias personas en el cuadro de video). Los datos agregados también se proporcionan al instructor (por ejemplo, el tiempo promedio que los usuarios dedicaron a una pregunta del examen; el tiempo promedio dedicado a toda la evaluación; la fecha / hora promedio en que los usuarios comenzaron la sesión del examen).

Se genera un valor general para una sesión de examen que ayuda al instructor a determinar el riesgo de que se hayan producido violaciones del examen. Nuevamente, estos análisis son generados automáticamente por la aplicación Respondus Monitor.

Dependiendo de la configuración del examen seleccionada por el instructor, se les puede solicitar a los estudiantes que muestren una tarjeta de identificación a la cámara web, de la cual se tomará una foto. La imagen de la foto se transmite de forma segura al servidor Respondus Monitor usando https, y luego se almacena en el servidor en formato cifrado. Respondus no procesa ni analiza más estos datos. El fundamento legal para almacenar una foto de la tarjeta de identificación es la ejecución de un contrato.

Estos son los detalles más importantes del funcionamiento de la aplicación.

Respecto a la política de privacidad y la legitimación para el uso de los datos, la página web de la aplicación, en relación con los estudiantes, indica lo siguiente:

Respondus Monitor - Términos de uso del estudiante

Estos Términos de uso ("Términos"), que incorporan los Términos de uso del Centro de ayuda de Respondus ("Términos del Centro de ayuda") incluidos al final de estos Términos, son un acuerdo entre usted y Respondus, Inc. ("Respondus"), y entre usted y su institución de aprendizaje, o su escuela ("su institución"), con respecto a su uso de Respondus Monitor®. Al usar Respondus Monitor, usted acepta estos Términos en su totalidad y que tiene 14 años o más, o 16 años o más en el EEE.

[…] Para utilizar Respondus Monitor, debe aceptar estos Términos en su totalidad, incluida esta sección bajo REQUISITOS DE SU INSTITUCIÓN, con respecto a su relación con su Institución.

[…] Su institución trabaja con Respondus para ayudar a garantizar su privacidad con respecto a las grabaciones y para cumplir con las regulaciones federales en cuanto a cualquier información o datos (incluida cualquiera de las grabaciones de video o audio). Consulte las secciones a continuación "PRIVACIDAD" y "POLÍTICA DE PRIVACIDAD Y SEGURIDAD". La Política de privacidad completa de Respondus está disponible en www.respondus.com/privacy, y le recomendamos que la revise detenidamente, especialmente si reside en el Espacio Económico Europeo.

ACTIVIDAD GENERAL. Usted es responsable de su conducta y actividades que surjan durante el uso de Respondus Monitor y de cualquier información o datos que proporcione a o a través de Respondus Monitor. Su institución no se responsabiliza ni se responsabiliza de ningún error, inexactitud, falta de utilidad, difamación, omisión, falsedad, obscenidad o material ofensivo en la información o datos proporcionados a Respondus Monitor por los usuarios. También comprende que su institución no supervisa, ni tiene la obligación de supervisar, evaluar ni aprobar previamente la información o los datos, pero que su institución tendrá el derecho (pero no la obligación) a su exclusivo criterio de rechazar , eliminar o mover cualquier información o datos disponibles a través de Respondus Monitor, por cualquier motivo, incluida una violación de cualquiera de estos Términos.

GARANTÍAS QUE PROPORCIONA A SU INSTITUCIÓN. Usted garantiza y declara a su Institución que no está infringiendo los derechos de propiedad intelectual de otros cuando proporciona información o datos en o a través de Respondus Monitor. También acepta que su institución no es responsable de proteger los derechos de propiedad intelectual que usted u otra parte puedan hacer valer en cualquier información o datos que proporcione a Respondus Monitor.

DESCARGOS DE RESPONSABILIDAD. Su institución se exime de la responsabilidad u obligación por la precisión, el contenido, la integridad, la legalidad, la fiabilidad, la operatividad o la disponibilidad de información o datos en el servicio o software Respondus Monitor. Su institución además renuncia a cualquier responsabilidad por la eliminación, falta de almacenamiento, entrega incorrecta o entrega prematura de cualquier información o datos. Su institución se exime de cualquier responsabilidad por cualquier daño resultante de la descarga o el acceso a cualquier información o datos a través de Respondus Monitor. Asumirá todos los riesgos asociados con cualquier información o datos a los que acceda. Su acceso o uso de cualquier información o datos proporcionados por Respondus Monitor o terceros está condicionado a su aceptación de estos Términos, incluidas estas disposiciones de descargo de responsabilidad. Otros descargos de responsabilidad aplicables a su relación con su institución,

INTIMIDAD. La siguiente sección titulada POLÍTICA DE PRIVACIDAD Y SEGURIDAD, junto con la Política de privacidad de Respondus completa disponible en www.respondus.com/privacy, regirá la política de privacidad con respecto a Respondus Monitor. Usted acepta todas las reservas de derechos, renuncias de responsabilidad, promesas y reconocimientos que rigen su relación con Respondus según la POLÍTICA DE PRIVACIDAD Y SEGURIDAD y la Política de privacidad de Respondus completa disponible en www.respondus.com/privacy. Como controlador de los datos, su institución se reserva el derecho en todo momento de divulgar cualquier información o datos (incluidas las grabaciones y cualquier contenido en la medida aplicable) pertenecientes a usted o cualquier otro usuario, según sea necesario, para cumplir con la ley, un reglamento o una solicitud gubernamental.

[…]

Respondus Monitor utiliza los siguientes métodos para limitar el acceso a información o datos personales (por ejemplo, grabaciones de estudiantes u otra información personal).

Respondus Monitor utiliza el cifrado SSL (Secure Socket Lay) o TLS (Transport Layer Security) estándar de la industria para transferir información.

Solo se puede acceder a la información de identificación del estudiante, incluido el nombre, la calificación, el nombre del curso y las fotos que muestran las tarjetas de identificación a través de la arquitectura de extensión del sistema de gestión del aprendizaje (LMS) (por ejemplo, Blackboard Building Block).

Solo los usuarios con credenciales de instructor para el curso LMS (por ejemplo, instructores, asistentes de enseñanza, administradores de LMS) pueden ver sesiones de video junto con información identificable del estudiante.

Las URL de video son de "uso único" y no funcionarán si se copian. Respondus utiliza firmas de seguridad independientes y de terceros para realizar "pruebas de penetración" del sistema Respondus Monitor. Esto incluye una revisión de la arquitectura de Respondus Monitor y las pruebas de vulnerabilidades y exploits.

Desafortunadamente, ninguna transmisión de datos a través de Internet es 100% segura, y Respondus no garantiza la seguridad de la información recopilada mediante sus servicios. Al aceptar estos Términos, usted acepta usar Respondus Monitor bajo su propio riesgo, y acepta que Respondus no será responsable si se produce una violación de seguridad, si el sitio no funciona correctamente, o si la información se usa de manera indebida o mal administrada de alguna manera en detrimento o en detrimento de un estudiante o un tercero, ya sea por Respondus, su institución, etc.

El uso de Respondus Monitor requerirá que se registre la actividad individual del estudiante, tanto de forma audible como visual, durante ciertas sesiones de evaluación. Respondus Monitor también puede registrar otros datos relacionados con la actividad individual del estudiante durante las sesiones de evaluación, como, por ejemplo, sin limitación, el tiempo que toma un estudiante para responder consultas específicas en una evaluación, etc. Respondus puede almacenar las grabaciones, a través de sus servicios Respondus Monitor. Respondus Monitor puede analizar las grabaciones a través de procesos automatizados para generar datos adicionales derivados de las grabaciones, y los datos adicionales se asocian con estudiantes individuales para que su institución los use en la evaluación de las grabaciones. Los registros y datos originales (como se mencionó anteriormente) pueden ser evaluados por agentes de su institución, incluidos sus instructores, para revisar, evaluar y analizar el desempeño y la conducta de los estudiantes, entre otras cosas. Los datos y las grabaciones también pueden usarse para investigar infracciones de conducta de los estudiantes. El personal de Respondus no revisa / analiza las grabaciones, excepto cuando sea necesario para resolver problemas técnicos, mejorar el rendimiento del sistema, modificar el Monitor de Respondus, investigar violaciones de estos Términos o según lo indique su Institución.

Cada estudiante que se registre tendrá un nombre de usuario único o código de identificación ("ID") y contraseña a través del LMS de la institución (o institución de aprendizaje). Los estudiantes podrán utilizar la identificación y la contraseña, a discreción de la institución, para permitirles transmitir las grabaciones y los datos al componente en línea de Respondus Monitor, si la institución lo requiere como parte de una actividad de evaluación. Los instructores, administradores y otros agentes de la Institución pueden acceder a esas grabaciones y datos relacionados con sus alumnos a través de Respondus Monitor. Debe proteger su contraseña y no compartirla con nadie para ayudar a garantizar su seguridad y privacidad.

Se pueden recolectar muestras aleatorias de grabaciones de video y / o audio a través de Respondus Monitor y Respondus puede utilizarlas para mejorar las capacidades de Respondus Monitor para instituciones y estudiantes. Las grabaciones pueden compartirse con investigadores (instituciones de investigación y / o expertos biométricos) bajo contrato con Respondus para ayudar en dicha investigación, y los investigadores tienen la obligación por escrito de mantener las grabaciones de video y / o audio de manera confidencial y bajo términos al menos estricto como los términos en este documento. No se proporciona información de identificación personal para los estudiantes con las grabaciones de video y / o audio a los investigadores, como el nombre del estudiante, el nombre del curso, la institución, las calificaciones o las fotos de identificación del estudiante enviadas como parte de la sesión de examen de Respondus Monitor. Aparte de los fines de investigación identificados anteriormente, Respondus no compartirá grabaciones o información de identificación personal de ningún alumno en particular (colectivamente también denominado en el presente documento "información o datos personales") con terceros (los terceros no incluyen al alumno que proporcionó la información personal, el padre / tutor de un estudiante menor de 18 años que proporcionó información personal, o la institución que autorizó el acceso del estudiante a los Servicios de Monitor de Respondus) a menos que la institución lo requiera específicamente. Por ejemplo, si la Institución usa a terceros para administrar la información personal de los estudiantes (por ejemplo, los agentes de la Institución), la Institución puede ordenar a Respondus que comparta la información personal con ese tercero bajo la dirección y control de la Institución.

Si, en el futuro, Respondus, o sustancialmente todos sus activos son adquiridos, el mantenimiento de toda la información o datos personales recopilados (incluidas las grabaciones) puede transferirse a la parte adquirente, siempre que la parte adquirente implemente una política de privacidad y seguridad al menos tan restrictivo como este, o que cumpla con las normas legales vigentes, y siempre que la información y los datos personales recopilados permanezcan bajo el control de su institución.

Respondus se reserva el derecho en todo momento de divulgar cualquier información o datos (incluidas las grabaciones y cualquier contenido en la medida que corresponda) almacenados por usted, su institución o cualquier otro usuario según sea necesario, para cumplir con la ley, un reglamento o una solicitud gubernamental , o para editar o eliminar cualquier información o datos, en su totalidad o en parte, que, a criterio exclusivo de Respondus, infrinja estos Términos.

[…]

Respondus, Inc. cumple con el Marco del Escudo de Privacidad UE-EE. UU. Según lo establecido por el Departamento de Comercio de EE. UU. Con respecto a la recopilación, uso y retención de información personal transferida de la Unión Europea y el Reino Unido a los Estados Unidos en virtud de la Privacidad Proteger. Respondus, Inc., ha certificado al Departamento de Comercio que cumple con los Principios del Escudo de privacidad con respecto a dicha información. Si existe algún conflicto entre los términos de esta política de privacidad y los Principios del Escudo de privacidad, prevalecerán los Principios del Escudo de privacidad. Para obtener más información sobre el programa Privacy Shield y ver nuestra certificación, visite el  sitio web Privacy Shield .

Con respecto a los datos personales recibidos o transferidos de conformidad con los marcos de Privacy Shield, Respondus, Inc. está sujeto a los poderes regulatorios de cumplimiento de la Comisión Federal de Comercio de EE. UU. (Para asuntos relacionados con Privacy Shield).

2. Análisis del tratamiento y la protección de los datos en relación con la legislación española y europea.

2.1. Tratamiento de los datos.

De las características de funcionamiento de las aplicaciones indicadas, en relación con la legislación europea y española (Reglamento (UE) 2016/679, de 27 de abril -RGPD- y Ley Orgánica 3/2018, de 5 de diciembre -LOPDGDDD-) se desprende, en cuanto al tratamiento de los datos, lo siguiente:

a) Legitimación para el tratamiento de datos.

La legitimación para el tratamiento de datos por parte de Respondus Inc. está basada en, por una parte, el establecimiento de un contrato entre la institución educativa correspondiente (la Institución) y Respondus Inc., actuando la primera como RESPONSABLE y la segunda como ENCARGADA, por tanto su base legal reside en el interés legítimo de ambas partes y no en otra legislación educativa aplicable.

Asimismo, para poder procesar los datos del estudiante, se requiere un CONSENTIMIENTO efectivo y -se supone que- informado -por haber leído completamente la política de privacidad, que se divide en varias pantallas-, señalando que, si se reside en el Espacio Económico Europeo, se ha de ser mayor de 14 o de 16 años. Sin embargo, este consentimiento no parece ofrecerse de modo explícito en alguna parte, sino de modo implícito al aceptar usar la aplicación para realizar las correspondientes pruebas o exámenes.

b) Datos procesados por Respondus Inc. como “encargado”.

Los datos procesados por la aplicación son, por un lado, datos identificativos del estudiante, los necesarios para asociar las grabaciones a una persona concreta, datos que se supone que han sido proporcionados por la Institución como “Responsable” de los mismos en uso de su relación educativa con el estudiante. Así, no se concreta en las políticas de privacidad cuáles son estos, aunque se citan, evidentemente, el nombre y apellidos, el curso, la asignatura, etc., datos que se supone que son procesados por la plataforma educativa en la que se implementan las aplicaciones de Respondus Inc..

Otros datos “indirectos” recopilados, evidentemente, dado que la aplicación trabaja “en línea”, son los relativos a la IP del ordenador del estudiante, sus características de hardware y software necesarias para que funcione la grabación, etc. Y, posiblemente, datos de geolocalización de dicha IP, aunque esto no queda aclarado en dichas políticas de privacidad.

En tercer lugar, y como más importantes, son los datos biométricos que la aplicación recopila, tanto de imagen como de voz, así como otros utilizados por el procesamiento facial y los  programas de IA que analizan ampliamente estos datos biométricos, no solo como medida de seguridad, sino también con función de realizar perfiles automatizados del estudiante y, en comparación con otros datos agregados, establecer pautas de conducta u otros análisis posibles que se ofrecen a los “agentes” o encargados de la Institución (“Instructores” o profesores) para diversos tipos de análisis.

c) Políticas de privacidad.

La información recopilada en las distintas pantallas en las que se bifurca la política de privacidad, además de ser poco clara, pues unas páginas remiten a otras sin orden y difumina los distintos fines para el tratamiento de los datos, establece unas políticas de “exención de responsabilidad” a Respondus Inc., en las que “descarga” toda responsabilidad en la Institución educativa o en el estudiante usuario de las aplicaciones.

La empresa declara estar acogida al “Privacy Shield” del Departamento de Comercio de los Estados Unidos y, por tanto, cumplir con la normativa de protección de datos europea, que cita explícitamente, y con la política de transferencia de datos correspondiente. Además, declara usar unos estándares de privacidad lógica aceptables y un tratamiento de datos personales limitado para los propósitos de las aplicaciones, teniendo acceso solo las personas autorizadas por la Institución como Responsable.

Pero también indica que tanto las grabaciones como otros datos asociados a las mismas -datos biométricos recopilados por el procesamiento IA- podrán ser cedidos a instituciones investigadoras o usados para mejorar el funcionamiento de la aplicación, por lo que no limita adecuadamente el uso de estos datos especialmente protegidos, no quedando claro si la elaboración de perfiles pudiera usarse para otras investigaciones, como por ejemplo, la evaluación de componentes étnicos o raciales o de género en el éxito o fracaso escolar.

2.2. Análisis normativo.

El Reglamento (UE) 2016/679, de 27 de abril (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) establecen una serie de requisitos para el tratamiento de los datos personales.

En primer lugar, la legitimación para dicho tratamiento.

Así, el RGPD, en su artículo 6, señala distintas bases de legitimación para el tratamiento de datos, pudiendo señalar, entre ellas, como relevantes para el caso, las siguientes:

6.1.a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos

6.1.b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación, a petición de este, de medidas precontractuales.

[…]

6.1.f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

En el caso de las aplicaciones de Respondus Inc., la relación entre el interesado -estudiante o examinado-, la Institución educativa y la empresa se basa en la interrelación de estas bases de legitimación, de la manera siguiente:

-          La Institución educativa actúa como “Responsable” del tratamiento y Respondus Inc. como “Encargado” del mismo en virtud de una relación contractual.

-          La Institución educativa tiene unos “intereses legítimos” al tratar los datos del interesado-estudiante que, a su vez, puede haber establecido una relación con dicha Institución mediante un “contrato” -bien directamente, bien a través de sus representantes legales…

-          El Interesado-estudiante debe dar su consentimiento inequívoco para el tratamiento de datos por parte de Respondus Inc., (aunque no queda claro que dicho consentimiento cumpla la definición de “consentimiento” del artículo 4.11. de RGPD).

Sin embargo, hay que señalar que, en el caso del tratamiento de datos biométricos y la elaboración de perfiles con ellos, hay que estar a lo indicado en el RGPD en su artículo 9 y lo dispuesto en la LOPDGDD en su artículo 9 al respecto. Así, estas normas indican lo siguiente:

Reglamento (UE) 2016/679, de 27 de abril:

Artículo 9. Tratamiento de categorías especiales de datos personales.

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;

Ley Orgánica 3/2018, de 5 de diciembre:

Artículo 9. Categorías especiales de datos.

1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

De lo indicado por las dos normas, dado que la aplicación Respondus Monitor usa prioritariamente los datos biométricos del interesado-estudiante para la realización de perfiles y no indica claramente qué tipo de perfiles crea, sino que, de lo indicado, puede desprenderse que esos perfiles pueden incluir datos especialmente protegidos -origen étnico, datos relativos a la salud -entendida en su más amplio concepto…-, etc.-, el consentimiento no puede considerarse, desde esta óptica, como una base de legitimación adecuada si no lleva -como indica la LOPDGDD- añadida otra base de legitimación, cosa que, en el caso del interesado, no podría basarse en el supuesto contrato establecido entre la Institución educativa y aquel, salvo que dicha circunstancia estuviera explícitamente recogida en dicho contrato, cosa que, en las relaciones que se establecen con las instituciones educativas no es común que aparezca (ver el Considerando 41 RGPD).

Además, en la relación establecida entre la Institución educativa y el interesado-estudiante existe una disimetría clara que impide que el consentimiento sea una base legítima para cualquier tratamiento de datos, como señala el RGPD en su considerando 43:

(43) Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular. Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento.

En el caso de considerar el “interés legítimo” de la Institución educativa como base para el tratamiento de los datos del interesado-estudiante -y recordemos que se trata, en este caso, de datos especialmente protegidos, como lo son los biométricos-, este no puede considerarse una base de legitimación si no se ponderan adecuadamente los intereses o los derechos del interesado-estudiante, como indica el Considerando (47) RGPD:

(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. […] En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior.

En este caso, esa “evaluación meticulosa” debe tomar en consideración, dado que se trata de confrontar derechos fundamentales, el conocido como “Test de proporcionalidad”[2], en el que se evalúen claramente la idoneidad, necesidad y proporcionalidad de la medida a adoptar -en este caso el tratamiento de datos biométricos y la elaboración de perfiles-, clarificando que dicho tratamiento sea:

a) Idóneo para el fin que se persigue: en este caso puede aducirse que, para evitar el fraude en exámenes realizados a distancia, es un método idóneo -aunque, deberíamos añadir, desproporcionado.

b) Necesario, es decir, que no haya otro método menos invasivo para alcanzar los fines perseguidos: en este sentido se pueden señalar otros métodos que pueden usarse para ello, como el control de tiempo en una prueba de contenidos múltiples, por ejemplo.

c) Proporcionado a la invasión de otros derechos: en este caso, la grabación, unida al uso de determinados análisis de Inteligencia Artificial y a la elaboración de perfiles ataca varios derechos fundamentales, que no quedan suficientemente garantizados, como los derivados del artículo 18 -intimidad, etc.- de la Constitución Española (CE) o el artículo 14 -igualdad y no discriminación-, etc.

En este sentido, la Agencia Española de Protección de Datos (AEPD), en su Instrucción 1/2006, relativa a la instalación de videocámaras con fines de vigilancia indica en su artículo 4, que recoge los principios de calidad, proporcionalidad y finalidad del tratamiento, lo siguiente:

“1.- De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras.

2.- Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal”.

3. Conclusiones.

Para concluir, desde el punto de vista de la protección de datos, el uso de aplicaciones como Respondus Monitor es sumamente problemático, no teniendo bases claras de legitimación y chocando frontalmente con muchos de los planteamientos legales establecidos.

De hecho, a la vista de lo señalado, para poder implementarlas sería exigible realizar la correspondiente “evaluación de impacto” recogida en la normativa vigente[3], dada la “responsabilidad proactiva” que exige tanto el RGPD como la LOPDGDD.

De todo lo anteriormente indicado se puede concluir que la utilización de aplicaciones de grabación audio-visual para evitar el posible fraude en un examen es un método desproporcionado en relación a los fines a conseguir, que se pueden obtener con un grado amplio de fiabilidad mediante otros métodos, como la elaboración de exámenes en los que no pesen tanto los conocimientos como su aplicación -lo que permitiría al estudiante consultar los contenidos estudiados- o pruebas de respuesta múltiple -exámenes “de test”- con tiempo controlado de respuesta -se da un tiempo máximo para cada respuesta, relativamente pequeño, y se conteste o no, transcurrido este, se pasa a la siguiente pregunta, sin poder volver a realizar la prueba-, etc.

Además, cabe considerar que, en las circunstancias en las que estamos, los métodos de evaluación pueden y deben cambiarse por aquellos que beneficien las cualidades de los alumnos y sus competencias y no tanto basarse en el “volcado” de conocimientos en un examen tradicional de contenidos, que se han de olvidar pasado un tiempo.

---

[1] Esta aplicación, desde el punto de vista de la protección de datos, aunque habría que analizar cuidadosamente las condiciones de privacidad, no es tan invasiva como su complemento Respondus Monitor.

[2] En cuanto a la proporcionalidad, tal y como señala la Sentencia del Tribunal Constitucional 207/1996, se trata de “una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad.

En este sentido, hemos destacado que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”

[3] RPGD. Considerando (84): A fin de mejorar el cumplimiento del presente Reglamento en aquellos casos en los que sea probable que las operaciones de tratamiento entrañen un alto riesgo para los derechos y libertades de las personas físicas, debe incumbir al responsable del tratamiento la realización de una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad de dicho riesgo. El resultado de la evaluación debe tenerse en cuenta cuando se decidan las medidas adecuadas que deban tomarse con el fin de demostrar que el tratamiento de los datos personales es conforme con el presente Reglamento. Si una evaluación de impacto relativa a la protección de datos muestra que las operaciones de tratamiento entrañan un alto riesgo que el responsable no puede mitigar con medidas adecuadas en términos de tecnología disponible y costes de aplicación, debe consultarse a la autoridad de control antes del tratamiento.

Informe sobre el impacto normativo de los procedimientos de evaluación online: protección de datos y garantía de los derechos de las y los estudiantes

Adjunto el informe que un grupo de expertos de las Universidades Españolas hizo para la Conferencia de Rectores analizando el impacto de los procedimientos de evaluación on line.

https://drive.google.com/file/d/1Dg4XenOdFa4mC9fbtwkhS1y1f9uHS0Uq/view?usp=sharing

Esta obra está bajo una Licencia Creative Commons Atribución-NoComercial-CompartirIgual 3.0 No portada.

Visualización y Grabación de exámenes a distancia.

En el contexto de la educación a distancia que se ha impuesto de golpe a raíz de la pandemia del SARS-Covid-19, conviene recordar que los derechos fundamentales reconocidos tanto en la Constitución Española (CE), como en la Carta de los Derechos Fundamentales de la Unión Europea siguen siendo de aplicación, aunque algunos, en virtud de la normativa sobre el Estado de Alarma, puedan ser restringidos, como la libre circulación. En este sentido, la propia Agencia Española de Protección de Datos, en su Informe jurídico 0017/2020, señala que “…con carácter general, debe aclararse que la normativa de protección de datos personales, en tanto que dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a la situación actual, dado que no existe razón alguna que determine la suspensión de derechos fundamentales, ni dicha medida ha sido adoptada”.

Así, en muchas instituciones educativas se están planteando sistemas alternativos de evaluación, a raíz del cierre presencial de las actividades lectivas, en especial mediante la realización de pruebas o exámenes a distancia por medios telemáticos.

Esta circunstancia hace que, para una eficaz realización de dichos exámenes y para garantizar la seguridad jurídica tanto de los estudiantes como de los centros educativos en sus respectivos derechos de evaluación objetiva y de evitar fraudes en la realización de dichas pruebas, se estén implementando medios tecnológicos (aplicaciones o programas antifraude) o estableciendo como requisito para la realización de dichas pruebas la visualización en tiempo real (streaming) y/o la grabación síncrona de los estudiantes en su realización.

Respecto a la posible visualización de la realización de exámenes, realizados en tiempo real y en el entorno domiciliario del alumno, así como la posible grabación de dicha visualización, hay que tener en cuenta, desde el punto de vista de la protección de datos, lo siguiente:

En primer lugar, que la realización de visualización y/o grabaciones de personas entra de lleno dentro del tratamiento de datos personales, a tenor de lo dispuesto en el artículo 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD):

Artículo 4. Definiciones.

A efectos del presente Reglamento se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

En segundo lugar, que el tratamiento de datos personales ha de estar legitimado según lo señalado en al apartado 1 del artículo 6 de dicho Reglamento (RGPD):

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b )el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

Así, podríamos considerar que existe una base de legitimación de dicho tratamiento, bien en el punto 6.1.a) (Consentimiento), bien en el 6.1.b) (Contrato), en el 6.1.c) (Obligación legal, en el caso de los centros privados), en el 6.1.e) (Deberes públicos, en el caso de Centros públicos) o en el 6.1.f) (Interés legítimo).

Visualización y/o grabación de exámenes a distancia

Partiendo de estas bases, hemos de considerar, en relación al específico tratamiento de datos personales que se establece en la visualización y/o grabación de un examen (sea presencial, sea en línea), lo siguiente:

1º) El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), en su artículo 9 incluye entre las categorías especiales de datos personales los “datos biométricos dirigidos a identificar de manera unívoca a una persona física”, estableciendo los supuestos en que cabe su tratamiento. Dispone el aludido artículo 9 lo siguiente:

“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado”.

Así, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), especifica respecto a esto:

Artículo 9. Categorías especiales de datos.

1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

En este sentido, el consentimiento pare el tratamiento de datos debería basarse, además, en otra base legitimadora de las señaladas en el artículo 6.1. RGPD, atendiendo a las interpretaciones jurisprudenciales de los derechos fundamentales, que mayoritariamente han indicado que estas interpretaciones han de ser, necesariamente, restricctivas.

2º) En la relación establecida entre la Institución educativa pública (6.1.e) o privada (obligada por la ley, punto 6.1.c) y el interesado-estudiante existe una disimetría clara que impide que el consentimiento sea -únicamente- una base legítima para cualquier tratamiento de datos, como señala el RGPD en su Considerando 43:

(43) Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular. Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento.

3º) En el caso de considerar, o bien una “obligación contractual” (6.1.b) o el “interés legítimo” (6.1.f) de la Institución educativa como base para el tratamiento de los datos del interesado-estudiante -y recordemos que se trata, en este caso, de datos especialmente protegidos, como lo son los biométricos-, este no puede considerarse una base de legitimación si no se ponderan adecuadamente los intereses o los derechos del interesado-estudiante, como indica el Considerando (47) RGPD:

(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. […] En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior.

En este caso, esa “evaluación meticulosa” debe tomar en consideración, dado que se trata de confrontar derechos fundamentales, el conocido como “Test de proporcionalidad”^[1], en el que se evalúen claramente la idoneidad, necesidad y proporcionalidad de la medida a adoptar -en este caso el tratamiento de datos biométricos -, clarificando que dicho tratamiento sea:

a) Idóneo para el fin que se persigue: en este caso puede aducirse que, para evitar el fraude en exámenes realizados a distancia, es un método idóneo -aunque, deberíamos añadir, sumamente intrusivo.

b) Necesario, es decir, que no haya otro método menos invasivo para alcanzar los fines perseguidos: en este sentido se pueden señalar otros métodos que pueden usarse para ello, como el control de tiempo en una prueba de contenidos múltiples, por ejemplo.

c) Proporcionado a la invasión de otros derechos: en este caso, la visualización-grabación, ataca varios derechos fundamentales, que deben quedar suficientemente garantizados, como los derivados del artículo 18 -intimidad, etc.- de la Constitución Española (CE) o el artículo 14 -igualdad y no discriminación-, etc.

A mayor abundamiento, el propio Reglamento general de protección de datos pone de manifiesto que el consentimiento del afectado no debe constituir la base legal del tratamiento en determinados supuestos. Así, el considerando 42 señala en su última frase que “El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno”.

El catálogo de supuestos legitimadores del tratamiento se ha visto ampliado por la Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011, por la que se resuelven las cuestiones prejudiciales planteadas por el Tribunal Supremo en los recursos interpuestos contra el Reglamento de desarrollo de la Ley Orgánica 15/1999 (desplazada por el RGPD  y derogada por la LOPDGDD). A su vez, el marco se ve igualmente afectado por las Sentencias dictadas por el Tribunal Supremo en fecha 8 de febrero de 2012, por las que se resuelven los mencionados recursos.

La mencionada Sentencia del Tribunal de Justicia ha declarado expresamente el efecto directo del artículo 7 f) de la Directiva 95/46/CE[2], según el cual:

“Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si (...) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”.

Por ello, dicho precepto deberá ser tomado directamente en cuenta en la aplicación de la normativa de protección de datos de carácter personal por los Estados Miembros, dado que como señala el Tribunal Supremo en su sentencia de 8 de febrero de 2012 “produce efectos jurídicos inmediatos sin necesidad de normas nacionales para su aplicación, y que por ello puede hacerse valer ante las autoridades administrativas y judiciales cuando se observe su trasgresión”.

Tal y como recuerda la Sentencia del Tribunal de Justicia de la Unión Europea en su apartado 38, el artículo 7 f) de la Directiva “establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado” y, en relación con la citada ponderación, el apartado 40 recuerda que la misma “dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado”.

Por tanto, para determinar si procedería la aplicación del citado precepto habrá de aplicarse la regla de ponderación prevista en el mismo; es decir, será necesario valorar si en el supuesto concreto objeto de análisis existirá un interés legítimo perseguido por el responsable del tratamiento que prevalezca sobre el interés o los derechos y libertades fundamentales del interesado que requieran protección conforme a lo dispuesto en la normativa de aplicación y no hay otro medio más adecuado para alcanzar dicho interés legítimo sin lesionar otros derechos.

3º) La Instrucción 1/2006 de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras hace especial referencia a la necesidad de ponderar los bienes jurídicos protegidos. Así viene a señalar expresamente que, en la instalación de este tipo de dispositivos se deberá respetar el principio de proporcionalidad, valorando así la posibilidad de adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales.

(…) Por consiguiente, cualquier medida de control que se adopte debe superar este juicio de proporcionalidad, determinando si la medida es adecuada, necesaria y equilibrada, ya que en otro caso resulta desproporcionada y por ello contraria a la normativa de protección de datos

Esta Agencia ha venido señalando que cuando se pretendan instalar sistemas de videovigilancia, deberán ponderarse los derechos y garantizarse el cumplimiento estricto del principio de proporcionalidad, debiendo en todo caso respetarse el derecho a la intimidad, a la propia imagen y a la protección de datos.

Así, el artículo 4 de la Instrucción 1/2006 recoge los principios de calidad, proporcionalidad y finalidad del tratamiento estableciendo lo siguiente:

“1.- De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras.

2.- Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal.

3.- Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” (…)

Para concluir lo analizado respecto a esto, podemos indicar lo siguiente:

a) el tratamiento de imágenes mediante la visualización y/o grabación en el ámbito doméstico -y no hemos hecho referencia a los posibles aspectos concurrentes de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen- constituye un tratamiento de datos personales amparado en la legislación citada sobre ellos.

b) Ese tratamiento se enmarca dentro de los considerados “datos especialmente protegidos”, que requieren unas garantías reforzadas de legitimación, no bastando el simple consentimiento para su recogida.

c) Según esto, es necesario, además del consentimiento, otra base jurídica de legitimación, pero cualesquiera que aportemos (6.1.b); 6.1.c); 6.1.e) o 6.1.f)), que ha de estar fundada en norma con rango de ley y para su aplicación, debe superar la ponderación del juicio de proporcionalidad, buscando siempre la medida menos restrictiva de derechos.

d) Dado que la visualización y/o grabación de imágenes personales suponen una intromisión en la intimidad, debe ponderarse mediante la aplicación de un estricto juicio de proporcionalidad, si dicha intromisión es la única manera de alcanzar los efectos buscados de 1) disuadir a los estudiantes de determinadas actuaciones fraudulentas durante los exámenes y 2) en caso de que estas se produjeran, que dichas grabaciones sirvieran como prueba para acreditarlas, ha de tomar siempre en consideración que el derecho fundamental a la protección de datos (derecho de autodeterminación informativa, como lo ha nombrado nuestro TC) y los otros derechos aducidos por la institución educativa deben ponderarse para buscar la mínima intromisión en dicho derecho fundamental.

Para concluir este apartado, se debe recalcar que el responsable de tratamiento de los datos -la institución educativa- ha de justificar claramente la no existencia de otros métodos de evaluación que, alcanzando el mismo fin, sean menos intrusivos en los derechos fundamentales, en virtud de lo recogido en el RGPD y la LOPDGDD respecto a la responsabilidad proactiva.

Realización de exámenes orales a distancia

En este sentido, es interesante traer a colación el Informe del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) realizado a petición de una universidad y que toca muchos aspectos, entre ellos la realización/grabación de exámenes orales y de clases.

AEPD. Informe Gabinete Jurídico N/REF: 010601/2019

[…]

“Se plantea a continuación si la grabación de exámenes orales y de las sesiones de docencia puede fundamentarse igualmente en el artículo 6.1.e) del RGPD.

En este punto, el artículo 46.3 de la LOU prevé que “Las Universidades establecerán los procedimientos de verificación de los conocimientos de los estudiantes”. Asimismo, en su apartado 2 el citado precepto reconoce a los estudiantes el derecho a “la publicidad de las normas de las Universidades que deben regular la verificación de los conocimientos de los estudiantes” y a “la garantía de sus derechos, mediante procedimientos adecuados y, en su caso, la actuación del Defensor Universitario”, siendo los Estatutos y las normas de organización y funcionamiento las que desarrollarán los derechos y los deberes de los estudiantes, así como los mecanismos para su garantía.

Son, por tanto, los Estatutos y las normas de organización y funcionamiento los que regulan los procedimientos de revisión de las evaluaciones de los alumnos, lo que incluye en ocasiones su revisión ante órganos colegiados (Tribunal de Reclamaciones, Comisión de Revisión u otras denominaciones), así como se establecen plazos de conservación de los exámenes a fin de que los estudiantes puedan presentar las reclamaciones oportunas.

Por consiguiente, la grabación de los exámenes orales puede ser necesaria como medio de prueba para el ejercicio de sus derechos por parte del alumno, así como para que el profesor pueda justificar la evaluación realizada, sin perjuicio de que puedan admitirse otros medios probatorios (por ejemplo, exigir al alumno un esquema de lo que va a exponer).

Por consiguiente, con la finalidad señalada, y siempre que las normas internas de la Universidad prevean la grabación de los exámenes orales, el tratamiento se encontrará fundamentado en lo previsto en el artículo 6.1.e): el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.”

En este sentido, y siempre que se cuente con el consentimiento del interesado-estudiante, la realización de exámenes orales en línea y su eventual grabación para justificar la evaluación ante posibles reclamaciones, entra dentro de las bases legitimadoras del RGPD -interés público- si bien ha de tener una base legal establecida -LOU y Estatutos de la Universidad.

En el caso de la enseñanza no universitaria, esto debería ampararse, además de en el consentimiento explícito, en acuerdos de Claustro y Consejo Escolar del centro, reflejados en las programaciones didácticas correspondientes e informada tanto la Inspección Educativa en tiempo y forma  como la propia comunidad educativa -alumnos y padres o tutores-, en garantía de sus derechos.

Conclusiones.

En cualquier caso, tanto el tratamiento consistente en la visualización continua del examen y/o en su eventual grabación, como el tratamiento consistente en la visualización/grabación discontinua y aleatoria o la realización de exámenes orales a distancia, deben estar claramente legitimados, tanto en el consentimiento del interesado-estudiante, como en una base de legitimación que explícitamente se aduzca para estas intervenciones.

Esto ha de ser conocido de antemano por parte de los alumnos y/o sus padres o tutores legales, además de estar recogido en acuerdos de Claustro y notificación al Consejo Escolar, e incluido en las programaciones didácticas.

Asimismo, y en relación con el posterior tratamiento de las grabaciones que se pudieran efectuar, se ha de informar claramente a los interesados de los derechos recogidos en el RGPD: acceso, supresión, limitación del tratamiento, posibles perfilados si se realizasen, etc.

Es de notar que la oposición o negativa al tratamiento no puede ser motivo de suspenso o cualquier otra consecuencia negativa, debiendo aplicar la institución educativa otros métodos de evaluación suficientes o buscando métodos de evaluación a distancia menos intrusivos, frente a un examen tradicional -expositivo, de respuesta múltiple, etc.- y su visualización/grabación, máxime cuando en el “contrato[3]” establecido entre la institución y el estudiante no se establecieron estas medidas desde el principio.

Esto no choca con el principio de equidad y no discriminación (art. 14 CE), dado que, si se aplican a todos los estudiantes los mismos criterios de evaluación y de calificación, la sustitución de un examen por otro sistema evaluativo equivalente cumple con estos requisitos.

---

[1] En cuanto a la proporcionalidad, tal y como señala la Sentencia del Tribunal Constitucional 207/1996, se trata de “una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad.

En este sentido, hemos destacado que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”

[2] Y similar a lo recogido en el RGPD.

[3] Es decir, cualquier relación jurídica entre estudiante e institución, sea pública o privada.

Esta obra está bajo una Licencia Creative Commons Atribución-NoComercial-CompartirIgual 3.0 No portada.